DECISÃO (UE) 2021/1093 DO CONSELHO

de 28 de junho de 2021

que estabelece disposições de execução respeitantes ao encarregado da proteção de dados do Conselho, à aplicação do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho e às limitações dos direitos dos titulares de dados no contexto do exercício das funções do encarregado da proteção de dados do Conselho, e que revoga a Decisão 2004/644/CE do Conselho

O CONSELHO DA UNIÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 240.o, n.o 3,

Tendo em conta o Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (1), nomeadamente o artigo 45.o, n.o 3,

Considerando o seguinte:

(1) O Regulamento (UE) 2018/1725 define os princípios e disposições aplicáveis a todas as instituições e órgãos da União e prevê que cada instituição e órgão da União nomeie um encarregado da proteção de dados.

(2) O artigo 45.o, n.o 3 do Regulamento (UE) 2018/1725 prevê a adoção de disposições de execução respeitantes ao encarregado da proteção de dados por cada instituição e órgão da União («disposições de execução»). Essas disposições de execução deverão incidir, em especial, sobre as funções, os deveres e a competência do encarregado da proteção de dados do Conselho e do Secretariado-Geral do Conselho.

(3) As disposições de execução deverão estabelecer os procedimentos para o exercício dos direitos dos titulares de dados e para o cumprimento das obrigações de todos os intervenientes pertinentes no Conselho e no Secretariado-Geral do Conselho (SGC) em matéria de tratamento de dados pessoais.

(4) O Regulamento (UE) 2018/1725 prevê responsabilidades claras para os responsáveis pelo tratamento de dados, em especial no que diz respeito aos direitos dos titulares de dados. As disposições de execução deverão assegurar que o Conselho ou o SGC cumpram de forma uniforme e transparente as suas responsabilidades enquanto responsáveis pelo tratamento, devendo ser estabelecidas disposições a fim de identificar quem é o responsável pelas operações de tratamento realizadas em nome do Conselho e do SGC. A este respeito, é conveniente introduzir a noção de responsável delegado pelo tratamento, a fim de indicar com precisão as responsabilidades das entidades do SGC, em especial no que diz respeito às decisões individuais relativas aos direitos dos titulares de dados. Além disso, é conveniente introduzir a noção de responsável operacional pelo tratamento, que, a cargo do responsável delegado pelo tratamento, é designado para garantir o cumprimento na prática e para tratar os pedidos dos titulares de dados relativamente a uma operação de tratamento de dados. A fim de indicar com precisão as responsabilidades no seio do SGC para cada atividade de tratamento, o responsável operacional pelo tratamento deverá estar indicado de forma precisa na entrada inscrita no registo. A nomeação de um responsável operacional pelo tratamento não impede que se recorra, na prática, a um ponto de contacto, por exemplo, sob a forma de uma caixa de correio funcional a disponibilizar para os pedidos dos titulares de dados.

(5) Em determinados casos, várias direções-gerais ou serviços do SGC efetuam em conjunto operações de tratamento, a fim de cumprirem a sua missão. Nesses casos, essas direções-gerais ou serviços deverão assegurar a existência de procedimentos internos para definir, de forma transparente, as suas respetivas responsabilidades nos termos dos Regulamento (UE) 2018/1725, em especial no que respeita aos direitos dos titulares de dados, à notificação à Autoridade Europeia para a Proteção de Dados e à conservação de registos.

(6) A fim de facilitar o exercício das responsabilidades dos responsáveis delegados pelo tratamento, cada direção-geral ou serviço do SGC deverá nomear um coordenador da proteção de dados. Os coordenadores da proteção de dados prestam assistência à direção-geral ou serviço do SGC em todos os aspetos da proteção de dados pessoais e participam na rede de coordenadores da proteção de dados do SGC, a fim de assegurar a aplicação e interpretação coerentes do Regulamento (UE) 2018/1725.

(7) Nos termos do artigo 45.o, n.o 1, alínea b), do Regulamento (UE) 2018/1725, o encarregado da proteção de dados pode emitir orientações adicionais sobre a função do coordenador da proteção de dados.

(8) Nos termos do artigo 25.o, n.o 1, do Regulamento (UE) 2018/1725, cada instituição e órgão da União tem a possibilidade de limitar a aplicação dos artigos 14.o a 17.o, 19.o, 20.o e 35.o, desse regulamento, bem como o princípio da transparência consagrado no artigo 4.o, n.o 1, alínea a), na medida em que as suas disposições correspondam aos direitos e às obrigações previstos nos artigos 14.o a 17.o, 19.o e 20.o do mesmo regulamento.

(9) Em determinados casos, o encarregado da proteção de dados pode ter de limitar os direitos dos titulares de dados, a fim de levar a cabo as funções de controlo, investigação, auditoria ou aconselhamento previstas no artigo 45.o do Regulamento (UE) 2018/1725, respeitando simultaneamente as normas de proteção de dados pessoais nos termos do mesmo regulamento. É necessário adotar disposições internas ao abrigo das quais o encarregado da proteção de dados pode limitar os direitos dos titulares de dados, em conformidade com o artigo 25.o desse regulamento («disposições internas»).

(10) As disposições internas deverão aplicar-se a todas as operações de tratamento de dados efetuadas pelo Conselho e pelo SGC no desempenho das funções de controlo, investigação, auditoria ou aconselhamento do encarregado da proteção de dados. Estas disposições internas deverão aplicar-se igualmente às operações de tratamento que fazem parte das funções relacionadas com a atividade de investigação ou de auditoria do encarregado da proteção de dados, como os processos de reclamação conduzidos por este. Deverão aplicar-se também aos controlos e às consultas realizados pelo encarregado da proteção de dados, sempre que este preste assistência às direções-gerais e serviços do SGC e coopere com estes fora do âmbito das suas investigações ou auditorias administrativas.

(11) O Conselho e o SGC podem ter de aplicar as limitações baseadas nos motivos a que se refere o artigo 25.o, n.o 1, alíneas c), g) e h), do Regulamento (UE) 2018/1725 às operações de tratamento de dados efetuadas no âmbito das funções de controlo, investigação, auditoria ou aconselhamento do encarregado da proteção de dados, quando tal for necessário para proteger as funções do encarregado da proteção de dados, as investigações e procedimentos conexos, os instrumentos e métodos das investigações e auditorias do encarregado da proteção de dados, bem como os direitos de outras pessoas relacionadas com as funções do encarregado da proteção de dados.

(12) Além disso, a fim de manter uma cooperação eficaz, o Conselho e o SGC podem ter de aplicar limitações aos direitos dos titulares de dados, de forma a proteger informações que contenham dados pessoais provenientes de outras direções-gerais e serviços do SGC ou de outras instituições ou órgãos da União. Para o efeito, o encarregado da proteção de dados deverá consultar essas direções-gerais e serviços ou outras instituições ou órgãos da União quanto aos motivos pertinentes das limitações e quanto à necessidade e proporcionalidade das mesmas.

(13) O encarregado da proteção de dados e, se for caso disso, as direções-gerais e serviços do SGC deverão tratar todas as limitações de forma transparente e registar todos os casos de aplicação de limitações no sistema de registos correspondente.

(14) Nos termos do artigo 25.o, n.o 8, do Regulamento (UE) 2018/1725, os responsáveis pelo tratamento de dados podem adiar ou recusar a comunicação de informações sobre os motivos da aplicação de uma limitação ao titular de dados, caso tal possa comprometer, de alguma forma, a finalidade da limitação. Em especial, no caso de ser aplicada uma limitação aos direitos previstos nos artigos 16.o e 35.o desse regulamento, a notificação dessa limitação é suscetível de comprometer a sua finalidade. A fim de assegurar que o direito do titular de dados a ser informado, em conformidade com esses artigos, só é limitado enquanto se verificarem os motivos para o adiamento, o encarregado da proteção de dados ou as direções-gerais ou serviços do SGC que aplicam a limitação deverão rever regularmente a sua posição.

(15) Caso seja aplicada uma limitação de outros direitos dos titulares de dados, o encarregado da proteção de dados deverá avaliar, caso a caso, se a comunicação da limitação comprometeria a sua finalidade.

(16) O encarregado da proteção de dados deverá efetuar uma avaliação independente da aplicação de limitações com base na presente decisão por outras direções-gerais ou serviços do SGC, com vista a garantir o cumprimento da presente decisão.

(17) As limitações aplicadas com base na presente decisão deverão ser necessárias e proporcionadas numa sociedade democrática.

(18) A AEPD foi informada e consultada, nos termos do artigo 41.o, n.os 1 e 2 do Regulamento (UE) 2018/1725, e emitiu parecer (2).

(19) As disposições de execução do Regulamento (UE) 2018/1725 não prejudicam o disposto no Regulamento (CE) n.o 1049/2001 do Parlamento Europeu e do Conselho (3), na Decisão 2004/338/CE, Euratom (4), em especial no anexo II, na Decisão 2013/488/UE do Conselho (5), em especial no anexo, parte II, secção VI, assim como na decisão do secretário-geral do Conselho/alto-representante para a Política Externa e de Segurança Comum, de 25 de junho de 2001 (6).

(20) A Decisão 2004/644/CE do Conselho (7) estabelece as disposições de execução do Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho. O Regulamento (UE) 2018/1725 revogou o Regulamento (CE) n.o 45/2001, com efeitos a desde 11 de dezembro de 2019. A fim de assegurar que só é aplicável um único conjunto de disposições de execução, a Decisão 2004/644/CE deverá ser revogada,

ADOTOU A PRESENTE DECISÃO:

SECÇÃO 1

DISPOSIÇÕES GERAIS

Artigo 1.o Objeto e âmbito de aplicação 1. A presente decisão estabelece regras e procedimentos para a aplicação do Regulamento (UE) 2018/1725 pelo Conselho e pelo Secretariado-Geral do Conselho (SGC) e define disposições de execução adicionais respeitantes ao encarregado da proteção de dados do Conselho. 2. A presente decisão estabelece as regras a cumprir pelo Conselho e pelo SGC no que respeita às funções de controlo, investigação, auditoria ou aconselhamento do encarregado da proteção de dados, a fim de informar os titulares de dados do tratamento dos seus dados pessoais, em conformidade com os artigos 14.o, 15.o e 16.o do Regulamento (UE) 2018/1725. 3. A presente decisão estabelece as condições em que o Conselho e o SGC, no que respeita às atividades de controlo, investigação, auditoria ou aconselhamento do encarregado da proteção de dados, podem limitar a aplicação dos artigos 4.o, 14.o a 17.o, 19.o, 20.o e 35.o do Regulamento (UE) 2018/1725, em conformidade com o artigo 25.o, n.o 1, alíneas c), g) e h), desse regulamento. 4. A presente decisão é aplicável ao tratamento de dados pessoais efetuado pelo Conselho e pelo SGC para efeitos das funções do encarregado da proteção de dados a que se refere o artigo 45.o do Regulamento (UE) 2018/1725, ou em relação a essas funções.

Artigo 2.o Responsabilidade pelo tratamento Para efeitos da presente decisão, o Conselho e o SGC são considerados os responsáveis pelo tratamento, na aceção do artigo 3.o, ponto 8, do Regulamento (UE) 2018/1725.

Artigo 3.o Definições Para efeitos da presente decisão, entende-se por: 1) «Encarregado da proteção de dados», a pessoa designada pelo secretário-geral do Conselho nos termos do artigo 43.o do Regulamento (UE) 2018/1725; 2) «Funções do encarregado da proteção de dados», as funções referidas no artigo 45.o do Regulamento (UE) 2018/1725; 3) «Pessoal do SGC», todos os funcionários do SGC e qualquer pessoa abrangida pelo Estatuto dos Funcionários da União Europeia e pelo Regime aplicável aos outros agentes da União, estabelecidos pelo Regulamento (CEE, Euratom, CECA) n.o 259/68 (8) (o «Estatuto»), ou que trabalhe para o SGC numa base contratual (nomeadamente estagiários, consultores, contratantes, funcionários destacados pelos Estados-Membros). 4) «Responsável delegado pelo tratamento», o chefe da direção-geral ou serviço do SGC que, individualmente ou em conjunto com outrem, determina as finalidades e os meios de tratamento dos dados pessoais em nome do Conselho ou do SGC, no cumprimento da missão dessa direção-geral ou serviço; 5) «Responsável operacional pelo tratamento», o membro do pessoal do SCG, de nível intermédio ou superior de direção, designado pelo responsável delegado pelo tratamento para lhe prestar assistência na garantia do cumprimento do Regulamento (UE) 2018/1725, em relação às operações de tratamento pelas quais é responsável, e para servir de ponto de contacto principal dos titulares dos dados; 6) «Coordenador da proteção de dados», o membro do pessoal do SGC designado em cada direção-geral ou serviço do SGC, em consulta com o encarregado da proteção de dados, para prestar assistência a essa direção-geral ou serviço em todos os aspetos relacionados com a proteção de dados e para tratar, enquanto seu representante, questões relacionadas com a proteção de dados, em estreita cooperação com o encarregado da proteção de dados.

SECÇÃO 2

ENCARREGADO DA PROTEÇÃO DE DADOS

Artigo 4.o Designação e estatuto do encarregado da proteção de dados 1. O secretário-geral do Conselho designa, entre o pessoal do SGC, o encarregado de proteção de dados e regista-o junto da Autoridade Europeia para a Proteção de Dados (a «AEPD»), em conformidade com o artigo 43.o do Regulamento (UE) 2018/1725. 2. O encarregado da proteção de dados é selecionado com base nas suas qualidades profissionais e, em especial, nos seus conhecimentos especializados no domínio do direito e das práticas em matéria de proteção de dados, bem como na sua capacidade para desempenhar as funções referidas no artigo 45.o do Regulamento (UE) 2018/1725. O encarregado da proteção de dados deve igualmente possuir um sólido conhecimentos do SGC, da sua estrutura e das suas regras e procedimentos administrativos. Para efeitos do exercício das suas funções, o encarregado da proteção de dados fica dispensado de qualquer outra função no SGC. 3. O encarregado da proteção de dados é designado por um período de cinco anos e o seu mandato é renovável. 4. O encarregado da proteção de dados e o seu pessoal estão diretamente ligados ao secretário-geral do Conselho e respondem diretamente perante ele. 5. No exercício das suas funções, o encarregado da proteção de dados age de forma independente e não pode receber qualquer instrução, nomeadamente do secretário-geral do Conselho, dos responsáveis delegados pelo tratamento ou dos responsáveis operacionais pelo tratamento, nem de qualquer outra pessoa, no que respeita à aplicação interna do disposto no Regulamento (UE) 2018/1725 ou à sua cooperação com a AEPD. 6. O Conselho e o SGC apoiam o encarregado da proteção de dados no exercício das funções referidas no artigo 45.o do Regulamento (UE) 2018/1725, fornecendo-lhe os meios necessários para desempenhar essas funções e para aceder aos dados pessoais e às operações de tratamento, bem como para manter atualizados os seus conhecimentos especializados. 7. O encarregado da proteção de dados não pode ser destituído nem penalizado pelo exercício das suas funções. O encarregado da proteção de dados só pode ser destituído nos termos do artigo 44.o, n.o 8, do Regulamento (UE) 2018/1725. Para efeitos de obtenção do seu consentimento para essa destituição, nos termos desse artigo, a AEPD é consultada por escrito. É enviada uma cópia desse consentimento ao encarregado da proteção de dados. 8. O SGC, em especial os responsáveis delegados pelo tratamento e os responsáveis operacionais pelo tratamento, assegura que o encarregado da proteção de dados é envolvido, de forma adequada e atempada, em todas as questões relacionadas com a proteção de dados pessoais.

Artigo 5.o Funções e deveres 1. O encarregado da proteção de dados exerce todas as funções previstas no artigo 45.o do Regulamento (UE) 2018/1725, em especial: a) Garantir a aplicação e execução do Regulamento (UE) 2018/1725 pelo Conselho e pelo SGC e controlar o cumprimento do referido regulamento e do quadro jurídico aplicável em matéria de proteção de dados pessoais; b) Prestar aconselhamento ao Secretário-Geral do Conselho, aos responsáveis delegados pelo tratamento e aos responsáveis operacionais pelo tratamento sobre questões relacionadas com a aplicação das disposições de proteção de dados; c) Prestar aconselhamento e assistência aos responsáveis delegados pelo tratamento e aos responsáveis operacionais pelo tratamento na realização de uma avaliação de impacto relativa à proteção de dados, em conformidade com os artigos 39.o e 40.o do Regulamento (UE) 2018/1725. d) Assegurar que as operações de tratamento não atentem contra os direitos e as liberdades dos titulares dos dados; e) Sensibilizar para o regime jurídico aplicável em matéria de proteção de dados pessoais e contribuir para a criação de uma cultura de proteção de dados no seio do SGC. O encarregado da proteção de dados pode ser consultado pelo secretário-geral, pelos responsáveis pelo tratamento em causa, pelo comité do pessoal ou por qualquer outra pessoa singular, sem passar pela via oficial, sobre qualquer questão relativa à aplicação ou execução do Regulamento (UE) 2018/1725 2. O encarregado da proteção de dados conserva um registo onde são inscritas todas as atividades de tratamento e torna-o acessível ao público, em conformidade com o artigo 12.o. 3. O encarregado da proteção de dados conserva um registo interno das violações de dados pessoais, na aceção do artigo 3.o, ponto 16 do Regulamento (UE) 2018/1725. 4. O encarregado da proteção de dados presta aconselhamento ao responsável delegado pelo tratamento, quando tal lhe for solicitado, sobre a aplicação de uma limitação à aplicação dos artigos 14.o a 22.o, 35.o e 36.o, bem como do artigo 4.o do Regulamento (UE) 2018/1725. 5. O encarregado da proteção de dados organiza e preside a reuniões periódicas dos coordenadores da proteção de dados. 6. O encarregado da proteção de dados apresenta ao secretário-geral do Conselho um relatório anual de atividades e coloca-o à disposição do pessoal do SCG. 7. O encarregado da proteção de dados coopera com os encarregados da proteção de dados designados pelas outras instituições e órgãos da União e participa regularmente nas reuniões convocadas pela AEPD ou pelos encarregados da proteção de dados das outras instituições e órgãos da União, tendo em vista facilitar uma boa cooperação, em especial por meio do intercâmbio de experiências e de boas práticas. 8. O encarregado da proteção de dados é considerado o responsável delegado pelo tratamento para as operações de tratamento efetuadas no exercício das suas funções.

Artigo 6.o Competência No desempenho das suas funções, o encarregado da proteção de dados: a) Tem acesso, a qualquer momento, aos dados sujeitos a tratamento e a todos os gabinetes, instalações de tratamento de dados e suportes informáticos; b) Pode pedir pareceres jurídicos ao Serviço Jurídico do Conselho; c) Pode pedir mais apoio às direções-gerais e aos serviços competentes do SGC; d) Pode atribuir dossiês às direções-gerais e aos serviços do SGC em causa para assegurar um seguimento adequado; e) Pode realizar investigações a pedido, ou por iniciativa própria, sobre questões e ocorrências diretamente relacionadas com as funções do encarregado da proteção de dados, em conformidade com o procedimento previsto no artigo 14.o; f) Pode propor medidas administrativas ao secretário-geral do Conselho e formular recomendações gerais sobre a aplicação adequada do Regulamento (UE) 2018/1725; g) Pode dirigir ao SCG, aos responsáveis delegados pelo tratamento e aos responsáveis operacionais pelo tratamento recomendações destinadas a melhorar, na prática, a aplicação do Regulamento (UE) 2018/1725, nomeadamente no sentido de: i) instar o responsável delegado pelo tratamento ou ao subcontratante a que satisfaçam os pedidos apresentados pelos titulares dos dados para poderem exercer os seus direitos nos termos do Regulamento (UE) 2018/1725, ii) advertir o responsável delegado pelo tratamento ou o subcontratante caso uma operação de tratamento seja suscetível de infringir as disposições do Regulamento (UE) 2018/1725, e instá-lo a tomar medidas para assegurar que as operações de tratamento cumpram as disposições aplicáveis, se for caso disso, de uma forma específica e num prazo específico, iii) instar o responsável delegado pelo tratamento ou o subcontratante a que suspendam os fluxos de dados para um destinatário num Estado-Membro ou num país terceiro, ou para uma organização internacional, iv) solicitar ao responsável delegado pelo tratamento ou ao subcontratante que, dentro de um prazo fixado, comunique ao encarregado da proteção de dados informações sobre o seguimento dado à recomendação ou ao aconselhamento prestado por este; h) Pode solicitar os serviços de peritos externos no domínio das tecnologias da informação e comunicação, após acordo prévio do gestor orçamental, em conformidade com o Regulamento (UE, Euratom) 2018/1046 do Parlamento Europeu e do Conselho (9); i) Deve ser convidado a participar nos conselhos de administração e comités pertinentes do SGC, sempre que forem debatidas questões relacionadas com o tratamento dos dados pessoais, e pode propor pontos pertinentes para a ordem do dia destes conselhos de administração e comités; j) Pode chamar a atenção da autoridade investida do poder de nomeação do SGC para qualquer incumprimento das obrigações decorrentes do Regulamento (UE) 2018/1725 por parte de um membro do pessoal do SGC e sugerir que se dê início a um inquérito administrativo tendo em vista a eventual aplicação das sanções previstas no artigo 69.o desse regulamento; k) É responsável pelas decisões iniciais sobre pedidos de acesso a documentos na posse do seu gabinete, nos termos do Regulamento (CE) n.o 1049/2001, em consulta com os serviços competentes do SGC.

SECÇÃO 3

DIREITOS E DEVERES DOS INTERVENIENTES NO DOMÍNIO DA PROTEÇÃO DE DADOS

Artigo 7.o Consulta e prestação de informações ao encarregado da proteção de dados 1. Os responsáveis pelo tratamento envolvem o encarregado da proteção de dados no planeamento e no debate sobre uma atividade que implique o tratamento de dados pessoais. O encarregado da proteção de dados é informado de qualquer operação de tratamento, bem como de qualquer alteração substancial a uma operação de tratamento existente. 2. O encarregado da proteção de dados é informado de projetos de notas e decisões internas do SGC diretamente relacionadas com a aplicação interna do Regulamento (UE) 2018/1725. 3. O encarregado da proteção de dados é informado de todos os contactos com partes externas relacionados com a aplicação interna do Regulamento (UE) 2018/1725 e de quaisquer interações com a AEPD, em especial caso esta seja consultada ou informada nos termos dos artigos 40.o e 41.o do referido regulamento. 4. O encarregado da proteção de dados é consultado em relação a projetos de acordos entre responsáveis conjuntos pelo tratamento e em relação a cláusulas contratuais ou outros atos jurídicos em matéria de proteção de dados, caso sejam tratados dados pessoais por um subcontratante.

Artigo 8.o Responsáveis delegados pelo tratamento 1. Cabe aos responsáveis delegados pelo tratamento garantir que todas as operações de tratamento sob o seu controlo estejam em conformidade com o Regulamento (UE) 2018/1725. 2. Os responsáveis delegados pelo tratamento, em especial: a) Designam um responsável operacional pelo tratamento para lhes prestar assistência no que toca a assegurar o cumprimento do Regulamento (UE) 2018/1725, em especial em relação aos titulares dos dados; b) Conservam o registo das atividades de tratamento sob a sua responsabilidade e asseguram que o responsável operacional pelo tratamento apresenta a entrada do registo e a declaração de confidencialidade conexa ao encarregado da proteção de dados, para inscrição no Registo referido no artigo 12.o. c) São responsáveis pelas atividades dos subcontratantes e subcontratantes que efetuem o tratamento de dados pessoais em seu nome, e garantem que o tratamento é regulado por um contrato ou outro ato jurídico, em conformidade com o artigo 29.o, n.o 3, do Regulamento (UE) 2018/1725. 3. Os responsáveis delegados pelo tratamento garantem que o encarregado da proteção de dados é envolvido, de forma atempada, em todas as questões relacionadas com a proteção de dados e estabelecem as disposições adequadas para assegurar que o coordenador da proteção de dados está devidamente envolvido em todas as questões relacionadas com a proteção de dados na sua direção-geral ou serviço do SGC. 4. Os responsáveis delegados pelo tratamento garantem que são tomadas as medidas técnicas e organizativas adequadas para comprovar que as atividades de tratamento cumprem o Regulamento (UE) 2018/1725 e dão instruções adequadas ao pessoal do SGC para assegurar tanto a confidencialidade do tratamento como a existência de um nível de segurança adequado aos riscos que o tratamento de dados representa. Os responsáveis delegados pelo tratamento podem consultar o encarregado da proteção de dados ao selecionar essas medidas. 5. Os responsáveis delegados pelo tratamento prestam informações ao encarregado da proteção de dados sobre o tratamento de todos os pedidos apresentados por um titular de dados com vista ao exercício dos seus direitos e prestam assistência ao encarregado da proteção de dados e à AEPD no desempenho das respetivas funções, em especial prestando informações em resposta aos seus pedidos no prazo máximo de 30 dias. 6. Cabe aos responsáveis delegados pelo tratamento a aplicação das limitações à aplicação dos artigos 14.o a 22.o, 35.o e 36.o, bem como do artigo 4.o do Regulamento (UE) 2018/1725, em conformidade com as regras internas pertinentes, Os responsáveis delegados pelo tratamento envolvem o encarregado da proteção de dados na aplicação dessas limitações e ao longo de todo o procedimento. 7. Os responsáveis delegados pelo tratamento garantem que são estabelecidos acordos internos com outras direções-gerais ou serviços do SGC, para os casos em que o responsável delegado pelo tratamento efetue operações de tratamento em conjunto com essas direções-gerais ou serviços do SGC ou em que estes realizem uma parte da operação de tratamento sob a autoridade do responsável delegado pelo tratamento. Os acordos a que se refere o primeiro parágrafo determinam as responsabilidades de cada um no cumprimento das obrigações dos responsáveis delegados pelo tratamento e das outras direções-gerais ou serviços do SGC em matéria de proteção de dados. Em especial, esses acordos incluem a identificação do responsável delegado pelo tratamento que determina os meios e as finalidades da operação de tratamento, bem como a do responsável operacional para a operação de tratamento, e, se for caso disso, indicam quem são as pessoas ou entidades que prestam assistência ao responsável operacional pelo tratamento, entre outros aspetos, no que toca a informações em caso de violações de dados ou a ter em conta os direitos dos titulares dos dados.

Artigo 9.o Responsáveis operacionais pelo tratamento 1. Cabe aos responsáveis operacionais pelo tratamento prestar assistência ao responsável delegado pelo tratamento na garantia do cumprimento do Regulamento (UE) 2018/1725, em relação às operações de tratamento pelas quais este é responsável, e servir de ponto de contacto principal dos titulares de dados. 2. Os responsáveis operacionais pelo tratamento, em especial: a) Recebem e tratam todos os pedidos dos titulares de dados; b) Elaboram os registos das atividades de tratamento sob a sua responsabilidade e a declaração de confidencialidade conexa, em consulta com o coordenador da proteção de dados; c) Garantem que os contratos ou outros atos jurídicos que regem o tratamento de dados pessoais por um subcontratante estejam em conformidade com o Regulamento (UE) 2018/1725 e consultam o encarregado da proteção de dados sobre projetos de cláusulas contratuais em matéria de proteção de dados; d) Garantem a disponibilização da documentação necessária para demonstrar a conformidade com o Regulamento (UE) 2018/1725. 3. Os responsáveis operacionais pelo tratamento informam, sem demora indevida, o encarregado da proteção de dados em caso de violação de dados pessoais e prestam-lhe todas as informações necessárias para lhe permitir assegurar que o Conselho cumpra as obrigações em matéria de violação de dados pessoais, nos termos dos artigos 34.o e 35.o do Regulamento (UE) 2018/1725. 4. Em coordenação com o responsável delegado pelo tratamento e o encarregado da proteção de dados, os responsáveis operacionais pelo tratamento notificam a AEPD em caso de violação de dados pessoais, se necessário, e informam os titulares de dados, se for caso disso. 5. Os responsáveis operacionais pelo tratamento asseguram que o coordenador da proteção de dados é informado de todas as questões relacionadas com a proteção de dados. 6. Os responsáveis operacionais pelo tratamento avaliam os riscos relacionados com as operações de tratamento que são da sua responsabilidade para os direitos e liberdades do titular de dados e, se for caso disso, procedem a uma avaliação de impacto relativa à proteção de dados. Os responsáveis operacionais pelo tratamento solicitam o parecer do encarregado da proteção de dados ao efetuarem essas avaliações de impacto e quanto à necessidade de uma consulta prévia, em conformidade com os artigos 39.o e 40.° do Regulamento (UE) 2018/1725. 7. Os responsáveis operacionais pelo tratamento desempenham quaisquer outras funções abrangidas pelo âmbito da presente decisão, a pedido do responsável delegado pelo tratamento.

Artigo 10.o Coordenadores da Proteção de Dados 1. Cada direção-geral ou serviço do SGC nomeia, em consulta com o encarregado da proteção de dados, um ou mais coordenadores da proteção de dados, para prestarem assistência ao responsável delegado e aos responsáveis operacionais pelo tratamento, nas respetivas direções-gerais ou serviços do SGC, em todos os aspetos relacionados com a proteção de dados. 2. Os coordenadores da proteção de dados são escolhidos com base nos seus conhecimentos e experiência no tocante ao funcionamento da respetiva direção-geral ou serviço do SGC ou com base na sua motivação para o desempenho das funções, nas suas competências em matéria de proteção de dados, nos seus conhecimentos sobre os princípios dos sistemas de informação e nas suas capacidades de comunicação. Os coordenadores da proteção de dados recentemente nomeados devem, no prazo de seis meses a contar da nomeação, concluir uma formação a fim de adquirirem as competências necessárias para desempenharem as suas funções. Um coordenador da proteção de dados que tenha desempenhado anteriormente o cargo de pessoa de contacto noutra direção-geral ou serviço do SGC nos dois anos anteriores à nomeação fica isento desta obrigação de formação. 3. A função de coordenador da proteção de dados faz parte da descrição das funções de todos os membros do pessoal do SGC que forem nomeados pessoa de contacto. No relatório de avaliação anual, deve ser feita referência às suas responsabilidades e aos resultados alcançados. 4. Os coordenadores da proteção de dados devem ser envolvidos de forma adequada e atempada em todas as questões relacionadas com a proteção de dados na sua direção-geral ou serviço do SGC e desempenhar as suas funções em estreita cooperação com o encarregado da proteção de dados. 5. Os coordenadores da proteção de dados têm o direito de obter, junto dos responsáveis pelo tratamento e do pessoal, as informações adequadas e necessárias para o desempenho das suas funções na direção-geral ou serviço do SGC a que pertencem. Tal não inclui o acesso aos dados pessoais tratados a cargo do responsável delegado pelo tratamento; os coordenadores da proteção de dados apenas têm acesso aos dados pessoais se tal for necessário para o desempenho das suas funções. 6. Os coordenadores da proteção de dados levam a cabo ações de sensibilização para as questões relacionadas com a proteção de dados e prestam assistência aos responsáveis delegados pelo tratamento, na direção-geral ou serviço do SGC a que pertencem, no cumprimento das suas obrigações, em especial no que se refere aos seguintes aspetos: a) Aplicação do Regulamento (UE) 2018/1725; b) Identificação dos responsáveis operacionais, e pelo tratamento e elaboração dos registos das operações de tratamento e das declarações de confidencialidade antes de serem apresentados ao encarregado da proteção de dados; c) Elaboração de uma lista de todas as operações de tratamento existentes na direção-geral ou serviço do SGC. 7. Os coordenadores da proteção de dados prestam assistência aos responsáveis operacionais pelo tratamento, na direção-geral ou serviço do SGC a que pertencem, no cumprimento das suas obrigações, em especial no que se refere aos seguintes aspetos: a) Elaboração dos registos das operações de tratamento e das declarações de confidencialidade antes de serem apresentados ao encarregado da proteção de dados; b) Documentação do tratamento; c) Tratamento dos pedidos dos titulares de dados; d) Tratamento de casos de violação de dados.

Artigo 11.o Pessoal do Secretariado-Geral do Conselho O pessoal do SGC contribui para assegurar a aplicação e execução do Regulamento (UE) 2018/1725. O pessoal do SGC não tem acesso a dados pessoais e não trata esses dados salvo sob as instruções do responsável delegado ou do responsável operacional pelo tratamento, exceto se tal estiver previsto no direito da União ou dos Estados-Membros.

SECÇÃO 4

OUTRAS OBRIGAÇÕES E PROCEDIMENTOS

Artigo 12.o Registo 1. O encarregado da proteção de dados conserva um Registo das operações de tratamento e assegura que o mesmo é acessível através do sítio Web do encarregado da proteção de dados na Intranet do SGC e através do sítio Web do Conselho. 2. O responsável operacional pelo tratamento notifica todas as operações de tratamento de dados pessoais ao encarregado da proteção de dados e apresenta os registos das atividades de tratamento e a declaração de confidencialidade conexa, com base num formulário acessível no sítio Intranet do SGC («Proteção de Dados»). A notificação é transmitida por via eletrónica ao encarregado da proteção de dados. Após consulta ao encarregado da proteção de dados, o responsável delegado pelo tratamento confirma a entrada do registo e a declaração de confidencialidade conexa, e o encarregado da proteção de dados publica-as no Registo. 3. Da entrada do registo devem constar todas as informações especificadas no artigo 31.o do Regulamento (UE) 2018/1725. Todavia, as informações introduzidas no Registo pelo encarregado da proteção de dados podem, excecionalmente, ser limitadas, sempre que tal seja necessário para salvaguardar a segurança de um tratamento específico. O responsável operacional deve informar imediatamente o encarregado da proteção de dados de qualquer alteração que afete essas informações.

Artigo 13.o Violações de dados 1. Em caso de violação de dados pessoais, o responsável delegado pelo tratamento ou o responsável operacional pelo tratamento solicita a assistência do coordenador da proteção de dados e, sem demora indevida, informa o encarregado da proteção de dados sobre a ocorrência do incidente, prestando-lhe todas as informações necessárias que lhe permitam assegurar que o Conselho cumpre as obrigações em matéria de notificação e comunicação de violações de dados pessoais, nos termos dos artigos 34.o e 35.° do Regulamento (UE) 2018/1725. 2. O encarregado da proteção de dados estabelece e conserva um registo interno de violações de dados pessoais. Os responsáveis delegados pelo tratamento e os responsáveis operacionais pelo tratamento prestam as informações necessárias para introduzir no registo. 3. Os responsáveis delegados pelo tratamento e os responsáveis operacionais pelo tratamento elaboram a notificação à AEPD, em consulta com o encarregado da proteção de dados, salvo se essa violação de dados pessoais não for suscetível de constituir um risco para os direitos e as liberdades das pessoas singulares.

Artigo 14.o Investigações 1. O encarregado da proteção de dados pode, por iniciativa própria ou a pedido do responsável delegado pelo tratamento, do responsável operacional pelo tratamento ou do subcontratante, do comité de pessoal ou de qualquer pessoa, investigar questões e factos relacionados com as suas funções e informar a pessoa que solicitou a investigação ou o responsável delegado pelo tratamento, o responsável operacional pelo tratamento ou o subcontratante. 2. Os pedidos de investigação devem ser apresentados por escrito ao encarregado da proteção de dados. Em caso de abuso óbvio do direito de requerer uma investigação, por exemplo, quando a mesma pessoa fez pedido idêntico recentemente, o encarregado da proteção de dados não é obrigado a responder ao requerente. 3. No prazo de 15 dias após a receção de um pedido de investigação, o encarregado da proteção de dados envia um aviso de receção à pessoa que fez o pedido e verifica se o pedido deve ser tratado como confidencial. 4. O encarregado da proteção de dados pede ao responsável delegado pelo tratamento objeto de um pedido de investigação que elabore um relatório escrito sobre a questão. O responsável delegado pelo tratamento tem um prazo de 15 dias para dar a sua resposta ao encarregado da proteção de dados. O encarregado da proteção de dados pode solicitar informações complementares ao responsável delegado pelo tratamento, ao responsável operacional pelo tratamento, ao subcontratante ou a outros serviços competentes do SCG. Se for caso disso, pode pedir um parecer sobre a questão ao Serviço Jurídico do Conselho. As informações ou o parecer são transmitidos ao encarregado da proteção de dados no prazo de 30 dias. 5. O encarregado da proteção de dados tem um prazo máximo de três meses após a receção do pedido de investigação para apresentar um relatório à pessoa que apresentou esse pedido. Esse prazo pode ser suspenso até o encarregado da proteção de dados obter todas as informações necessárias que eventualmente tenha solicitado. 6. Ninguém pode ser prejudicado por uma questão levada ao conhecimento do encarregado da proteção de dados por alegadamente constituir uma violação do Regulamento (UE) 2018/1725.

Artigo 15.o Disposições gerais relativas ao exercício de direitos pelos titulares dos dados 1. Os direitos dos titulares de dados, conforme previsto nos artigos 14.o a 24.o do Regulamento (UE) 2018/1725, apenas podem ser exercidos pelo titular de dados ou pelo seu representante devidamente autorizado. 2. O titular de dados transmite os pedidos por escrito ao responsável operacional pelo tratamento, com cópia para o encarregado da proteção de dados. Se necessário, o encarregado da proteção de dados presta assistência ao titular de dados na identificação do responsável operacional em questão. O pedido pode ser transmitido em formato eletrónico e nele devem constar as seguintes informações: a) O apelido, o nome próprio e os contactos do titular dos dados e a data do pedido; b) A indicação do direito a ser exercido e, se for caso disso, documentos justificativos relacionados com o pedido; c) A categoria ou categorias dos dados pessoais em causa. 3. O responsável operacional pelo tratamento envia ao titular de dados um aviso de receção no prazo de cinco dias úteis a contar do registo do pedido. O responsável operacional pelo tratamento solicita os esclarecimentos necessários em caso de pedidos pouco claros ou incompletos. Os prazos aplicáveis não começam a contar nos termos do artigo 14.o, n.os 3 e 4, do Regulamento (UE) 2018/1725 até todas estas questões ficarem definitivamente esclarecidas. 4. O responsável operacional pelo tratamento verifica a identidade do titular de dados, em conformidade com o artigo 14.o, n.o 6, do Regulamento (UE) 2018/1725. Durante o período de verificação da identidade, não começam a contar os prazos aplicáveis nos termos do artigo 14.o, n.os 3 e 4, do Regulamento (UE) 2018/1725. 5. O responsável operacional pelo tratamento defere o pedido ou declara por escrito os motivos do indeferimento total ou parcial, dentro dos prazos previstos no artigo 14.o, n.os 3 e 4, do Regulamento (UE) 2018/1725. 6. No caso de um pedido muito complexo, de irregularidades ou de abuso óbvio por parte do titular de dados no exercício dos seus direitos, caso o tratamento devido de um pedido for suscetível de constituir um risco para os direitos e liberdades de outros titulares de dados e caso o titular de dados alegue que o tratamento é ilícito, o responsável operacional pelo tratamento consulta o encarregado da proteção de dados.

Artigo 16.o Reclamações no âmbito do Artigo 90.o Em caso de reclamação na aceção do artigo 90.o do Estatuto («a reclamação do artigo 90.o») relativa a uma questão relacionada com o tratamento de dados pessoais, a autoridade investida do poder de nomeação consulta o encarregado da proteção de dados. Sem afetar a admissibilidade da reclamação prevista no âmbito do Artigo 90.o, o membro do pessoal deve indicar nessa reclamação se, paralelamente à mesma, foi apresentada uma reclamação à AEPD. O encarregado da proteção de dados tem um prazo de 15 dias a contar da data de receção do pedido da autoridade investida do poder de nomeação para emitir parecer por escrito. Se, findo esse prazo, o encarregado da proteção de dados não tiver emitido o seu parecer, esse parecer deixa de ser obrigatório. A autoridade investida do poder de nomeação não fica vinculada ao parecer do encarregado da proteção de dados.

SECÇÃO 5

LIMITAÇÕES DOS DIREITOS DOS TITULARES DOS DADOS NO CONTEXTO DO EXERCÍCIO DAS FUNÇÕES DO ENCARREGADO DA PROTEÇÃO DE DADOS

Artigo 17.o Exceções e limitações 1. Caso cumpra os seus deveres no que respeito aos direitos dos titulares de dados, nos termos do Regulamento (UE) 2018/1725, o Conselho ou o SGC pondera se são aplicáveis alguma das exceções previstas no referido regulamento. 2. Sob reserva do disposto nos artigos 18.o a 22.o da presente decisão, o Conselho ou o SGC pode limitar, nos termos dos artigo 25.o, n.o 1, alíneas c), g) e h), do Regulamento (UE) 2018/1725, a aplicação dos artigos 14.o a 17.o, 19.o, 20.o e 35.o desse regulamento, bem como a aplicação do princípio da transparência estabelecido no artigo 4.o, n.o 1. alínea a), do referido regulamento, na medida em que as suas disposições correspondam aos direitos e obrigações previstos nos artigos 14.o a 17.o, 19.o e 20.o desse regulamento, caso o exercício desses direitos e o cumprimento dessas obrigações comprometa o exercício das funções do encarregado da proteção de dados, nomeadamente, ao revelar os seus instrumentos e métodos de investigação ou auditoria, ou prejudique os direitos e liberdades de outros titulares de dados. 3. Sob reserva do disposto nos artigos 18.o a 22.o da presente decisão, o Conselho ou o SGC pode limitar os direitos e obrigações a que se refere o n.o 2 do presente artigo em relação aos dados pessoais obtidos pelo encarregado da proteção de dados junto das direções-gerais ou dos serviços do SGC ou de outras instituições ou órgãos da União. O Conselho ou o SGC pode fazê-lo nos casos em que o exercício desses direitos e o cumprimento dessas obrigações possa ser limitado por essas das direções-gerais ou serviços ou por outras instituições ou órgãos com base noutros atos previstos no artigo 25.o do Regulamento (UE) 2018/1725 ou em conformidade com o capítulo IX do referido regulamento, ou ainda em conformidade com o Regulamento (UE) 2016/794 do Parlamento Europeu e do Conselho (10) ou com o Regulamento (UE) 2017/1939 do Conselho (11). Antes de aplicar limitações nas circunstâncias a que se refere o primeiro parágrafo, o Conselho ou o SGC consulta a instituição ou os órgãos da União competentes, salvo se for claro que a aplicação de uma limitação está prevista num dos atos referidos nesse parágrafo. 4. As limitações dos direitos e obrigações a que se refere o n.o 2 devem ser necessárias e proporcionadas, tendo em conta os riscos para os direitos e liberdades dos titulares de dados.

Artigo 18.o Prestação de informações aos titulares de dados 1. O SCG publica no sítio Web do Conselho avisos relativos à proteção de dados, a fim de informar os titulares de dados das funções do encarregado da proteção de dados que envolvam o tratamento dos seus dados pessoais. 2. O SGC informa individualmente, num formato adequado, as pessoas singulares que considere em causa no âmbito das funções do encarregado da proteção de dados. 3. Caso o SGC limite, total ou parcialmente, a prestação de informações aos titulares de dados referida no n.o 2 do presente artigo, o SGC procede ao registo dos motivos dessa limitação, em conformidade com o artigo 21.o.

Artigo 19.o Direito de acesso dos titulares de dados, direito ao apagamento dos dados e direito à limitação do tratamento 1. Caso o Conselho ou o SGC limitem, total ou parcialmente, o direito de acesso aos dados pessoais pelos titulares de dados, o direito ao apagamento ou o direito à limitação do tratamento a que se referem, respetivamente, os artigos 17.o, 19.° e 20.° do Regulamento (UE) 2018/1725, informam, na sua resposta ao pedido de acesso, de apagamento ou de limitação do tratamento, o titular de dados em causa da limitação aplicada e dos principais motivos para tal, bem como da possibilidade de apresentar uma reclamação à AEPD ou de intentar uma ação judicial junto do Tribunal de Justiça da União Europeia. 2. A comunicação das informações sobre os motivos da limitação a que se refere o n.o 1 pode ser adiada, omitida ou recusada na medida em que possa comprometer a finalidade da limitação. O Conselho comunica as informações ao titular de dados logo que as informações deixem de comprometer essa finalidade. 3. O SGC procede ao registo dos motivos da limitação, nos termos do artigo 21.o.

Artigo 20.o Comunicação de uma violação de dados pessoais ao titular de dados Caso o Conselho ou o SGC limite a comunicação de uma violação de dados pessoais ao titular de dados, nos termos do artigo 35.o do Regulamento (UE) 2018/1725, o SGC documenta e regista os motivos da limitação, em conformidade com o artigo 21.o da presente decisão.

Artigo 21.o Registo das limitações 1. O SGC regista os motivos de qualquer limitação aplicada nos termos da presente decisão, incluindo uma avaliação caso a caso da necessidade e proporcionalidade da limitação, tendo em conta os elementos pertinentes do artigo 25.o, n.o 2, do Regulamento (UE) 2018/1725. Para o efeito, a entrada a inscrever no registo deve indicar de que forma o exercício dos direitos a que se referem os artigos 14.o a 17.°, 19.°, 20.° e 35.° desse regulamento, ou a aplicação do princípio de transparência consagrado no artigo 4.o, n.o 1, do mesmo regulamento prejudicaria as atividades do encarregado da proteção de dados ao abrigo da presente decisão ou as limitações aplicadas nos termos do artigo 17.o, n.os 2 ou 3, da presente decisão, ou afetaria negativamente os direitos e liberdades de outros titulares de dados. 2. As informações incluídas nessa entrada e, se for caso disso, os documentos que contenham elementos factuais e jurídicos subjacentes são inscritos num registo e são disponibilizados à AEPD a pedido.

Artigo 22.o Duração das limitações 1. As limitações a que se referem os artigos 18.o, 19.o e 20.o continuam a ser aplicáveis enquanto subsistirem os motivos que as justificam. 2. Caso os motivos de uma limitação a que se referem os artigos 18.o e 20.o deixem de existir, o SGC levanta a limitação e apresenta os motivos da limitação ao titular de dados. Ao mesmo tempo, o SCG deve informar o titular de dados sobre a possibilidade de apresentar, a qualquer momento, uma reclamação à AEPD ou de intentar uma ação judicial junto do Tribunal de Justiça da União Europeia. 3. O SGC deve rever a aplicação das limitações referidas nos artigos 18.o e 20.o, de seis em seis meses a partir da sua adoção e, em qualquer dos casos, no momento do encerramento da atividade pertinente do encarregado da proteção de dados. Após esse encerramento, o SGC deve controlar uma vez por ano a necessidade de manter qualquer limitação ou adiamento.

Artigo 23.o Reexame pelo encarregado da proteção de dados 1. Caso outras direções-gerais ou serviços do SGC concluam que os direitos de um titular de dados devam ser limitados nos termos da presente decisão, informam o encarregado da proteção de dados. Facultam igualmente ao encarregado da proteção de dados acesso à entrada no registo e a quaisquer documentos que contenham elementos factuais e jurídicos subjacentes. O envolvimento do encarregado da proteção de dados na aplicação das limitações deve ser documentado de forma pormenorizada. 2. O encarregado da proteção de dados pode solicitar ao responsável delegado pelo tratamento que reexamine a aplicação das limitações. O responsável delegado em causa informa o encarregado da proteção de dados, por escrito, do resultado do reexame solicitado.

SECÇÃO 6

DISPOSIÇÕES FINAIS

Artigo 24.o Revogação É revogada a Decisão 2004/644/CE.

Artigo 25.o Entrada em vigor A presente decisão entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

Feito no Luxemburgo, em 28 de junho de 2021. Pelo Conselho A Presidente M. do C. ANTUNES

(1) JO L 295 de 21.11.2018, p. 39.

(2) Parecer de 6 de abril de 2021 (ainda não publicado no Jornal Oficial).

(3) Regulamento (CE) n.o 1049/2001 do Parlamento Europeu e do Conselho, de 30 de maio de 2001, relativo ao acesso do público aos documentos do Parlamento Europeu, do Conselho e da Comissão (JO L 145 de 31.5.2001, p. 43).

(4) Decisão 2004/338/UE do Conselho, de 22 de março de 2004, que aprova o Regulamento Interno do Conselho (JO L 106 de 15.4.2004, p. 22).

(5) Decisão 2013/488/UE do Conselho, de 23 de setembro de 2013, relativa às regras de segurança aplicáveis à proteção das informações classificadas da EU (JO L 274 de 15.10.2013, p. 1).

(6) Decisão do Secretário-Geral do Conselho/Alto-Representante para a Política Externa e de Segurança Comum, de 25 de junho de 2001, sobre um código de boas práticas administrativas para uso do Secretariado-Geral do Conselho da União Europeia e do seu pessoal no relacionamento profissional com o público (JO C 189 de 5.7.2001, p. 1).

(7) Decisão 2004/644/CE do Conselho, de 13 de setembro de 2004, que aprova regras de execução do Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (JO L 296 de 21.9.2004, p. 16).

(8) JO L 56 de 4.3.1968, p. 1.

(9) Regulamento (UE, Euratom) 2018/1046 do Parlamento Europeu e do Conselho, de 18 de julho de 2018, relativo às disposições financeiras aplicáveis ao orçamento geral da União, que altera os Regulamentos (UE) n.o 1296/2013, (UE) n.o 1301/2013, (UE) n.o 1303/2013, UE n.o 1304/2013, (UE) n.o 1309/2013, (UE) n.o 1316/2013, (UE) n.o 223/2014 e (UE) n.o 283/2014, e a Decisão n.o 541/2014/UE, e revoga o Regulamento (UE, Euratom) n.o 966/2012 (JO L 193 de 30.7.2018, p. 1).

(10) Regulamento (UE) 2016/794 do Parlamento Europeu e do Conselho, de 11 de maio de 2016, que cria a Agência da União Europeia para a Cooperação Policial (Europol) e que substitui e revoga as Decisões 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI e 2009/968/JAI do Conselho (JO L 135 de 24.5.2016, p. 53).

(11) Regulamento (UE) 2017/1939 do Conselho, de 12 de outubro de 2017, que dá execução a uma cooperação reforçada para a instituição da Procuradoria Europeia (JO L 283 de 31.10.2017, p. 1).