DECISÃO (UE) 2018/1962 DA COMISSÃO

de 11 de dezembro de 2018

que estabelece as normas internas para o tratamento dos dados pessoais pelo Organismo Europeu de Luta Antifraude (OLAF) no que respeita à prestação de informações aos titulares dos dados e à limitação de alguns dos direitos destes em conformidade com o artigo 25.o do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho

A COMISSÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 249.o, n.o 1,

Considerando o seguinte:

(1) O Organismo Europeu de Luta Antifraude («Organismo») foi instituído pela Decisão 1999/352/CE, CECA, Euratom da Comissão (1) como serviço da Comissão. O Organismo efetua inquéritos com total independência.

(2) O Organismo efetua inquéritos administrativos destinados a combater a fraude, a corrupção e quaisquer outras atividades ilegais lesivas dos interesses financeiros da União, em conformidade com o Regulamento (UE, Euratom) n.o 883/2013 do Parlamento Europeu e do Conselho (2). Para o efeito, exerce o poder de inquérito nos Estados-Membros, atribuído à Comissão pelos atos aplicáveis da União, bem como, em países terceiros e instalações de organizações internacionais, nos termos de acordos de cooperação e de assistência mútua, ou de qualquer outro instrumento jurídico em vigor.

(3) O Organismo efetua igualmente inquéritos administrativos nas instituições, órgãos, organismos e agências criados pelos Tratados ou com base nestes. No âmbito do seu mandato de inquérito, o Organismo recolhe informações de interesse para o inquérito, incluindo dados pessoais, provenientes de várias fontes — autoridades públicas, entidades privadas e pessoas singulares — e intercambia tais informações com as instituições, órgãos, organismos e agências da União, com as autoridades competentes dos Estados-Membros e de países terceiros, bem como com organizações internacionais, antes, durante e após as atividades de inquérito ou de coordenação.

(4) No quadro das suas atividades, o Organismo trata várias categorias de dados pessoais, nomeadamente dados de identificação, dados de contacto, dados profissionais e dados de envolvimento em casos. O Organismo, representado pelo seu diretor-geral, atua como responsável pelo tratamento dos dados. Os dados pessoais são armazenados num ambiente eletrónico seguro, que impede a pessoas que não têm necessidade de os conhecer o acesso ilegal aos mesmos e a sua transferência ilegal. Os dados pessoais tratados são conservados por um período de quinze anos após o arquivamento do caso ou o encerramento do inquérito ou do processo de coordenação por decisão do diretor-geral. No termo do período de conservação, as informações relativas ao caso, incluindo os dados pessoais, são transferidas para os arquivos históricos.

(5) No exercício das suas funções, o Organismo é obrigado a respeitar os direitos das pessoas singulares em relação ao tratamento de dados pessoais, reconhecidos no artigo 8.o, n.o 1, da Carta dos Direitos Fundamentais da União Europeia e no artigo 16.o, n.o 1, do Tratado, bem como por atos jurídicos com base nessas disposições. Ao mesmo tempo, o Organismo deve cumprir normas estritas de confidencialidade e sigilo profissional, a que se refere o artigo 10.o do Regulamento (UE, Euratom) n.o 883/2013, e garantir o respeito dos direitos processuais das pessoas em causa e das testemunhas, a que se refere o artigo 9.o do mesmo regulamento, em especial o direito das pessoas em causa à presunção de inocência.

(6) O ambiente eletrónico seguro em que são conservados os dados pessoais, bem como as garantias processuais e as regras estritas de confidencialidade e de sigilo profissional, referidos, respetivamente, nos artigos 9.o e 10.o do Regulamento (UE, Euratom) n.o 883/2013, garantem um elevado nível de proteção dos titulares dos dados objeto do tratamento contra os riscos para os seus direitos e liberdades.

(7) Em determinadas circunstâncias, é necessário conciliar os direitos dos titulares de dados, protegidos nos termos do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (3), com as necessidades dos inquéritos e a confidencialidade do intercâmbio de informações com outras autoridades públicas competentes, bem como com o pleno respeito dos direitos e liberdades fundamentais de outros titulares de dados. Para o efeito, o artigo 25.o do citado regulamento confere ao Organismo a possibilidade de limitar a aplicação dos artigos 14.o a 22.o, dos artigos 35.o e 36.o, e do artigo 4.o, na medida em que as disposições daquele artigo correspondam aos direitos e deveres estabelecidos nos artigos 14.o a 22.o.

(8) O Organismo nomeia, em conformidade com o artigo 10.o, n.o 4, do Regulamento (UE, Euratom) n.o 883/2013, um responsável pela proteção dos dados, nos termos do artigo 24.o do Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho (4).

(9) A fim de garantir a confidencialidade e a eficácia dos inquéritos e de outras atividades operacionais efetuados pelo Organismo no respeito das normas de proteção dos dados pessoais nos termos do Regulamento (UE) 2018/1725, é necessário adotar normas internas que rejam a limitação dos direitos dos titulares dos dados pelo Organismo, em conformidade com o artigo 25.o do mesmo regulamento.

(10) O âmbito de aplicação do ato jurídico deve abranger todas as operações de tratamento realizadas pelo Organismo no exercício da sua função de inquérito independente. As normas devem aplicar-se às operações de tratamento realizadas antes da abertura de um inquérito, tanto interno, como externo, a que se referem os artigos 3.o e 4.o do Regulamento (UE, Euratom) n.o 883/2013, bem como à supervisão do seguimento dado aos resultados dos inquéritos. Essas normas devem aplicar-se também às operações de tratamento integradas nas atividades ligadas à função de inquérito, tais como o sistema de comunicação de fraudes, análises operacionais, bases de dados de cooperação internacional, bem como operações que possam conter dados de investigação, como, por exemplo, no tratamento de investigações realizadas pelo responsável pela proteção de dados (RPD) ou noutros processos de queixa conduzidos pelo Organismo. Devem aplicar-se ainda à assistência prestada às autoridades nacionais e organizações internacionais pelo Organismo, assim como à cooperação deste com aquelas, fora dos seus inquéritos administrativos.

(11) A fim de dar cumprimento aos artigos 14.o, 15.o e 16.o do Regulamento (UE) 2018/1725, o Organismo deve informar todos as pessoas singulares das suas atividades que envolvam o tratamento dos seus dados pessoais e dos seus direitos, de forma transparente e coerente, sob a forma de avisos sobre a proteção de dados publicados no sítio Web do Organismo, bem como informar individualmente, no formato adequado, os titulares de dados – pessoas em causa, testemunhas e informadores – relevantes para o inquérito.

(12) Sem prejuízo da aplicação das exceções previstas no Regulamento (UE) 2018/1725, o Organismo pode ter de limitar a prestação de informações aos titulares dos dados e o exercício de outros direitos dos titulares dos dados, a fim de proteger os seus próprios inquéritos, as investigações e os processos das autoridades públicas dos Estados-Membros, os instrumentos e métodos de investigação, bem como os direitos de outras pessoas relacionados com os seus inquéritos.

(13) Em alguns casos, a prestação de informações específicas aos titulares dos dados, ou a revelação da existência de um inquérito, pode impossibilitar ou prejudicar gravemente o objetivo da operação de tratamento e a capacidade do Organismo, ou das autoridades nacionais competentes, de instituições, órgãos, organismos e agências da União para investigarem eficazmente no futuro.

(14) Além disso, o Organismo deve proteger a identidade dos informadores, inclusivamente dos denunciantes e das testemunhas, que não devem ser afetados negativamente pela sua cooperação com o Organismo.

(15) Por estes motivos, o Organismo pode ter de invocar determinados fundamentos, referidos no artigo 25.o do Regulamento (UE) 2018/1725, para aplicar limitações às operações de tratamento de dados efetuadas no âmbito das atribuições do Organismo, previstas no artigo 2.o da Decisão 1999/352/CE, CECA, Euratom.

(16) Além disso, a fim de manter uma cooperação eficaz, o Organismo pode ter de aplicar limitações aos direitos dos titulares dos dados para proteger as informações que contenham dados pessoais provenientes dos serviços da Comissão ou de outras instituições, órgãos, organismos e agências da União, de autoridades competentes dos Estados-Membros e de países terceiros, bem como de organizações internacionais. Para o efeito, o Organismo deve consultar tais serviços, instituições, órgãos, organismos, agências, autoridades e organizações internacionais sobre os motivos pertinentes às limitações, bem como sobre a necessidade e a proporcionalidade destas.

(17) No quadro da sua função de inquérito, o Organismo procede frequentemente ao intercâmbio de informações, incluindo dados pessoais, com, entre outros, serviços da Comissão e agências de execução que assistem os serviços da Comissão na execução dos seus programas. Em conformidade com do artigo 25.o, n.o 5, do Regulamento (UE) 2018/1725, por força do qual as regras internas devem ser adotadas ao mais alto nível de direção das instituições, órgãos, agências e serviços da União em causa, a presente decisão deve abranger o tratamento dos dados pessoais contidos nas informações que estes devem transmitir ao Organismo. Por conseguinte, todos os serviços da Comissão e agências de execução que tratam dados pessoais e devem informar o Organismo por força do artigo 8.o, n.o 1, do Regulamento (UE, Euratom) n.o 883/2013, e o Organismo, se esses dados pessoais forem por este tratados no exercício das suas funções, devem aplicar as normas estabelecidas pela presente decisão, para protegerem as operações de tratamento realizadas pelo Organismo. Em tais circunstâncias, os serviços da Comissão e agências de execução em causa devem consultar o Organismo sobre os motivos subjacentes às limitações, bem como sobre a necessidade e proporcionalidade destas, a fim de assegurar a sua aplicação coerente.

(18) O Organismo e, se for caso disso, os serviços da Comissão e agências de execução, devem tratar todas as limitações de forma transparente e introduzir os pedidos de limitação no sistema de registo correspondente.

(19) Nos termos do artigo 25.o, n.o 8, do Regulamento (UE) 2018/1725, os responsáveis pelo tratamento podem adiar a informação ao titular dos dados sobre os motivos para a aplicação de uma limitação, ou abster-se de o fazerem, se tal comprometer de algum modo a finalidade da limitação. A notificação de tal limitação compromete a finalidade desta, em particular, nos casos em que se trate da limitação dos direitos previstos nos artigos 16.o e 35.o. A fim de assegurar que o direito do titular dos dados de ser informado nos termos dos artigos 16.o e 38.o do Regulamento (UE) 2018/1725 é limitado apenas enquanto perdurarem os motivos para o adiamento da comunicação das informações, o Organismo deve reexaminar periodicamente a sua posição.

(20) Sempre que seja aplicada uma limitação dos direitos de outros titulares dos dados, incumbe ao responsável pelo tratamento verificar, caso a caso, se a comunicação da limitação comprometeria a sua finalidade.

(21) O responsável pela proteção de dados do Organismo e, se for caso disso, o responsável pela proteção de dados da Comissão ou da agência de execução em causa, deve igualmente proceder a uma análise independente da aplicação das limitações, com vista a assegurar o cumprimento da presente decisão.

(22) O Regulamento (UE) 2018/1725 substitui o Regulamento (CE) n.o 45/2001, sem qualquer período transitório, a partir da data da sua entrada em vigor. A possibilidade de se aplicarem limitações a certos direitos estava prevista no Regulamento (CE) n.o 45/2001. A fim de não comprometer o objetivo dos inquéritos no âmbito das competências do Organismo nem prejudicar os direitos e as liberdades de terceiros, a presente decisão deve ser aplicável a partir da data de entrada em vigor do Regulamento (UE) 2018/1725.

(23) A Autoridade Europeia para a Proteção de Dados foi consultada em 23 de novembro de 2018,

ADOTOU A PRESENTE DECISÃO:

Artigo 1.o Objeto e âmbito 1. A presente decisão estabelece as normas a cumprir pelo Organismo Europeu de Luta Antifraude («Organismo») ao informar os titulares dos dados sobre o tratamento destes, em conformidade com os artigos 14.o, 15.o e 16.o do Regulamento (UE) 2018/1725. Estabelece igualmente as condições em que o Organismo pode restringir a aplicação dos artigos 4.o, 14.o a 20.o e 35.o do Regulamento (UE) 2018/1725, em conformidade com o artigo 25.o do mesmo regulamento. 2. A presente decisão aplica-se ao tratamento de dados pessoais efetuado pelo Organismo para efeitos das atividades realizadas com o objetivo de desempenhar as funções do Organismo a que se refere o artigo 2.o da Decisão 1999/352/CE, CECA, Euratom e do Regulamento (UE, Euratom) n.o 883/2013 ou relacionado com essas atividades. 3. A presente decisão aplica-se ao tratamento de dados pessoais pelos serviços da Comissão e agências de execução, na medida em que tratem dados pessoais constantes de informações que devam transmitir ao Organismo nos termos do artigo 8.o, n.o 1, do Regulamento (UE, Euratom) n.o 883/2013 ou dados pessoais já tratados pelo Organismo para efeitos das atividades referidas no n.o 2 do presente artigo ou com estas relacionados.

Artigo 2.o Exceções e limitações aplicáveis 1. Sempre que o Organismo exercer as suas funções no que diz respeito aos direitos dos titulares dos dados nos termos do Regulamento (UE) 2018/1725, deve verificar se se aplicam quaisquer exceções previstas nesse regulamento. 2. Sob reserva do disposto nos artigos 3.o a 6.o da presente decisão, o Organismo pode limitar a aplicação dos artigos 14.o a 20.o e do artigo 35.o do Regulamento (UE) 2018/1725, bem como do artigo 4.o, na medida em que as suas disposições correspondam aos direitos e deveres previstos nos artigos 14.o a 20.o e no artigo 35.o do Regulamento (UE) 2018/1725, nos casos em que o exercício desses direitos e deveres possa comprometer a finalidade das atividades de inquérito do Organismo, ao revelar, por exemplo, os seus instrumentos e métodos de inquérito, ou prejudicar os direitos e as liberdades de outros titulares dos dados. 3. Sob reserva do disposto nos artigos 3.o a 6.o da presente decisão, o Organismo pode limitar os direitos e deveres referidos no n.o 2 do presente artigo relativamente a dados pessoais provenientes de serviços da Comissão ou de outras instituições, órgãos, agências e serviços da União, de autoridades competentes dos Estados-Membros ou de países terceiros, ou de organizações internacionais, nas seguintes circunstâncias: a) Se o exercício desses direitos e deveres puder ser limitado por serviços da Comissão ou outras instituições, órgãos, agências e serviços da União com base noutros atos previstos no artigo 25.o do Regulamento (UE) 2018/1725, ou em conformidade com o capítulo IX desse regulamento, ou com os atos constitutivos de outras instituições, órgãos, agências e serviços da União; b) Se o exercício desses direitos e deveres puder ser limitado pelas autoridades competentes dos Estados-Membros com base nos atos referidos no artigo 23.o do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (5), ou ao abrigo de medidas nacionais de transposição dos artigos 13.o, n.o 3, 15.o, n.o 3, ou 16.o, n.o 3, da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho (6); c) Nos casos em que o exercício desses direitos e deveres possa pôr em causa a cooperação do Organismo com países terceiros ou organizações internacionais no exercício das suas funções. Antes de aplicar limitações nas circunstâncias referidas nas alíneas a) e b) do primeiro parágrafo, o Organismo deve consultar os serviços competentes da Comissão, de outras instituições, órgãos, agências e serviços da União ou de autoridades competentes dos Estados-Membros, salvo se para o Organismo for claro que a aplicação de uma limitação está prevista num dos atos referidos nessas alíneas. A alínea c) do primeiro parágrafo não se aplica se os interesses ou direitos e liberdades fundamentais dos titulares dos dados prevalecerem sobre o interesse da União em cooperar com países terceiros ou com organizações internacionais. 4. Sempre que os serviços da Comissão e as agências de execução procedam ao tratamento de dados pessoais nos casos referidos no artigo 1.o, n.o 3, podem, se necessário, aplicar limitações em conformidade com a presente decisão. Devem, para o efeito, consultar o Organismo, salvo se para o serviço da Comissão ou a agência de execução em causa seja claro que a aplicação de uma limitação se justifica ao abrigo da presente decisão.

Artigo 3.o Comunicação de informações aos titulares dos dados 1. O Organismo deve publicar no seu sítio web avisos sobre a proteção de dados, a fim de informar todos os titulares dos dados das suas atividades que envolvam o tratamento dos dados pessoais destes. 2. O Organismo deve informar individualmente todos os titulares dos dados que considere serem pessoas em causa, testemunhas ou informadores na aceção do Regulamento (UE, Euratom) n.o 883/2013. 3. Se o Organismo limitar, total ou parcialmente, a comunicação da informação aos titulares dos dados referida no n.o 2, deve indicar os motivos da limitação, incluindo a avaliação da necessidade e da proporcionalidade dessa limitação. Para o efeito, o registo deve indicar de que forma a comunicação da informação comprometeria a finalidade das atividades de inquérito do Organismo ou das limitações aplicadas nos termos do artigo 2.o, n.o 3, ou prejudicaria os direitos e as liberdades de outros titulares de dados. Essa indicação e, se for caso disso, os documentos que contenham elementos factuais e jurídicos subjacentes devem ser registados. Devem ser disponibilizados à Autoridade Europeia para a Proteção de Dados, mediante pedido. 4. A limitação referida no n.o 3 continuará a aplicar-se enquanto se mantiverem os motivos que a justificam. Se os motivos da limitação cessarem, o Organismo deve comunicar as informações em causa e os motivos da limitação ao titular dos dados. O Organismo deve, simultaneamente, informar o titular dos dados da possibilidade de apresentar, a todo o tempo, uma reclamação à Autoridade Europeia para a Proteção de Dados ou de intentar uma ação judicial no Tribunal de Justiça da União Europeia. O Organismo deve reexaminar a aplicação da limitação semestralmente a contar da sua adoção e por ocasião do encerramento do inquérito. Seguidamente, o responsável pelo tratamento deve verificar anualmente a necessidade de se manter qualquer limitação.

Artigo 4.o Direito de acesso do titular dos dados 1. Sempre que os titulares dos dados solicitarem o acesso aos seus dados pessoais tratados no contexto de um ou mais casos específicos ou de uma determinada operação de tratamento, em conformidade com o artigo 17.o do Regulamento (UE) 2018/1725, o Organismo deve restringir a sua apreciação do pedido a esses dados pessoais. 2. Se o Organismo limitar, no todo ou em parte, o direito de acesso previsto no artigo 17.o do Regulamento (UE) 2018/1725, deve tomar as seguintes medidas: a) Informar o titular dos dados em causa, na sua resposta ao pedido, da limitação aplicada e dos principais motivos para tal, bem como da possibilidade de apresentar uma reclamação à Autoridade Europeia para a Proteção de Dados ou de intentar uma ação judicial no Tribunal de Justiça da União Europeia; b) Documentar os motivos da limitação, incluindo uma avaliação da necessidade e da proporcionalidade dessa limitação; Para o efeito, a documentação deve indicar de que forma a concessão de acesso comprometeria a finalidade das atividades de inquérito do Organismo ou das limitações aplicadas nos termos do artigo 2.o, n.o 3, ou prejudicaria os direitos e as liberdades de outros titulares de dados. A comunicação das informações a que se refere a alínea a) pode ser adiada, omitida ou recusada, em conformidade com o artigo 25.o, n.o 8, do Regulamento (UE) 2018/1725. 3. Deve ser registada a documentação referida no n.o 2, alínea b), devendo sê-lo igualmente, se aplicável, os documentos que contenham elementos factuais e jurídicos subjacentes. Devem ser disponibilizados à Autoridade Europeia para a Proteção de Dados, mediante pedido. Aplica-se o artigo 25.o, n.o 7, do Regulamento (UE) 2018/1725.

Artigo 5.o Direito de retificação, apagamento e limitação do tratamento Sempre que o Organismo limitar, total ou parcialmente, o exercício do direito de retificação, do direito ao apagamento ou do direito à limitação do tratamento, a que se referem os artigos 18.o, 19.o, n.o 1, e 20.o, n.o 1, do Regulamento (UE) 2018/1725, deve tomar as medidas indicadas no artigo 4.o, n.o 2, da presente decisão e registar a documentação em conformidade com o artigo 4.o, n.o 3.

Artigo 6.o Comunicação de uma violação de dados pessoais ao titular dos dados Sempre que limitar a comunicação de uma violação de dados pessoais ao titular dos dados, nos termos do artigo 35.o do Regulamento (UE) 2018/1725, o Organismo deve documentar e registar os motivos da limitação, em conformidade com o artigo 3.o, n.o 3, da presente decisão. Aplica-se o artigo 3.o, n.o 4, da presente decisão.

Artigo 7.o Reexame pelo responsável pela proteção de dados 1. O responsável pela proteção de dados do Organismo (a seguir designado por «RPD do Organismo») deve ser informado, sem demora injustificada, sempre que os direitos dos titulares dos dados forem limitados em conformidade com a presente decisão. O RPD do Organismo deve ter acesso ao registo e a quaisquer documentos que contenham elementos factuais e jurídicos subjacentes. O RPD do Organismo pode solicitar o reexame da limitação. O RPD do Organismo deve ser informado por escrito do resultado do reexame solicitado. 2. Sempre que os serviços da Comissão e as agências de execução procedam ao tratamento de dados pessoais nos casos referidos no artigo 1.o, n.o 3, o responsável pela proteção de dados da Comissão (a seguir designado por «RPD da Comissão») ou, se aplicável, o responsável pela proteção de dados da agência de execução em causa (a seguir designado por «RPD da agência») deve ser informado, sem demora injustificada, sempre que os direitos dos titulares dos dados sejam limitados em conformidade com a presente decisão. A pedido, o RPD da Comissão ou, se aplicável, o RPD da agência deve ter acesso ao registo e a quaisquer documentos que contenham elementos factuais e jurídicos subjacentes. O RPD da Comissão ou, se aplicável, o RPD da agência pode solicitar um reexame das limitações. O RPD da Comissão ou o RPD da agência deve ser informado por escrito do resultado do reexame solicitado. 3. Devem ser registadas de forma adequada todas as trocas de informações com o RPD ao longo de todo o processo.

Artigo 8.o Entrada em vigor A presente decisão entra em vigor no dia da sua publicação no Jornal Oficial da União Europeia. A presente decisão é aplicável a partir de 11 de dezembro de 2018.

Feito em Bruxelas, em 11 de dezembro de 2018. Pela Comissão O Presidente Jean-Claude JUNCKER

(1) Decisão 1999/352/CE, CECA, Euratom da Comissão, de 28 de abril de 1999, que institui o Organismo Europeu de Luta Antifraude (OLAF) (JO L 136 de 31.5.1999, p. 20).

(2) Regulamento (UE, Euratom) n.o 883/2013 do Parlamento Europeu e do Conselho, de 11 de setembro de 2013, relativo aos inquéritos efetuados pelo Organismo Europeu de Luta Antifraude (OLAF) e que revoga o Regulamento (CE) n.o 1073/1999 do Parlamento Europeu e do Conselho e o Regulamento (Euratom) n.o 1074/1999 do Conselho (JO L 248 de 18.9.2013, p. 1).

(3) Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (JO L 295 de 21.11.2018, p. 39).

(4) Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de dezembro de 2000, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (JO L 8 de 12.1.2001, p. 1).

(5) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).

(6) Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de crimes ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão-Quadro 2008/977/JAI do Conselho (JO L 119 de 4.5.2016, p. 89).