1. Dans les situations de crise en ligne, Europol peut recevoir des données à caractère personnel directement de parties privées et les traiter conformément à l’article 18.
2. Lorsqu’Europol reçoit des données à caractère personnel d’une partie privée établie dans un pays tiers, elle ne transmet ces données et les résultats de son analyse et de la vérification de ces données qu’à un État membre, ou à un pays tiers concerné visé à l’article 25, paragraphe 1, point a), b) ou c), ou à l’article 25, paragraphe 4 bis.
Europol peut transférer les résultats de son analyse et de la vérification des données visées au paragraphe 1 du présent article au pays tiers concerné en vertu de l’article 25, paragraphe 5 ou 6.
3. Europol peut transmettre ou transférer des données à caractère personnel à des parties privées au cas par cas, sous réserve de toute limitation notifiée en vertu de l’article 19, paragraphe 2 ou 3, et sans préjudice de l’article 67, lorsque la transmission ou le transfert de ces données est strictement nécessaire pour faire face à des situations de crise en ligne, et que les libertés et les droits fondamentaux des personnes concernées ne prévalent pas sur l’intérêt public qui exige que ces données à caractère personnel soient transmises ou transférées.
4. Lorsque la partie privée concernée n’est pas établie dans l’Union ou dans un pays tiers visé à l’article 25, paragraphe 1, point a), b) ou c), ou à l’article 25, paragraphe 4 bis, le transfert exige l’autorisation du directeur exécutif.
5. Europol assiste les autorités compétentes des États membres, échange des informations et coopère avec celles-ci en ce qui concerne la transmission ou le transfert de données à caractère personnel à des parties privées au titre du paragraphe 3 ou 4, en particulier afin d’éviter la duplication des efforts, de renforcer la coordination et d’éviter les interférences avec les enquêtes menées dans les différents États membres.
6. Europol peut demander aux États membres, par l’intermédiaire de leurs unités nationales, d’obtenir, conformément à leur droit national, des données à caractère personnel auprès de parties privées qui sont établies ou ont un représentant légal sur leur territoire, aux fins de partager ces données avec Europol. De telles demandes sont motivées et aussi précises que possible. Ces données à caractère personnel sont les moins sensibles possibles et strictement limitées à ce qui est nécessaire et proportionné aux fins de permettre à Europol d’aider les États membres à faire face aux situations de crise en ligne.
Nonobstant la compétence des États membres concernant la diffusion des contenus pour lesquels Europol demande les données à caractère personnel, les États membres veillent à ce que leurs autorités compétentes puissent traiter les demandes visées au premier alinéa conformément à leur droit national aux fins de fournir à Europol les informations nécessaires à la réalisation de ses objectifs.
7. Europol veille à ce qu’un relevé détaillé de tous les transferts de données à caractère personnel ainsi que des motifs de ces transferts soit conservé conformément au présent règlement. Sur demande du CEPD, Europol met à la disposition du CEPD ces relevés en application de l’article 39 bis.
8. Si les données à caractère personnel reçues ou qui doivent être transférées portent atteinte aux intérêts d’un État membre, Europol informe immédiatement l’unité nationale de l’État membre concerné.