CAPÍTULO V Transferências de dados pessoais para países terceiros ou organizações internacionais

Artigo 35.o

Princípios gerais das transferências de dados pessoais

1.  Os Estados-Membros preveem que qualquer transferência, por parte das autoridades competentes, de dados pessoais que sejam ou se destinem a ser objeto de tratamento após transferência para um país terceiro ou uma organização internacional, inclusivamente que se destinem a transferências ulteriores para outro país terceiro ou outra organização internacional, só possa ser efetuada nos termos das disposições nacionais adotadas por força de outras disposições da presente diretiva, se forem preenchidas as condições previstas neste capítulo, a saber:

2.  Os Estados-Membros preveem que as transferências sem consentimento prévio de outro Estado-Membro nos termos do n.o 1, alínea c), só sejam permitidas se a transferência de dados pessoais for necessária para prevenir uma ameaça imediata e grave à segurança pública de um Estado-Membro ou de um país terceiro ou aos interesses essenciais de um Estado-Membro e o consentimento prévio não puder ser obtido em tempo útil. A autoridade responsável por dar o consentimento prévio é informada sem demora.

3.  Todas as disposições do presente capítulo são aplicadas de forma a assegurar que não fique comprometido o nível de proteção das pessoas singulares assegurado pela presente diretiva.

Artigo 36.o

Transferências com base numa decisão de adequação

1.  Os Estados-Membros preveem que uma transferência de dados pessoais para um país terceiro ou uma organização internacional possa ser efetuada se a Comissão tiver determinado que o país terceiro, um território ou um ou mais setores específicos desse país terceiro, ou a organização internacional em causa, assegura um nível de proteção adequado. Esta transferência não exige autorização específica.

2.  Ao avaliar a adequação do nível de proteção, a Comissão tem particularmente em conta os seguintes elementos:

3.  Uma vez avaliada a adequação do nível de proteção, a Comissão pode decidir, por meio de um ato de execução, que um país terceiro, um território, um ou mais setores específicos desse país terceiro, ou uma organização internacional, assegura um nível de proteção adequado na aceção do n.o 2 do presente artigo. O ato de execução prevê um processo de avaliação periódica, no mínimo de quatro em quatro anos, que deverá ter em conta todos os desenvolvimentos pertinentes no país terceiro ou na organização internacional. O ato de execução especifica o âmbito de aplicação territorial e setorial e, se existir, identifica a autoridade ou autoridades de controlo a que se refere o n.o 2, alínea b) do presente artigo. O ato de execução é adotado pelo procedimento de exame a que se refere o artigo 58.o, n.o 2.

4.  A Comissão controla, de forma continuada, os desenvolvimentos nos países terceiros e nas organizações internacionais que possam afetar o funcionamento das decisões adotadas nos termos do n.o 3.

5.  A Comissão, sempre que a informação disponível revelar, nomeadamente na sequência da revisão a que se refere o n.o 3 do presente artigo, que um país terceiro, um território ou um ou mais setores específicos de um país terceiro, ou uma organização internacional, deixou de assegurar um nível de proteção adequado na aceção do n.o 2 do presente artigo, na medida do necessário, revoga, altera ou suspende a decisão referida no n.o 3 do presente artigo, por meio de atos de execução sem efeitos retroativos. Esses atos de execução são adotados pelo procedimento de exame a que se refere o artigo 58.o, n.o 2.

Por imperativos de urgência devidamente justificados, a Comissão adota atos de execução imediatamente aplicáveis pelo procedimento a que se refere o artigo 58.o, n.o 3.

6.  A Comissão inicia consultas com o país terceiro ou a organização internacional com vista a remediar a situação que tiver dado origem à decisão adotada nos termos do n.o 5.

7.  Os Estados-Membros preveem que as decisões adotadas nos termos do n.o 5 não prejudicam as transferências de dados pessoais para o país terceiro, o território ou o setor específico desse país terceiro, ou para a organização internacional em causa, nos termos dos artigos 37.o e 38.o.

8.  A Comissão publica no Jornal Oficial da União Europeia e no seu sítio web uma lista dos países terceiros, territórios e setores específicos de um país terceiro e de organizações internacionais relativamente aos quais tenha declarado, mediante decisão, se asseguram ou não um nível de proteção adequado.

Artigo 37.o

Transferências sujeitas a garantias adequadas

1.  Na falta de uma decisão nos termos do artigo 36.o, n.o 3, os Estados-Membros preveem a possibilidade de se transferirem dados pessoais para um país terceiro ou organização internacional se:

2.  O responsável pelo tratamento informa a autoridade de controlo sobre as categorias de transferências abrangidas pelo n.o 1, alínea b).

3.  As transferências baseadas no n.o 1, alínea b), são documentadas, devendo a documentação ser disponibilizada à autoridade de controlo, a pedido desta, incluindo a data e hora da transferência, informações acerca da autoridade competente que as recebe, a justificação da transferência e os dados pessoais transferidos.

Artigo 38.o

Derrogações aplicáveis a situações específicas

1.  Na falta de uma decisão de adequação nos termos do artigo 36.o ou de garantias adequadas nos termos do artigo 37.o, os Estados-Membros preveem que só se possa efetuar uma transferência ou uma categoria de transferências de dados pessoais para um país terceiro ou uma organização internacional se a transferência for necessária:

2.  Os dados pessoais não são transferidos se a autoridade competente que procede à transferência determinar que, aquando da transferência referida no n.o 1, alíneas d) e e), os direitos e liberdades fundamentais do titular dos dados em causa primam sobre o interesse público.

3.  As transferências baseadas no n.o 1 são documentadas, devendo a documentação ser disponibilizada à autoridade de controlo, a pedido desta, incluindo a data e hora da transferência, informações acerca da autoridade competente que as recebe, a justificação da transferência e os dados pessoais transferidos.

Artigo 39.o

Transferências de dados pessoais para destinatários estabelecidos em países terceiros

1.  Em derrogação do artigo 35.o, n.o 1, alínea b), e sem prejuízo de qualquer acordo internacional referido no n.o 2 do presente artigo, o direito da União ou dos Estados-Membros pode prever a possibilidade de, em determinados casos específicos, as autoridades competentes referidas no artigo 3.o, ponto 7), alínea a), transferirem dados pessoais diretamente para destinatários estabelecidos em países terceiros unicamente no caso de serem cumpridas as demais disposições da presente diretiva e preenchidas todas as seguintes condições:

2.  Por «acordo internacional» a que se refere o n.o 1 entende-se um acordo internacional bilateral ou multilateral em vigor entre os Estados-Membros e países terceiros no domínio da cooperação judiciária em matéria penal e da cooperação policial.

3.  A autoridade competente que efetua a transferência informa a autoridade de controlo sobre as transferências abrangidas pelo presente artigo.

4.  As transferências efetuadas nos termos do n.o 1 devem ser documentadas.

Artigo 40.o

Cooperação internacional no domínio da proteção de dados pessoais

Em relação a países terceiros e a organizações internacionais, a Comissão e os Estados-Membros adotam as medidas necessárias destinadas a: