1. Lorsqu’ils traitent des données à caractère personnel en vertu du présent règlement, les organisateurs d’une initiative citoyenne et les autorités compétentes de l’État membre respectent la directive 95/46/CE et les dispositions nationales adoptées conformément à celle-ci.
2. Aux fins de leur traitement respectif de données à caractère personnel, les organisateurs d’une initiative citoyenne et les autorités compétentes désignées conformément à l’article 15, paragraphe 2, sont considérés comme les responsables du traitement des données au sens de l’article 2, point d), de la directive 95/46/CE.
3. Les organisateurs veillent à ce que les données à caractère personnel collectées dans le cadre d’une initiative citoyenne déterminée ne soient pas utilisées à d’autres fins que pour soutenir celle-ci et détruisent toutes les déclarations de soutien reçues pour cette initiative et toute copie de ces déclarations, au plus tard un mois après la présentation de l’initiative à la Commission conformément à l’article 9, ou dix-huit mois après la date d’enregistrement de la proposition d’initiative citoyenne, la date la plus proche étant retenue.
4. L’autorité compétente n’utilise les données à caractère personnel qu’elle reçoit dans le cadre d’une initiative citoyenne déterminée qu’aux fins de vérifier les déclarations de soutien conformément à l’article 8, paragraphe 2, et elle détruit toutes les déclarations de soutien et toute copie de ces déclarations, au plus tard un mois après avoir émis le certificat visé audit article.
5. Les déclarations de soutien d’une initiative citoyenne déterminée et les copies de ces déclarations peuvent être conservées au-delà des délais fixés aux paragraphes 3 et 4, si des procédures judiciaires ou administratives concernant la proposition d’initiative citoyenne le requièrent. Les organisateurs et l’autorité compétente détruisent toutes les déclarations de soutien et toutes les copies de ces déclarations, au plus tard une semaine après la conclusion de ces procédures par une décision finale.
6. Les organisateurs mettent en œuvre les mesures techniques et d’organisation appropriées pour protéger les données à caractère personnel contre la destruction accidentelle ou illicite, la perte accidentelle, l’altération, la diffusion ou l’accès non autorisés, notamment lorsque le traitement comporte la transmission de données sur un réseau, ainsi que contre toute autre forme de traitement illicite.