1. Le traitement des données à caractère personnel reçues par un État membre ou par Europol est autorisé uniquement aux fins pour lesquelles les données ont été transmises par l’État membre qui a fourni les données conformément au présent règlement. Le traitement à d’autres fins n’est autorisé qu’avec l’autorisation préalable de l’État membre qui a fourni les données.
2. Le traitement des données transmises par un État membre ou par Europol en vertu de l’article 6, 11, 16, 20 ou 26 est autorisé uniquement lorsque cela est nécessaire aux fins suivantes:
a) établir si les profils ADN, les données dactyloscopiques, les données relatives à l’immatriculation des véhicules, les images faciales ou les fichiers de police qui sont comparés concordent;
b) échanger un ensemble de données de base conformément à l’article 47;
c) préparer et introduire une demande de coopération policière ou d’entraide judiciaire, en cas de concordance de ces données;
d) tenir des registres conformément aux articles 18, 40 et 45.
3. Les données reçues par les États membres ou Europol sont effacées immédiatement après les réponses automatisées aux consultations, à moins que la poursuite du traitement ne soit nécessaire aux fins visées au paragraphe 2 ou autorisée conformément au paragraphe 1.
4. Avant de connecter leurs bases de données nationales au routeur ou à l’EPRIS, les États membres effectuent une analyse d’impact relative à la protection des données conformément à l’article 27 de la directive (UE) 2016/680 et, le cas échéant, consultent l’autorité de contrôle comme le prévoit l’article 28 de ladite directive. L’autorité de contrôle peut faire usage des pouvoirs dont elle dispose au titre de l’article 47 de ladite directive, conformément à l’article 28, paragraphe 5, de ladite directive.