1. Sous réserve de toute limitation notifiée en vertu de l’article 19, paragraphe 2 ou 3, et sans préjudice de l’article 67, Europol peut transférer des données à caractère personnel aux autorités compétentes d’un pays tiers ou à une organisation internationale, à condition que ce transfert soit nécessaire à l’accomplissement de ses missions, sur l’un des fondements suivants:
a) une décision de la Commission adoptée conformément à l’article 36 de la directive (UE) 2016/680, selon laquelle le pays tiers, un territoire ou un ou plusieurs secteurs déterminés au sein de ce pays tiers, ou l’organisation internationale en question assure un niveau de protection adéquat (ci-après dénommée «décision d’adéquation»);
b) un accord international conclu entre l'Union et le pays tiers ou l'organisation internationale concerné, en vertu de l'article 218 du traité sur le fonctionnement de l'Union européenne, offrant des garanties suffisantes au regard de la protection de la vie privée et des libertés et des droits fondamentaux des personnes;
c) un accord de coopération autorisant l'échange de données à caractère personnel, conclu avant le 1er mai 2017 entre Europol et le pays tiers ou l'organisation internationale concerné, conformément à l'article 23 de la décision 2009/371/JAI.
Europol peut conclure des arrangements administratifs afin de mettre en œuvre ces accords ou ces décisions d'adéquation.
2. Le directeur exécutif informe le conseil d'administration des échanges de données à caractère personnel effectués sur la base de décisions d'adéquation en vertu du paragraphe 1, point a).
4. Au plus tard le 14 juin 2021, la Commission évalue les dispositions figurant dans les accords de coopération visés au paragraphe 1, point c), en particulier celles concernant la protection des données. La Commission informe le Parlement européen et le Conseil du résultat de cette évaluation et peut, le cas échéant, présenter au Conseil une recommandation de décision autorisant l'ouverture de négociations en vue de la conclusion d'accords internationaux visés au paragraphe 1, point b).
4 bis.
En l’absence de décision d’adéquation, le conseil d’administration peut autoriser Europol à transférer des données à caractère personnel à une autorité compétente d’un pays tiers ou à une organisation internationale lorsque:
a) des garanties appropriées en ce qui concerne la protection des données à caractère personnel sont prévues dans un instrument juridiquement contraignant; ou
b) Europol a évalué toutes les circonstances entourant le transfert de données à caractère personnel et a conclu que des garanties appropriées existent en ce qui concerne la protection de ces données.
5. Par dérogation au paragraphe 1, le directeur exécutif peut, dans des cas dûment justifiés, autoriser le transfert ou une catégorie de transferts de données à caractère personnel à une autorité compétente d’un pays tiers ou à une organisation internationale, au cas par cas, si le transfert ou la catégorie de transferts est:
a) nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne;
b) nécessaire à la sauvegarde des intérêts légitimes de la personne concernée;
c) essentiel pour prévenir une menace grave et immédiate pour la sécurité publique d'un État membre ou d'un pays tiers;
d) nécessaire dans des cas particuliers à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière, ou d'exécution de sanctions pénales; ou
e) nécessaire dans des cas particuliers à la constatation, à l'exercice ou à la défense d'un droit en justice en rapport avec la prévention et la détection d'une infraction pénale spécifique, les enquêtes et les poursuites en la matière, ou avec l'exécution d'une sanction pénale spécifique.
Les données à caractère personnel ne sont pas transférées si le directeur exécutif estime que les libertés et les droits fondamentaux de la personne concernée prévalent sur l'intérêt public dans le cadre du transfert visé aux points d) et e).
Aucune dérogation ne peut être applicable aux transferts systématiques, en masse ou structurels.
6. Par dérogation au paragraphe 1, le conseil d'administration peut, en accord avec le CEPD, autoriser, pour une période ne pouvant dépasser un an, renouvelable, une série de transferts conformément au paragraphe 5, points a) à e), compte tenu de l'existence de garanties adéquates en ce qui concerne la protection de la vie privée et des libertés et des droits fondamentaux des personnes physiques. Cette autorisation doit être dûment justifiée et documentée.
7. Le directeur exécutif informe au plus vite le conseil d'administration et le CEPD des cas dans lesquels le paragraphe 5 a été appliqué.
8. Europol informe le CEPD des catégories de transferts relevant du paragraphe 4 bis, point b). Lorsqu’un transfert est effectué conformément au paragraphe 4 bis ou 5, ce transfert est documenté et la documentation est mise à la disposition du CEPD, sur demande. La documentation comporte un relevé de la date et de l’heure du transfert et des informations sur l’autorité compétente visée au présent article, sur la justification du transfert et sur les données à caractère personnel transférées.