1. Dans la mesure où cela est nécessaire à l'accomplissement de ses missions, Europol peut traiter des données à caractère personnel obtenues de parties privées à condition de les avoir reçues par l'intermédiaire:
a) d'une unité nationale, conformément au droit national;
b) du point de contact d'un pays tiers ou d'une organisation internationale avec lesquels Europol a conclu, avant le 1er mai 2017, un accord de coopération autorisant l'échange de données à caractère personnel conformément à l'article 23 de la décision 2009/371/JAI; ou
c) d’une autorité d’un pays tiers ou d’une organisation internationale visée à l’article 25, paragraphe 1, point a), b) ou c), ou à l’article 25, paragraphe 4 bis.
2. Lorsqu’Europol reçoit des données à caractère personnel directement de parties privées, elle peut les traiter conformément à l’article 18 afin de déterminer les unités nationales concernées, visées au paragraphe 1, point a), du présent article. Europol transmet immédiatement aux unités nationales concernées les données à caractère personnel et les éventuels résultats pertinents du traitement nécessaire de ces données aux fins de l’établissement de la compétence. Europol peut transmettre aux points de contact et aux autorités concernés visés au paragraphe 1, points b) et c), du présent article les données à caractère personnel et les résultats pertinents du traitement nécessaire de ces données aux fins de l’établissement de la compétence, conformément à l’article 25. Si Europol ne peut déterminer aucune des unités nationales concernées ou a déjà transmis les données à caractère personnel à toutes les unités nationales respectivement concernées qu’elle a déterminées et s’il n’est pas possible de déterminer d’autres unités nationales concernées, elle procède à l’effacement des données, à moins que l’unité nationale, le point de contact ou l’autorité concerné ne soumette à nouveau les données à caractère personnel à Europol conformément à l’article 19, paragraphe 1, dans les quatre mois suivant la transmission ou le transfert.
Les critères permettant de déterminer si l’unité nationale de l’État membre d’établissement de la partie privée concernée constitue une unité nationale concernée sont énoncés dans les lignes directrices visées à l’article 18, paragraphe 7.
2 bis.
Toute coopération d’Europol avec des parties privées ne fait pas double emploi ni n’interfère avec les activités des CRF des États membres, et ne concerne pas les informations qui doivent être fournies aux CRF aux fins de la directive (UE) 2015/849.
3. À la suite du transfert de données à caractère personnel conformément au paragraphe 5, point c), du présent article, Europol peut, en rapport avec celles-ci, recevoir des données à caractère personnel directement d'une partie privée que cette partie privée déclare être autorisée par la loi à transmettre conformément au droit applicable, afin de traiter ces données pour l'accomplissement de la mission prévue à l'article 4, paragraphe 1, point m).
4. Lorsqu’Europol reçoit des données à caractère personnel d’une partie privée établie dans un pays tiers, elle ne transmet ces données et les résultats de son analyse et de la vérification de ces données qu’à un État membre, ou à un pays tiers concerné visé à l’article 25, paragraphe 1, point a) b) ou c), ou à l’article 25, paragraphe 4 bis.
Sans préjudice du premier alinéa du présent paragraphe, Europol peut transférer les résultats visés au premier alinéa du présent paragraphe au pays tiers concerné en vertu de l’article 25, paragraphe 5 ou 6.
5. Europol ne transmet pas ou ne transfère pas de données à caractère personnel à des parties privées, sauf dans les cas suivants et pour autant que cette transmission ou ce transfert soit strictement nécessaire et proportionné, ceci étant à déterminer au cas par cas:
a) la transmission ou le transfert est, indubitablement, dans l’intérêt de la personne concernée;
b) la transmission ou le transfert est strictement nécessaire aux fins de la prévention de la commission imminente d’une forme de criminalité, y compris le terrorisme, qui relève des objectifs d’Europol;
c) la transmission ou le transfert de données à caractère personnel qui sont accessibles au public est strictement nécessaire à l’accomplissement de la mission visée à l’article 4, paragraphe 1, point m), et les conditions suivantes sont remplies:
i) la transmission ou le transfert concerne un cas individuel et spécifique;
ii) les libertés et les droits fondamentaux de la personne concernée ne prévalent pas sur l’intérêt public qui exige que ces données à caractère personnel soient transmises ou transférées dans le cas en question; ou
d) la transmission ou le transfert est strictement nécessaire pour qu’Europol puisse notifier à la partie privée concernée que les informations reçues sont insuffisantes pour permettre à Europol de déterminer les unités nationales concernées, et les conditions suivantes sont réunies:
i) la transmission ou le transfert fait suite à la réception de données à caractère personnel fournies directement par une partie privée conformément au paragraphe 2;
ii) les informations manquantes, auxquelles Europol peut faire référence dans sa notification, présentent un lien manifeste avec les informations précédemment partagées par cette partie privée;
iii) les informations manquantes, auxquelles Europol peut faire référence dans sa notification, sont strictement limitées à ce qui est nécessaire à Europol pour déterminer les unités nationales concernées.
La transmission ou le transfert visé au premier alinéa du présent paragraphe a lieu sous réserve de toute limitation notifiée en vertu de l’article 19, paragraphe 2 ou 3, et a lieu sans préjudice de l’article 67.
6. En ce qui concerne le paragraphe 5, points a), b) et d), du présent article, si la partie privée concernée n’est pas établie dans l’Union ou dans un pays tiers visé à l’article 25, paragraphe 1, point a), b) ou c), ou à l’article 25, paragraphe 4 bis, le transfert n’est autorisé par le directeur exécutif que si ce transfert est:
a) nécessaire à la sauvegarde des intérêts vitaux de la personne concernée en question ou d’une autre personne;
b) nécessaire à la sauvegarde des intérêts légitimes de la personne concernée en question;
c) essentiel pour prévenir une menace grave et immédiate pour la sécurité publique d’un État membre ou d’un pays tiers;
d) nécessaire dans des cas particuliers à des fins de prévention et de détection d’une forme de criminalité spécifique relevant des objectifs d’Europol, d’enquêtes et de poursuites en la matière; ou
e) nécessaire, dans des cas particuliers, à la constatation, à l’exercice ou à la défense d’un droit en justice en rapport avec la prévention et la détection d’une infraction pénale spécifique relevant des objectifs d’Europol, les enquêtes et les poursuites en la matière.
Les données à caractère personnel ne sont pas transférées si le directeur exécutif estime que les libertés et droits fondamentaux de la personne concernée prévalent sur l’intérêt public qui exige le transfert visé au premier alinéa, points d) et e), du présent paragraphe.
6 bis.
Sans préjudice du paragraphe 5, points a), c) et d), du présent article et d’autres actes juridiques de l’Union, les transferts ou transmissions de données à caractère personnel au titre des paragraphes 5 et 6 ne sont pas systématiques, en masse ou structurels.
6 ter.
Europol peut demander aux États membres, par l’intermédiaire de leurs unités nationales, d’obtenir, conformément à leur droit national, des données à caractère personnel auprès de parties privées qui sont établies ou ont un représentant légal sur leur territoire, afin de les partager avec Europol. De telles demandes sont motivées et aussi précises que possible. Ces données à caractère personnel sont les moins sensibles possibles et strictement limitées à ce qui est nécessaire et proportionné aux fins de permettre à Europol de déterminer les unités nationales concernées.
Nonobstant la compétence des États membres s’agissant d’une forme de criminalité spécifique, les États membres veillent à ce que leurs autorités compétentes puissent traiter les demandes visées au premier alinéa conformément à leur droit national afin de fournir à Europol les informations qui lui nécessaires pour déterminer les unités nationales concernées.
6 quater.
Les infrastructures d’Europol peuvent être utilisées pour les échanges entre les autorités compétentes des États membres et des parties privées conformément au droit national respectif. Ces échanges peuvent également porter sur des formes de criminalité qui ne relèvent pas des objectifs d’Europol.
Lorsque les États membres utilisent les infrastructures d’Europol pour échanger des données à caractère personnel relatives à des formes de criminalité qui relèvent des objectifs d’Europol, ils peuvent accorder à Europol l’accès à ces données.
Lorsque les États membres utilisent les infrastructures d’Europol pour échanger des données à caractère personnel relatives à des formes de criminalité qui ne relèvent pas des objectifs d’Europol, cette dernière n’a pas accès à ces données et est considérée comme un sous-traitant conformément à l’article 87 du règlement (UE) 2018/1725.
Europol évalue les risques en matière de sécurité que pose le fait d’autoriser l’utilisation de ses infrastructures par des parties privées et, au besoin, met en œuvre des mesures de prévention et d’atténuation appropriées.
7. Europol veille à ce qu'un relevé détaillé de tous les transferts de données à caractère personnel ainsi que des motifs de ces transferts soit conservé conformément au présent règlement et communiqué sur demande au CEPD en application de l'article 40.
8. Si les données à caractère personnel reçues ou qui doivent être transférées portent atteinte aux intérêts d'un État membre, Europol informe immédiatement l'unité nationale de l'État membre concerné.
11. Europol prépare un rapport annuel à l’intention du conseil d’administration sur les données à caractère personnel échangées avec des parties privées en vertu des articles 26, 26 bis et 26 ter, sur la base de critères d’évaluation quantitatifs et qualitatifs fixés par le conseil d’administration.
Le rapport annuel comprend des exemples spécifiques démontrant pourquoi les demandes d’Europol formulées conformément au paragraphe 6 ter du présent article étaient nécessaires pour atteindre ses objectifs et accomplir ses missions.
Le rapport annuel tient compte des obligations de réserve et de confidentialité et les exemples sont anonymisés en ce qui concerne les données à caractère personnel.
Ce rapport annuel est transmis au Parlement européen, au Conseil, à la Commission et aux parlements nationaux.