1. Le traitement des données à caractère personnel consultées en vertu de la présente décision est soumis aux règles ci-après et au droit national de l'État membre requérant. S'agissant de ce traitement, chaque État membre garantit dans son droit national un niveau de protection approprié des données correspondant au moins à celui résultant de la convention du Conseil de l'Europe du 28 janvier 1981 relative à la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, ainsi que, pour les États membres qui l'ont ratifié, du protocole additionnel du 8 novembre 2001, et tient compte de la recommandation no R (87) 15 du comité des ministres du Conseil de l'Europe visant à réglementer l'utilisation de données à caractère personnel dans le secteur de la police du 17 septembre 1987.
2. Le traitement de données à caractère personnel réalisé par Europol en vertu de la présente décision est conforme à la convention Europol et aux règles adoptées en application de celle-ci et contrôlé par l'autorité de contrôle commune indépendante instituée par l'article 24 de ladite convention.
3. Les données à caractère personnel obtenues du VIS en vertu de la présente décision sont traitées uniquement aux fins de la prévention et de la détection des infractions terroristes et des autres infractions pénales graves, ainsi qu'aux fins des enquêtes et des poursuites en la matière.
4. Les données à caractère personnel obtenues du VIS en vertu de la présente décision ne sont pas transférées à des pays tiers ou à des organisations internationales ou mises à leur disposition. Toutefois, en cas d'urgence exceptionnelle, ces données peuvent être transférées à des pays tiers ou à des organisations internationales ou mises à leur disposition exclusivement aux fins de la prévention et de la détection des infractions terroristes et des autres infractions pénales graves et dans les conditions visées à l'article 5, paragraphe 1, de la présente décision, sous réserve de l'accord de l'État membre qui a introduit les données dans le VIS et conformément au droit national de l'État membre qui transfère les données ou les met à disposition. Conformément à leur droit national, les États membres s'assurent que des relevés de ces transferts sont établis et les mettent, sur demande, à la disposition des autorités nationales chargées de la protection des données. Le transfert de données par l'État membre qui a saisi les données dans le VIS conformément au règlement (CE) no 767/2008 est soumis au droit national de cet État membre.
5. L'organe ou les organes compétents qui, conformément au droit national, sont responsables du contrôle du traitement des données à caractère personnel par les autorités désignées en vertu de la présente décision contrôlent la licéité du traitement des données à caractère personnel en application de la présente décision. Les États membres veillent à ce que ces organes disposent des ressources suffisantes pour s'acquitter des tâches qui leur sont confiées par la présente décision.
6. Les organes visés au paragraphe 5 veillent à ce que tous les quatre ans au moins un audit du traitement des données à caractère personnel soit effectué en application de la présente décision, le cas échéant conformément aux normes internationales d'audit.
7. Les États membres et Europol permettent à l'organe ou aux organes compétents visés aux paragraphes 2 et 5 d'obtenir les informations nécessaires à l'exécution des tâches qui leur sont confiées en application du présent article.
8. Avant d'être autorisé à traiter des données stockées dans le VIS, le personnel des autorités ayant un droit d'accès au VIS reçoit une formation appropriée sur les règles en matière de sécurité et de protection des données et est informé des infractions et des sanctions pénales éventuelles en la matière.