1. Les droits des personnes, pour ce qui est des données à caractère personnel figurant dans le SID, et notamment leur droit d'accès, s'exercent:
— conformément aux lois, réglementations et procédures de l'État membre dans lequel elles font valoir ces droits;
— conformément aux règles internes applicables à la Commission, visées à l'article 34 paragraphe 1.
Si les lois, réglementations et procédures de l'État membre concerné le prévoient, l'autorité de contrôle national prévu à l'article 37 décide si l'information est communiquée et détermine la procédure à suivre.
2. Un partenaire du SID auquel une demande d'accès à des données à caractère personnel est soumise peut refuser l'accès si la communication de ces données est susceptible de nuire à la prévention, à la recherche et à la poursuite d'opérations qui sont contraires aux réglementations douanière ou agricole. Un État membre peut aussi refuser cet accès en vertu de ses lois, réglementations et procédures relatives aux cas où ce refus constitue une mesure nécessaire à la sauvegarde de la sûreté de l'État, de la défense, de la sécurité publique ou des droits et libertés d'autrui. La Commission peut refuser cet accès au cas où ce refus constitue une mesure nécessaire à la sauvegarde des droits et libertés d'autrui.
En tout état de cause, l'accès peut être refusé à toute personne dont les données sont traitées pendant la période durant laquelle des actions sont menées aux fins d'observation et de compte rendu ou de surveillance discrète ainsi que pendant la période durant laquelle l'analyse opérationnelle des données ou l'enquête administrative ou pénale est en cours.
3. Si les données à caractère personnel qui font l'objet d'une demande d'accès ont été fournies par un autre partenaire du SID, l'accès est accordé seulement si le partenaire qui a fourni des données a eu l'occasion d'émettre une opinion.
4. Conformément aux lois, réglementations et procédures de chaque État membre ou des règles internes applicables à la Commission, toute personne peut faire rectifier ou effacer, auprès de chaque partenaire du SID, des données à caractère personnel la concernant si ces données sont erronées ou si elles ont été placées ou sont conservées dans le SID contrairement à l'objectif visé à l'article 23 paragraphe 2 ou dans les cas où les principes énoncés à l'article 26 n'ont pas été respectés.
5. Sur le territoire de chacun des États membres, toute personne peut, conformément aux lois, réglementations et procédures de l'État membre concerné, intenter une action ou, le cas échéant, déposer une plainte devant les tribunaux ou l'autorité habilitée à cet effet, conformément à ces lois, réglementations et procédures, en ce qui concerne les données à caractère personnel placées dans le SID la concernant, afin:
a) de faire corriger ou effacer des données à caractère personnel qui sont erronées;
b) de faire corriger ou effacer des données à caractère personnel introduites ou conservées dans le SID contrairement au présent règlement;
c) d'accéder à des données à caractère personnel;
d) d'obtenir des dommages-intérêts conformément à l'article 40 paragraphe 2.
En ce qui concerne les données introduites par la Commission, un recours peut être formé devant la Cour de justice conformément à l'article 173 du traité.
Les États membres et la Commission s'engagent mutuellement à exécuter les décisions définitives qui sont prises par les tribunaux, la Cour de justice ou d'autres autorités habilitées à cet effet et qui concernent les points a), b) et c) du premier alinéa.
6. La mention au présent article et à l'article 32 paragraphe 5 d'une «décision définitive» n'implique en aucun cas que l'État membre ou la Commission est tenu de faire appel de la décision prise par un tribunal ou par une autre autorité habilitée à cet effet.