(1)

O Regulamento (UE) 2016/679 estabelece as regras relativas à transferência de dados pessoais para países terceiros e organizações internacionais pelos responsáveis pelo tratamento e subcontratantes na União, na medida em que essa transferência seja abrangida pelo respetivo âmbito de aplicação. As regras relativas às transferências internacionais de dados são definidas no capítulo V (artigos 44.o a 50.o) do referido regulamento. Embora a circulação de dados pessoais com origem e destino em países e organizações internacionais exteriores à União Europeia seja essencial para o desenvolvimento do comércio transfronteiriço e da cooperação internacional, é indispensável garantir que o nível de proteção conferido aos dados pessoais na União não é comprometido por transferências para países terceiros e organizações internacionais (2).

(2)

Nos termos do artigo 45.o, n.o 3, do Regulamento (UE) 2016/679, a Comissão pode decidir, através de um ato de execução, que um país terceiro, um território ou um ou mais setores específicos de um país terceiro, ou uma organização internacional, garante um nível de proteção adequado. Nessa condição, as transferências de dados pessoais para uma organização internacional podem realizar-se sem que para tal seja necessária mais nenhuma autorização, conforme previsto no artigo 45.o, n.o 1, e estabelecido no considerando 103 do Regulamento (UE) 2016/679.

(3)

Conforme estabelecido no artigo 45.o, n.o 2, do Regulamento (UE) 2016/679, a adoção de uma decisão de adequação deve basear-se numa análise exaustiva do regime jurídico da organização internacional, que abranja tanto as regras aplicáveis a importadores de dados como as limitações e garantias relativas ao acesso aos dados pessoais pelas autoridades públicas. Na sua avaliação, a Comissão tem de apurar se a organização internacional em causa garante um nível de proteção «essencialmente equivalente» ao assegurado na União (3). O critério pelo qual se avalia a «equivalência essencial» é o estabelecido pela legislação da União, nomeadamente pelo Regulamento (UE) 2016/679, bem como pela jurisprudência do Tribunal de Justiça da União Europeia (4). O «documento de referência relativo à adequação» do Comité Europeu para a Proteção de Dados (CEPD) é igualmente importante a este respeito para clarificar essa norma e fornecer orientações (5).

(4)

Conforme clarificou o Tribunal de Justiça, não se pode exigir que um país terceiro, ou organização internacional, assegure um nível de proteção idêntico ao garantido na ordem jurídica da União (6). Mais concretamente, os meios a que o país terceiro ou organização internacional em causa recorre para proteger os dados pessoais podem ser diferentes dos aplicados na União, desde que se revelem, na prática, eficazes para assegurar um nível adequado de proteção (7). Por conseguinte, o padrão de adequação não exige que as regras da União sejam replicadas ponto por ponto. Em vez disso, importa aferir sobretudo se, por meio do teor dos direitos de privacidade e das garantias em matéria de proteção de dados (incluindo a sua aplicação, controlo e execução efetivos), bem como das circunstâncias relativas a uma transferência de dados pessoais, o sistema estrangeiro consegue, no seu conjunto, garantir o nível de proteção exigido (8).

(5)

A Comissão analisou o quadro jurídico e a prática da Organização Europeia de Patentes. Com base nas constatações formuladas nos considerandos 7 a 100, a Comissão conclui que a Organização Europeia de Patentes (OEP) assegura um nível de proteção adequado dos dados pessoais transferidos no âmbito do Regulamento (UE) 2016/679 da União para a OEP.

(6)

Nos termos da presente decisão, as transferências para a Organização Europeia de Patentes efetuadas por responsáveis pelo tratamento e subcontratantes na União podem realizar-se sem que para tal seja necessária mais nenhuma autorização. A presente decisão não afeta a aplicação direta do Regulamento (UE) 2016/679 às entidades que preencham as condições relativas ao âmbito de aplicação territorial definido no artigo 3.o do referido regulamento.

(7)

A Organização Europeia de Patentes é uma organização intergovernamental instituída em 7 de outubro de 1977 com base na Convenção sobre a Patente Europeia (CPE). Tem a sua sede em Munique e conta com 39 Estados contratantes, incluindo todos os Estados-Membros da União, a Islândia, a Noruega e o Listenstaine, bem como a Albânia, a Macedónia do Norte, o Mónaco, São Marinho, a Sérvia, a Suíça, o Montenegro, o Reino Unido e a Turquia (9).

(8)

A organização tem personalidade jurídica (10) e é composta por dois órgãos (11): o Instituto Europeu de Patentes (Instituto) e o conselho de administração. A principal função da OEP é a concessão de patentes europeias (12) de acordo com a CPE, que é efetuada pelo Instituto sob a supervisão do conselho de administração. O conselho de administração é composto pelos representantes dos Estados contratantes e exerce competências legislativas em nome da OEP. É igualmente responsável por questões políticas e supervisiona as atividades do Instituto (13). O Instituto, que atua como braço executivo da OEP, é chefiado por um presidente (14) que o dirige e que responde perante o conselho de administração (15). Entre outras competências, o presidente prepara e executa o orçamento do Instituto, nomeia e exerce autoridade hierárquica sobre o pessoal do Instituto, exerce autoridade disciplinar sobre o pessoal, assegura o funcionamento do Instituto, em particular a adoção de instruções administrativas internas e a publicação de indicações para o público, e pode submeter ao conselho de administração qualquer projeto de modificação da Convenção, de regulamentação genérica ou de decisão que dependa da competência do conselho de administração (16). O Instituto é composto por diferentes departamentos, incluindo uma secção de depósito, uma divisão jurídica, divisões de exame e de oposição, e as câmaras de recurso (um organismo interno independente no qual as decisões tomadas pela OEP no âmbito do processo de concessão de patentes podem ser objeto de recurso) (17).

(9)

No desempenho das suas funções, a OEP recebe dados pessoais de vários intervenientes diferentes da União. De forma contínua, os pedidos de patente europeia (18) são depositados na OEP por requerentes de patentes ou transmitidos à OEP pelos institutos nacionais de patentes dos Estados-Membros (19). A OEP também recebe e trata dados pessoais no contexto das funções que lhe são confiadas nos termos do Regulamento (UE) n.o 1257/2012 do Parlamento Europeu e do Conselho (20). Essas funções incluem a receção e análise dos pedidos de efeito unitário de patentes europeias, a cobrança de taxas anuais e o registo do efeito unitário (21). Neste contexto, a OEP também recebe do Tribunal Unificado de Patentes (TUP) pedidos sobre recursos pendentes na câmara de recurso do Instituto (22), que podem incluir dados pessoais necessários para identificar o processo em causa (23).

(10)

Do mesmo modo, a OEP recebe dados pessoais contidos nos pedidos de patente internacionais quando atua ao abrigo do Tratado de Cooperação em matéria de Patentes (PCT), um tratado internacional que permite aos requerentes obter patentes com efeitos para todos os Estados contratantes do PCT (24). A OEP atua como autoridade responsável pela pesquisa internacional no âmbito do PCT e, nessa qualidade, analisa a patenteabilidade de invenções divulgadas em pedidos internacionais, o que ajuda os requerentes a decidir se devem ou não depositar um pedido de análise substantiva a nível nacional ou da União (25).

(11)

Além disso, a OEP coopera estreitamente com os institutos nacionais de patentes de todos os Estados-Membros no contexto de uma «Rede Europeia de Patentes» e, nesse contexto, procede ao intercâmbio de dados pessoais com eles, por exemplo, ao ministrar cursos de formação e prestar serviços informáticos para apoiar e reforçar a cooperação no âmbito da CPE. Do mesmo modo, celebrou acordos de cooperação bilaterais com os Estados-Membros, que envolvem o intercâmbio de dados pessoais, por exemplo, no contexto da criação de grupos de trabalho, da disponibilização e do destacamento de peritos técnicos, etc. Coopera também estreitamente com o Instituto da Propriedade Intelectual da União Europeia (EUIPO), por exemplo, através da realização de cursos de formação conjuntos e de eventos de sensibilização, bem como do destacamento de peritos.

(12)

Por último, a OEP tem contratos com vários prestadores de serviços na União que atuam como subcontratantes na aceção do artigo 4.o, ponto 8, do Regulamento (UE) 2016/679 e transferem dados pessoais para a OEP.

(13)

A legislação primária que rege as atividades da OEP é estabelecida por um tratado internacional, ou seja, pela Convenção sobre a Patente Europeia e, quando a OEP atua ao abrigo do Tratado de Cooperação em matéria de Patentes, por este último. Num segundo nível da hierarquia das normas aplicáveis à OEP estão os atos jurídicos adotados pelo conselho de administração ou, no que diz respeito ao PCT, pela Assembleia do PCT. A legislação secundária da OEP inclui o regulamento de execução da CPE e o chamado estatuto dos funcionários (que regula aspetos relacionados com o pessoal da OEP, nomeadamente os seus direitos e obrigações) (26). O direito à proteção dos dados pessoais está consagrado no artigo 1.o-B do estatuto dos funcionários (27), que contém também algumas disposições fundamentais do quadro de proteção de dados da OEP, ou seja, relativas ao âmbito de aplicação do quadro de proteção de dados, à proteção de categorias especiais de dados e ao exercício de direitos pelas pessoas singulares. O artigo 2.o, n.o 1, e o artigo 32.o-A do estatuto dos funcionários estabelecem mecanismos de controlo independentes (o encarregado da proteção de dados, EPD, e o comité para a proteção de dados, CPD) para supervisionar o cumprimento das regras de proteção de dados (28).

(14)

Os mesmos requisitos substantivos que regem a proteção dos dados pessoais são aplicáveis ao conselho de administração e ao Instituto, bem como a todos os seus departamentos. Em especial, o tratamento de dados pessoais pelo Instituto é regulado pelas normas de execução dos artigos 1.o-B e 32.o-A do regulamento de serviço dos funcionários permanentes e outros trabalhadores do Instituto Europeu de Patentes para a proteção de dados pessoais (regras de proteção de dados, RPD), que foram adotadas pelo conselho de administração (29). O tratamento de dados pessoais pelo conselho de administração está sujeito às regras de proteção de dados do conselho de administração, que aplicam as RPD mutatis mutandis (30). Nos casos em que a presente decisão se refere às RPD, as referências incluem os requisitos correspondentes aplicáveis ao conselho de administração, ao seu secretariado e aos seus comités. A estrutura e o teor das RPD estão estreitamente alinhados com o quadro da União em matéria de proteção de dados (31). Em especial, partilham muitos pontos comuns com o Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (32), que estabelece requisitos relativos à proteção de dados para as instituições e os órgãos da União, pelo que se adequa bem à estrutura e às características específicas das organizações internacionais, refletindo de perto o Regulamento (UE) 2016/679.

(15)

No que diz respeito ao tratamento de dados pelo Instituto, o presidente emitiu outros instrumentos juridicamente vinculativos, como circulares, decisões e instruções administrativas internas (33). Em especial, as RPD são complementadas pela Decisão do Presidente, de 13 de dezembro de 2021, relativa ao tratamento de dados pessoais em processos de concessão de patentes e processos conexos (Decisão PCP) (34); pela Decisão, de 7 de dezembro de 2022, relativa ao tratamento de dados pessoais em processos relacionados com patentes europeias com efeito unitário (Decisão EU) (35); pela Decisão, de 17 de novembro de 2022, relativa aos países e entidades considerados como assegurando um nível adequado de proteção dos dados pessoais (36); pela Decisão, de 2 de maio de 2024, que determina as unidades operacionais do Instituto que atuam na qualidade de responsáveis delegados pelo tratamento (37); e pela Circular n.o 420 que aplica o artigo 25.o das RPD relativo às limitações dos direitos dos titulares dos dados (Circular 420) (38). Especificamente para o tratamento de dados no contexto de processos de concessão de patentes, é importante salientar que os requisitos para o tratamento de dados pessoais diretamente previstos na CPE e no PCT prevalecem sobre as RPD. A interação entre a CPE e o PCT, por um lado, e as RPD, por outro, é clarificada na Decisão PCP (39) e na Decisão EU. Os requisitos específicos em matéria de proteção de dados decorrentes diretamente da CPE e do PCT são avaliados nos considerandos 55 a 59. As RPD e os seus instrumentos complementares são juridicamente vinculativos e executórios e podem ser invocados pelas pessoas singulares em mecanismos de recurso independentes, tal como descrito nos considerandos 89 a 96.

(16)

As regras previstas nos instrumentos jurídicos referidos no considerando 15 são ainda aplicadas em instrumentos emitidos pelo encarregado da proteção de dados (ver considerandos 83 a 88) (40), que se aplicam ao conselho de administração e ao Instituto, bem como a todos os seus departamentos (41).

(17)

Nos termos das RPD e do estatuto dos funcionários (42), todos os funcionários da OEP são obrigados a cumprir as RPD ao tratarem dados pessoais. O âmbito de aplicação material e pessoal das RPD é determinado pelos termos «dados pessoais», «tratamento», «responsável pelo tratamento», «responsável delegado pelo tratamento» e «subcontratante» nelas definidos.

(18)

As definições de «dados pessoais» e de «tratamento» constantes das RPD são idênticas às do Regulamento (UE) 2016/679 (43). As RPD aplicam-se a qualquer tratamento de dados pessoais pela OEP, independentemente de esse tratamento dizer respeito a dados pessoais dos seus próprios funcionários ou de outras pessoas singulares (44). Os dados pessoais que tenham sido pseudonimizados (45) também são considerados dados pessoais, ao passo que os dados de pessoas falecidas ou pessoas coletivas, ou as informações anónimas (46), não são tratados como dados pessoais nos termos das RPD (47).

(19)

As RPD aplicam-se ao tratamento de dados pessoais pela OEP por meios total ou parcialmente automatizados, bem como ao tratamento por meios não automatizados de dados pessoais contidos em ficheiros ou a eles destinados (48).

(20)

As RPD definem «responsável pelo tratamento» como «a entidade, a saber, o Instituto Europeu de Patentes, que, individualmente ou em conjunto com outras, determina as finalidades e os meios de tratamento de dados pessoais» (49). Em princípio, o presidente atua como responsável pelo tratamento relativamente às operações de tratamento de dados efetuadas pelo Instituto (50). O mesmo se aplica ao conselho de administração (em que o presidente atua na qualidade de responsável pelo tratamento), às câmaras de recurso no exercício das suas funções jurisdicionais (em que o respetivo presidente atua na qualidade de responsável pelo tratamento (51)) e ao comité restrito (em que o presidente atua na qualidade de responsável pelo tratamento (52)). O responsável pelo tratamento pode delegar esta competência em unidades operacionais, representadas por um membro da direção superior (53). Nesses casos, as unidades operacionais atuam como «responsáveis delegados pelo tratamento» (54) que definem a finalidade (por exemplo, motivo, fundamentação e necessidades operacionais) e os meios de uma operação de tratamento, e asseguram que todas as operações de tratamento que envolvam dados pessoais cumprem as regras das RPD (55). Nesses casos, o responsável pelo tratamento continua a ter a responsabilidade pelo tratamento dos dados pessoais. As RPD preveem também um cenário de «responsabilidade conjunta pelo tratamento», em que o responsável pelo tratamento determina a finalidade e os meios de tratamento juntamente com um ou mais responsáveis pelo tratamento fora da OEP (56).

(21)

A definição de «subcontratante» nas RPD é idêntica à do artigo 4.o, n.o 8, do Regulamento (UE) 2016/679, ou seja, uma pessoa singular ou coletiva, a autoridade pública, agência ou outro organismo que trate os dados pessoais por conta do responsável pelo tratamento destes (57). O responsável pelo tratamento só está autorizado a recorrer a subcontratantes que apresentem garantias suficientes de execução de medidas técnicas e organizativas adequadas para assegurar que o tratamento satisfaz os requisitos das RPD (58). A relação entre o responsável pelo tratamento e um subcontratante tem de ser regulada por um contrato ou ato normativo que vincule o subcontratante e que, nomeadamente, estabeleça o objeto, a duração, a natureza e a finalidade do tratamento (59). O subcontratante só está autorizado a tratar os dados mediante instruções documentadas do responsável pelo tratamento. O subcontratante é obrigado a prestar assistência ao responsável pelo tratamento no cumprimento das obrigações que lhe incumbem por força das RPD. O subcontratante está proibido de contratar subcontratantes ulteriores sem a autorização prévia do responsável pelo tratamento (60). Os responsáveis delegados pelo tratamento têm à sua disposição um acordo normalizado de tratamento de dados (61). Além disso, se um subcontratante estiver localizado num país terceiro, qualquer partilha de dados pessoais com esse subcontratante tem também de cumprir os requisitos das RPD em matéria de transferências internacionais, tal como descrito nos considerandos 68 a 73 da presente decisão (62).

(22)

Os dados pessoais devem ser objeto de um tratamento lícito e leal.

(23)

Esses princípios gerais estão estabelecidos no artigo 4.o, n.o 2, alínea a), das RPD de uma forma que pode ser considerada idêntica ao artigo 5.o, n.o 1, alínea a), do Regulamento (UE) 2016/679.

(24)

O princípio da licitude é desenvolvido no artigo 5.o das RPD, que refere as bases jurídicas com base nas quais os dados pessoais podem ser tratados. Essas bases jurídicas são a) a necessidade de desempenho de uma função no exercício das atividades oficiais da OEP (63) ou no exercício legítimo da autoridade pública de que está investido o responsável pelo tratamento, o que inclui o tratamento necessário à gestão e ao funcionamento do Instituto (64); b) a necessidade de conformidade com uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito (por exemplo, publicar as informações referidas num pedido de patente no Registo Europeu de Patentes) (65); c) a necessidade de executar um contrato no qual o titular dos dados seja parte ou para adotar medidas pré-contratuais a pedido do titular dos dados; d) o consentimento explícito do titular dos dados; ou e) a necessidade de defender interesses vitais do titular dos dados ou de outra pessoa singular.

(25)

O consentimento é definido nas RPD da mesma forma que no Regulamento (UE) 2016/679, ou seja, «uma manifestação de vontade, livre, específica, informada e explícita, pela qual o titular dos dados aceita, mediante declaração ou ato positivo inequívoco, que os dados pessoais que lhe dizem respeito sejam objeto de tratamento» (66). Cabe ao responsável pelo tratamento demonstrar que o titular dos dados deu o seu consentimento (67). Ao avaliar se o consentimento é dado livremente, há que verificar se a execução de um contrato está subordinada ao consentimento para o tratamento de dados que não é necessário para a execução desse contrato (68). Não pode considerar-se que o consentimento foi dado de livre vontade se o titular dos dados não dispuser de uma escolha verdadeira ou livre ou não puder recusar nem retirar o consentimento sem ser prejudicado (69). Além disso, para que o consentimento seja dado com conhecimento de causa, as RPD obrigam o titular dos dados a estar ciente, pelo menos, da identidade do responsável pelo tratamento e as finalidades a que o tratamento se destina (70). Por último, o titular dos dados tem o direito de retirar o seu consentimento a qualquer momento (71).

(26)

Devem existir garantias específicas aplicáveis ao tratamento de «categorias especiais» de dados.

(27)

As RPD contêm regras específicas no que respeita ao tratamento de categorias especiais de dados pessoais (72), que são definidas da mesma forma que no Regulamento (UE) 2016/679, ou seja, «dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, ou a filiação sindical, dados genéticos (73) ou dados biométricos (74) para identificar uma pessoa de forma inequívoca, dados relativos à saúde (75) ou dados relativos à vida sexual ou orientação sexual de uma pessoa» (76). Nos termos das RPD, o tratamento de categorias especiais de dados é, em princípio, proibido, a menos que se aplique uma exceção específica (77).

(28)

As exceções específicas previstas no artigo 11.o, n.o 2, das RPD são semelhantes às do artigo 9.o, n.os 2 e 3, do Regulamento (UE) 2016/679, com algumas adaptações ao quadro jurídico em que a OEP opera. O tratamento de categorias especiais de dados pessoais só é permitido em circunstâncias específicas e limitadas (78), ou seja, quando 1) o titular dos dados tiver dado o seu consentimento explícito; 2) o tratamento for necessário para proteger os interesses vitais de uma pessoa (no caso de o titular dos dados estar física ou legalmente incapacitado de dar o seu consentimento); 3) os dados pessoais tiverem sido manifestamente tornados públicos pelo seu titular; 4) o tratamento for necessário para uma finalidade específica relacionada com o exercício das atividades oficiais da OEP ou para o exercício da autoridade legítima de que está investido o responsável pelo tratamento (79); ou 5), o tratamento for necessário à declaração, ao exercício ou à defesa de um direito num processo judicial.

(29)

Para além das categorias especiais de dados pessoais referidas no considerando 27, as RPD exigem também proteções específicas para o tratamento de dados pessoais relativos a condenações penais e infrações, ou seja, só permitindo esse tratamento após consulta prévia do CPD ou quando o tratamento for exigido por um instrumento juridicamente vinculativo que preveja garantias adequadas para os direitos e liberdades das pessoas singulares (80).

(30)

Os dados pessoais devem ser recolhidos para uma finalidade específica e utilizados posteriormente apenas na medida em que essa utilização não seja incompatível com a finalidade do tratamento.

(31)

Este princípio é garantido pelo artigo 4.o, n.o 2, alínea b), das RPD, nos termos do qual os dados pessoais têm de ser «recolhidos para finalidades determinadas, explícitas e legítimas e não podendo ser tratados posteriormente de uma forma incompatível com essas finalidades».

(32)

À semelhança do Regulamento (UE) 2016/679, as RPD permitem o tratamento posterior (independentemente da compatibilidade da finalidade do tratamento posterior com a finalidade inicial) com base no consentimento explícito do titular dos dados ou nas disposições jurídicas aplicáveis da OEP (81). Neste último caso, as RPD exigem que o tratamento constitua uma medida necessária e proporcionada para salvaguardar um objetivo de interesse público geral (82).

(33)

Quando o tratamento posterior não se baseia nesses dois fundamentos, as RPD preveem os fatores a ter em conta na apreciação da compatibilidade da finalidade do tratamento posterior com a finalidade para a qual os dados pessoais foram inicialmente recolhidos (83). Esta abordagem e os fatores indicados nas RPD são idênticos aos previstos no artigo 6.o, n.o 4, do Regulamento (UE) 2016/679 e no artigo 6.o do Regulamento (UE) 2018/1725 (84).

(34)

Os dados pessoais devem ser exatos e, se necessário, atualizados. Devem também ser adequados, pertinentes e não excessivos relativamente às finalidades para que são tratados e, em princípio, não devem ser conservados por mais tempo do que o necessário para as finalidades para que são tratados.

(35)

Estes princípios estão estabelecidos no artigo 4.o, n.o 2, alíneas c), d) e e), das RPD da mesma forma que no Regulamento (UE) 2016/679.

(36)

Além disso, os dados pessoais devem ser tratados de uma forma que garanta a sua segurança, incluindo proteção contra tratamento não autorizado ou ilícito e contra perda, destruição ou danos acidentais. Para este fim, os operadores comerciais devem tomar as medidas técnicas e organizativas adequadas para proteger os dados pessoais contra eventuais ameaças. Essas medidas devem ser avaliadas, tendo em consideração o estado atual dos conhecimentos e os custos conexos.

(37)

A segurança dos dados está consagrada no quadro jurídico da OEP através do princípio da integridade e da confidencialidade estabelecido no artigo 4.o, n.o 2, alínea f), e no artigo 33.o das RPD, de forma quase idêntica à do Regulamento (UE) 2016/679. Em especial, as RPD exigem que seja assegurado um nível de segurança adequado ao risco através de medidas técnicas e organizativas adequadas, tendo em conta as técnicas mais avançadas, os custos de aplicação e a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como a probabilidade e gravidade variáveis de quaisquer riscos para os direitos e liberdades das pessoas singulares.

(38)

Além disso, as RPD contêm requisitos específicos sobre o tratamento e a notificação de uma violação de dados (85). Em primeiro lugar, o responsável pelo tratamento é obrigado a notificar o EPD de uma violação de dados sem demora injustificada (e, sempre que possível, no prazo de 72 horas após ter tido conhecimento da mesma), a menos que essa violação não seja suscetível de resultar num risco para os direitos e liberdades das pessoas singulares (86). Do mesmo modo, um subcontratante é obrigado a notificar o responsável pelo tratamento de uma violação sem demora injustificada (87). A notificação deve, em especial, descrever a natureza da violação, as suas consequências prováveis e as medidas adotadas ou propostas para a reparar (88). Se a violação dos dados for suscetível de implicar um elevado risco para os direitos e liberdades de indivíduos, o responsável pelo tratamento tem também de comunicar a violação de dados pessoais ao titular dos dados sem demora (89). A comunicação ao titular dos dados tem de descrever a natureza da violação dos dados pessoais numa linguagem clara e simples (90) e não é necessária se o responsável pelo tratamento tiver tomado medidas subsequentes que assegurem que o elevado risco para os direitos e liberdades dos titulares dos dados já não é suscetível de se concretizar (91).

(39)

Os titulares dos dados devem ser informados sobre as principais características do tratamento dos respetivos dados pessoais.

(40)

De acordo com as RPD, aquando da recolha de dados pessoais, o responsável pelo tratamento é obrigado a facultar informações às pessoas singulares, nomeadamente, sobre a sua identidade e contactos (bem como os contactos do EPD), a finalidade do tratamento e o seu fundamento jurídico, os destinatários ou categorias de destinatários, o facto de tencionar transferir os dados para fora da OEP, bem como os direitos aplicáveis e a possibilidade de obter reparação (92). O mesmo se aplica quando os dados pessoais são tratados para um fim que não aquele para o qual foram recolhidos (93). Ambas as obrigações só se aplicam na medida em que a pessoa em causa não disponha ainda dessas informações (94).

(41)

As mesmas informações têm de ser facultadas aos titulares dos dados quando os dados pessoais não são recolhidos diretamente deles, juntamente com informações adicionais sobre a fonte dos dados pessoais e as categorias de dados em causa (95). Essas informações têm de ser comunicadas num prazo razoável após a obtenção dos dados (mas o mais tardar no prazo de um mês), tendo em conta as circunstâncias específicas em que estes forem tratados (96). Se os dados pessoais se destinarem a ser utilizados para fins de comunicação com o titular dos dados, as mesmas informações devem ser facultadas o mais tardar no momento da primeira comunicação com a pessoa singular (97). As informações referidas no considerando 40 também têm de ser fornecidas antes de qualquer tratamento posterior ou, se estiver prevista a sua divulgação a outro destinatário, o mais tardar aquando da divulgação dos dados pessoais a terceiros (98). Esta obrigação não se aplica em vários casos, nomeadamente quando o titular dos dados já tiver conhecimento das informações em causa; quando essas informações devam permanecer confidenciais devido a uma obrigação de sigilo profissional regulamentada com base na CPE e/ou noutras disposições jurídicas aplicáveis à OEP (99); quando se comprove a impossibilidade de disponibilizar a informação, ou que o esforço envolvido seja desproporcionado, nomeadamente para o tratamento para fins de arquivo, de investigação científica ou histórica ou para fins estatísticos, e na medida em que tal seja suscetível de tornar impossível ou prejudicar gravemente a obtenção dos objetivos desse tratamento; ou quando a obtenção ou divulgação dessas informações esteja expressamente prevista na CPE ou noutras disposições jurídicas aplicáveis que prevejam medidas adequadas para proteger os interesses legítimos do titular dos dados (100).

(42)

Os titulares dos dados devem ter determinados direitos que podem ser exercidos contra o responsável pelo tratamento ou subcontratante, nomeadamente o direito de acesso aos dados, o direito de retificação, o direito de oposição ao tratamento e o direito de apagamento dos dados. Ao mesmo tempo, tais direitos podem estar sujeitos a limitações, na medida em que estas sejam necessárias e proporcionadas para assegurar objetivos importantes do interesse público geral.

(43)

A necessidade de facilitar o exercício dos direitos individuais está prevista no artigo 1.o-B, n.o 4, do estatuto dos funcionários. Para reforçar a aplicação deste requisito, as RPD conferem às pessoas singulares os mesmos direitos que os previstos no Regulamento (UE) 2016/679, nomeadamente, o direito de acesso (artigo 18.o das RPD), o direito de retificação (artigo 19.o das RPD), o direito ao apagamento (artigo 20.o das RPD), o direito à limitação do tratamento (artigo 21.o das RPD), o direito de portabilidade dos dados (artigo 22.o das RPD), o direito de oposição (artigo 23.o das RPD) e o direito de não ser sujeito a decisões automatizadas (artigo 24.o das RPD).

(44)

As RPD também estabelecem disposições gerais para o tratamento dos pedidos de exercício de direitos apresentados por pessoas singulares, exigindo que o responsável pelo tratamento comunique com os titulares dos dados utilizando uma linguagem clara e simples, de forma concisa, transparente, inteligível e de fácil acesso (por escrito ou por outros meios) (101). O responsável pelo tratamento tem de fornecer às pessoas singulares informações sobre as medidas tomadas em resposta a um pedido sem demora injustificada e, em qualquer caso, no prazo de um mês a contar da receção do pedido (que pode ser prorrogado por mais dois meses, se necessário, tendo em conta a complexidade e o número de pedidos) (102). Caso os pedidos apresentados por um titular de dados sejam manifestamente infundados ou excessivos, nomeadamente devido ao seu caráter recorrente, o responsável pelo tratamento pode recusar dar-lhes seguimento (103). Se o responsável pelo tratamento não der seguimento a um pedido, tem de informar a pessoa em causa e facultar informações sobre a possibilidade de recurso (104).

(45)

Em primeiro lugar, no que diz respeito ao direito de acesso, as RPD conferem às pessoas singulares o direito de obterem da OEP a confirmação do facto de estarem ou não a ser tratados dados pessoais que lhe digam respeito, e, em caso afirmativo, o direito de aceder aos dados pessoais com facilidade (105) e a intervalos razoáveis (106). Além disso, as pessoas singulares têm o direito de obter informações, em particular, sobre a finalidade do tratamento, as categorias dos dados em questão, os destinatários com os quais os dados são partilhados, e o prazo previsto para a sua conservação (107).

(46)

Em segundo lugar, as RPD preveem que o direito de retificação nelas previsto permita que as pessoas singulares obtenham a retificação de dados inexatos ou que os seus dados incompletos sejam completados (por exemplo, por meio de uma declaração adicional (108)). Uma vez efetuada a retificação, o responsável pelo tratamento é obrigado a comunicá-la a cada destinatário a quem os dados pessoais tenham sido divulgados (109). Nos termos das RPD, o direito de retificação aplica-se a dados objetivos e factuais e não a declarações subjetivas (110), embora, neste caso, as pessoas singulares possam complementar os dados existentes com um segundo parecer ou contraperitagem ou apresentar observações (111).

(47)

Em terceiro lugar, as RPD também conferem às pessoas singulares o direito ao apagamento dos dados (112), em especial se a) os dados pessoais deixarem de ser necessários para a finalidade que motivou o seu tratamento; b) o titular dos dados retirar o consentimento e não houver outro fundamento jurídico para o tratamento; c) o titular dos dados se opuser ao tratamento e não houver interesses legítimos prevalecentes que justifiquem o tratamento; d) os dados tiverem sido tratados ilicitamente; e) ou se os dados tiverem de ser apagados para cumprir uma obrigação jurídica aplicável ao responsável pelo tratamento (113). O responsável pelo tratamento tem de comunicar qualquer apagamento dos dados a cada destinatário com o qual estes tenham sido partilhados, salvo se tal comunicação se revelar impossível ou implicar um esforço desproporcionado (114). Do mesmo modo, se o responsável pelo tratamento tiver tornado públicos os dados pessoais, tem de tomar as medidas que forem razoáveis para informar outros responsáveis pelo tratamento de que o apagamento foi solicitado pela pessoa singular (115). O direito ao apagamento dos dados não se aplica aos seguintes cenários, na medida em que o tratamento dos dados se revele necessário a) ao exercício da liberdade de expressão e de informação; b) ao cumprimento de uma obrigação legal da OEP ou de uma obrigação decorrente do dever de cooperação da OEP com os seus Estados contratantes (116) ou ao exercício da autoridade pública de que esteja investida a OEP (117); c) por motivos de cooperação com os Estados contratantes no domínio da saúde pública (118); d) para fins de arquivo, de investigação científica ou histórica e para fins estatísticos (na medida em que o apagamento seja suscetível de tornar impossível ou prejudicar gravemente a obtenção dos objetivos do tratamento); ou e) para efeitos de declaração, exercício ou defesa de um direito num processo judicial (119).

(48)

Em quarto lugar, o artigo 21.o das RPD prevê um direito à limitação do tratamento, ou seja, a inserção de uma marca nos dados pessoais conservados com o objetivo de limitar o seu tratamento no futuro (incluindo medidas de programação destinadas a impedir de forma permanente o acesso a esses dados) (120). Esse direito pode ser invocado, em especial, quando a exatidão dos dados pessoais é contestada pela pessoa singular (durante um período que permita ao responsável pelo tratamento verificar a sua exatidão) ou quando o tratamento é ilícito, mas a pessoa se opõe ao apagamento dos dados (121). Quando o tratamento tiver sido limitado, os dados pessoais só podem, à exceção da conservação, ser objeto de tratamento com o consentimento explícito do titular, para efeitos de declaração, exercício ou defesa de um direito num processo judicial, de defesa dos direitos de terceiros ou para o desempenho de uma função levada a cabo no exercício das atividades oficiais da OEP (ou seja, uma função necessária ao trabalho administrativo e técnico que a OEP tem de realizar em conformidade com a CPE) (122).

(49)

Em quinto lugar, o direito de oposição está previsto no artigo 1.o-B, n.o 4, do estatuto dos funcionários e no artigo 23.o das RPD. Em particular, as pessoas singulares têm o direito de se opor, a qualquer momento, ao tratamento de dados pessoais efetuado para o desempenho de uma função levada a cabo no exercício das atividades oficiais da OEP ou no exercício legítimo da autoridade pública de que está investido o responsável pelo tratamento (123). As pessoas singulares têm de ser informadas da existência desse direito de forma clara e, o mais tardar, no momento da primeira comunicação com elas (124). Caso uma pessoa singular se oponha ao tratamento dos dados pessoais, as RPD exigem que o responsável pelo tratamento cesse esse tratamento, a não ser que possa apresentar razões imperiosas e legítimas para esse tratamento que prevaleçam sobre os interesses, direitos e liberdades do titular dos dados, ou para efeitos de declaração, exercício ou defesa de um direito num processo judicial (125).

(50)

Em sexto lugar, as RPD estabelecem o direito de portabilidade dos dados, dando às pessoas singulares a possibilidade de receberem os seus dados pessoais num formato estruturado, de uso corrente e de leitura automática, e de transmitirem esses dados a outro responsável pelo tratamento (126). Esse direito aplica-se se o tratamento for efetuado por meios automatizados e tem lugar com base no consentimento da pessoa singular, ou para a execução de um contrato com essa pessoa ou no seu interesse (127).

(51)

Por último, nos termos das RPD, as pessoas singulares têm o direito de não ficarem sujeitas a decisões automatizadas, ou seja, uma decisão tomada exclusivamente com base no tratamento automatizado, incluindo a definição de perfis, que produza efeitos na sua esfera jurídica ou que as afete significativamente de forma similar (128). As RPD estabelecem que as decisões automatizadas podem ter lugar se forem baseadas no consentimento explícito do titular dos dados ou se forem necessárias para a celebração ou a execução de um contrato com o mesmo, caso em que o responsável pelo tratamento tem de aplicar garantias adequadas, como o direito de obter intervenção humana, de o titular dos dados manifestar o seu ponto de vista e contestar a decisão (129). As decisões automatizadas também podem ser autorizadas por um ato jurídico se esse ato previr medidas adequadas para salvaguardar os direitos das pessoas singulares (130). Se o responsável pelo tratamento tomar decisões automatizadas, incluindo a definição de perfis, tem de informar proativamente a pessoa singular em causa do facto, no âmbito das suas obrigações de transparência, e fornecer informações úteis relativas à lógica subjacente, bem como à importância e às consequências previstas de tal tratamento para o titular dos dados (131). As mesmas informações devem ser fornecidas mediante pedido (132).

(52)

À semelhança do artigo 23.o do Regulamento (UE) 2016/679 e do artigo 25.o do Regulamento (UE) 2018/1725, o artigo 25.o das RPD prevê que disposições jurídicas específicas do quadro jurídico da OEP podem limitar a aplicação dos direitos referidos nos considerandos 43 a 51 (133) (ou seja, limitar temporariamente a sua aplicação) (134), desde que tal limitação respeite a essência dos direitos (135) e liberdades fundamentais e constitua uma medida necessária e proporcionada numa sociedade democrática para assegurar objetivos específicos (136). Além disso, uma limitação tem de estar prevista em disposições «claras e precisas» destinadas a produzir efeitos jurídicos em relação aos titulares dos dados, que têm de ser adotadas, pelo menos, ao nível do presidente (137). Em especial, tais disposições têm de estabelecer a finalidade do tratamento, o alcance da limitação, as garantias para evitar abusos e os prazos de conservação e as garantias aplicáveis (138).

(53)

Atualmente, o único instrumento jurídico que prevê limitações aos direitos individuais é a Circular 420 (um instrumento juridicamente vinculativo adotado pelo presidente), que clarifica como e em que condições as limitações podem ser aplicadas pelo responsável pelo tratamento e estabelece, de forma exaustiva, os cenários específicos em que os direitos podem ser limitados e para que objetivos (139). Em especial, prevê que a OEP pode limitar os direitos individuais para determinados objetivos específicos: a) e b) ao conduzir processos de inquérito ou disciplinares relativamente ao seu pessoal (140); c) no contexto da resolução interna de litígios ou da declaração, do exercício ou da defesa de um direito num processo judicial, incluindo a arbitragem, com vista a preservar informações e documentos confidenciais obtidos das partes, de intervenientes ou de outras fontes legítimas; d) ao tratar dados de saúde em procedimentos e processos médicos, mas apenas para proteger os direitos das pessoas singulares (141); e) e f) ao realizar auditorias internas e inspeções (estas últimas são conduzidas pelo EPD); g) para efeitos de gestão de incidentes informáticos e de relatórios de incidentes de segurança física; e h) ao prestar ou receber assistência de autoridades públicas competentes, nomeadamente de Estados contratantes da OEP e de organizações internacionais, ou ao cooperar com elas em atividades definidas em acordos de nível de serviço, memorandos de entendimento e acordos de cooperação aplicáveis, quer a seu pedido, quer por iniciativa do Instituto (142).

(54)

A questão de saber se uma limitação pode ou não ser aplicada num caso específico deve ser determinada pelo responsável pelo tratamento em casos individuais à luz das circunstâncias pertinentes (143). Ao decidir se deve ou não aplicar uma limitação, em primeiro lugar, o responsável pelo tratamento tem de avaliar a sua necessidade e proporcionalidade no caso específico, com a participação do EPD (144). Essa avaliação implica ponderar os riscos potenciais para os direitos e liberdades do titular dos dados face aos riscos e liberdades de outros titulares de dados e aos riscos de prejudicar a finalidade e o resultado da operação de tratamento (145). As limitações têm de ser documentadas, nomeadamente através do registo da avaliação dos direitos limitados, da duração e das razões da limitação, bem como dos seus fundamentos jurídicos (146). Além disso, enquanto uma limitação for aplicável, é necessário tomar medidas técnicas e organizativas adequadas (147). Qualquer limitação só pode ser aplicada enquanto existirem os motivos para a mesma (148). Se um direito for limitado, o responsável pelo tratamento tem de informar a pessoa singular dos principais motivos para tal e do direito de apresentar uma reclamação (149).

(55)

As disposições do tratado constitutivo da OEP (ou seja, a CPE), do PCT, e as disposições aplicáveis por força dos mesmos (constituindo, em conjunto, a legislação primária para a OEP) contêm determinados requisitos específicos no contexto do processo de concessão de patentes que podem afetar o exercício de determinados direitos nos termos das RPD (150). A Decisão PCP apresenta uma panorâmica dos requisitos dessa legislação primária, explica a forma como os direitos dos titulares dos dados podem ser exercidos nesse contexto, e estabelece claramente possíveis exceções (151). A Circular 420 estabelece que as disposições que podem limitar a aplicação dos direitos em matéria de proteção de dados têm de identificar claramente o âmbito de aplicação de qualquer isenção e, por conseguinte, ponderar os diferentes interesses em jogo (152).

(56)

Em primeiro lugar, nos termos do artigo 127.o da CPE, o Instituto é obrigado a manter o Registo Europeu de Patentes, onde são publicados determinados dados pessoais legalmente definidos. De acordo com a legislação primária, os pedidos de patente têm de ser publicados durante o processo de concessão de patentes, em geral, logo que possível após a expiração de um prazo de 18 meses a contar da data do depósito. A CPE prevê que os dados pessoais incluídos nesses pedidos de patente podem ser acedidos através de uma inspeção pública ou do registo (153). Antes da publicação, os pedidos de patente não estão disponíveis para inspeção sem o consentimento explícito do requerente. O PCT estabelece regras semelhantes (154).

(57)

Em segundo lugar, a possibilidade de obter alterações das informações utilizadas no contexto de um processo de concessão de patentes é especificamente regulada pela CPE (155). Em especial, a CPE prevê apenas a possibilidade de obter a correção de erros nos documentos apresentados à OEP (156), a correção de erros nas decisões (157), a correção de traduções (158) e a retificação da designação do inventor (159). Por conseguinte, a retificação dos dados pessoais incluídos nos documentos utilizados no processo de concessão de patentes só pode ser obtida nesses casos. O mesmo se aplica à possibilidade de obter uma limitação do tratamento de dados (160).

(58)

Em terceiro lugar, a CPE impõe requisitos específicos de conservação e de publicação para determinados documentos utilizados no processo de concessão de patentes, que têm impacto na possibilidade de obter o apagamento das informações neles contidas, incluindo os dados pessoais (161). Em especial, os pedidos de patentes publicados e as informações sobre patentes publicadas no Boletim Europeu de Patentes têm de ser conservados e mantidos à disposição do público (162). Consequentemente, o apagamento dos dados pessoais contidos nesses documentos seria contrário às obrigações jurídicas fundamentais da OEP (artigo 129.o, alínea a), da CPE) e não pode ser obtido. Os outros dossiês têm de ser conservados pela OEP durante um período especificado na CPE, que é, em princípio, de cinco anos (163). Enquanto esse prazo for aplicável, não é possível obter o apagamento das informações contidas nesses dossiês (incluindo dados pessoais).

(59)

Por conseguinte, tendo em conta, em especial, o seu âmbito de aplicação limitado e as condições para a sua aplicação, as limitações ao exercício dos direitos decorrentes das disposições referidas nos considerandos 55 a 58 podem ser consideradas limitadas ao que é necessário e proporcionado para assegurar o correto funcionamento do processo de concessão de patentes, tal como exigido no interesse público para o cumprimento das funções oficiais da OEP. Na medida em que a CPE e o PCT não regulamentam especificamente o exercício dos direitos em matéria de proteção de dados, ou seja, em todos os outros cenários que não os descritos nos considerandos 55 a 58, os requisitos das RPD são plenamente aplicáveis.

(60)

O nível de proteção conferido aos dados pessoais transferidos da União para a OEP não pode ser prejudicado pela transferência subsequente desses dados para destinatários num país terceiro ou noutra organização internacional.

(61)

As RPD distinguem entre «transmissões de dados pessoais» (ou seja, a partilha de dados pela OEP com os seus Estados contratantes) e «transferências de dados pessoais» (a partilha de dados pela OEP com qualquer outra pessoa ou entidade exterior à OEP) (164).

(62)

Em primeiro lugar, as RPD preveem que a transmissão de dados a um instituto nacional de propriedade intelectual de um Estado contratante da OEP pode ocorrer se os dados forem necessários para a) o exercício da competência ou o exercício da autoridade pública do destinatário e b) a transmissão for necessária para o exercício das funções/autoridade oficiais da OEP (165). Essas transmissões ocorrem no âmbito do processo de concessão de patentes previsto na CPE e no PCT (166).

(63)

Em segundo lugar, as RPD permitem a transmissão de dados a uma autoridade pública de um Estado contratante da OEP (167), sempre que os dados sejam necessários para o desempenho das funções dessa autoridade pública e a transmissão seja compatível com as funções e o funcionamento da OEP (168). Essas transmissões não são especificamente exigidas pela CPE ou por outros instrumentos jurídicos que regem o processo de concessão de patentes, mas podem ainda ser necessárias para o desempenho das funções da OEP, por exemplo, a sua cooperação com os seus Estados contratantes através de processos de consulta; a disponibilização e o destacamento de peritos; ou a prestação de informações sobre o pessoal da OEP para efeitos de determinação de prestações sociais, de requisitos fiscais, etc.

(64)

O EPD elaborou cláusulas-modelo a incluir nos memorandos de entendimento que regem essas transmissões, descritas nos considerandos 62 e 63, que, entre outros aspetos, preveem princípios em matéria de proteção de dados, limitam o tratamento posterior apenas para finalidades compatíveis, preveem direitos dos titulares dos dados, bem como obrigações em matéria de segurança e violação de dados e controlo independente (169).

(65)

Em ambos os cenários descritos nos considerando 62 e 63, nos termos das RPD, o destinatário tem de apresentar provas de que é necessário transmitir os dados para uma finalidade específica decorrente das obrigações de cooperação da OEP com o Estado ou Estados contratantes (170). Para cada transmissão, o responsável pelo tratamento tem de poder demonstrar que essa transmissão é necessária e proporcionada à finalidade específica para a qual é realizada (171). Qualquer transmissão de dados deve ser efetuada de forma a assegurar a manutenção do nível de proteção proporcionado pelas RPD (172). De acordo com as orientações emitidas pelo EPD, tal significa ter garantias adequadas, o que inclui assegurar que os dados a partilhar têm de ser minimizados e limitados ao que é adequado, pertinente e estritamente necessário para alcançar essa finalidade (173). Se houver motivos para presumir que os interesses legítimos da pessoa em causa podem ser afetados, o responsável pelo tratamento tem de estabelecer que é proporcionado transmitir os dados pessoais para essa finalidade específica, após ter ponderado os diferentes interesses em causa (174).

(66)

No que respeita a esses dois cenários, importa igualmente salientar que todos os Estados contratantes da OEP são partes na Convenção Europeia para a Proteção dos Direitos Humanos e das Liberdades Fundamentais, sob a jurisdição do Tribunal Europeu dos Direitos Humanos, bem como na Convenção do Conselho da Europa para a Proteção das Pessoas relativamente ao Tratamento Automatizado de Dados de Caráter Pessoal (STE n.o 108).

(67)

Por último, as RPD permitem as transmissões de dados a um subcontratante localizado no Espaço Económico Europeu (EEE), desde que seja assegurado o cumprimento dos requisitos estabelecidos nas RPD para o envolvimento de subcontratantes (175).

(68)

A partilha de dados pessoais com qualquer entidade fora da OEP que não seja uma autoridade pública ou um instituto nacional de propriedade intelectual dos Estados contratantes da OEP, ou um subcontratante no EEE, é considerada uma «transferência» de dados pessoais, sujeita a requisitos específicos nos termos das RPD (176). Esses requisitos aplicam-se, por exemplo, à partilha de dados com subcontratantes fora do EEE, responsáveis pelo tratamento situados dentro ou fora de Estados contratantes, autoridades públicas de Estados não Contratantes e outras organizações internacionais. Em geral, as RPD exigem que o nível de proteção garantido às pessoas singulares pela OEP não seja comprometido se os dados forem transferidos para terceiros (177). De acordo com as orientações do EPD, a «proteção concedida aos dados pessoais transferidos no país terceiro ou na organização internacional tem de ser essencialmente equivalente à garantida pelas RPD» (178).

(69)

Nos termos das RPD, uma transferência de dados pessoais para fora da OEP pode, em primeiro lugar, ocorrer se o país onde o destinatário está localizado, ou a organização internacional, assegurar um nível de proteção adequado e se a transferência for efetuada exclusivamente para permitir que a OEP desempenhe funções no âmbito das suas competências (179). Uma decisão de adequação é adotada pelo presidente (180), que, em caso de dúvida, decide após consultar o EPD e o CPD (181). O EPD desenvolveu um «referencial de adequação» que define os critérios para as decisões de adequação (182). Em especial, o quadro jurídico do país terceiro ou da organização internacional deve, em especial, prever princípios fundamentais de proteção de dados, direitos dos titulares dos dados, regras em matéria de transferências ulteriores, mecanismos processuais e de execução e vias de recurso para as pessoas singulares. Se o presidente adotar uma decisão de adequação, a transferência pode ter lugar sem a aplicação de garantias adicionais (183). Os Estados-Membros, bem como a Noruega, a Islândia, o Listenstaine, todos os países que beneficiam de uma decisão de adequação da Comissão (184) e as instituições e organismos da União são atualmente considerados pela OEP como proporcionando um nível de proteção adequado (185).

(70)

Nos termos das RPD, na ausência de uma decisão de adequação, o responsável pelo tratamento ou o subcontratante só pode transferir dados pessoais para destinatários fora da OEP se tiver apresentado garantias adequadas, e na condição de os titulares dos dados gozarem de direitos oponíveis e de medidas jurídicas corretivas eficazes (186). Essas garantias adequadas podem ser incluídas em acordos administrativos com autoridades públicas ou organizações internacionais, em cláusulas contratuais (após consulta do CPD) (187) ou em procedimentos de certificação (188). O EPD elaborou uma panorâmica das disposições a incluir nos acordos administrativos (189). Está também disponível um modelo de acordo de proteção de dados para as transferências para subcontratantes (190). De acordo com as orientações do EPD, a OEP tem de avaliar se o importador de dados seria impedido de cumprir as suas obrigações ao abrigo de um instrumento de transferência devido ao quadro jurídico a que está sujeito e, se necessário, implementar medidas suplementares (191). Para realizar essa avaliação, o EPD recomenda, nas notas explicativas da OEP sobre a transmissão e transferência de dados pessoais, que se tenham em conta as orientações pertinentes do CEPD e da Autoridade Europeia para a Proteção de Dados (192).

(71)

Nos termos das RPD, para as transferências de dados para países ou organizações que beneficiem de uma decisão de adequação, bem como para as transferências de dados com base em garantias adequadas, a OEP tem de demonstrar a necessidade e a proporcionalidade de cada transferência para a finalidade do tratamento (193). Além disso, tem de estabelecer, após ponderar os diferentes interesses em jogo, que a transferência é proporcionada, caso existam motivos para considerar que os interesses legítimos dos titulares dos dados podem ser prejudicados (194). Deve também assegurar-se (através de garantias contratuais) que o destinatário só pode tratar ou utilizar os dados para os fins para os quais foram transferidos e apagá-los assim que a finalidade tenha sido alcançada (195).

(72)

Nos termos das RPD, na ausência de uma decisão de adequação ou de garantias adequadas, a transferência de dados pessoais para fora da OEP é permitida «apenas a título excecional» se for aplicável uma «derrogação» em condições semelhantes às previstas nas disposições correspondentes do direito da União em matéria de proteção de dados (196). É o caso quando a) o titular dos dados tiver explicitamente dado o seu consentimento à transferência (197); b) e c) a transferência é ocasional e necessária para a execução de um contrato com o titular dos dados ou no seu interesse (ou para a execução de diligências prévias à formação do contrato decididas a pedido do titular dos dados) (198); d) a transferência é necessária ao exercício de uma função abrangida pelas atividades oficiais da OEP ou ao exercício legítimo da autoridade pública de que está investido o responsável pelo tratamento (199); e) a transferência é ocasional e necessária à declaração, ao exercício ou à defesa de um direito num processo judicial (200); f) a transferência é necessária para proteger os interesses vitais de uma pessoa singular, se o titular dos dados estiver física ou legalmente incapaz de dar o seu consentimento (201); ou g) a transferência é realizada a partir de um registo público que, nos termos de disposições legislativas ou regulamentares, se destine à informação do público e se encontre aberto à consulta pelo público em geral ou por qualquer pessoa que possa provar um interesse legítimo, desde que as condições estabelecidas na lei para a consulta sejam cumpridas no caso concreto (202). Por natureza, e de acordo com as orientações do EPD, essas derrogações não podem ser invocadas para transferências sistemáticas e regulares (203).

(73)

Por último, no que respeita às transferências de categorias específicas de dados para países ou organizações que não beneficiem de uma decisão de adequação, o presidente pode limitar ainda mais essas transferências por motivos importantes relacionados com o exercício legítimo da autoridade pública de que o Instituto está investido (204). Até à data, o presidente ainda não fez uso dessas competências.

(74)

De acordo com o princípio da responsabilização, as entidades responsáveis pelo tratamento de dados são obrigadas a aplicar medidas técnicas e organizativas adequadas para cumprir as suas obrigações de proteção dos dados de forma eficaz e poder demonstrar esse cumprimento, em particular junto da autoridade de controlo competente.

(75)

O artigo 4.o, n.o 1, das RPD estabelece um princípio geral da responsabilização, tornando claro que o responsável pelo tratamento é responsável pelo cumprimento das RPD e tem de poder demonstrá-lo. Em particular, o responsável pelo tratamento tem de aplicar medidas técnicas e organizativas adequadas para assegurar e poder comprovar o cumprimento, tendo em conta a natureza, o âmbito, o contexto e as finalidades do tratamento dos dados, bem como os riscos para os direitos e liberdades das pessoas singulares, cuja probabilidade e gravidade podem ser variáveis (205). A este respeito, as RPD também aplicam os princípios da privacidade desde a conceção e por defeito, exigindo que o responsável pelo tratamento aplique medidas concebidas para aplicar os princípios da proteção de dados e garantir o cumprimento das RPD, bem como para assegurar que, por defeito, só sejam tratados os dados pessoais que forem necessários para cada finalidade específica do tratamento (206).

(76)

O responsável pelo tratamento e os subcontratantes têm de conservar um registo de todas as atividades de tratamento que contenha, nomeadamente, informações sobre a finalidade do tratamento, as categorias de dados tratados, as categorias de destinatários a quem os dados são divulgados e quaisquer transferências de dados pessoais (207). Esses registos são, em princípio, acessíveis ao público (a menos que contenham informações confidenciais) e incluídos num registo de proteção de dados acessível ao público, devendo ser disponibilizados ao CPD mediante pedido (208). Cada unidade operacional tem também de designar pelo menos um coordenador da proteção de dados (por um mandato renovável de um a três anos), que deve seguir uma formação obrigatória em matéria de proteção de dados e ajudar o responsável pelo tratamento no cumprimento das suas obrigações (209).

(77)

Por último, as RPD preveem diferentes instrumentos que podem ajudar o responsável pelo tratamento e os subcontratantes nos seus trabalhos de cumprimento. Por exemplo, nos termos das RPD, a adesão a procedimentos de certificação aprovados pode servir de prova do cumprimento das obrigações das RPD (210). Além disso, em determinadas condições, as RPD exigem a realização de uma avaliação de impacto sobre a proteção de dados ou uma consulta prévia do EPD e do CPD. É necessária uma avaliação de impacto sobre a proteção de dados sempre que um tipo de tratamento seja suscetível de implicar um elevado risco para os direitos e liberdades de uma pessoa singular (211). Este procedimento é necessário, por exemplo, quando existe uma avaliação sistemática e completa de aspetos pessoais, com base na qual são adotadas decisões automatizadas, ou quando há operações de tratamento em grande escala de categorias especiais de dados (212). Se uma avaliação de impacto indicar que o tratamento resultaria num elevado risco para os direitos e liberdades das pessoas singulares e que o risco não pode ser atenuado por medidas de segurança razoáveis, o responsável pelo tratamento tem de consultar o CPD (213). Este tem de emitir orientações por escrito se considerar que o tratamento previsto violaria o disposto nas RPD (214). De um modo mais geral, o responsável pelo tratamento é obrigado a consultar o EPD aquando da elaboração de regras ou documentos operacionais sobre a aplicação de limitações aos direitos individuais (215).

(78)

Por forma a assegurar que seja garantido na prática um nível adequado de proteção dos dados, deve ser criada uma autoridade de controlo independente incumbida de supervisionar e aplicar coercivamente as normas em matéria de proteção de dados. Essa autoridade deve atuar com total independência e imparcialidade no cumprimento das suas obrigações e no exercício das respetivas competências.

(79)

O quadro jurídico da OEP confia o controlo do seu cumprimento das regras de proteção de dados a dois organismos: o EPD e o CPD. Ambos são criados pelo artigo 32.o-A do estatuto dos funcionários, ao passo que o seu estatuto e competências são especificados com mais pormenor nas RPD (216). As funções destes organismos são complementares e envolvem a cooperação, embora cada um continue a ser independente nas respetivas funções.

(80)

Nos termos do estatuto dos funcionários, o EPD e o CPD atuam de forma totalmente independente de qualquer ingerência interna ou externa no desempenho das suas funções e no exercício das suas competências (217). Este princípio é complementado por diferentes garantias adicionais que asseguram a sua independência.

(81)

O EPD e os seus suplentes são nomeados pelo presidente com base nas suas qualificações profissionais e, em particular, nos seus conhecimentos especializados da legislação e das práticas em matéria de proteção de dados (218). O EPD é nomeado para um mandato renovável de três a cinco anos. O CPD deve ser consultado antes de qualquer proposta de destituição ou despedimento do EPD das suas funções (219). Essa consulta prévia antes da destituição ou do despedimento do EPD destina-se a assegurar um controlo e revisão adicionais em caso de proposta de destituição ou despedimento. Essa destituição ou despedimento podem ser invocados por um dos seguintes motivos (220): se o EPD deixar de preencher as condições exigidas para o exercício das suas funções (221); por incompetência profissional (222); ou em resultado de medidas disciplinares (223). As RPD também estabelecem que o EPD não pode ser despedido ou penalizado pelo desempenho das suas funções e não pode receber quaisquer instruções (224). Tem de participar em todas as questões relacionadas com a proteção de dados pessoais e emitir relatórios anuais de atividades ao presidente e ao conselho de administração (225). O Instituto tem de fornecer ao EPD os recursos necessários ao desempenho das suas funções (226).

(82)

O CPD é composto por três peritos externos no domínio da proteção de dados, a saber, um presidente e dois outros membros (227), bem como um membro suplente, nomeados pelo presidente da OEP por um mandato renovável de três anos (228). Os membros do CPD têm de possuir as qualificações necessárias para o exercício de funções jurisdicionais ou ser profissionais da proteção de dados com conhecimentos e experiência comprovados no domínio da legislação em matéria de proteção de dados adquiridos a nível nacional ou internacional. Não podem ser funcionários da OEP nem ter estado ao seu serviço nos últimos 10 anos (229). Nos termos do artigo 48.o, n.o 6, das RPD, os membros do CPD exercem as suas funções com total independência. Em especial, não podem solicitar instruções ao Instituto ou ao conselho de administração e não podem ficar vinculados por essas instruções. O regulamento interno do CPD prevê também que este tem de agir com imparcialidade e total independência no exercício das suas funções (230). Além disso, os membros do CPD só podem ser demitidos do seu posto pela OEP por justa causa (231). Os membros do CPD estão sujeitos a uma obrigação de confidencialidade (232) e têm de se abster de agir num caso em que tenham um conflito de interesses, nomeadamente um interesse pessoal (233). A OEP é obrigada a apoiar o CPD no desempenho das suas funções, fornecendo-lhe os recursos necessários, bem como apoio jurídico e administrativo (através de um secretariado e facultando-lhe acesso a dados pessoais e a operações de tratamento) (234).

(83)

O EPD tem como atribuições, entre outras, as seguintes: informar o responsável pelo tratamento ou os subcontratantes das suas obrigações e aconselhá-los em conformidade; sensibilizar e formar o pessoal envolvido nas operações de tratamento; garantir que os titulares dos dados são informados dos direitos que lhes são conferidos pelas RPD; e supervisionar, de forma independente, a aplicação interna e o cumprimento das RPD, bem como de outras disposições jurídicas da OEP com implicações em matéria de proteção de dados (235). Os titulares dos dados podem contactar o EPD relativamente a qualquer questão relacionada com o tratamento dos seus dados ou o exercício dos seus direitos (236), e o responsável pelo tratamento e os subcontratantes podem consultar o EPD sobre qualquer questão relativa à interpretação e aplicação das RPD (237).

(84)

No âmbito do seu papel de supervisão, o EPD tem poderes para realizar auditorias e investigações em matéria de proteção de dados (238). As auditorias são iniciadas pelo EPD de acordo com um plano de auditoria anual elaborado em consulta com o CPD (239). Uma auditoria centra-se na avaliação de registos, declarações e documentação relevante em matéria de proteção de dados, por exemplo, para verificar a exatidão e a exaustividade da documentação relevante em matéria de proteção de dados, a correta aplicação das metodologias de gestão dos riscos, a exatidão e a atualidade das respostas fornecidas aos titulares dos dados, ou a realização adequada e o número de avaliações de impacto sobre a proteção de dados (240). De acordo com as informações recebidas pela Comissão do EPD, foram realizadas três auditorias em 2023 e quatro em 2024. O EPD pode iniciar uma investigação por sua própria iniciativa, com base num pedido recebido do CPD ou de um organismo da OEP (por exemplo, o presidente ou um responsável delegado pelo tratamento), ou com base em informações recebidas de outro modo (incluindo, por exemplo, de terceiros e de pessoas singulares) (241). As investigações solicitadas pelo CPD são realizadas pelo EPD de forma independente. O CPD pode apresentar observações e/ou solicitar um inquérito complementar sobre qualquer questão que possa surgir (242). As inspeções centram-se nas operações de tratamento ou em aspetos específicos das mesmas ou em ocorrências conexas, a fim de assegurar que o tratamento em causa cumpre os requisitos das RPD e garantir a proteção dos direitos e liberdades dos titulares dos dados (243).

(85)

O EPD tem acesso a todas as informações pertinentes, incluindo os dados pessoais tratados, bem como a todos os gabinetes, instalações de tratamento de dados e suportes informáticos (244). Todos os funcionários e unidades operacionais da OEP são obrigados a prestar assistência ao EPD no desempenho das suas funções, nomeadamente facultando o acesso às instalações e informações pertinentes (245).

(86)

Ao concluir uma auditoria ou investigação, o EPD adota um relatório em que apresenta as suas constatações, conclusões e medidas corretivas recomendadas (246). Tais medidas podem incluir, por exemplo, medidas de prevenção ou de atenuação para melhorar o cumprimento, bem como medidas para corrigir o incumprimento (por exemplo, para tornar o tratamento conforme com as RPD, para tratar pedidos de titulares dos dados para exercerem os seus direitos, para suspender ou cessar um tratamento, etc.) (247). O EPD também pode chamar a atenção da autoridade investida do poder de nomeação para incumprimentos das RPD por parte dos funcionários e recomendar a abertura de um inquérito administrativo para determinar se são necessárias medidas disciplinares ou outras (248). Qualquer funcionário que não cumpra as RPD, intencionalmente ou por negligência, é passível de sanções disciplinares ou outras medidas nos termos do estatuto dos funcionários (249).

(87)

Os resultados das auditorias e das investigações têm de ser comunicados ao CPD (250). O relatório de auditoria ou de investigação tem de ser partilhado com o CPD mediante pedido. O CPD está autorizado a apresentar observações sobre o relatório do EPD, nomeadamente sobre as suas conclusões quanto à existência ou não de uma violação das RPD e sobre as medidas corretivas propostas, podendo também solicitar medidas de investigação adicionais (251). Se uma auditoria ou inspeção do EPD concluir que ocorreu um incumprimento (ou seja, uma violação das RPD), o relatório do EPD tem de ser apresentado ao CPD para validação das conclusões e das medidas corretivas recomendadas. Em caso de desacordo do CPD em relação às conclusões ou medidas corretivas recomendadas do EPD, o CPD partilha as suas observações com o EPD, nomeadamente para alterar as conclusões propostas e as medidas corretivas recomendadas, e este deve aplicá-las em conformidade. As medidas corretivas validadas pelo CPD são vinculativas para o responsável pelo tratamento e para os responsáveis delegados pelo tratamento e podem ser invocadas pelas pessoas singulares junto dos mecanismos de recurso descritos no considerando 95 (252). O EPD tem de verificar a aplicação das medidas corretivas (em princípio seis meses após a sua comunicação) e apresentar anualmente ao presidente um relatório sobre o estado de execução (253).

(88)

Para além do seu papel de impor o cumprimento das RPD, outras funções do CPD incluem aconselhar o presidente sobre a adoção de decisões de adequação, aconselhar o responsável pelo tratamento sobre a necessidade de realizar uma avaliação de impacto sobre a proteção de dados e analisar as reclamações apresentadas por pessoas singulares (ver considerandos 92 a 96) (254).

(89)

A fim de assegurar uma proteção adequada e, nomeadamente, o exercício dos direitos individuais, o titular dos dados deve dispor de vias de recurso eficazes, incluindo a possibilidade de obter uma indemnização por danos.

(90)

O quadro jurídico da OEP proporciona uma combinação de diferentes vias de recurso às pessoas singulares.

(91)

Em primeiro lugar, os titulares dos dados que considerem que o tratamento dos seus dados pessoais pela OEP viola os seus direitos (ou seja, viola as RPD) podem apresentar um pedido de reexame pelo responsável delegado pelo tratamento, de acordo com o artigo 49.o das RPD. O responsável delegado pelo tratamento reexamina a reclamação e toma uma decisão (255). Antes de tomar uma decisão, o responsável delegado pelo tratamento tem de consultar o EPD, que emite um parecer escrito o mais tardar quinze dias de calendário após a receção do pedido de reexame (256). O responsável delegado pelo tratamento tem de responder à pessoa no prazo de um mês a contar da data de receção do pedido (257). A decisão tem de ser comunicada à pessoa em causa, juntamente com informações sobre a possibilidade de obter mais vias de recurso (258). Se o responsável delegado pelo tratamento não tomar qualquer medida no prazo de três meses, tal é considerado uma rejeição implícita do pedido.

(92)

Em segundo lugar, as pessoas singulares podem contestar uma decisão ou uma rejeição implícita de um pedido de reexame por um responsável delegado pelo tratamento, apresentando uma reclamação junto do CPD (259).

(93)

Ao examinar uma reclamação, o CPD tem de convidar o titular dos dados, o responsável pelo tratamento e, se for caso disso, o subcontratante a exporem por escrito a sua posição relativamente às alegações e aos factos em causa e a apresentarem provas ou observações e argumentos sobre as provas disponíveis (260). Nesse contexto, o CPD pode solicitar às partes todas as informações de que necessite para tratar a reclamação e, além disso, pode obter mais informações através do EPD (261). Ao decidir sobre o seguimento necessário a dar a uma reclamação, o CPD tem de ter em conta, nomeadamente, a natureza e a gravidade da alegada violação, o número de titulares dos dados afetados, as categorias de dados afetadas e a duração da violação (262). O CPD pode convidar as partes a procurar uma resolução amigável e incentiva e facilita ativamente essa resolução (263). Devido à gravidade da alegada violação ou à gravidade do risco imposto aos direitos das pessoas singulares, o autor da reclamação também pode solicitar ao CPD que aplique um procedimento de urgência (264).

(94)

Após analisar uma reclamação, o CPD emite um parecer fundamentado ao responsável pelo tratamento, que deve incluir uma exposição dos factos, os principais argumentos das partes, as considerações do CPD e as suas recomendações (265). Em caso de procedimento de urgência, o CPD tem de emitir formalmente um parecer fundamentado no prazo de dois meses a contar da apresentação da reclamação (266). No seu parecer fundamentado, o CPD pode formular as recomendações que considere necessárias, incluindo medidas inibitórias (por exemplo, a cessação do tratamento ilícito de dados, o apagamento de dados tratados ilicitamente), indemnização por danos materiais ou imateriais (267). O parecer fundamentado deve ser comunicado ao titular dos dados e ao responsável pelo tratamento (ou seja, o presidente do Instituto, o presidente das câmaras de recurso, o presidente do conselho de administração ou o presidente do comité restrito, consoante a queixa diga respeito ao Instituto, às câmaras de recurso, ao conselho de administração ou ao comité restrito). O responsável pelo tratamento tomará então uma decisão final vinculativa, na sequência do parecer fundamentado do CPD (268). A decisão final é comunicada ao titular dos dados, ao CPD e ao EPD (269). Se o responsável pelo tratamento decidir não seguir um ou mais aspetos do parecer fundamentado, deve explicá-lo por escrito na decisão (270).

(95)

Um titular dos dados que não fique satisfeito com a decisão do responsável pelo tratamento pode recorrer da mesma, e mencionar o parecer fundamentado do CPD no recurso. Os funcionários da OEP podem contestar a decisão no Tribunal Administrativo da Organização Internacional do Trabalho (271). Qualquer outro titular dos dados que discorde da decisão do responsável pelo tratamento pode, no prazo de três meses a contar da receção da decisão, apresentar um pedido de arbitragem ad hoc ao presidente (272). As RPD preveem um procedimento específico a seguir em caso de arbitragem ad hoc (273). Em especial, no prazo de três meses a contar da receção do pedido pelo titular dos dados, o secretário-geral do Tribunal Permanente de Arbitragem tem de nomear um árbitro com base nos critérios estabelecidos nas RPD (274). O árbitro tem de ter formação jurídica, estar habilitado a exercer direito num dos Estados contratantes da OEP, ser capaz de demonstrar conhecimentos especializados pertinentes em matéria de proteção de dados e estar familiarizado com o direito aplicável às organizações internacionais (275). Para além de preencher estes critérios, só podem ser nomeadas pessoas que não estejam, nem tenham estado, ao serviço da OEP ou do titular dos dados. As RPD preveem que o árbitro tem de agir com total independência e imparcialidade (276), tratar todas as partes de forma equitativa e dar-lhes a oportunidade de apresentarem o seu ponto de vista em todas as fases do processo (277). Os processos de arbitragem não são públicos (278) e são regidos pela CPE, pelas RPD, incluindo qualquer legislação de execução, pelo direito das organizações internacionais e pelos princípios do direito internacional público (279). Embora cada uma das partes tenha de suportar os seus próprios custos e as despesas por assistência jurídica (salvo decisão em contrário do árbitro), os honorários e as despesas do árbitro, bem como os custos de eventuais pareceres de peritos e testemunhas, são pagos pela OEP (280). Um acordo tem de ser celebrado sob a forma de uma decisão arbitral redigida por escrito com um texto acordado, que é definitiva e vinculativa (281).

(96)

Qualquer pessoa que tenha sofrido danos em resultado de uma violação das RPD pode solicitar uma indemnização à OEP, utilizando os procedimentos descritos nos considerandos 91 a 95 (282). A OEP não será considerada responsável se provar que não foi responsável pelo evento que deu origem aos danos.

(97)

O quadro jurídico ao abrigo do qual a OEP avalia e responde a pedidos das autoridades públicas (nos seus Estados contratantes e em países terceiros) relativos a dados pessoais tratados pela OEP decorre do seu Protocolo sobre os Privilégios e Imunidades (PPI) (283), dos requisitos das RPD em matéria de transmissão e transferência de dados pessoais e do direito internacional público.

(98)

Em primeiro lugar, o tratamento de dados pessoais pela OEP para efeitos das suas atividades oficiais está abrangido pelas imunidades da Organização. As imunidades da OEP são complementadas por um dever de cooperação estabelecido no artigo 20.o do PPI. Por conseguinte, qualquer pedido de uma autoridade pública de um Estado contratante para obter dados tratados pela OEP é avaliado pelo presidente em conformidade com o artigo 20.o, n.o 1, do PPI, que prevê que a Organização «deve cooperar, em todos os momentos, com as autoridades competentes dos Estados contratantes, com vista a facilitar uma boa administração da justiça, para assegurar o cumprimento dos regulamentos de polícia e relativos à saúde pública e à inspeção do trabalho, ou outras leis nacionais de natureza semelhante, e prevenir qualquer abuso dos privilégios, imunidades e facilidades previstos no presente protocolo». A título excecional, a Organização pode renunciar à sua imunidade de jurisdição e de execução (284). Ao decidir sobre um pedido de cooperação, o presidente exerce um poder discricionário, tendo em conta a conformidade do pedido com o quadro jurídico da Organização (285). A conclusão pode ser a de que o Instituto pode responder a um pedido ao abrigo do PPI, podendo apenas divulgar dados pessoais de acordo com os requisitos para a transmissão de dados previstos nas RPD (ver considerandos 62 a 67). Nos termos das RPD, o destinatário tem de apresentar provas de que é necessário transmitir os dados para uma finalidade específica decorrente das obrigações de cooperação da OEP com o Estado ou Estados Contratantes (286). Para cada transmissão, o responsável pelo tratamento tem de poder demonstrar que essa transmissão é necessária e proporcionada à finalidade específica para a qual é realizada (287). Qualquer transmissão de dados deve ser efetuada de forma a assegurar a manutenção do nível de proteção proporcionado pelas RPD (288). De acordo com as orientações emitidas pelo EPD, tal significa ter garantias adequadas, o que inclui assegurar que os dados a partilhar têm de ser minimizados e limitados ao que é adequado, pertinente e estritamente necessário para alcançar essa finalidade (289). Se houver motivos para presumir que os direitos e liberdades da pessoa em causa podem ser afetados, o responsável pelo tratamento tem de estabelecer que é proporcionado transmitir os dados pessoais para essa finalidade específica, após ter ponderado os diferentes interesses em causa (290).

(99)

Em segundo lugar, não existe qualquer instrumento jurídico aplicável à OEP que regule especificamente o tratamento de pedidos de autoridades públicas de países terceiros (ou seja, que não são partes contratantes na OEP) para obter dados tratados pela OEP. Consequentemente, qualquer divulgação em resposta a esse pedido só pode ter lugar se forem cumpridos os requisitos aplicáveis às transferências internacionais de dados ao abrigo das RPD (tal como descrito nos considerandos 68 a 73). Só seria assim se tiver sido adotada uma decisão de adequação para o país em causa que cubra a transferência, se estiverem em vigor garantias adequadas, ou se for aplicável uma derrogação.

(100)

O cumprimento do PPI por parte do presidente, incluindo a forma como tenham sido tratados os pedidos de cooperação feitos por autoridades públicas, está sujeito à supervisão do conselho de administração, ao passo que o cumprimento dos requisitos em matéria de transmissões e transferências de dados pessoais das RPD está sujeito à supervisão do EPD e do CPD, como se descreve nos considerandos 84 a 88. As pessoas singulares podem utilizar as vias de recurso descritas nos considerandos 90 a 96 relativamente às transmissões ou transferências dos seus dados pessoais em violação das RPD.

(101)

A Comissão considera que a OEP assegura um nível de proteção dos dados pessoais transferidos da União essencialmente equivalente ao garantido pelo Regulamento (UE) 2016/679.

(102)

Com base nas conclusões da presente decisão, deve ser decidido que, na aceção do artigo 45.o do Regulamento (UE) 2016/679, interpretado à luz da Carta dos Direitos Fundamentais da União Europeia, a OEP assegura um nível de proteção adequado dos dados pessoais transferidos da União para a OEP.

(103)

Os Estados-Membros e os respetivos organismos são obrigados a tomar as medidas necessárias para cumprir os atos das instituições da União, uma vez que se presume que os mesmos são lícitos e logo produzem efeitos jurídicos até serem revogados, anulados no âmbito de um recurso de anulação ou declarados inválidos na sequência de um reenvio prejudicial ou de uma exceção de ilegalidade.

(104)

Consequentemente, uma decisão de adequação da Comissão adotada nos termos do artigo 45.o, n.o 3, do Regulamento (UE) 2016/679 é vinculativa para todos os organismos dos Estados-Membros aos quais se destina, nomeadamente para as suas autoridades de controlo independentes. Em especial, as transferências de um responsável pelo tratamento ou de um subcontratante na União para a OEP podem realizar-se sem que para tal seja necessária mais nenhuma autorização.

(105)

Importa recordar que, nos termos do artigo 58.o, n.o 5, do Regulamento (UE) 2016/679, e conforme explicado pelo Tribunal de Justiça no processo C-362/14 (291), se uma autoridade nacional responsável pela proteção de dados colocar em causa, nomeadamente na sequência de uma reclamação, a conformidade de uma decisão de adequação da Comissão com a proteção dos direitos fundamentais à privacidade e à proteção dos dados da pessoa singular, a legislação nacional deve proporcionar-lhe uma via de recurso que lhe permita apresentar tais objeções junto de um tribunal nacional, que poderá ter de proceder a um reenvio prejudicial para o Tribunal de Justiça.

(106)

Em conformidade com a jurisprudência do Tribunal de Justiça, e nos termos do artigo 45.o, n.o 4, do Regulamento (UE) 2016/679, a Comissão deve controlar, de forma continuada, os desenvolvimentos relevantes no país terceiro ou na organização internacional após a adoção de uma decisão de adequação, por forma a avaliar se o país terceiro ou a organização internacional em causa continua a assegurar um nível de proteção essencialmente equivalente. De qualquer modo, tal verificação é necessária sempre que a Comissão obtenha informações que suscitem dúvidas justificadas a esse respeito.

(107)

Por conseguinte, a Comissão deve acompanhar permanentemente a situação no que diz respeito ao quadro jurídico e à prática de facto da OEP no tratamento de dados pessoais, tal como avaliado na presente decisão. Para facilitar este processo, a OEP é convidada a informar a Comissão sobre desenvolvimentos materiais que afetem a presente decisão, no tocante ao tratamento de dados pessoais bem como às limitações e garantias aplicáveis ao acesso aos dados pessoais pelas autoridades públicas.

(108)

Além disso, a fim de permitir à Comissão o exercício eficaz da sua função de controlo, os Estados-Membros devem informar a Comissão sobre qualquer medida pertinente adotada pelas autoridades nacionais responsáveis pela proteção dos dados, em particular no que se refere a consultas ou reclamações de titulares de dados da União relativas à transferência de dados pessoais da União para a OEP.

(109)

Por força do artigo 45.o, n.o 3, do Regulamento (UE) 2016/679, e atendendo a que o nível de proteção conferido pelo quadro jurídico da OEP pode vir a alterar-se, a Comissão deve, na sequência da adoção da presente decisão, avaliar periodicamente se as verificações de adequação do nível de proteção assegurado pela OEP continuam a justificar-se de facto e de direito. Essas avaliações devem ser realizadas, no mínimo, de quatro em quatro anos e devem abranger todos os aspetos do funcionamento da presente decisão, incluindo o funcionamento dos mecanismos de supervisão e execução pertinentes.

(110)

Para realizar a avaliação, a Comissão deve reunir-se com a OEP, incluindo o seu EPD e o CPD. Essa reunião deve ser aberta à participação de representantes dos membros do Comité Europeu para a Proteção de Dados. No quadro da avaliação, a Comissão deve solicitar à OEP que preste informações exaustivas sobre todos os aspetos pertinentes para a verificação de adequação. A Comissão deve também procurar obter explicações sobre quaisquer informações que tenha recebido com relevância para a presente decisão, nomeadamente do CEPD, de autoridades de proteção de dados individuais, de grupos da sociedade civil, de relatórios públicos ou de meios de comunicação social ou de qualquer outra fonte de informação disponível.

(111)

Com base na avaliação, a Comissão deverá preparar um relatório público a apresentar ao Parlamento Europeu e ao Conselho.

(112)

Sempre que as informações disponíveis, nomeadamente as resultantes do controlo da Comissão dos desenvolvimentos que possam afetar o funcionamento da presente decisão nos termos do artigo 45.o, n.o 4, do Regulamento (UE) 2016/679, ou fornecidas pela OEP ou pelas autoridades dos Estados-Membros, revelarem que o nível de proteção conferido pela OEP pode já não ser adequado, a Comissão deve informar a OEP sem demora desse facto e solicitar que sejam adotadas medidas adequadas dentro de um prazo razoável a especificar.

(113)

Se, uma vez decorrido o prazo especificado, a OEP não tomar essas medidas ou não demonstrar, de forma satisfatória, que a presente decisão continua a basear-se num nível de proteção adequado, a Comissão dará início ao procedimento referido no artigo 93.o, n.o 2, do Regulamento (UE) 2016/679 com vista à suspensão total ou parcial ou à revogação da presente decisão.

(114)

Em alternativa, a Comissão dará início a esse procedimento com vista a alterar a presente decisão, nomeadamente sujeitando as transferências de dados a condições adicionais ou limitando o âmbito de aplicação da verificação de adequação às transferências de dados em relação às quais continua a ser assegurado um nível adequado de proteção.

(115)

A Comissão deverá igualmente ponderar a possibilidade de iniciar o procedimento conducente à alteração, suspensão ou revogação da presente decisão, se apurar, no contexto da avaliação ou por outra forma, que a OEP não presta as informações ou esclarecimentos necessários à avaliação do nível de proteção conferido aos dados pessoais transferidos da União, ou no que respeita ao cumprimento da presente decisão. Nesta matéria, a Comissão deverá ter em conta em que medida a informação pertinente pode ser obtida junto de outras fontes.

(116)

Por imperativos de urgência devidamente justificados, a Comissão recorrerá à possibilidade de adotar, em conformidade com o procedimento referido no artigo 93.o, n.o 3, do Regulamento (UE) 2016/679, atos de execução imediatamente aplicáveis que suspendam, revoguem ou alterem a decisão.

(117)

O Comité Europeu para a Proteção de Dados publicou o seu parecer (292), que foi tido em conta na elaboração da presente decisão.

(118)

As medidas previstas ao abrigo da presente decisão estão em conformidade com o parecer do comité instituído nos termos do artigo 93.o, n.o 1, do Regulamento (UE) 2016/679,