Artigo 3.o Definições

«Dados pessoais», informações relativas a uma pessoa singular identificada ou identificável («titular dos dados»); é identificável a pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador como, por exemplo, um nome, um número de identificação, dados de localização, identificadores em linha ou um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular;

«Dados pessoais operacionais», todos os dados pessoais tratados por órgãos e organismos da União no exercício de atividades abrangidas pelo âmbito de aplicação da parte III, título V, capítulos 4 ou 5, do TFUE, a fim de cumprir os objetivos e de exercer as funções estabelecidos nos atos normativos que criam esses órgãos ou organismos;

«Tratamento», uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição;

«Limitação do tratamento», a inserção de uma marca nos dados pessoais conservados a fim de limitar o seu tratamento no futuro;

«Definição de perfis», uma forma de tratamento automatizado de dados pessoais que consiste na sua utilização para avaliar certos aspetos pessoais relativos a uma pessoa singular, nomeadamente, para analisar ou prever aspetos relacionados com o seu desempenho profissional, a sua situação económica, saúde, preferências pessoais, interesses, fiabilidade, comportamento, localização ou deslocações;

«Pseudonimização», o tratamento de dados pessoais de forma que deixem de poder ser atribuídos a um titular de dados específico sem recorrer a informações suplementares, desde que essas informações suplementares sejam mantidas separadamente e sejam sujeitas a medidas técnicas e organizativas destinadas a assegurar que os dados pessoais não sejam atribuídos a uma pessoa singular identificada ou identificável;

«Ficheiro», um conjunto estruturado de dados pessoais, acessível segundo critérios específicos, centralizado, descentralizado ou repartido de modo funcional ou geográfico;

«Responsável pelo tratamento», a instituição ou o órgão da União, ou a direção-geral ou qualquer outra entidade organizativa que, individualmente ou em conjunto com outras entidades, determina as finalidades e os meios de tratamento dos dados pessoais; caso as finalidades e os meios desse tratamento sejam determinados por um ato específico da União, o responsável pelo tratamento ou os critérios específicos aplicáveis à sua nomeação podem ser previstos pelo direito da União;

«Responsáveis pelo tratamento que não sejam instituições ou órgãos da União», os responsáveis pelo tratamento na aceção do artigo 4.o, ponto 7, do Regulamento (UE) 2016/679, e os responsáveis pelo tratamento na aceção do artigo 3.o, ponto 8, da Diretiva (UE) 2016/680;

«Instituições e órgãos da União», as instituições, os órgãos e os organismos da União estabelecidos pelo TUE, pelo TFUE ou pelo Tratado Euratom, ou com base nesses tratados;

«Autoridade competente», uma autoridade pública de um Estado-Membro competente para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, incluindo a salvaguarda da segurança pública e a prevenção de ameaças à segurança pública;

«Subcontratante», uma pessoa singular ou coletiva, uma autoridade pública ou outro organismo que tratam dados pessoais por conta do responsável pelo tratamento;

«Destinatário», uma pessoa singular ou coletiva, uma autoridade pública ou outro organismo que recebem comunicações de dados pessoais, independentemente de se tratar ou não de um terceiro. Contudo, as autoridades públicas que podem receber dados pessoais no âmbito de inquéritos específicos nos termos do direito da União ou do direito dos Estados-Membros não são consideradas destinatários; o tratamento desses dados por essas autoridades públicas deve cumprir as regras de proteção de dados aplicáveis em função das suas finalidades;

«Terceiro», uma pessoa singular ou coletiva, uma autoridade pública, um serviço ou um organismo que não são o titular dos dados, o responsável pelo tratamento, o subcontratante nem as pessoas que, sob a autoridade direta do responsável pelo tratamento ou do subcontratante, estão autorizadas a tratar dados pessoais;

«Consentimento» do titular dos dados, uma manifestação de vontade, livre, específica, informada e explícita, pela qual o titular dos dados aceita, mediante uma declaração ou um ato positivo inequívoco, que os dados pessoais que lhe dizem respeito sejam tratados;

«Violação de dados pessoais», uma violação da segurança que provoca, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento;

«Dados genéticos», os dados pessoais relativos às características genéticas, hereditárias ou adquiridas, de uma pessoa singular que dão informações únicas sobre a fisiologia ou a saúde dessa pessoa singular, resultantes, designadamente, da análise de uma amostra biológica proveniente da pessoa singular em causa;

«Dados biométricos», dados pessoais resultantes de um tratamento técnico específico relativo às características físicas, fisiológicas ou comportamentais de uma pessoa singular que permitem obter ou confirmar a identificação única dessa pessoa singular, nomeadamente imagens faciais ou dados dactiloscópicos;

«Dados relativos à saúde», dados pessoais relacionados com a saúde física ou mental de uma pessoa singular, incluindo a prestação de serviços de saúde, que revelam informações sobre o seu estado de saúde;

«Serviço da sociedade da informação», um serviço definido no artigo 1.o, n.o 1, alínea b), da Diretiva (UE) 2015/1535 do Parlamento Europeu e do Conselho (17);

«Organização internacional», uma organização, e os organismos de direito público internacional por ela tutelados, ou outro organismo criado por um acordo celebrado entre dois ou mais países ou com base num tal acordo;

«Autoridade nacional de controlo», uma autoridade pública independente criada por um Estado-Membro nos termos do artigo 51.o do Regulamento (UE) 2016/679 ou nos termos do artigo 41.o da Diretiva (UE) 2016/680;

«Utilizador», uma pessoa singular que utiliza uma rede ou um equipamento terminal operados sob o controlo de uma instituição ou de um órgão da União;

«Lista», uma lista de utilizadores acessível ao público ou uma lista interna de utilizadores disponível numa instituição ou num órgão da União, ou partilhada entre instituições e órgãos da União, em formato eletrónico ou impresso;

«Rede de comunicações eletrónicas», um sistema de transmissão, baseado ou não numa infraestrutura permanente ou numa instalação administrativa centralizada, e, se aplicável, os equipamentos de comutação ou de encaminhamento e outros recursos, nomeadamente os elementos da rede não ativos, que permitem o envio de sinais por cabo, por feixes hertzianos, por meios óticos ou por outros meios eletromagnéticos, incluindo as redes de satélites, as redes terrestres fixas (com comutação de circuitos ou de pacotes, incluindo a internet) e móveis, os sistemas de cabos de eletricidade, na medida em que sejam utilizados para a transmissão de sinais, as redes utilizadas para a radiodifusão sonora e televisiva e as redes de televisão por cabo, independentemente do tipo de informações transmitidas;

«Equipamento terminal», um equipamento terminal tal como definido no artigo 1.o, ponto 1, da Diretiva 2008/63/CE da Comissão (18).