1. Chaque partenaire du SID qui a l'intention de recevoir des données à caractère personnel ou d'en introduire dans le SID adopte, au plus tard au moment de l'applicabilité du présent règlement, une législation nationale ou des règles internes applicables à la Commission et assurant la protection des droits et des libertés des personnes à l'égard du traitement des données à caractère personnel.
2. Un partenaire du SID peut seulement recevoir des données à caractère personnel du SID ou en introduire dans celui-ci lorsque les dispositions visant à assurer la protection de ce type de données visée au paragraphe 1 y sont entrées en vigueur. Chaque État membre désigne également au préalable une ou plusieurs autorités de contrôle nationales telles que prévues à l'article 37.
3. Afin d'assurer la bonne application des dispositions du présent règlement relatives à la protection des données à caractère personnel, les États membres et la Commission considèrent le SID comme un système de traitement de données à caractère personnel qui est soumis:
— aux dispositions nationales mettant en œuvre la directive 95/46/CE,
— aux dispositions du règlement (CE) no 45/2001, et
— aux dispositions plus strictes du présent règlement.