CELEX: 32020Q1120(02)
Language: pt
Date: 2020-08-11 00:00:00
Title: Decisão do Conselho de Administração da Empresa Comum «Iniciativa sobre Medicamentos Inovadores 2» de 11 de agosto de 2020 que estabelece normas internas relativas a limitações de certos direitos dos titulares dos dados no respeitante ao tratamento de dados pessoais no contexto do funcionamento da EC IMI 2

20.11.2020   
               
               
                  PT
               
               
                  Jornal Oficial da União Europeia
               
               
                  L 391/12
               
            
         DECISÃO DO CONSELHO DE ADMINISTRAÇÃO DA EMPRESA COMUM INICIATIVA SOBRE MEDICAMENTOS INOVADORES 2
         de 11 de agosto de 2020
         que estabelece normas internas relativas a limitações de certos direitos dos titulares dos dados no respeitante ao tratamento de dados pessoais no contexto do funcionamento da EC IMI 2
         O CONSELHO DE ADMINISTRAÇÃO DA EMPRESA COMUM «INICIATIVA SOBRE MEDICAMENTOS INOVADORES 2» (a seguir designada por «EC IMI 2»),
         Tendo em conta o Tratado sobre o Funcionamento da União Europeia,
         Tendo em conta o Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (1), nomeadamente o artigo 25.o,
         Tendo em conta os Estatutos anexos ao Regulamento (UE) n.o 557/2014 do Conselho, de 6 de maio de 2014, que cria a Empresa Comum «Iniciativa sobre Medicamentos Inovadores 2» (2), nomeadamente o artigo 7.o, n.o 3, alínea r),
         Tendo em conta as orientações da Autoridade Europeia para a Proteção de Dados sobre o artigo 25.o do novo regulamento e as normas internas,
         Após consulta ao Comité do Pessoal da EC IMI 2,
         Tendo em conta as recomendações da Autoridade Europeia para a Proteção de Dados de 18 de dezembro de 2019,
         Considerando o seguinte:
         
                     (1)
                  
                  
                     A EC IMI 2 realiza as suas atividades em conformidade com o Regulamento (UE) n.o 557/2014.
                  
               
                     (2)
                  
                  
                     Em conformidade com o artigo 25.o, n.o 1, do Regulamento (UE) 2018/1725, as limitações à aplicação dos artigos 14.o a 22.°, 35.° e 36.°, bem como do artigo 4.o desse regulamento, na medida em que as disposições deste artigo correspondam aos direitos e deveres previstos nos artigos 14.o a 22.°, devem basear-se em normas internas a adotar pela EC IMI 2, quando estas não se baseiem em atos normativos adotados com base nos Tratados.
                  
               
                     (3)
                  
                  
                     Estas normas internas, incluindo as suas disposições sobre a avaliação da necessidade e da proporcionalidade das limitações, não devem aplicar-se nos casos em que o ato normativo adotado com base nos Tratados preveja limitações dos direitos do titular dos dados.
                  
               
                     (4)
                  
                  
                     Ao desempenhar as suas funções relativamente a direitos do titular dos dados ao abrigo do Regulamento (UE) 2018/1725, compete à EC IMI 2 avaliar a aplicabilidade das derrogações previstas nesse regulamento.
                  
               
                     (5)
                  
                  
                     No contexto do seu funcionamento administrativo, a EC IMI 2 pode conduzir inquéritos administrativos e processos disciplinares, levar a cabo atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF, tratar casos de denúncias, tratar procedimentos (formais e informais) de assédio, tratar reclamações internas e externas, realizar auditorias internas, levar a cabo investigações, através do encarregado da proteção de dados, em conformidade com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725, e realizar investigações em matéria de segurança (informática) interna.
                  
               
                     (6)
                  
                  
                     A EC IMI 2 trata várias categorias de dados pessoais, incluindo dados concretos (dados «objetivos», tais como dados de identificação, dados de contacto, dados profissionais, detalhes administrativos, dados recebidos de fontes específicas, comunicações eletrónicas e dados de tráfego) e dados indicativos (dados «subjetivos» relacionados com os processos, tais como fundamentações, dados comportamentais, avaliações, dados de desempenho e conduta e dados relacionados com a matéria a que se refere o procedimento ou a atividade ou apresentados no âmbito de procedimentos ou atividades) (3).
                  
               
                     (7)
                  
                  
                     A EC IMI 2, representada pelo diretor executivo, age como responsável pelo tratamento dos dados, sem prejuízo da delegação interna dessa função, para refletir responsabilidades operacionais por operações específicas de tratamento de dados pessoais.
                  
               
                     (8)
                  
                  
                     Os dados pessoais são armazenados em segurança num ambiente eletrónico ou em papel, de forma a evitar o acesso ou a transferência ilícitos de dados para pessoas que não necessitam de tomar conhecimento dos mesmos. Os dados pessoais tratados são conservados apenas durante o tempo necessário e adequado às finalidades do seu tratamento e pelo período especificado nos avisos sobre a proteção de dados, nas declarações de privacidade ou nos registos da EC IMI 2.
                  
               
                     (9)
                  
                  
                     As normas internas devem aplicar-se a todas as operações de tratamento realizadas pela EC IMI 2 no âmbito de inquéritos administrativos, processos disciplinares, atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF, procedimentos de denúncia, procedimentos (formais e informais) relativos a casos de assédio, tratamento de reclamações internas e externas, auditorias internas, investigações realizadas pelo encarregado da proteção de dados, em conformidade com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725, e investigações em matéria de segurança (informática), realizadas internamente ou com participação externa (por exemplo, da Equipa de Resposta a Emergências Informáticas para as instituições e agências da UE – CERT-UE).
                  
               
                     (10)
                  
                  
                     Estas normas devem aplicar-se às operações de tratamento realizadas antes do início dos procedimentos acima referidos, ao longo dos mesmos e durante a monitorização do seguimento dado aos resultados dos procedimentos em causa. Devem ainda abranger a assistência e a cooperação disponibilizadas pela EC IMI 2, fora do âmbito das suas investigações administrativas, a autoridades nacionais e a organizações internacionais.
                  
               
                     (11)
                  
                  
                     Sempre que se apliquem estas normas internas, a EC IMI 2 deve apresentar as razões pelas quais as limitações são estritamente necessárias e proporcionadas numa sociedade democrática e explicar de que forma respeitam a essência dos direitos e liberdades fundamentais.
                  
               
                     (12)
                  
                  
                     Neste contexto, compete à EC IMI 2 respeitar, tanto quanto possível, durante os procedimentos acima referidos, os direitos fundamentais dos titulares dos dados, em especial os que respeitam ao direito de comunicação de informações, ao direito de acesso e retificação, ao direito ao apagamento, à limitação do tratamento, ao direito de comunicação ao titular dos dados de uma violação de dados pessoais ou à confidencialidade da comunicação, conforme estabelecido no Regulamento (UE) 2018/1725.
                  
               
                     (13)
                  
                  
                     Contudo, a EC IMI 2 poderá ser obrigada a limitar a comunicação de informações ao titular dos dados, e outros direitos deste, a fim de proteger, em especial, as suas próprias investigações, as investigações e processos de outras autoridades públicas, bem como os direitos de outras pessoas relacionadas com as suas investigações ou com outros procedimentos.
                  
               
                     (14)
                  
                  
                     Assim, a EC IMI 2 pode limitar a comunicação de informações para proteger a investigação e os direitos e liberdades fundamentais de outros titulares de dados.
                  
               
                     (15)
                  
                  
                     A EC IMI 2 deve verificar regularmente se as condições que justificam a limitação ainda se mantêm e levantar essa limitação em caso negativo.
                  
               
                     (16)
                  
                  
                     O responsável pelo tratamento deve informar o encarregado da proteção de dados ao prorrogar limitações e quando forem revistas limitações,
                  
               ADOTOU A SEGUINTE DECISÃO:
         
            Artigo 1.o
            
            Objeto e âmbito
            
               1.   A presente decisão estabelece as normas relativas às condições em que a EC IMI 2, no âmbito dos seus procedimentos descritos no n.o 2, pode limitar a aplicação dos direitos consagrados nos artigos 14.o a 22.°, 35.° e 36.° do Regulamento (UE) 2018/1725, bem como no artigo 4.o, conforme previsto no artigo 25.o do mesmo regulamento.
            
            
               2.   No âmbito do funcionamento administrativo da EC IMI 2, a presente decisão aplica-se às operações de tratamento de dados pessoais realizadas pelo Gabinete de Programa com as seguintes finalidades: realizar inquéritos administrativos, processos disciplinares e atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF, tratar casos de denúncias, procedimentos (formais e informais) de assédio e reclamações internas e externas, realizar auditorias internas, investigações conduzidas pelo encarregado da proteção de dados, em conformidade com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725, e investigações em matéria de segurança (informática) efetuadas internamente ou com participação externa (por exemplo, da CERT-UE).
            
            
               3.   As categorias de dados em causa consistem em dados concretos (dados «objetivos», tais como dados de identificação, dados de contacto, dados profissionais, detalhes administrativos, dados recebidos de fontes específicas, comunicações eletrónicas e dados de tráfego) e dados indicativos (dados «subjetivos» relacionados com os processos, como fundamentações, dados comportamentais, avaliações, dados de desempenho e conduta e dados relacionados com a matéria a que se refere o procedimento ou a atividade ou apresentados no âmbito de procedimentos e atividades).
            
            
               4.   Ao desempenhar as suas funções relativamente a direitos do titular dos dados ao abrigo do Regulamento (UE) 2018/1725, compete à EC IMI 2 avaliar a aplicabilidade das derrogações previstas nesse regulamento.
            
            
               5.   Sob reserva das condições estabelecidas na presente decisão, podem aplicar-se limitações aos seguintes direitos: direito de comunicação de informações a titulares de dados, direito de acesso, direito de retificação, direito ao apagamento, direito à limitação do tratamento, direito de comunicação da violação de dados pessoais ao titular dos dados ou direito à confidencialidade da comunicação.
            
         
         
            Artigo 2.o
            
            Especificação do responsável pelo tratamento
            O responsável pelas operações de tratamento é a EC IMI 2, representada pelo seu diretor executivo, que pode delegar a função de responsável pelo tratamento. Os titulares dos dados são informados acerca do responsável pelo tratamento delegado por meio dos avisos sobre a proteção de dados ou de registos publicados no sítio Web e/ou na intranet da EC IMI 2.
         
         
            Artigo 3.o
            
            Especificação das salvaguardas
            
               1.   A EC IMI 2 deve implementar as seguintes salvaguardas para evitar o abuso ou o acesso ou transferência ilícitos de dados pessoais (4):
               
                           a)
                        
                        
                           Os documentos em papel são mantidos em armários de arquivo seguros e estão acessíveis apenas a membros autorizados do pessoal;
                        
                     
                           b)
                        
                        
                           Todos os dados eletrónicos são conservados numa aplicação informática segura, de acordo com as normas de segurança da EC IMI 2, bem como em pastas eletrónicas específicas, acessíveis apenas a membros autorizados do pessoal. São concedidos individualmente os níveis adequados de acesso;
                        
                     
                           c)
                        
                        
                           O acesso à base de dados está protegido por uma palavra-passe num sistema de início de sessão único, com associação automática à identificação e à palavra-passe do utilizador. A substituição de utilizadores é estritamente proibida. Os registos eletrónicos são mantidos em segurança para salvaguardar a confidencialidade e a privacidade dos dados que contêm;
                        
                     
                           d)
                        
                        
                           Todas as pessoas que disponham de acesso aos dados estão sujeitas ao dever de confidencialidade.
                        
                     
            
               2.   O período de conservação dos dados pessoais mencionados no artigo 1.o, n.o 3, não pode exceder o necessário e adequado para os fins a que se destina o tratamento dos dados. Em nenhum caso pode exceder o período de conservação indicado nos avisos sobre a proteção de dados, nas declarações de privacidade ou nos registos a que se refere o artigo 6.o.
            
            
               3.   Sempre que a EC IMI 2 pondere aplicar uma limitação, o risco para os direitos e as liberdades do titular dos dados será avaliado, em especial, face aos riscos para os direitos e liberdades de outros titulares dos dados e ao risco de anular o efeito de investigações ou procedimentos da EC IMI 2, nomeadamente através da destruição de provas. Os riscos para os direitos e as liberdades do titular dos dados dizem respeito, sobretudo, mas não exclusivamente, a riscos reputacionais e a riscos para o direito de defesa e o direito a ser ouvido.
            
         
         
            Artigo 4.o
            
            Limitações
            
               1.   A EC IMI 2 apenas aplica limitações a fim de salvaguardar:
               
                           a)
                        
                        
                           A segurança nacional, a segurança pública e a defesa dos Estados-Membros;
                        
                     
                           b)
                        
                        
                           A prevenção, a investigação, a deteção e a repressão de infrações penais, ou a execução de sanções penais, incluindo a salvaguarda da segurança pública e a prevenção de ameaças à segurança pública;
                        
                     
                           c)
                        
                        
                           Outros objetivos importantes de interesse público geral da União ou de um Estado-Membro, nomeadamente os objetivos da política externa e de segurança comum da União, ou um interesse económico ou financeiro importante da União ou de um Estado-Membro, inclusive de ordem monetária, orçamental e fiscal, de saúde pública e de segurança social;
                        
                     
                           d)
                        
                        
                           A segurança interna das instituições e dos órgãos da União, incluindo as redes de comunicações eletrónicas desses órgãos e instituições;
                        
                     
                           e)
                        
                        
                           A prevenção, a investigação, a deteção e a repressão de violações da deontologia das profissões regulamentadas;
                        
                     
                           f)
                        
                        
                           Uma missão de controlo, de inspeção ou de regulamentação associada, ainda que ocasionalmente, ao exercício da autoridade pública, nos casos referidos nas alíneas a) a c);
                        
                     
                           g)
                        
                        
                           A defesa do titular dos dados ou dos direitos e liberdades de terceiros;
                        
                     
                           h)
                        
                        
                           A execução de ações cíveis.
                        
                     
            
               2.   Enquanto aplicação específica dos fins descritos no n.o 1 acima, a EC IMI 2 pode aplicar limitações nas seguintes circunstâncias:
               
                           a)
                        
                        
                           Em relação a dados pessoais trocados com serviços da Comissão ou com outras instituições, órgãos ou organismos da União:
                           
                                       —
                                    
                                    
                                       se o serviço da Comissão ou instituição, órgão ou organismo da União em causa tiver o direito de limitar o exercício dos direitos enumerados com base noutros atos previstos no artigo 25.o do Regulamento (UE) 2018/1725 ou em conformidade com o capítulo IX desse regulamento, ou com os atos constitutivos de outras instituições, órgãos ou organismos da União,
                                    
                                 
                                       —
                                    
                                    
                                       se a finalidade da limitação por parte do serviço da Comissão ou da instituição, do órgão ou do organismo da União em causa puder ser comprometida caso a EC IMI 2 não aplique uma limitação equivalente em relação aos mesmos dados pessoais;
                                    
                                 
                     
                           b)
                        
                        
                           Em relação a dados pessoais trocados com autoridades competentes dos Estados-Membros:
                           
                                       —
                                    
                                    
                                       se as autoridades competentes dos Estados-Membros em causa tiverem o direito de limitar o exercício dos direitos enumerados com base nos atos referidos no artigo 23.o do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (5) ou ao abrigo das medidas nacionais de transposição do artigo 13.o, n.o 3, do artigo 15.o, n.o 3, ou do artigo 16.o, n.o 3, da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho (6),
                                    
                                 
                                       —
                                    
                                    
                                       nos casos em que a finalidade dessa limitação por parte dessa autoridade possa ser comprometida se a EC IMI 2 não aplicar uma limitação equivalente relativamente aos mesmos dados pessoais;
                                    
                                 
                     
                           c)
                        
                        
                           Em relação a dados pessoais trocados com países terceiros ou com organizações internacionais, se for evidente que o exercício dos direitos e deveres em causa pode comprometer a cooperação da EC IMI 2 com países terceiros ou organizações internacionais no exercício das suas funções.
                        
                     Antes de aplicar limitações nas circunstâncias referidas nas alíneas a) e b) do n.o 1, a EC IMI 2 consulta os serviços competentes da Comissão, as outras instituições, órgãos, agências e organismos da União ou as autoridades competentes dos Estados-Membros, salvo se para a EC IMI 2 for claro que a aplicação de uma limitação está prevista num dos atos referidos nessas alíneas.
            
         
         
            Artigo 5.o
            
            Limitações dos direitos dos titulares dos dados
            
               1.   Em casos devidamente fundamentados e nas condições definidas na presente decisão, o responsável pelo tratamento pode, quando necessário e proporcionado, limitar os direitos a seguir enumerados, no contexto das operações de tratamento enumeradas no n.o 2 do presente artigo:
               
                           a)
                        
                        
                           Direito à informação;
                        
                     
                           b)
                        
                        
                           Direito de acesso;
                        
                     
                           c)
                        
                        
                           Direito de retificação, apagamento e limitação do tratamento;
                        
                     
                           d)
                        
                        
                           Direito à comunicação da violação de dados pessoais ao titular dos dados;
                        
                     
                           e)
                        
                        
                           Direito à confidencialidade das comunicações eletrónicas.
                        
                     
            
               2.   Em conformidade com o artigo 25.o, n.o 2, alínea a), do Regulamento (UE) 2018/1725, em casos devidamente fundamentados e nas condições definidas na presente decisão, o responsável pelo tratamento pode aplicar limitações no contexto das seguintes operações de tratamento:
               
                           a)
                        
                        
                           Realização de inquéritos administrativos e de processos disciplinares;
                        
                     
                           b)
                        
                        
                           Atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF;
                        
                     
                           c)
                        
                        
                           Procedimentos de denúncia;
                        
                     
                           d)
                        
                        
                           Procedimentos (formais e informais) relativos a casos de assédio; (7)
                           
                        
                     
                           e)
                        
                        
                           Tratamento de reclamações internas e externas;
                        
                     
                           f)
                        
                        
                           Auditorias internas;
                        
                     
                           g)
                        
                        
                           Investigações realizadas pelo encarregado da proteção de dados, em conformidade com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725;
                        
                     
                           h)
                        
                        
                           Investigações em matéria de segurança (informática), realizadas internamente ou com participação externa (por exemplo, da CERT-UE);
                        
                     
                           i)
                        
                        
                           No âmbito do procedimento de gestão de subvenções ou de adjudicação de contratos, após a data-limite de apresentação dos convites à apresentação de propostas ou da candidatura dos proponentes (8).
                        
                     A limitação continua a aplicar-se enquanto se mantiverem os motivos que a justificam.
            
            
               3.   Sempre que limite, total ou parcialmente, a aplicação dos direitos referidos no n.o 1, a EC IMI 2 procede como previsto nos artigos 6.o e 7.° da presente decisão.
            
            
               4.   Sempre que os titulares dos dados solicitarem o acesso aos seus dados pessoais tratados no contexto de um ou mais casos específicos ou de uma determinada operação de tratamento, em conformidade com o artigo 17.o do Regulamento (UE) 2018/1725, a EC IMI 2 limita a sua apreciação do pedido unicamente a esses dados pessoais.
            
         
         
            Artigo 6.o
            
            Necessidade e proporcionalidade das limitações
            
               1.   Qualquer das limitações previstas no artigo 5.o terá de ser necessária e proporcionada, tendo em conta os riscos para os direitos e liberdades dos titulares dos dados, e de respeitar a essência dos direitos e liberdades fundamentais numa sociedade democrática.
            
            
               2.   Se for ponderada a aplicação de limitações, terá de ser verificada a necessidade e a proporcionalidade das mesmas com base nas presentes normas. Esta verificação é realizada igualmente no contexto de cada reexame periódico, uma vez avaliado se persiste a aplicabilidade dos motivos factuais e jurídicos da limitação. Para efeitos de responsabilização, as conclusões serão documentadas, caso a caso, por meio de uma nota de avaliação interna.
            
            
               3.   As limitações têm caráter temporário e são levantadas logo que cessem as circunstâncias que as justificam, nomeadamente quando se considere que o exercício do direito limitado já não anulará o efeito da limitação imposta nem afetará negativamente os direitos ou liberdades de outros titulares de dados.
               A EC IMI 2 reexamina a aplicação da limitação semestralmente após a sua adoção e aquando do encerramento do inquérito, procedimento ou investigação pertinentes. O responsável pelo tratamento verifica posteriormente, de seis em seis meses, a necessidade de manter a limitação.
            
            
               4.   Sempre que a EC IMI 2 aplique, no todo ou em parte, limitações enunciadas no artigo 5.o da presente decisão, regista os motivos da limitação e a base jurídica da mesma, em conformidade com o n.o 1 do presente artigo, incluindo uma avaliação da necessidade e proporcionalidade da limitação.
               O registo e, se for caso disso, os documentos que contêm os elementos de facto e de direito subjacentes são conservados, sendo disponibilizados à Autoridade Europeia para a Proteção de Dados caso esta os solicite.
            
         
         
            Artigo 7.o
            
            Dever de informação
            
               1.   Nos avisos sobre a proteção de dados, nas declarações de privacidade ou nos registos, na aceção do artigo 31.o do Regulamento (UE) 2018/1725, publicados no seu sítio Web e/ou na intranet para informar os titulares dos dados acerca dos seus direitos no âmbito de um determinado procedimento, a EC IMI 2 inclui informações relacionadas com a eventual limitação desses direitos. As informações em questão abrangem os direitos passíveis de serem limitados, bem como os motivos e a possível duração da limitação.
               Sem prejuízo do disposto no artigo 6.o, n.o 4, quando tal for proporcionado, a EC IMI 2 também informará individualmente, por escrito e sem demora injustificada, todos os titulares dos dados que sejam considerados pessoas afetadas pela operação de tratamento em causa acerca dos seus direitos no que diz respeito a limitações presentes e futuras.
            
            
               2.   Sempre que a EC IMI 2 limite, total ou parcialmente, a aplicação dos direitos referidos no artigo 5.o, informa o titular dos dados em causa da limitação aplicada e dos principais motivos para tal, bem como da possibilidade de apresentar uma reclamação à Autoridade Europeia para a Proteção de Dados ou de intentar uma ação judicial no Tribunal de Justiça da União Europeia.
               A comunicação das informações referidas no n.o 2 pode ser adiada, omitida ou recusada caso anule o efeito da limitação, em conformidade com o artigo 25.o, n.o 8, do Regulamento (UE) 2018/1725.
            
         
         
            Artigo 8.o
            
            Reexame pelo encarregado da proteção de dados
            
               1.   A EC IMI 2 informa, sem demoras injustificadas, o seu encarregado da proteção de dados sempre que, em conformidade com a presente decisão, o responsável pelo tratamento limite a aplicação de direitos de titulares de dados ou prorrogue uma limitação. O responsável pelo tratamento concede ao encarregado da proteção de dados acesso ao registo que contém a avaliação da necessidade e proporcionalidade da limitação e documenta, nesse registo, a data em que o informou.
            
            
               2.   O encarregado da proteção de dados pode pedir, por escrito, ao responsável pelo tratamento o reexame da aplicação das limitações. O responsável pelo tratamento informa, por escrito, o encarregado da proteção de dados do resultado do reexame solicitado.
            
            
               3.   O encarregado da proteção de dados participa em todo o processo. O responsável pelo tratamento informa o encarregado da proteção de dados aquando do levantamento da limitação.
            
         
         
            Artigo 9.o
            
            Entrada em vigor
            A presente decisão entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.
            
         
         
            Feito em Bruxelas, em 11 de agosto de 2020.
            
               
                  Pelo Conselho de Administração da EC IMI 2
               
               Olivier LAUREAU
               
                  O Presidente
               
            
         
         
            (1)  JO L 295 de 21.11.2018, p. 39.
         
            (2)  JO L 169 de 7.6.2014, p. 54.
         
            (3)  Nos casos de responsabilidade conjunta pelo tratamento, os dados são tratados em conformidade com os meios e as finalidades determinados por acordo entre os responsáveis conjuntos pelo tratamento, como estabelecido no artigo 28.o do Regulamento (UE) 2018/1725.
         
            (4)  Esta lista não é exaustiva.
         
            (5)  Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).
         
            (6)  Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão-Quadro 2008/977/JAI do Conselho (JO L 119 de 4.5.2016, p. 89).
         
            (7)  Esta operação de tratamento não se aplica ao artigo 5.o, n.o 1, alínea d).
         
            (8)  Esta operação de tratamento aplica-se somente ao artigo 5.o, n.o 1, alínea c).