Reglamento (UE) 2024/868 del Parlamento Europeo y del Consejo de 13 de marzo de 2024,por el que se modifica la Decisión  2009/917/JAI del Consejo en lo que respecta a a su aproximación a las normas de la Unión sobre protección de datos de carácter personal. (Diario Oficial de la Unión Europea de 19 de marzo de 2024) 

EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 16, apartado 2,

Vista la propuesta de la Comisión Europea,

Previa transmisión del proyecto de acto legislativo a los Parlamentos nacionales,

De conformidad con el procedimiento legislativo ordinario (1),

Considerando lo siguiente:

(1) La Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo (2) establece normas armonizadas para la protección y libre circulación de datos personales tratados para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales, incluidas la protección y la prevención frente a las amenazas contra la seguridad pública. Dicha Directiva exige a la Comisión que revise otros actos pertinentes adoptados por la Unión a fin de evaluar la necesidad de aproximarlos a dicha Directiva y que presente, en su caso, las propuestas necesarias a fin de modificar dichos actos para garantizar un enfoque coherente de la protección de datos personales en el ámbito de aplicación de dicha Directiva.

(2) La Decisión 2009/917/JAI del Consejo (3) crea el Sistema de Información Aduanero (SIA), cuya finalidad es contribuir a prevenir, investigar y perseguir las infracciones graves de las leyes nacionales, acelerando la disponibilidad de los datos y así aumentar la eficacia de las administraciones aduaneras de los Estados miembros. El SIA consiste en un banco central de datos que almacena datos personales, como nombres y apellidos, direcciones, números de documentos de identidad, relacionados con mercancías, medios de transporte, empresas o personas, así como con mercancías y dinero en efectivo retenidos, embargados o confiscados. El banco central de datos es gestionado por la Comisión, que no tiene acceso a los datos personales almacenados en él. Las autoridades designadas por los Estados miembros tienen derecho de acceso al banco central de datos y pueden introducir y consultar la información almacenada en él. La Agencia de la Unión Europea para la Cooperación Policial (Europol) y la Agencia de la Unión Europea para la Cooperación Judicial Penal (Eurojust) tienen derecho, en el límite de sus respectivos mandatos y para el desempeño de sus funciones, a acceder a los datos introducidos en el banco central de datos por las autoridades designadas por los Estados miembros y a consultar dichos datos.

(3) Con el fin de garantizar un enfoque coherente en relación con la protección de los datos de carácter personal en la Unión, la Decisión 2009/917/JAI debe modificarse para adaptarla a la Directiva (UE) 2016/680. En particular, las normas en materia de protección de datos personales establecidas en dicha Decisión deben respetar el principio de limitación de la finalidad, limitarse a categorías específicas de personas interesadas y de datos personales, respetar los requisitos de seguridad de los datos, incluir una protección suplementaria para categorías especiales de datos personales y respetar las condiciones para su tratamiento posterior. Además, debe establecerse una supervisión coordinada del funcionamiento del SIA por parte del Supervisor Europeo de Protección de Datos y de las autoridades de control nacionales, de conformidad con el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (4).

(4) A fin de garantizar la aplicación de un enfoque claro y coherente en relación con la protección adecuada de los datos personales, el término «infracciones graves» utilizado en la Decisión 2009/917/JAI debe sustituirse por «infracciones penales» tal como figura en la Directiva (UE) 2016/680, teniendo en cuenta el hecho de que cuando una determinada conducta esté prohibida por el Derecho penal de un Estado miembro, ello implica en sí mismo que la infracción reviste un cierto grado de gravedad. Además, la finalidad del SIA debe seguir estando limitada a la contribución a la prevención, investigación, detección o enjuiciamiento de infracciones penales previstas por las leyes nacionales, tal como se definen en la Decisión 2009/917/JAI, es decir, las leyes nacionales respecto de las cuales las administraciones aduaneras de los Estados miembros sean competentes y que, por tanto, son especialmente pertinentes en el contexto aduanero. Por consiguiente, si bien la tipificación como infracción penal es un requisito necesario, no todas las infracciones penales con arreglo a las leyes nacionales entran en el ámbito de aplicación de la Decisión 2009/917/JAI. Sí entran en dicho ámbito, por ejemplo, las infracciones penales de tráfico ilícito de drogas, tráfico ilícito de armas y blanqueo de capitales. Además, no debe interpretarse que la sustitución del término «infracciones graves» por el término «infracciones penales» afecte a los requisitos específicos establecidos en la Decisión 2009/917/JAI en relación con la elaboración y la transmisión por cada Estado miembro de una lista de infracciones penales tipificadas en sus leyes nacionales que cumplan determinadas condiciones a efectos del fichero de identificación de los expedientes de investigaciones aduaneras.

(5) Cuando traten datos personales en virtud de la Decisión 2009/917/JAI, y sin perjuicio de las normas específicas contenidas en dicha Decisión, los Estados miembros están sujetos a sus disposiciones nacionales adoptadas de conformidad con la Directiva (UE) 2016/680, la Comisión está sujeta a las normas establecidas en el Reglamento (UE) 2018/1725, Europol está sujeta a las normas establecidas en el Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo (5) y Eurojust está sujeta a las normas establecidas en el Reglamento (UE) 2018/1727 del Parlamento Europeo y del Consejo (6). Esos actos regulan, entre otras cuestiones, las obligaciones y responsabilidades de los responsables del tratamiento, los corresponsables del tratamiento y los encargados del tratamiento, así como las relaciones entre ellos en materia de protección de datos personales. Las autoridades de control nacionales responsables de supervisar y garantizar la aplicación de la Directiva (UE) 2016/680 en cada Estado miembro deben ser competentes para supervisar y garantizar la aplicación por parte de las autoridades competentes de cada Estado miembro de las disposiciones relativas a la protección de los datos personales establecidas en la Decisión 2009/917/JAI. El Supervisor Europeo de Protección de Datos debe ser responsable de supervisar y garantizar la aplicación por parte de la Comisión, Europol y Eurojust de las disposiciones relativas a la protección de datos personales establecidas en la Decisión 2009/917/JAI.

(6) A fin de garantizar una conservación óptima de los datos en el SIA y de reducir al mismo tiempo la carga administrativa de las autoridades competentes, y en línea con el Reglamento (CE) nº 515/97 del Consejo (7), debe simplificarse el procedimiento que rige la conservación de los datos personales en el SIA mediante la eliminación de la obligación de revisar anualmente la necesidad de conservar datos personales y mediante el establecimiento de un período máximo de conservación de cinco años que puede ser prolongado por un período adicional de dos años, siempre y cuando dicha prolongación esté justificada. Dicho período de conservación es necesario y proporcionado habida cuenta de la duración habitual de los procesos penales y de la necesidad de disponer de los datos para llevar a cabo operaciones aduaneras conjuntas e investigaciones.

(7) El tratamiento de datos personales en virtud de la Decisión 2009/917/JAI implica el tratamiento, intercambio y utilización ulterior de la información pertinente para los fines establecidos en el artículo 87 del Tratado de Funcionamiento de la Unión Europea (TFUE). En aras de la coherencia y de la protección eficaz de los datos personales, el tratamiento de datos personales en virtud de la Decisión 2009/917/JAI debe cumplir el Derecho de la Unión y nacional relativo a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales por parte de las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y la prevención frente a las amenazas contra la seguridad pública.

(8) De conformidad con el artículo 6 bis del Protocolo nº 21 sobre la posición del Reino Unido y de Irlanda respecto del espacio de libertad, seguridad y justicia, anejo al Tratado de la Unión Europea (TUE) y al TFUE, Irlanda está vinculada por la Decisión 2009/917/JAI y, por lo tanto, participa en la adopción del presente Reglamento.

(9) De conformidad con los artículos 1, 2 y 2 bis del Protocolo nº 22 sobre la posición de Dinamarca, anejo al TUE y al TFUE, Dinamarca está vinculada por la Decisión 2009/917/JAI y, por lo tanto, participa en la adopción del presente Reglamento.

(10) El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725, emitió su dictamen el 4 de julio de 2023.

(11) Por lo tanto, procede modificar la Decisión 2009/917/JAI en consecuencia.

HAN ADOPTADO EL PRESENTE REGLAMENTO:

Artículo 1.

La Decisión 2009/917/JAI se modifica como sigue:

1) En el artículo 1, el apartado 2 se sustituye por el texto siguiente: «2. De conformidad con la presente Decisión, la finalidad del Sistema de Información Aduanero será ayudar a las autoridades competentes de los Estados miembros a prevenir, investigar, detectar y perseguir las infracciones penales tipificadas en las leyes nacionales, acelerando la disponibilidad de los datos y aumentando así la eficacia de los procedimientos de cooperación y control de las administraciones aduaneras de los Estados miembros.».

2) El artículo 2 se modifica como sigue:

a) el punto 2 se sustituye por el texto siguiente:

«2) “datos personales”: los datos de carácter personal tal como se definen en el artículo 3, punto 1, de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo (*);

b) se añade el punto siguiente:

«6) “autoridad de control nacional”: una autoridad de control según la definición del artículo 3, punto 15, de la Directiva (UE) 2016/680.».

3) En el artículo 3, apartado 1, la parte introductoria se sustituye por el texto siguiente:

«El Sistema de Información Aduanero consistirá en un banco central de datos accesible a través de terminales situadas en cada uno de los Estados miembros. El Sistema comprenderá exclusivamente aquellos datos, incluidos los datos personales, que sean necesarios para lograr la finalidad enunciada en el artículo 1, apartado 2, agrupados en las categorías siguientes

4) El artículo 4 se modifica como sigue:

a) el apartado 1 se sustituye por el texto siguiente:

«1. Los Estados miembros determinarán los elementos que deban introducirse en el Sistema de Información Aduanero correspondientes a las categorías mencionadas en el artículo 3, apartado 1, en la medida en que sea necesario para lograr la finalidad de dicho sistema. En ningún caso se introducirán datos personales en la categoría contemplada en el artículo 3, apartado 1, letra e).»;

b) el apartado 5 se sustituye por el texto siguiente:

«5. En ningún caso se introducirán en el Sistema de Información Aduanero las categorías especiales de datos personales mencionadas en el artículo 10 de la Directiva (UE) 2016/680.».

5) En el artículo 5, el apartado 2 se sustituye por el texto siguiente:

«2. A efectos de las acciones mencionadas en el apartado 1, solo podrán introducirse en el Sistema de Información Aduanero los datos personales de las categorías mencionadas en el artículo 3, apartado 1, si existen motivos razonables, en particular por la existencia de actividades ilegales previas, para creer que la persona en cuestión ha cometido, está cometiendo o pretende cometer alguna infracción penal tipificada en las leyes nacionales.».

6) El artículo 7 se modifica como sigue:

a) el apartado 1 se sustituye por el texto siguiente:

«1. El acceso directo a los datos introducidos en el Sistema de Información Aduanero estará reservado a las autoridades nacionales designadas por cada Estado miembro. Dichas autoridades nacionales serán las administraciones aduaneras, pero podrán serlo también otras autoridades competentes, de conformidad con las disposiciones legales y reglamentarias y los procedimientos del Estado miembro en cuestión, para intervenir a fin de lograr la finalidad enunciada en el artículo 1, apartado 2.»;

b) se suprime el apartado 3.

7) El artículo 8 se modifica como sigue:

a) los apartados 1 y 2 se sustituyen por el texto siguiente:

«1. Las autoridades nacionales designadas por cada Estado miembro de conformidad con el artículo 7, Europol y Eurojust podrán tratar los datos personales obtenidos del Sistema de Información Aduanero para lograr la finalidad enunciada en el artículo 1, apartado 2, de conformidad con el Derecho de la Unión o nacional aplicable a la protección de datos personales, previa autorización de las autoridades nacionales designadas del Estado miembro que haya introducido los datos personales en dicho sistema, y siempre que se cumplan las condiciones impuestas por ellas.

Las autoridades nacionales designadas por cada Estado miembro, Europol y Eurojust podrán tratar los datos no personales obtenidos del Sistema de Información Aduanero para lograr la finalidad enunciada en el artículo 1, apartado 2, o para otros fines, incluidos los administrativos, de conformidad con las condiciones impuestas por las autoridades nacionales designadas del Estado miembro que haya introducido los datos no personales en dicho sistema.

2. Sin perjuicio de lo dispuesto en los apartados 1 y 4 del presente artículo y en los artículos 11 y 12, los datos obtenidos del Sistema de Información Aduanero serán utilizados únicamente por las autoridades nacionales de cada Estado miembro, designadas por el Estado miembro en cuestión, facultadas, de conformidad con las disposiciones legales y reglamentarias y los procedimientos de cada Estado miembro, para actuar con el fin de lograr la finalidad enunciada en el artículo 1, apartado 2.»;

b) el apartado 4 se sustituye por el texto siguiente:

«4. Los datos personales obtenidos del Sistema de Información Aduanero podrán, previa autorización de las autoridades nacionales designadas del Estado miembro que los haya introducido en dicho sistema y siempre que se cumplan las condiciones que estas hayan impuesto:

a) ser transmitidos a autoridades nacionales distintas de las designadas con arreglo a lo dispuesto en el apartado 2 y tratados posteriormente por ellas, de conformidad con el Derecho de la Unión o nacional aplicable en materia de protección de datos personales, o

b) ser transferidos a las autoridades competentes de terceros países y a organizaciones internacionales o regionales y tratados posteriormente por ellas, de conformidad con el Derecho de la Unión o nacional aplicable en materia de protección de datos personales.

Los datos no personales obtenidos del Sistema de Información Aduanero podrán ser transferidos a y tratados posteriormente por autoridades nacionales distintas de las designadas con arreglo a lo dispuesto en el apartado 2, terceros países y organizaciones internacionales o regionales, de conformidad con las condiciones impuestas por las autoridades nacionales designadas del Estado miembro que haya introducido los datos no personales en dicho sistema.».

8) En el artículo 13, el apartado 5 se sustituye por el texto siguiente:

«5. De acuerdo con la presente Decisión, si en un Estado miembro un órgano jurisdiccional o cualquier otra autoridad competente de ese Estado miembro adopta una resolución definitiva de modificar, completar, rectificar o borrar datos del Sistema de Información Aduanero, los Estados miembros se comprometen mutuamente a ejecutar esa resolución. En caso de conflicto entre tales resoluciones de los órganos jurisdiccionales o de otras autoridades competentes de distintos Estados miembros —incluidas las autoridades de control nacionales— en relación con la rectificación o el borrado de datos, el Estado miembro que haya introducido los datos en cuestión los borrará de dicho sistema.».

9) El artículo 14 se sustituye por el texto siguiente:

«Artículo 14

Los datos personales introducidos en el Sistema de Información Aduanero únicamente se conservarán durante el tiempo necesario para lograr la finalidad enunciada en el artículo 1, apartado 2, y no podrán conservarse durante más de cinco años. No obstante, excepcionalmente, dichos datos podrán conservarse durante un período adicional de hasta dos años, cuando y en la medida en que sea estrictamente necesario para alcanzar dicha finalidad en un caso concreto.».

10) El artículo 15 se modifica como sigue:

a) el apartado 2 se sustituye por el texto siguiente:

«2. La finalidad del fichero de identificación de los expedientes de investigación aduanera será posibilitar a las autoridades nacionales responsables en materia de investigaciones aduaneras designadas de conformidad con el artículo 7, cuando abran un expediente de investigación o investiguen sobre una o varias personas o empresas, así como Europol y Eurojust, la identificación de las autoridades competentes de otros Estados miembros que estén investigando o hayan investigado sobre las mismas personas o empresas, con objeto de lograr la finalidad enunciada en el artículo 1, apartado 2, gracias a la información relativa a la existencia de expedientes de investigación.»;

b) el apartado 3 se sustituye por el texto siguiente:

«3. A efectos del fichero de identificación de los expedientes de investigación aduanera, cada Estado miembro remitirá a los demás Estados miembros, a Europol, Eurojust y al Comité indicado en el artículo 27 una lista de las infracciones penales tipificadas en sus leyes nacionales.

Dicha lista incluirá únicamente las infracciones penales castigadas:

a) con pena privativa de libertad o medida de seguridad privativa de libertad cuya duración máxima sea de doce meses por lo menos, o bien

b) con multa de al menos 15 000 EUR.».

11) El artículo 20 se sustituye por el texto siguiente:

«Artículo 20

Salvo que se disponga otra cosa en la presente Decisión:

a) las disposiciones nacionales adoptadas con arreglo a lo dispuesto en la Directiva (UE) 2016/680 se aplicarán al tratamiento de datos personales en virtud de la presente Decisión por parte de las autoridades nacionales designadas por cada Estado miembro de conformidad con el artículo 7 de la presente Decisión;

b) el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (**) se aplicará al tratamiento de datos personales en virtud de la presente Decisión por parte de la Comisión;

c) el Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo (***) se aplicará al tratamiento de datos personales en virtud de la presente Decisión por parte de Europol, y

d) el Reglamento (UE) 2018/1727 del Parlamento Europeo y del Consejo (****) se aplicará al tratamiento de datos personales en virtud de la presente Decisión por parte de Eurojust.

12) Se suprimen los artículos 22, 23, 24 y 25.

13) El artículo 26 se sustituye por el texto siguiente:

«Artículo 26

1. El Supervisor Europeo de Protección de Datos será responsable de supervisar el tratamiento de datos personales en virtud de la presente Decisión por parte de la Comisión y de asegurarse de que se realice de conformidad con la presente Decisión. Serán aplicables, en consecuencia, las disposiciones sobre funciones y potestades previstas en los artículos 57 y 58 del Reglamento (UE) 2018/1725.

2. Al menos cada cinco años, el Supervisor Europeo de Protección de Datos efectuará una auditoría del tratamiento de datos personales por parte de la Comisión en virtud de la presente Decisión con arreglo a las normas de auditoría internacionales. Se enviará un informe de dicha auditoría al Parlamento Europeo, al Consejo, a la Comisión y a las autoridades de control nacionales.

3. El Supervisor Europeo de Protección de Datos y las autoridades de control nacionales, dentro del ámbito de sus competencias respectivas, cooperarán activamente en el marco de sus responsabilidades para garantizar una supervisión coordinada del funcionamiento del Sistema de Información Aduanero de conformidad con el artículo 62 del Reglamento (UE) 2018/1725.».

14) En el artículo 27, apartado 2, la letra a) se sustituye por el texto siguiente: «a) de la ejecución y correcta aplicación de la presente Decisión, sin perjuicio de las facultades de las autoridades de control nacionales y del Supervisor Europeo de Protección de Datos;».

15) El artículo 28 se modifica como sigue:

a) en el apartado 2, se añaden las letras siguientes:

«i) garantizar que sea posible restablecer los sistemas instalados en caso de interrupción;

j) garantizar que el sistema funcione correctamente, que los fallos del Sistema sean notificados y que los datos personales almacenados no puedan degradarse por un mal funcionamiento del Sistema.»;

b) el apartado 3 se sustituye por el texto siguiente:

«3. El Comité mencionado en el artículo 27 controlará la consulta del Sistema de Información Aduanero con la finalidad de comprobar que las investigaciones efectuadas estaban permitidas y fueron realizadas por usuarios autorizados. Se comprobará como mínimo el 1 % del total de consultas realizadas. Se llevará en el Sistema un registro de dichas consultas y comprobaciones, que únicamente será utilizado para esa finalidad por dicho Comité, por las autoridades de control nacionales y por el Supervisor Europeo de Protección de Datos. Se borrará a los seis meses.».

16) El artículo 29 se sustituye por el texto siguiente:

«Artículo 29

La administración aduanera competente a que se refiere el artículo 10, apartado 1, será responsable de la ejecución de las medidas de seguridad establecidas en el artículo 28 en lo que respecta a los terminales situados en el territorio del Estado miembro de que se trate, de las funciones de examen mencionadas en los artículos 14 y 19 y, en general, de la correcta aplicación de la presente Decisión, en la medida necesaria con arreglo a las disposiciones legales y reglamentarias y a los procedimientos de dicho Estado miembro.».

17) En el artículo 30, el apartado 1 queda suprimido.

Artículo 2

A más tardar el 9 de octubre de 2025, y sin perjuicio de la aplicación del presente Reglamento, los datos personales introducidos en el Sistema de Información Aduanero antes del 8 de abril de 2024 serán revisados por los Estados miembros que los introdujeron y, en caso necesario, actualizados o borrados para garantizar que su tratamiento se ajusta a la Decisión 2009/917/JAI en su versión modificada por el presente Reglamento.

Artículo 3

El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en los Estados miembros de conformidad con los Tratados.

Hecho en Estrasburgo, el 13 de marzo de 2024.

Por el Parlamento Europeo

La Presidenta R. METSOLA

Por el Consejo La Presidenta H. LAHBIB

(1) Posición del Parlamento Europeo de 6 de febrero de 2024 (pendiente de publicación en el Diario Oficial) y Decisión del Consejo de 26 de febrero de 2024.

(2) Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo (DO L 119 de 4.5.2016, p. 89).

(3) Decisión 2009/917/JAI del Consejo, de 30 de noviembre de 2009, sobre la utilización de la tecnología de la información a efectos aduaneros (DO L 323 de 10.12.2009, p. 20).

(4) Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) nº 45/2001 y la Decisión nº 1247/2002/CE (DO L 295 de 21.11.2018, p. 39).

(5) Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo, de 11 de mayo de 2016, relativo a la Agencia de la Unión Europea para la Cooperación Policial (Europol) y por el que se sustituyen y derogan las Decisiones 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI y 2009/968/JAI del Consejo (DO L 135 de 24.5.2016, p. 53).

(6) Reglamento (UE) 2018/1727 del Parlamento Europeo y del Consejo, de 14 de noviembre de 2018, sobre la Agencia de la Unión Europea para la Cooperación Judicial Penal (Eurojust) y por el que se sustituye y deroga la Decisión 2002/187/JAI del Consejo, (DO L 295 de 21.11.2018, p. 138).

(7) Reglamento (CE) nº 515/97 del Consejo, de 13 de marzo de 1997, relativo a la asistencia mutua entre las autoridades administrativas de los Estados miembros y a la colaboración entre estas y la Comisión con objeto de asegurar la correcta aplicación de las reglamentaciones aduanera y agraria (DO L 82 de 22.3.1997, p. 1).

(*) Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo (DO L 119 de 4.5.2016, p. 89).»;

(**) Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) nº 45/2001 y la Decisión nº 1247/2002/CE (DO L 295 de 21.11.2018, p. 39).

(***) Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo, de 11 de mayo de 2016, relativo a la Agencia de la Unión Europea para la Cooperación Policial (Europol) y por el que se sustituyen y derogan las Decisiones 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI y 2009/968/JAI del Consejo (DO L 135 de 24.5.2016, p. 53).

(****) Reglamento (UE) 2018/1727 del Parlamento Europeo y del Consejo, de 14 de noviembre de 2018, sobre la Agencia de la Unión Europea para la Cooperación Judicial Penal (Eurojust) y por el que se sustituye y deroga la Decisión 2002/187/JAI del Consejo (DO L 295 de 21.11.2018, p. 138).»