1. Les autorités douanières et les autorités compétentes des États membres agissent en tant que responsables du traitement des données à caractère personnel qu’elles ont obtenues en vertu des articles 4, 5 et 8.
2. Le traitement des données à caractère personnel sur la base du présent règlement a lieu uniquement aux fins définies à l’article 1er, paragraphe 1.
3. Les données à caractère personnel obtenues en vertu des articles 4, 5 et 8 ne sont accessibles qu’au personnel dûment autorisé des autorités et sont protégées de manière adéquate contre l’accès ou la communication non autorisés. Les données ne peuvent être divulguées ou communiquées sans l’autorisation écrite expresse de l’autorité qui a initialement obtenu les informations. Cependant, cette autorisation n’est pas nécessaire lorsque les autorités sont tenues de divulguer ou de communiquer ces informations conformément aux dispositions légales en vigueur dans l’État membre en question, notamment dans le cadre de procédures judiciaires.
4. Les autorités conservent les données à caractère personnel obtenues en vertu des articles 4, 5 et 8 pendant une durée de 20 ans à compter de la date à laquelle ces données ont été obtenues. Ces données à caractère personnel sont effacées à l’expiration de cette période.