1. Le traitement de données à caractère personnel concernant des victimes d'infraction pénale, des témoins ou d'autres personnes pouvant fournir des informations sur des infractions pénales, ou concernant des personnes de moins de 18 ans, est autorisé s'il est strictement nécessaire et proportionné pour prévenir ou lutter contre les formes de criminalité relevant des objectifs d'Europol.
2. Le traitement de données à caractère personnel, par des moyens automatisés ou autres, qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale et le traitement de données génétiques, de données biométriques aux fins d’identifier une personne physique de manière unique, ou de données concernant la santé, la vie sexuelle ou l’orientation sexuelle d’une personne physique n’est autorisé que lorsque cela est strictement nécessaire et proportionné aux fins de projets de recherche et d’innovation menés en vertu de l’article 33 bis et à des fins opérationnelles, dans le cadre des objectifs d’Europol, et dans le seul but de prévenir ou de combattre les formes de criminalité relevant des objectifs d’Europol. Un tel traitement de données s’effectue également sous réserve des garanties appropriées prévues dans le présent règlement concernant les droits et libertés de la personne concernée et, à l’exception du traitement de données biométriques aux fins d’identifier une personne physique de manière unique, n’est autorisé que si ces données complètent d’autres données à caractère personnel traitées par Europol. La sélection d'un groupe particulier de personnes sur la seule base de ces données à caractère personnel est interdite.
2 bis.
Le délégué à la protection des données est informé sans retard injustifié de tout traitement de données à caractère personnel effectué en vertu du présent article.
3. Europol a l’exclusivité de l’accès direct aux données à caractère personnel visées aux paragraphes 1 et 2. Le directeur exécutif autorise dûment un nombre limité de membres du personnel d’Europol à avoir cet accès s’il est nécessaire à l’exécution de leurs tâches.
Nonobstant le premier alinéa, lorsqu’il est nécessaire d’accorder au personnel des autorités compétentes des États membres ou des agences de l’Union instituées sur la base du titre V du traité sur le fonctionnement de l’Union européenne un accès direct aux données à caractère personnel pour l’exécution de leurs tâches, dans les cas prévus à l’article 20, paragraphes 1 et 2 bis, du présent règlement ou pour des projets de recherche et d’innovation menés conformément à l’article 33 bis, paragraphe 2, point d), du présent règlement, le directeur exécutif autorise dûment un nombre limité de ces membres de personnel à avoir cet accès.
5. Les données à caractère personnel visées aux paragraphes 1 et 2 ne sont pas transmises à des États membres ou à des organes de l’Union ou transférées vers des pays tiers ou à des organisations internationales, à moins que cette transmission ou ce transfert ne soit requis par le droit de l’Union ou strictement nécessaire et proportionné dans des cas particuliers concernant des formes de criminalité relevant des objectifs d’Europol et que cela ne soit conforme au chapitre V.
6. Tous les ans, Europol fournit au CEPD un aperçu statistique de toutes les données à caractère personnel visées au paragraphe 2 qu'elle a traitées.