CELEX: 32018D1927
Language: sv
Date: 2018-12-05 00:00:00
Title: Kommissionens beslut (EU) 2018/1927 av den 5 december 2018 om fastställande av interna regler för Europeiska kommissionens behandling av personuppgifter på konkurrensområdet vad gäller tillhandahållande av information till registrerade och begränsning av vissa rättigheter

10.12.2018   
               
               
                  SV
               
               
                  Europeiska unionens officiella tidning
               
               
                  L 313/39
               
            
         KOMMISSIONENS BESLUT (EU) 2018/1927
         av den 5 december 2018
         om fastställande av interna regler för Europeiska kommissionens behandling av personuppgifter på konkurrensområdet vad gäller tillhandahållande av information till registrerade och begränsning av vissa rättigheter
         EUROPEISKA KOMMISSIONEN HAR ANTAGIT DETTA BESLUT
         med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 249.1, och
         av följande skäl:
         
                     (1)
                  
                  
                     Kommissionen utför administrativa utredningar för att genomdriva konkurrensreglerna i enlighet med fördraget och sekundärrätten samt internationella avtal som antagits för detta ändamål (1). I detta syfte utövar kommissionen de utrednings- och genomdrivandebefogenheter (inklusive tillhörande operativa verksamheter) som den tilldelats genom de relevanta unionsakterna på områdena antitrust, koncentrationskontroll och kontroll av statligt stöd.
                  
               
                     (2)
                  
                  
                     Kommissionens utredningar och genomdrivandeåtgärder på konkurrensområdet är inriktade på företag eller medlemsstater som omfattas av konkurrensreglerna i fördraget, inte på fysiska personer. Under konkurrensutredningar behandlas dock personuppgifter i den mening som avses i artikel 3.1 i Europaparlamentets och rådets förordning (EU) 2018/1725 (2) oundvikligen i den mening som avses i artikel 3.3 i den förordningen. Kommissionen måste behandla sådana personuppgifter för att fullgöra de uppgifter som den tilldelats i egenskap av offentlig myndighet som genomdriver unionens konkurrensregler. Utredningar på området antitrust, koncentrationskontroll och kontroll av statligt stöd samt genomdrivande av konkurrensreglerna utgör en tillsyns-, inspektions- eller regleringsfunktion som har samband med myndighetsutövning i de fall som avses i artikel 25.1 c och g i förordning (EU) 2018/1725. Dessa åtgärder syftar till att främja och skydda en konkurrenskraftig inre marknad och skyddar därmed unionens och medlemsstaternas viktiga ekonomiska och finansiella intressen.
                  
               
                     (3)
                  
                  
                     I samband med sina utredningar och genomdrivandeåtgärder på områdena antitrust, koncentrationskontroll och statligt stöd behandlar kommissionen personuppgifter som inhämtats eller mottagits från juridiska personer, fysiska personer, medlemsstater och andra enheter (såsom nationella konkurrensmyndigheter, regleringsorgan och andra offentliga organ och myndigheter), konkurrensmyndigheter i tredjeländer samt internationella organ och organisationer. Kommissionen får under konkurrensutredningar och genomdrivandeåtgärder, antingen på eget initiativ eller på grundval av mottagna synpunkter, även behandla personuppgifter som förvärvats eller erhållits från allmänt tillgängliga källor (till exempel i samband med övervakning eller granskning av marknaden), från anonyma källor (till exempel visselblåsare eller uppgiftslämnare) eller från andra källor (till exempel klagande) vilkas identitet måste skyddas.
                  
               
                     (4)
                  
                  
                     Kommissionen får i sin tur överföra personuppgifter till juridiska eller fysiska personer (exempelvis i samband med förfarandet för tillgång till handlingar), till nationella konkurrensmyndigheter och andra myndigheter och organ inom ramen för det bilaterala eller multilaterala samarbetet med medlemsstaterna eller myndigheter och organisationer i tredjeländer, i nödvändig och lämplig utsträckning för att utöva sina befogenheter, för att skydda rätten till försvar för parter som är föremål för kommissionens förfaranden och för att säkerställa en effektiv och verkningsfull tillämpning av unionens konkurrensregler.
                  
               
                     (5)
                  
                  
                     Behandling av personuppgifter, i den mening som avses i artikel 3.3 i förordning (EU) 2018/1725, som vidtas vid utrednings- och genomdrivandeåtgärder på konkurrensområdet kan äga rum även innan kommissionen formellt inleder ett förfarande, fortsätta under hela handläggningen av utredningen och även fortsätta efter det formella avslutandet av utredningen (till exempel i syfte att övervaka marknaden eller efterlevnaden eller för marknadsgranskning, för att bedöma behovet av att inleda nya undersökningar, rättsliga förfaranden osv.).
                  
               
                     (6)
                  
                  
                     De personuppgifter som behandlas av kommissionen är till exempel uppgifter om identitet, kontaktuppgifter, yrkesrelaterade uppgifter och uppgifter som rör eller har lämnats in i samband med föremålet för utredningen eller förfarandet. Personuppgifterna sparas i en säker elektronisk miljö för att förhindra olaglig åtkomst eller överföring av uppgifter till personer som inte behöver känna till dem. Personuppgifterna lagras av tjänsteavdelningar i kommissionen som ansvarar för utredningen, under den tid som behövs för utredningen, för att bedöma behovet av att inleda nya undersökningar, under det administrativa förfarandet och under en eventuell efterföljande rättslig prövning, och under den administrativa lagringsperiod som följer efter det slutgiltiga avslutandet av ärendet. Vid utgången av lagringsperioden överförs de ärenderelaterade uppgifterna, inbegripet personuppgifter, till kommissionens historiska arkiv (3).
                  
               
                     (7)
                  
                  
                     När kommissionen utför sina uppgifter är den skyldig att respektera fysiska personers rättigheter i samband med den behandling av personuppgifter som erkänns i artikel 8.1 i stadgan om de grundläggande rättigheterna och i artikel 16.1 i fördraget. Samtidigt är kommissionen ansvarig för att kontrollera efterlevnaden av konkurrensreglerna, vilket kräver att kommissionen genomför utredningar i tid, samtidigt som man respekterar reglerna om konfidentialitet och tystnadsplikt (4) samt rätten till försvar för parter som är föremål för utredningarna (5) och rättigheterna för individer vars identitet måste skyddas.
                  
               
                     (8)
                  
                  
                     Under vissa omständigheter är det nödvändigt att sammanjämka de registrerades rättigheter enligt förordning (EU) 2018/1725 med behoven av utredningar och genomdrivandeåtgärder, samt att säkra att andra registrerades rättigheter och friheter respekteras fullt ut. Artikel 25 i förordning (EU) 2018/1725 ger därför kommissionen möjlighet att föreskriva begränsningar i tillämpningen av artiklarna 14–22 och 35, samt artikel 4 i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 14–22 i den förordningen.
                  
               
                     (9)
                  
                  
                     Dessa interna regler bör omfatta all behandling som utförs av kommissionen under utövandet av dess utredningsbefogenheter, oavsett om den agerar på eget initiativ eller på grundval av mottagen information, samt genomdrivandeåtgärder och anknytande operativ verksamhet på områdena antitrust, koncentrationskontroll och statligt stöd, närhelst utövandet av den registrerades rättigheter kan äventyra genomförandet av utredningar eller genomdrivandeåtgärder. Dessa regler bör gälla för de behandlingar som utförs innan det formella förfarandet inleds, under handläggningen av utredningar och efter det formella avslutandet av utredningar, inklusive behandling inom ramen för det bilaterala eller multilaterala samarbetet med nationella konkurrensmyndigheter, medlemsstater eller myndigheter och organisationer i tredjeländer.
                  
               
                     (10)
                  
                  
                     För att uppfylla kraven i artiklarna 14, 15 och 16 i förordning (EU) 2018/1725 bör kommissionen informera alla enskilda personer om verksamhet som innebär behandling av personuppgifter och om deras rättigheter på ett tydligt och konsekvent sätt i form av dataskyddsmeddelanden som offentliggörs på kommissionens webbplats.
                  
               
                     (11)
                  
                  
                     Utan att det påverkar tillämpningen av artiklarna 14.5 och 16.5 i förordning (EU) 2018/1725 kan kommissionen på grundval av artikel 25 i den förordningen också begränsa tillhandahållandet av information till registrerade och tillämpningen av registrerades övriga rättigheter, i syfte att skydda kommissionens egna konkurrensutredningar liksom medlemsstaternas konkurrensmyndigheters genomdrivande av konkurrensregler, genomförande av utredningar och förfaranden, utredningsverktyg och utredningsmetoder, samt andra personers rättigheter i samband med utredningarna.
                  
               
                     (12)
                  
                  
                     För att upprätthålla ett effektivt samarbete kan det vidare vara nödvändigt för kommissionen att begränsa tillämpningen av de registrerades rättigheter för att skydda behandling av unionens övriga institutioner, organ och byråer eller av medlemsstaternas myndigheter. Kommissionen bör därför samråda med dessa tjänster, institutioner, organ, byråer och myndigheter för att fastställa vilka skäl som ska anses vara relevanta för att införa begränsningar samt behovet av begränsningen och dess proportionalitet.
                  
               
                     (13)
                  
                  
                     Kommissionen kan också behöva begränsa tillhandahållandet av information till registrerade och tillämpningen av andra registrerades rättigheter i samband med personuppgifter som mottagits från tredjeländer eller internationella organisationer, för att samarbeta med dessa länder eller organisationer och därigenom trygga viktiga mål av allmänt intresse för unionen. I vissa fall kan dock den registrerades intresse eller grundläggande rättigheter väga tyngre än intresset av internationellt samarbete.
                  
               
                     (14)
                  
                  
                     Kommissionen har därför fastställt att de grunder som anges i artikel 25.1 c, g och h i förordning (EU) 2018/1725 utgör grunder för begränsningar enligt artikel 25 i förordningen som kan behöva tillämpas på databehandling som utförs inom ramen för kommissionens utrednings- och genomdrivandeåtgärder på konkurrensområdet, vilket omfattar antitrust, koncentrationskontroll och statligt stöd.
                  
               
                     (15)
                  
                  
                     Kommissionen bör hantera alla begränsningar på ett öppet sätt och dokumentera varje tillämpning av begränsningar i motsvarande register.
                  
               
                     (16)
                  
                  
                     I enlighet med artikel 25.8 i förordning (EU) 2018/1725 får personuppgiftsansvariga skjuta upp eller avstå från att tillhandahålla information till den registrerade om skälen till tillämpningen av en begränsning, om tillhandahållandet av denna information på något sätt skulle äventyra syftet med begränsningen. Detta gäller i synnerhet begränsningar av de rättigheter som anges i artiklarna 16 och 35 i förordning (EU) 2018/1725. För att säkerställa att den registrerades rättigheter enligt artiklarna 16 och 35 i förordning (EU) 2018/1725 endast begränsas så länge som det finns skäl för begränsningen bör kommissionen se över sin ståndpunkt regelbundet under utredningen och då den avslutas.
                  
               
                     (17)
                  
                  
                     Om en begränsning gäller den registrerades övriga rättigheter bör de personuppgiftsansvariga bedöma från fall till fall huruvida information om begränsningen skulle äventyra dess syfte. Den avdelning som ansvarar för konkurrenspolitiken inom kommissionen är personuppgiftsansvarig.
                  
               
                     (18)
                  
                  
                     Kommissionens dataskyddsombud bör genomföra en oberoende översyn av tillämpningen av begränsningar för att säkerställa överensstämmelse med detta beslut.
                  
               
                     (19)
                  
                  
                     Detta beslut antas för tillämpningen av artikel 25 i förordning (EU) 2018/1725 och bör träda i kraft vid samma tidpunkt som den förordningen för att garantera rättssäkerhet.
                  
               
                     (20)
                  
                  
                     Europeiska datatillsynsmannen har hörts.
                  
               HÄRIGENOM FÖRESKRIVS FÖLJANDE.
         
            Artikel 1
            Syfte och tillämpningsområde
            
               1.   I detta beslut fastställs de regler som kommissionen ska följa för att informera registrerade om behandlingen av deras uppgifter i enlighet med artiklarna 14, 15 och 16 i förordning (EU) 2018/1725, inom ramen för kommissionens verksamhet på konkurrensområdet.
               I beslutet fastställs även de villkor på vilka kommissionen får begränsa tillämpningen av artiklarna 4, 14–17, 19, 20 och 35 i förordning (EU) 2018/1725, i enlighet med artikel 25 i den förordningen.
            
            
               2.   Detta beslut ska tillämpas på behandling av personuppgifter som utförs av kommissionen med avseende på eller i fråga om den verksamhet som bedrivs i syfte att fullgöra kommissionens uppgifter i enlighet med artiklarna 101–109 i fördraget.
            
         
         
            Artikel 2
            Tillämpliga undantag och begränsningar
            
               1.   När kommissionen utövar sina skyldigheter avseende de registrerades rättigheter enligt förordning (EU) 2018/1725 ska den överväga om några av de undantag som anges i den förordningen är tillämpliga.
            
            
               2.   Om inte annat följer av artiklarna 3–7 i detta beslut får kommissionen begränsa tillämpningen av artiklarna 14–17, 19, 20 och 35 i förordning (EU) 2018/1725, samt den princip om öppenhet som föreskrivs i artikel 4.1 a, i den mån dessa bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 14–17, 19, 20 och 35 i förordning (EU) 2018/1725 där utövandet av sådana rättigheter och skyldigheter skulle äventyra syftet med kommissionens utrednings- och genomdrivandeåtgärder, inbegripet genom att avslöja dess utredningsverktyg och utredningsmetoder, eller skulle ha en negativ inverkan på andra registrerades rättigheter och friheter.
            
            
               3.   Om inte annat följer av artiklarna 3–7 får kommissionen begränsa de rättigheter och skyldigheter som avses i punkt 2 i denna artikel vad gäller personuppgifter som erhållits från unionens övriga institutioner, organ och byråer, behöriga myndigheter i medlemsstaterna eller tredjeländer eller från internationella organisationer, i följande fall:
               
                           a)
                        
                        
                           Om utövandet av sådana rättigheter och skyldigheter skulle kunna begränsas av unionens övriga institutioner, organ och byråer på grundval av andra akter som avses i artikel 25 i förordning (EU) 2018/1725 eller i enlighet med kapitel IX i den förordningen eller i enlighet med Europaparlamentets och rådets förordning (EU) 2016/794 (6) eller rådets förordning (EU) 2017/1939 (7).
                        
                     
                           b)
                        
                        
                           Om utövandet av sådana rättigheter och skyldigheter skulle kunna begränsas av medlemsstaternas behöriga myndigheter på grundval av sådana akter som avses i artikel 23 i Europaparlamentets och rådets förordning (EU) 2016/679 (8) eller enligt nationella bestämmelser som införlivar artiklarna 13.3, 15.3 eller 16.3 i Europaparlamentets och rådets direktiv (EU) 2016/680 (9).
                        
                     
                           c)
                        
                        
                           Om utövandet av sådana rättigheter och skyldigheter skulle kunna äventyra kommissionens samarbete med tredjeländer eller internationella organisationer i konkurrensutredningar eller vid verkställighet av konkurrensbeslut.
                        
                     Innan kommissionen tillämpar begränsningar i de fall som avses i första stycket leden a och b ska den samråda med unionens berörda institutioner, organ, eller byråer eller medlemsstaternas behöriga myndigheter, om det inte är uppenbart för kommissionen att tillämpningen av en begränsning fastställs i en av de akter som det hänvisas till i dessa led.
               Första stycket led c ska inte gälla om kommissionens intresse av att samarbeta med tredjeländer eller internationella organisationer är underordnat den registrerades intressen eller grundläggande rättigheter och friheter.
            
            
               4.   Punkterna 1, 2 och 3 påverkar inte tillämpningen av andra kommissionsbeslut om interna regler för tillhandahållande av information till registrerade och begränsning av vissa rättigheter enligt artikel 25 i förordning (EU) 2018/1725 och artikel 23 i kommissionens arbetsordning.
            
         
         
            Artikel 3
            Tillhandahållande av information till registrerade
            
               1.   Kommissionen ska på sin webbplats offentliggöra dataskyddsmeddelanden för att informera registrerade om dess verksamhet som omfattar behandling av personuppgifter.
            
            
               2.   Utan att det påverkar tillämpningen av artiklarna 14.5 och 16.5 i förordning (EU) 2018/1725 ska kommissionen, om den, helt eller delvis, begränsar tillhandahållandet av information till registrerade vars personuppgifter behandlas i konkurrensutredningar eller vid genomdrivandeåtgärder (inklusive anknytande operativ verksamhet), dokumentera och registrera skälen till begränsningen i enlighet med artikel 6.
            
         
         
            Artikel 4
            Registrerades rätt till tillgång, rätt till radering och till begränsning av behandling
            
               1.   Om kommissionen helt eller delvis begränsar en registrerads rätt till tillgång till uppgifter, rätt till radering eller rätt till begränsning av behandling enligt vad som avses i artiklarna 17, 19 respektive 20 i förordning (EU) 2018/1725, ska den informera den berörda registrerade i sitt svar på begäran om tillgång, radering eller begränsning av behandling om den begränsning som tillämpas och om de huvudsakliga skälen till detta, samt om möjligheten att ge in ett klagomål till Europeiska datatillsynsmannen eller begära rättslig prövning vid Europeiska unionens domstol.
            
            
               2.   Information om skälen för den begränsning som avses i punkt 1 behöver inte tillhandahållas så länge som det skulle undergräva syftet med begränsningen.
            
            
               3.   Kommissionen ska dokumentera och registrera skälen till begränsningen i enlighet med artikel 6.
            
            
               4.   Om rätten till tillgång helt eller delvis begränsas, ska den registrerade utöva sin rätt till tillgång via Europeiska datatillsynsmannen, i enlighet med artikel 25.6, 25.7 och 25.8 i förordning (EU) 2018/1725.
            
         
         
            Artikel 5
            Information till registrerade om personuppgiftsincidenter
            Om kommissionen begränsar sådan information om personuppgiftsincidenter till den registrerade som avses i artikel 35 i förordning (EU) 2018/1725, ska den dokumentera och registrera skälen till begränsningen i enlighet med artikel 6 i detta beslut.
         
         
            Artikel 6
            Dokumentation och registrering av begränsningar
            
               1.   Kommissionen ska dokumentera skälen till varje begränsning som tillämpas enligt detta beslut, inbegripet en bedömning av behovet av begränsningen och dess proportionalitet.
            
            
               2.   I dokumentationen ska anges hur utövandet av rättigheten skulle äventyra syftet med kommissionens utrednings- och genomdrivandeåtgärder, eller syftet med de begränsningar som tillämpas med stöd av artikel 2.2 eller 2.3, eller ha en negativ inverkan på andra registrerades rättigheter och friheter.
            
            
               3.   Dokumentationen och, i förekommande fall, de handlingar som innehåller de underliggande faktiska och rättsliga omständigheterna ska registreras. De ska göras tillgängliga för Europeiska datatillsynsmannen på begäran.
            
         
         
            Artikel 7
            Begränsningars varaktighet
            
               1.   De begränsningar som avses i artiklarna 3, 4 och 5 ska fortsätta att gälla så länge som de skäl som ligger till grund för dem föreligger.
            
            
               2.   Om skälen till en sådan begränsning som avses i artikel 3 eller 5 inte längre föreligger ska kommissionen upphäva begränsningen och uppge skälen för begränsningen till den registrerade. Kommissionen ska underrätta den registrerade om möjligheten att ge in ett klagomål till Europeiska datatillsynsmannen eller att begära rättslig prövning vid Europeiska unionens domstol.
            
            
               3.   Kommissionen ska se över tillämpningen av de begränsningar som avses i artiklarna 3 och 5 varje år och vid avslutandet av den aktuella utredningen.
            
         
         
            Artikel 8
            Omprövning av dataskyddsombudet
            
               1.   Dataskyddsombudet ska informeras utan onödigt dröjsmål när registrerades rättigheter har begränsats i enlighet med detta beslut. På begäran ska dataskyddsombudet ges tillgång till registret och alla handlingar som innehåller underliggande faktiska och rättsliga omständigheter.
            
            
               2.   Dataskyddsombudet får begära en omprövning av begränsningen. Dataskyddsombudet ska underrättas om resultatet av den begärda omprövningen.
            
         
         
            Artikel 9
            Ikraftträdande
            Detta beslut träder i kraft samma dag som förordning (EU) 2018/1725 träder i kraft.
         
         
            Utfärdat i Bryssel den 5 december 2018.
            
               
                  På kommissionens vägnar
               
               Jean-Claude JUNCKER
               
                  Ordförande
               
            
         
         
            (1)  För antitrust se rådets förordning (EG) nr 1/2003 av den 16 december 2002 om tillämpning av konkurrensreglerna i artiklarna 81 och 82 i fördraget (EGT L 1, 4.1.2003, s. 1), för koncentrationskontroll se rådets förordning (EG) nr 139/2004 av den 20 januari 2004 om kontroll av företagskoncentrationer (EG:s koncentrationsförordning) (EUT L 24, 29.1.2004, s. 1) och för statligt stöd se rådets förordning (EU) 2015/1589 av den 13 juli 2015 om tillämpningsföreskrifter för artikel 108 i fördraget om Europeiska unionens funktionssätt (EUT L 248, 24.9.2015, s. 9).
         
            (2)  Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (EUT L 295, 21.11.2018, s. 39). Behandling i den mening som avses i artikel 3.3 i förordning (EU) 2018/1725 omfattar även situationer då kommissionen mottar personuppgifter som lämnats till den frivilligt.
         
            (3)  Lagring av ärenden i kommissionen regleras av den gemensamma bevarandeförteckningen, en rättslig handling (den senaste versionen är SEC(2012) 713) i form av en tidsplan som fastställer lagringsperioder för olika typer av kommissionens akter.
         
            (4)  Se framför allt artikel 339 i fördraget, samt artikel 28 i förordning (EG) nr 1/2003, artikel 15.4 i kommissionens förordning (EG) nr 773/2004 av den 7 april 2004 om kommissionens förfarande enligt artiklarna 81 och 82 i EG-fördraget (EUT L 123, 27.4.2004, s. 18), artikel 17 i förordning (EG) nr 139/2004 och artikel 18 i kommissionens förordning (EG) nr 802/2004 av den 21 april 2004 om tillämpning av rådets förordning (EG) nr 139/2004 om kontroll av företagskoncentrationer (EUT L 133, 30.4.2004, s. 1), artiklarna 30 och 31 i förordning (EU) 2015/1589, erforderliga förklaringar om konfidentiell information i formulär för anmälan av statligt stöd som bilagor till förordning (EG) nr 794/2004 i dess ändrade lydelse.
         
            (5)  Verkställande av de registrerades rättigheter enligt förordning (EU) 2018/1725 och de personuppgiftsansvarigas skyldigheter enligt den förordningen påverkar inte kommissionens hantering av rätten till försvar för parter som är föremål för ett konkurrensförfarande. Integriteten och autenticiteten i de bevis som samlats in i samband med konkurrensutredningar kan därför inte äventyras genom ändring av handlingar som mottagits eller samlats in i enlighet med tillämpliga procedurregler på konkurrensområdet.
         
            (6)  Europaparlamentets och rådets förordning (EU) 2016/794 av den 11 maj 2016 om Europeiska unionens byrå för samarbete inom brottsbekämpning (Europol) och om ersättande och upphävande av rådets beslut 2009/371/RIF, 2009/934/RIF, 2009/935/RIF, 2009/936/RIF och 2009/968/RIF (EUT L 135, 24.5.2016, s. 53).
         
            (7)  Rådets förordning (EU) 2017/1939 av den 12 oktober 2017 om genomförande av fördjupat samarbete om inrättande av Europeiska åklagarmyndigheten (EUT L 283, 31.10.2017, s. 1).
         
            (8)  Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 4.5.2016, s. 1).
         
            (9)  Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (EUT L 119, 4.5.2016, s. 89).