O Regulamento n.o 45/2001 dispõe:

«[…]

Artigo 1.o

Objecto do regulamento

1. As instituições e os órgãos criados pelos Tratados que instituem as Comunidades Europeias, ou com base nesses Tratados, adiante designados ‘instituições e órgãos comunitários’, asseguram, nos termos do presente regulamento, a protecção das liberdades e dos direitos fundamentais das pessoas singulares, nomeadamente do direito à vida privada, no que diz respeito ao tratamento de dados pessoais, e não limitam nem proíbem a livre circulação de dados pessoais entre eles ou entre eles e destinatários abrangidos pela legislação nacional dos Estados-Membros que transponha a Directiva 95/46 […].

2. A autoridade independente de controlo criada no presente regulamento, adiante designada Autoridade Europeia para a protecção de dados, controla a aplicação das disposições do presente regulamento a todas as operações de tratamento efectuadas pelas instituições e órgãos comunitários.

Artigo 2.o

Definições

Para efeitos do presente regulamento, entende-se por:

a) ‘Dados pessoais’, qualquer informação relativa a uma pessoa singular identificada ou identificável […]. É considerado identificável quem possa ser identificado, directa ou indirectamente, nomeadamente por referência a um número de identificação ou a um ou mais elementos específicos da sua identidade física, fisiológica, psíquica, económica, cultural ou social;

b) ‘Tratamento de dados pessoais’ […], qualquer operação ou conjunto de operações efectuadas sobre dados pessoais, com ou sem meios automatizados, tais como a recolha, registo, organização, conservação, adaptação ou alteração, recuperação, consulta, utilização, comunicação por transmissão, divulgação ou qualquer outra forma de colocação à disposição, com comparação ou interconexão, bem como o bloqueio, apagamento ou destruição;

c) ‘Ficheiro de dados pessoais’ […], qualquer conjunto estruturado de dados pessoais, acessível segundo critérios determinados, que seja centralizado, descentralizado ou repartido de modo funcional ou geográfico;

[…]

Artigo 3.o

Âmbito de aplicação

1. O presente regulamento é aplicável ao tratamento de dados pessoais por todas as instituições e órgãos comunitários, na medida em que esse tratamento seja executado no exercício de actividades que dependam total ou parcialmente do âmbito de aplicação do direito comunitário.

2. O presente regulamento é aplicável ao tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento por meios não automatizados de dados pessoais contidos num ficheiro ou a ele destinados.

[…]

Artigo 4.o

Qualidade dos dados

1. Os dados pessoais devem ser:

a) Objecto de um tratamento leal e lícito;

b) Recolhidos para finalidades determinadas, explícitas e legítimas e não ser posteriormente tratados de forma incompatível com essas finalidades […].

[…]

Artigo 5.o

Licitude do tratamento

O tratamento de dados pessoais só pode ser efectuado se:

a) For necessário ao exercício de funções de interesse público com fundamento nos Tratados que instituem as Comunidades Europeias ou noutros actos legislativos aprovados com base nesses Tratados, ou no exercício da autoridade pública de que estão investidos a instituição ou o órgão comunitário ou um terceiro a quem os dados sejam comunicados; ou

b) For necessário para o respeito de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito; ou

[…]

d) A pessoa em causa tiver dado de forma inequívoca o seu consentimento […]

Artigo 8.o

Transferência de dados pessoais para destinatários, distintos das instituições e dos órgãos comunitários, abrangidos pela Directiva 95/46 […]

Sem prejuízo dos artigos 4.o 5.o, 6.o e 10.o, os dados pessoais só podem ser transferidos para destinatários abrangidos por legislação nacional aprovada por força da Directiva 95/46[…], se:

a) O destinatário demonstrar que os dados são necessários no desempenho de funções de interesse público ou inerentes ao exercício da autoridade pública, ou

b) O destinatário demonstrar a necessidade da sua transferência e não existirem motivos para supor que os interesses legítimos da pessoa em causa podem ser prejudicados

[…]

Artigo 18.o

Direito de oposição da pessoa em causa

A pessoa em causa tem o direito de:

a) Se opor em qualquer momento, por razões imperiosas e legítimas relacionadas com a sua situação particular, a que os dados que lhe digam respeito sejam objecto de tratamento, excepto nos casos referidos nas alíneas b) [a] d) do artigo 5.o Em caso de oposição justificada, o referido tratamento deixa de poder incidir sobre esses dados;

[…]»