1. Sous réserve de l'article 30, paragraphe 1, l'utilisation par les partenaires du SID de données à caractère personnel provenant du SID à des fins autres que l'objectif énoncé à l'article 23, paragraphe 2, est interdite.
2. Les données ne peuvent être reproduites que pour des raisons techniques, à condition qu'une telle copie soit nécessaire aux recherches effectuées par les autorités visées à l'article 29.
3. Les données à caractère personnel introduites dans le SID par un État membre ou par la Commission ne peuvent pas être copiées dans des systèmes de traitement de données dont les États membres ou la Commission sont responsables, sauf dans des systèmes de gestion des risques chargés d'orienter les contrôles douaniers au niveau national ou dans un système d'analyse opérationnelle permettant de coordonner les actions au niveau communautaire.
Dans ce cas, seuls les analystes désignés par les autorités nationales de chaque État membre ainsi que ceux désignés par les services de la Commission sont habilités à traiter les données à caractère personnel issues du SID respectivement dans le cadre d'un système de gestion des risques chargé d'orienter les contrôles douaniers par les autorités nationales ou dans le cadre d'un système d'analyse opérationnelle permettant de coordonner les actions au niveau communautaire.
Chaque État membre envoie à la Commission une liste des services de gestion des risques dont relèvent les analystes autorisés à copier et à traiter les données à caractère personnel introduites dans le SID. La Commission en informe les autres États membres. Elle informe également tous les États membres des éléments correspondants qui concernent ses propres services chargés de l'analyse opérationnelle.
La liste des autorités nationales et des services de la Commission désignés est publiée pour information par la Commission au Journal officiel de l'Union européenne.
Les données à caractère personnel copiées du SID ne peuvent être conservées que durant le temps nécessaire pour atteindre le but pour lequel elles ont été copiées. La nécessité de leur détention est réexaminée au moins une fois par an par le partenaire du SID qui a effectué la copie. Le délai de conservation n'excède pas dix ans. Les données à caractère personnel qui ne sont pas nécessaires à la poursuite de l'analyse sont immédiatement effacées ou rendues anonymes.