1. Europol peut traiter des données à caractère personnel aux fins de ses projets de recherche et d’innovation, à condition que le traitement de ces données à caractère personnel:
a) soit strictement nécessaire et dûment motivé pour atteindre les objectifs du projet concerné;
b) en ce qui concerne des catégories particulières de données à caractère personnel, soit strictement nécessaire et s’accompagne de garanties appropriées pouvant inclure la pseudonymisation.
Le traitement de données à caractère personnel par Europol dans le cadre de projets de recherche et d’innovation est guidé par les principes de transparence, d’explicabilité, d’équité et de responsabilité.
2. Sans préjudice du paragraphe 1, pour le traitement de données à caractère personnel effectué dans le cadre de projets de recherche et d’innovation d’Europol, les garanties suivantes s’appliquent:
a) tout projet de recherche et d’innovation requiert l’autorisation préalable du directeur exécutif, en consultation avec le délégué à la protection des données et l’officier aux droits fondamentaux, sur la base:
i) d’une description des objectifs du projet et d’une explication de la manière dont ce dernier soutient Europol ou les autorités compétentes des États membres dans l’accomplissement de leurs tâches;
ii) d’une description de l’activité de traitement envisagée, expliquant les objectifs, l’ampleur et la durée du traitement, ainsi que la nécessité et la proportionnalité du traitement des données à caractère personnel, par exemple pour étudier et expérimenter des solutions technologiques innovantes et garantir l’exactitude des résultats du projet;
iii) d’une description des catégories de données à caractère personnel à traiter;
iv) d’une évaluation du respect des principes en matière de protection des données énoncés à l’article 71 du règlement (UE) 2018/1725, des délais pour la conservation des données à caractère personnel et des conditions d’accès à ces données; et
v) d’une analyse d’impact relative à la protection des données, y compris en ce qui concerne les risques pour les droits et libertés des personnes concernées, le risque de tout biais éventuel dans les données à caractère personnel à utiliser lors de l’entraînement des algorithmes et dans les résultats du traitement, et les mesures envisagées pour faire face à ces risques ainsi que pour éviter toute atteinte aux droits fondamentaux;
b) le CEPD est informé préalablement au lancement du projet;
c) le conseil d’administration est consulté ou informé préalablement au lancement du projet, conformément aux lignes directrices visées à l’article 18, paragraphe 7;
d) les données à caractère personnel devant être traitées dans le cadre du projet:
i) sont temporairement copiées dans un environnement de traitement des données séparé, isolé et protégé au sein d’Europol à la seule fin de la réalisation de ce projet;
ii) sont accessibles par les seuls membres du personnel expressément autorisés d’Europol conformément à l’article 30, paragraphe 3, du présent règlement et, sous réserve de mesures de sécurité techniques, par les membres du personnel expressément autorisés des autorités compétentes des États membres et des agences de l’Union instituées sur la base du titre V du traité sur le fonctionnement de l’Union européenne;
iii) ne sont pas transmises ou transférées;
iv) leur traitement ne débouche pas sur des mesures ou des décisions affectant les personnes concernées;
v) sont effacées une fois que le projet est achevé ou que le délai de conservation de ces données a expiré conformément à l’article 31;
e) les journaux des traitements de données à caractère personnel effectués dans le cadre du projet sont conservés pendant deux ans après la conclusion du projet, aux seules fins de vérifier l’exactitude du résultat du traitement des données et uniquement pour la durée nécessaire à cette vérification.
3. Le conseil d’administration définit dans un document contraignant le cadre général pour les projets de recherche et d’innovation. Ce document est actualisé en tant que de besoin et est mis à la disposition du CEPD à des fins de contrôle.
4. Europol conserve un document contenant une description détaillée du processus et de la justification de l’entraînement, de l’expérimentation et de la validation des algorithmes pour garantir la transparence du processus et des algorithmes, y compris leur conformité avec les garanties prévues au présent article, et pour permettre la vérification de l’exactitude des résultats basés sur l’utilisation de ces algorithmes. Sur demande, Europol met ce document à la disposition des parties intéressées, y compris les États membres et le groupe de contrôle parlementaire conjoint.
5. Si les données à traiter pour un projet de recherche et d’innovation ont été fournies par un État membre, un organe de l’Union, un pays tiers ou une organisation internationale, Europol demande le consentement dudit fournisseur de données conformément à l’article 19, paragraphe 2, sauf si le fournisseur de données a donné son accord préalable à ce traitement aux fins de projets de recherche et d’innovation, en termes généraux ou sous réserve de conditions spécifiques.
Europol ne traite pas de données aux fins de projets de recherche et d’innovation sans le consentement du fournisseur de données. Ce consentement peut être retiré à tout moment.