ES Diario Oficial de la Unión Europea L 121/37

DECISIÓN DEL CONSEJO

de 6 de abril de 2009

por la que se crea la Oficina Europea de Policía (Europol)

(2009/371/JAI)

EL CONSEJO DE LA UNIÓN EUROPEA,

Visto el Tratado de la Unión Europea y, en particular, su artículo 30, apartado 1, letra b), su artículo 30, apartado 2, y su artículo 34, apartado 2, letra c),

Vista la propuesta de la Comisión,

Visto el dictamen del Parlamento Europeo (1),

Considerando lo siguiente:

(1) La creación de una Oficina Europea de Policía (Europol) se acordó en el Tratado de la Unión Europea, de 7 de febrero de 1992, y se reguló en el Convenio, basado en el artículo K.3 del Tratado de la Unión Europea, por el que se crea una Oficina Europea de Policía (Convenio Europol) (2).

(2) El Convenio Europol ha sido objeto de varias propuestas de modificación que figuran en tres protocolos que han entrado en vigor después de un dilatado proceso de ratificación. En consecuencia, la sustitución del Convenio por una Decisión facilitará la introducción de nuevas modificaciones que se estimen necesarias.

(3) La simplificación y la mejora del marco jurídico de Europol pueden lograrse parcialmente creando Europol como un ente de la Unión financiado con cargo al presupuesto general de la Unión, debido a la consiguiente aplicación de las normas y procedimientos generales.

(4) Instrumentos jurídicos recientes que han creado entes similares de la Unión en ámbitos cubiertos por el título VI del Tratado de la Unión Europea [Decisión 2002/187/JAI del Consejo, de 28 de febrero de 2002, por la que se crea Eurojust para reforzar la lucha contra las formas graves de delincuencia (3), y Decisión 2005/681/JAI del Consejo, de 20 de septiembre de 2005, por la que se crea la Escuela Europea de Policía (CEPOL) (4)] han tomado la forma de decisiones del Consejo, puesto que tales decisiones son más fácilmente adaptables a las circunstancias cambiantes y a las nuevas prioridades políticas.

(5) El establecimiento de Europol como un ente de la Unión, financiado con cargo al presupuesto general de la Unión, reforzará la función del Parlamento Europeo en el control sobre Europol, mediante la participación del Parlamento Europeo en la adopción del presupuesto, incluida la plantilla de personal y el procedimiento de aprobación de la gestión.

(6) Sujetar Europol a las normas y procedimientos generales aplicables a entes similares de la Unión supondrá una simplificación administrativa que permitirá a Europol dedicar más recursos a sus tareas esenciales.

(7) La simplificación y mejora del funcionamiento de Europol pueden lograrse a través de medidas dirigidas a ampliar las posibilidades de que Europol ayude y apoye a los servicios responsables de la aplicación de la ley en los Estados miembros, sin prever poderes ejecutivos para el personal de Europol.

(8) Una de estas mejoras consiste en garantizar que Europol pueda ayudar a las autoridades competentes de los Estados miembros a luchar contra formas específicas de delincuencia grave, sin la limitación actual consistente en que deben existir indicios concretos de una estructura delictiva organizada.

(9) Debería fomentarse la creación de equipos conjuntos de investigación, y es importante que el personal de Europol pueda participar en ellos. A fin de garantizar que dicha participación sea posible en todos los Estados miembros, es preciso garantizar que los miembros del personal de Europol no disfruten de la aplicación de inmunidades mientras estén participando en calidad de apoyo de los equipos conjuntos de investigación. Ello será posible tras la adopción de un Reglamento a esos fines sobre la base de del artículo 16 del Protocolo sobre privilegios e inmunidades de las Comunidades Europeas.

(10) Las unidades nacionales de Europol deberán tener acceso directo a todos los datos del sistema de información de Europol, a fin de evitar trámites innecesarios.

(11) Para alcanzar sus objetivos, Europol tendrá que tratar datos personales, por medios automatizados o en expedientes manuales estructurados. En consecuencia, procede tomar las medidas necesarias para garantizar un nivel de protección de los datos que corresponda, como mínimo, al que se deriva de la aplicación de los principios del Convenio para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, firmado en Estrasburgo el 28 de enero de 1981 (Consejo de Europa), y de sus modificaciones ulteriores, una vez que estas modificaciones estén en vigor entre los Estados miembros.

(12) Una decisión marco del Consejo relativa a la protección de datos personales tratados en el marco de la cooperación policial y judicial en materia penal será aplicable a la transferencia de datos personales por los Estados miembros a Europol. El conjunto de disposiciones pertinentes en materia de protección de datos de la Decisión no se verá afectado por dicha decisión marco y la presente Decisión contiene disposiciones específicas sobre protección de datos personales que regulan estas cuestiones de forma más pormenorizada, debido a la naturaleza, las funciones y las competencias particulares de Europol.

(13) Es necesario contar con un responsable de la protección de datos con capacidad para garantizar, de forma independiente, la legitimidad del tratamiento de los datos y el cumplimiento de las disposiciones de la presente Decisión por lo que respecta al tratamiento de datos personales, incluido el tratamiento de datos personales del personal de Europol, que está protegido por el artículo 24 del Reglamento (CE) no 45/2001 del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos (5).

(14) Las posibilidades actuales de Europol para crear y gestionar información de sistemas de tratamiento en apoyo de sus tareas deben ampliarse. Tales sistemas adicionales de tratamiento de información de sistemas de tratamiento deben crearse y mantenerse de acuerdo con los principios generales de protección de datos contenidos en el Convenio del Consejo de Europa para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, de 28 de enero de 1981, y en la Recomendación no R (87) 15 del Comité de Ministros del Consejo de Europa, de 17 de septiembre de 1987, por medio de una decisión del consejo de administración de Europol.

(15) La presente Decisión permite tener en cuenta el principio de acceso público a los documentos oficiales.

(16) Para poder cumplir su misión, es preciso que Europol coopere con instituciones, agencias y organismos europeos, incluida Eurojust, que garanticen un nivel adecuado de protección de datos.

(17) Europol debería poder celebrar acuerdos o arreglos de trabajo con instituciones, organismos y agencias de la Comunidad o la Unión, a fin de aumentar la eficacia mutua en la lucha contra las formas graves de delincuencia que son de la competencia respectiva de ambas partes y evitar la duplicación del trabajo.

(18) Las posibilidades de Europol para cooperar con terceros Estados y organizaciones deberán racionalizarse con el fin de garantizar la coherencia con la política general de la Unión a este respecto, y mediante nuevas disposiciones sobre cómo se debe realizar esta cooperación en el futuro.

(19) La gobernanza de Europol deberá mejorarse mediante procedimientos y descripciones más generales de las tareas del consejo de administración y estableciendo una regla común según la cual todas las decisiones deben adoptarse por mayoría de dos tercios.

(20) Sería también deseable contar con disposiciones destinadas a lograr un mayor control de Europol por parte del Parlamento Europeo, a fin de garantizar que Europol siga siendo una organización plenamente responsable y transparente, teniendo debidamente en cuenta la necesidad de salvaguardar la confidencialidad de la información operativa.

(21) Se efectuará un control judicial sobre Europol, de conformidad con el artículo 35 del Tratado de la Unión Europea.

(22) Deberán establecerse medidas transitorias cuidadosamente diseñadas, a fin de permitir que Europol continúe cumpliendo sus tareas al máximo de su capacidad.

(23) Dado que los objetivos de la presente Decisión, a saber, la necesidad de crear un ente responsable de la cooperación para la aplicación de la ley a escala de la Unión, no pueden ser alcanzados de manera suficiente por los Estados miembros y, por consiguiente, debido a las dimensiones o los efectos de la acción, pueden lograrse mejor a nivel de la Unión, la Unión puede adoptar medidas de acuerdo con el principio de subsidiariedad, enunciado en el artículo 2 del Tratado de la Unión Europea y consagrado en el artículo 5 del Tratado constitutivo de la Comunidad Europea. De conformidad con el principio de proporcionalidad enunciado en dicho artículo, la presente Decisión no excede de lo necesario para alcanzar estos objetivos.

(24) La presente Decisión respeta los derechos fundamentales y observa los principios reconocidos por la Carta de los Derechos Fundamentales de la Unión Europea.

DECIDE:

CAPÍTULO I

CREACIÓN Y TAREAS

Artículo 1

Creación

1. La presente Decisión sustituye a las disposiciones del Convenio, basado en el artículo K.3 del Tratado de la Unión Europea, por el que se crea una Oficina Europea de Policía («el Convenio Europol»).

Europol tendrá su sede en La Haya, Países Bajos.

2. Europol, según se contempla en la presente Decisión, deberá entenderse como la sucesora legal de Europol con arreglo al Convenio Europol.

3. Europol estará vinculada en cada Estado miembro a una única unidad nacional que se creará o designará de conformidad con lo dispuesto en el artículo 8.

Artículo 2

Capacidad jurídica

1. Europol tendrá personalidad jurídica.

2. Europol disfrutará en cada Estado miembro de la capacidad legal y contractual más amplia otorgada a las personas jurídicas conforme a la legislación nacional. Podrá, en particular, adquirir o enajenar bienes muebles e inmuebles y constituirse en parte en acciones legales.

3. Se autorizará a Europol a celebrar un acuerdo de sede con el Reino de los Países Bajos.

Artículo 3

Objetivo

El objetivo de Europol será apoyar y reforzar la acción de las autoridades competentes de los Estados miembros y su cooperación mutua en materia de prevención y lucha contra la delincuencia organizada, el terrorismo y otras formas de delitos graves que afecten a dos o más Estados miembros.

A efectos de la presente Decisión, se entenderá por «autoridades competentes» todos los organismos públicos existentes en los Estados miembros que sean responsables, conforme al Derecho nacional, de la prevención y lucha contra los delitos.

Artículo 4

Competencias

1. Las competencias de Europol abarcarán la delincuencia organizada, el terrorismo y otras formas de delitos graves que figuran en el anexo, en la medida en que dos o más Estados miembros se vean afectados de tal modo que, debido al alcance, gravedad y consecuencias de los actos delictivos, se requiera una actuación común de los Estados miembros.

2. Por recomendación del consejo de administración, el Consejo establecerá sus prioridades para Europol, tomando en consideración en particular los análisis estratégicos y evaluaciones de las amenazas preparados por Europol.

3. Las competencias de Europol también abarcarán los delitos penales conexos. Se considerarán delitos penales conexos los siguientes:

a) los delitos cometidos con objeto de procurarse los medios para perpetrar los actos para los que Europol sea competente;

b) los delitos cometidos para facilitar o consumar la ejecución de los actos para los que Europol sea competente;

c) los delitos cometidos para conseguir la impunidad de los actos para los que Europol sea competente.

Artículo 5

Funciones

1. Europol desempeñará las siguientes funciones principales:

a) recoger, almacenar, tratar, analizar e intercambiar información y datos;

b) comunicar sin demora a las autoridades competentes de los Estados miembros, por medio de la unidad nacional a que se refiere el artículo 8, la información que les afecte y las relaciones que haya podido establecer entre los actos delictivos;

c) facilitar las investigaciones en los Estados miembros, en concreto transmitiendo a las unidades nacionales toda la información pertinente al respecto;

d) solicitar a las autoridades competentes de los Estados miembros afectados que inicien, realicen o coordinen investigaciones, y sugerir la creación de un equipo conjunto de investigación en casos específicos;

e) proporcionar apoyo en materia de análisis e información a los Estados miembros en relación con un acontecimiento internacional importante;

f) elaborar evaluaciones de las amenazas, análisis estratégicos e informes generales sobre el estado de los trabajos en relación con su objetivo, incluidas evaluaciones de la amenaza de la delincuencia organizada.

2. Las funciones especificadas en el apartado 1 incluirán la provisión de apoyo a los Estados miembros en sus tareas de recogida y análisis de información en Internet para contribuir a identificar las actividades delictivas facilitadas por Internet o cometidas a través de Internet.

3. Europol desempeñará, además, las funciones siguientes:

a) profundizar en los conocimientos especializados utilizados por las autoridades competentes de los Estados miembros en el marco de sus investigaciones y ofrecer asesoramiento para las mismas;

b) proporcionar datos estratégicos para facilitar y promover la utilización eficaz y racional de los recursos disponibles a nivel nacional y de la Unión para las actividades operativas y apoyo para tales actividades.

4. Además, en el marco del objetivo que establece el artículo 3, Europol podrá, en la medida en que lo permitan la dotación de personal y los recursos presupuestarios y dentro de los límites fijados por el consejo de administración, asistir a los Estados miembros, mediante apoyo, asesoramiento e investigaciones, en los ámbitos siguientes:

a) formación de los miembros de las autoridades competentes, en su caso en cooperación con la Escuela Europea de Policía;

b) organización y equipamiento de dichas autoridades, facilitando la prestación de ayuda técnica entre los Estados miembros;

c) métodos de prevención de la delincuencia;

d) métodos y análisis técnicos y científicos, así como procedimientos de investigación.

5. Europol actuará también como organismo central para la lucha contra la falsificación del euro en virtud de la Decisión 2005/511/JAI del Consejo, de 12 de julio de 2005, relativa a la protección del euro contra la falsificación mediante la designación de Europol como organismo central para la lucha contra la falsificación del euro (6). Igualmente, Europol podrá fomentar la coordinación de las medidas tomadas para luchar contra la falsificación del euro por las autoridades competentes de los Estados miembros o en el contexto de equipos conjuntos de investigación, en su caso en contacto con organismos de la Unión o de terceros Estados. Previa petición, Europol podrá conceder apoyo financiero para efectuar investigaciones contra la falsificación del euro.

Artículo 6

Participación en equipos conjuntos de investigación

1. El personal de Europol podrá participar en calidad de apoyo en equipos conjuntos de investigación, incluidos los equipos establecidos con arreglo al artículo 1 de la Decisión Marco 2002/465/JAI del Consejo, de 13 de junio de 2002, sobre equipos conjuntos de investigación (7), con arreglo al artículo 13 del Convenio, de 29 de mayo de 2000, relativo a la asistencia judicial en materia penal entre los Estados miembros de la Unión Europea (8), o de conformidad con el artículo 24 del Convenio, de 18 de diciembre de 1997, relativo a la asistencia mutua y la cooperación entre las administraciones aduaneras (9), en la medida en que dichos equipos investiguen delitos para los que sea competente Europol en virtud del artículo 4 de la presente Decisión.

El personal de Europol podrá, dentro de los límites fijados por las normas de los Estados miembros donde opere el equipo conjunto de investigación y en virtud del acuerdo al que se refiere el apartado 3, prestar asistencia en todas las actividades e intercambiar información con todos los miembros del equipo conjunto de investigación, con arreglo al apartado 5. No obstante, no tomarán parte en la adopción de ninguna medida coercitiva.

2. El procedimiento administrativo de participación del personal de Europol en un equipo conjunto de investigación se establecerá en un acuerdo entre el director y las autoridades competentes de los Estados miembros que participen en el equipo conjunto de investigación, con la participación de las unidades nacionales. El consejo de administración determinará las normas por las que se regirán dichos acuerdos.

3. Las normas a que se refiere el apartado 2 precisarán las condiciones en las que los miembros del personal de Europol serán puestos a disposición del equipo conjunto de investigación.

4. De conformidad con el acuerdo al que hace referencia el apartado 2, los miembros del personal de Europol podrán mantener un contacto directo con los miembros del equipo conjunto de investigación y, en las condiciones establecidas en la presente Decisión, facilitar información a los miembros del equipo conjunto de investigación y a las personas destinadas en él sobre cualquiera de los componentes de los sistemas de tratamiento de la información a los que hace referencia el artículo 10. Si se trata de un contacto directo, Europol deberá informar simultáneamente al respecto a las unidades nacionales de los Estados miembros representadas en el equipo, así como también a los Estados miembros que proporcionaron la información.

5. La información que obtenga un miembro del personal de Europol mientras forme parte de un equipo conjunto de investigación podrá, con el acuerdo y bajo la responsabilidad del Estado miembro que le haya proporcionado dicha información, incluirse en cualquiera de los componentes del sistema informatizado a que se refiere el artículo 10, con arreglo a las condiciones establecidas en la presente Decisión.

6. Durante las operaciones de un equipo conjunto de investigación, el personal de Europol estará sujeto, respecto de las infracciones que pudiera sufrir o cometer, a la legislación nacional aplicable a las personas que desempeñen funciones análogas en el Estado miembro en el que se desarrolla la operación.

Artículo 7

Solicitud de Europol de iniciación de investigaciones penales

1. Los Estados miembros atenderán cualquier solicitud de Europol para que inicien, lleven a cabo o coordinen investigaciones en casos concretos y examinarán debidamente dichas solicitudes. Los Estados miembros informarán a Europol sobre si inician la investigación solicitada.

2. Antes de solicitar el inicio de una investigación penal, Europol informará al respecto a Eurojust.

3. Si las autoridades competentes de un Estado miembro decidieran no acceder a una solicitud de Europol, informarán a Europol de su decisión y de los motivos de la misma, salvo que no pudieran indicar sus motivos por alguna de las siguientes razones:

a) que indicarlos perjudicase intereses nacionales esenciales en materia de seguridad, o

b) que indicarlos comprometiese el correcto desarrollo de investigaciones en curso o la seguridad de las personas.

4. Las respuestas a las solicitudes de Europol para que se inicien, lleven a cabo o coordinen investigaciones en casos específicos, así como la información transmitida a Europol sobre los resultados de las investigaciones, se enviarán a través de las autoridades competentes de los Estados miembros de acuerdo con las normas establecidas en la presente Decisión y con la legislación nacional pertinente.

Artículo 8

Unidades nacionales

1. Cada Estado miembro creará o designará una unidad nacional encargada de ejecutar las funciones enumeradas en el presente artículo. Se designará a un agente en cada Estado miembro como jefe de la unidad nacional.

2. La unidad nacional será el único órgano de enlace entre Europol y las autoridades competentes de los Estados miembros. No obstante, los Estados miembros podrán autorizar contactos directos entre las autoridades competentes designadas y Europol en las condiciones que determine el Estado miembro de que se trate, incluida la participación previa de la unidad nacional.

Al mismo tiempo, la unidad nacional recibirá de Europol toda la información intercambiada en el curso de los contactos directos entre Europol y las autoridades competentes designadas. Las relaciones entre la unidad nacional y las autoridades competentes se regirán por el Derecho nacional respectivo, en particular por sus normas constitucionales.

3. Los Estados miembros adoptarán todas las medidas necesarias para asegurar la ejecución de las funciones de la unidad nacional y, en particular, el acceso de la unidad nacional a los datos nacionales pertinentes.

4. La función de las unidades nacionales será:

a) suministrar por iniciativa propia a Europol las informaciones y datos necesarios para el desempeño de las funciones de este organismo;

b) responder a las solicitudes de información, suministro de datos y asesoramiento formuladas por Europol;

c) mantener al día sus informaciones y datos;

d) con arreglo a las disposiciones del Derecho nacional, aprovechar las informaciones y los datos de interés para las autoridades competentes y transmitirlos a las mismas;

e) remitir a Europol las solicitudes de asesoramiento, información, datos y análisis;

f) transmitir a Europol informaciones para su almacenamiento en sus bases de datos;

g) velar por la legalidad de cada operación de intercambio de información con Europol.

5. Sin perjuicio del ejercicio de las responsabilidades de los Estados miembros con respecto al mantenimiento del orden público y la salvaguardia de la seguridad interior, las unidades nacionales no tendrán la obligación de transmitir, en un caso concreto, datos e informaciones si la transmisión:

a) perjudica intereses nacionales esenciales en materia de seguridad;

b) compromete investigaciones en curso o la seguridad de personas, o

c) se refiere a datos de servicios o actividades específicas de información en materia de seguridad del Estado.

6. Los gastos de comunicación de las unidades nacionales con Europol correrán a cargo de los Estados miembros y, con excepción de los gastos de conexión, no serán imputados a Europol.

7. Los jefes de las unidades nacionales se reunirán periódicamente, por iniciativa propia o cuando medie solicitud del director o del consejo de administración, para asesorar a Europol en asuntos operativos, en particular a fin de:

a) estudiar y elaborar propuestas que mejoren la eficacia operativa de Europol y fomenten el compromiso de los Estados miembros con Europol;

b) evaluar los informes y análisis redactados por Europol con arreglo al artículo 5, apartado 1, letra f), y desarrollar medidas para dar seguimiento a sus conclusiones;

c) proporcionar apoyo para la creación de equipos conjuntos de investigación en los que participe Europol en virtud del artículo 5, apartado 1, letra d), y del artículo 6.

Artículo 9

Funcionarios de enlace

1. Cada unidad nacional enviará a Europol por lo menos a un funcionario de enlace. Sin perjuicio de las disposiciones específicas de la presente Decisión, los funcionarios de enlace estarán sujetos al Derecho nacional del Estado miembro acreditante.

2. Los funcionarios de enlace constituirán las oficinas nacionales de enlace en Europol y las unidades nacionales les encargarán la defensa de sus intereses en dicha institución de acuerdo con el Derecho nacional del Estado miembro acreditante y ajustándose a las disposiciones relativas a la administración de Europol.

3. Sin perjuicio de lo dispuesto en el artículo 8, apartados 4 y 5, los funcionarios de enlace:

a) transmitirán información de las unidades nacionales acreditantes a Europol;

b) transmitirán datos de Europol a las unidades nacionales acreditantes;

c) cooperarán con el personal de Europol mediante la transmisión de información y la prestación de asesoramiento, y

d) contribuirán al intercambio de información entre sus unidades nacionales y los funcionarios de enlace de otros Estados miembros bajo su responsabilidad y de acuerdo con el Derecho nacional; estos intercambios bilaterales también podrán referirse a delitos fuera de la competencia de Europol, siempre que lo permita el Derecho nacional.

4. Por analogía se aplicará a las actividades de los funcionarios de enlace el artículo 35.

5. Los derechos y obligaciones de los funcionarios de enlace respecto de Europol serán establecidos por el consejo de administración.

6. Los funcionarios de enlace gozarán de los privilegios e inmunidades necesarios para el cumplimiento de sus cometidos de conformidad con lo dispuesto en el artículo 51, apartado 2.

7. Europol se asegurará de que los funcionarios de enlace estén plenamente informados y participen en todas sus actividades, siempre que ello sea compatible con su puesto.

8. Europol pondrá gratuitamente a disposición de los Estados miembros en el edificio de Europol los locales necesarios y les proporcionará la ayuda adecuada para el cumplimiento de las actividades de sus respectivos funcionarios de enlace. Todos los demás gastos derivados del envío de los funcionarios de enlace serán sufragados por los Estados miembros acreditantes; esto se aplicará asimismo a los gastos derivados de dotar con equipo a los funcionarios de enlace siempre que, al establecer el presupuesto de Europol, el consejo de administración no recomiende hacer excepciones en determinados casos.

CAPÍTULO II

SISTEMAS DE TRATAMIENTO DE LA INFORMACIÓN

Artículo 10

Tratamiento de la información

1. Siempre que sea necesario para lograr sus objetivos, Europol tratará la información y los datos, incluidos los datos personales, de conformidad con la presente Decisión. Europol creará y gestionará el sistema de información de Europol mencionado en el artículo 11 y los ficheros de trabajo de análisis mencionados en el artículo 14. Europol podrá crear y mantener asimismo otros sistemas de tratamiento de datos personales establecidos con arreglo a los apartados 2 y 3.

2. El consejo de administración, a propuesta del director, tras haber tomado en cuenta las posibilidades que ofrecen los sistemas existentes de tratamiento de datos de Europol y haber consultado a la autoridad común de control, decidirá sobre la creación de un nuevo sistema de tratamiento de información. La decisión del consejo de administración se someterá al Consejo para su aprobación.

3. Dicha decisión del consejo de administración determinará las condiciones y limitaciones con arreglo a las cuales Europol podrá crear el nuevo sistema de tratamiento de datos personales. La decisión del consejo de administración podrá permitir el tratamiento de datos personales relacionados con las categorías de personas a que se refiere el artículo 14, apartado 1, pero no el tratamiento de datos personales que revelen el origen racial o étnico, las opiniones políticas, las creencias religiosas o filosóficas o la afiliación sindical, ni el tratamiento de datos relacionados con la salud o la vida sexual. La decisión garantizará que las medidas y principios a que se refieren los artículos 18, 19, 20, 27, 29 y 35 se ejecuten de modo adecuado. En particular, la decisión del consejo de administración definirá la finalidad del nuevo sistema, el acceso y uso de los datos, así como los plazos de conservación y supresión de los mismos.

4. Europol podrá tratar datos con objeto de determinar si resultan pertinentes para sus cometidos y pueden incluirse en el sistema de información de Europol a que se refiere el artículo 11 y en los ficheros de trabajo de análisis a que se refiere el artículo 14, o en otros sistemas de tratamiento de datos personales establecidos de conformidad con los apartados 2 y 3 del presente artículo. El consejo de administración, a propuesta del director y tras haber consultado a la autoridad común de control, determinará las condiciones relacionadas con el tratamiento de dichos datos, en particular en lo que se refiere al acceso y uso de de los mismos, así como a los plazos de conservación y supresión, que no podrán superar los seis meses, teniendo en cuenta los principios mencionados en el artículo 27. La decisión del consejo de administración se someterá al Consejo para su aprobación.

Artículo 11

Sistema de información de Europol

1. Europol mantendrá el sistema de información de Europol.

2. Europol velará por que se respeten las disposiciones de la presente Decisión en materia de gestión del sistema de información. Será responsable del buen funcionamiento del sistema de información desde los puntos de vista técnico y operativo, y tomará, en particular, todas las medidas necesarias para garantizar la correcta aplicación de las medidas a que se refieren los artículos 20, 29, 31 y 35 por lo que respecta al sistema de información de Europol.

3. En los Estados miembros, la responsable de la comunicación con el sistema de información de Europol será la unidad nacional. Dicha unidad será responsable, en particular, de las medidas de seguridad a que se refiere el artículo 35 en relación con las instalaciones de tratamiento de datos situadas en el territorio del Estado miembro de que se trate, del control previsto en el artículo 20 y, en la medida en que lo impongan las disposiciones legales, reglamentarias y administrativas y los procedimientos aplicables en dicho Estado miembro, de la correcta ejecución de la presente Decisión en cualesquiera otras materias.

Artículo 12

Contenido del sistema de información de Europol

1. El sistema de información de Europol solo se podrá utilizar para tratar los datos necesarios para el cumplimiento de las funciones de Europol. Los datos introducidos se referirán a:

a) las personas que sean sospechosas, de acuerdo con el Derecho nacional del Estado miembro de que se trate, de haber cometido o de haber participado en un delito que sea competencia de Europol, o que hayan sido condenadas por tal delito;

b) las personas respecto de las cuales existan indicios concretos o motivos razonables, de acuerdo con el Derecho nacional del Estado miembro de que se trate, para presumir que cometerán delitos que son competencia de Europol.

2. Los datos relativos a las personas mencionadas en el apartado 1 solo podrán incluir los elementos siguientes:

a) apellido, apellido de soltera, nombre y, en su caso, alias o nombre falso utilizados;

b) fecha y lugar de nacimiento;

c) nacionalidad;

d) sexo;

e) lugar de residencia, profesión y paradero de la persona de que se trate;

f) número de la seguridad social, permisos de conducción, documentos de identidad y datos del pasaporte, y

g) en la medida en que sea necesario, otras características que puedan resultar útiles para su identificación, en particular rasgos físicos específicos, objetivos y permanentes, tales como los datos dactiloscópicos y el perfil de ADN (establecido a partir de la parte no codificante del ADN).

3. Además de los datos indicados en el apartado 2, el sistema de información de Europol podrá utilizarse también para tratar las siguientes indicaciones con respecto a las personas a que se refiere el apartado 1:

a) delitos, hechos imputados, fecha, lugar y forma de comisión (presuntamente);

b) medios utilizados o que puedan serlo para cometer los delitos, incluida la información relativa a personas jurídicas;

c) servicios responsables del expediente y número de referencia de este;

d) sospecha de pertenencia a una organización delictiva;

e) condenas, siempre que se refieran a delitos que sean competencia de Europol;

f) parte que haya introducido los datos.

Estos datos también podrán ser introducidos cuando aún no se refieran a ninguna persona. Cuando sea Europol quien introduzca los datos, añadirá al número de referencia del expediente la fuente de los datos.

4. La información complementaria relativa a las personas a que hace referencia el apartado 1 que obre en poder de Europol y de las unidades nacionales podrá ser comunicada a cualquier unidad nacional y a Europol a instancia de estas. En el caso de las unidades nacionales, tal comunicación se hará en cumplimiento del Derecho nacional.

Cuando la información complementaria se refiera a uno o más delitos conexos, según se definen en el artículo 4, apartado 3, los datos almacenados en el sistema de información se acompañarán de una indicación con el fin de que las unidades nacionales y Europol puedan intercambiar información relativa a dichos delitos conexos.

5. En caso de que la causa contra el interesado se archive definitivamente o se pronuncie una resolución absolutoria definitiva de dicho interesado, deberán suprimirse los datos relativos al caso a que se refiera dicha resolución.

Artículo 13

Uso del sistema de información de Europol

1. El derecho a introducir directamente datos en el sistema de información de Europol y de recuperarlos del mismo quedará reservado a las unidades nacionales, a los funcionarios de enlace, al director, a los directores adjuntos y a los miembros del personal de Europol debidamente habilitados. Europol podrá recuperar los datos cuando sea necesario para el cumplimiento de un cometido concreto. La recuperación por parte de las unidades nacionales y los funcionarios de enlace se regirá por las disposiciones legales, reglamentarias y administrativas y procedimientos de la parte que efectúe la consulta, a no ser que la presente Decisión contenga otras disposiciones al respecto.

2. La parte introductora será la única autorizada a modificar, rectificar o suprimir los datos que haya introducido. Si otra parte dispone de indicios que permitan presumir que un dato de los mencionados en el artículo 12, apartado 2, contiene errores, o si desea completar tales datos, informará de ello inmediatamente a la parte introductora. Esta deberá comprobar la comunicación sin demora y, en caso necesario, modificar, completar, rectificar o suprimir el dato inmediatamente.

3. De haberse almacenado con respecto a una persona datos de los mencionados en el artículo 12, apartado 3, cualquier parte podrá completarlos introduciendo otros datos de los mencionados en dicho apartado. Si hay contradicciones manifiestas entre estos datos, las partes de que se trate deberán ponerse de acuerdo.

4. Si una parte tiene intención de suprimir la totalidad de los datos mencionados en el artículo 12, apartado 2, introducidos por ella con respecto a una persona, y si existen datos de los mencionados en el artículo 12, apartado 3, referidos a la misma persona introducidos por otras partes, la responsabilidad en materia de protección de los datos con arreglo al artículo 29, apartado 1, y el derecho a modificarlos, completarlos, rectificarlos y suprimirlos con arreglo al artículo 12, apartado 2, se transferirá a la parte siguiente que haya introducido datos de los mencionados en el artículo 12, apartado 3, en relación con la misma persona. La parte que tenga intención de suprimir los datos informará de ello a la parte a la que corresponda la responsabilidad en materia de protección de datos.

5. La responsabilidad de la licitud de la consulta, introducción o modificación de datos del sistema de información de Europol recaerá en la parte que realice dicha consulta, introducción o modificación. Dicha parte deberá ser identificable. La transmisión de información entre las unidades nacionales y las autoridades competentes de los Estados miembros se regirá por el Derecho nacional.

6. Además de las unidades nacionales y de las personas a que hace referencia el apartado 1, las autoridades competentes designadas a tal efecto por los Estados miembros podrán consultar también el sistema de información de Europol. No obstante, el resultado de la consulta indicará únicamente si el dato solicitado se encuentra en el sistema de información de Europol. Podrá conseguirse más información a través de la unidad nacional de Europol.

7. La información relativa a las autoridades competentes designadas de conformidad con el apartado 6, así como ulteriores modificaciones de la misma, se transmitirá a la Secretaría General del Consejo, que la publicará en el Diario Oficial de la Unión Europea.

Artículo 14

Ficheros de trabajo de análisis

1. En la medida en que sea necesario para desempeñar sus funciones, Europol podrá almacenar, modificar y utilizar datos relativos a los delitos que sean competencia de Europol, incluidos los delitos conexos previstos en el artículo 4, apartado 3, en ficheros de trabajo de análisis. Estos ficheros de trabajo de análisis podrán contener datos sobre las siguientes categorías de personas:

a) las personas mencionadas en el artículo 12, apartado 1;

b) personas que sean consideradas posibles testigos en investigaciones sobre los delitos considerados o en una futura causa penal;

c) personas que hayan sido perjudicadas por uno de los delitos considerados o respecto de las cuales existan motivos para presumir que puedan verse perjudicadas por tal delito;

d) personas intermediarias y acompañantes;

e) personas que puedan facilitar información sobre los delitos considerados.

El tratamiento de datos personales que revelen el origen racial o étnico, las opiniones políticas, las creencias religiosas o filosóficas o la afiliación sindical y el tratamiento de datos relacionados con la salud o la vida sexual no se autorizará salvo cuando sea estrictamente necesario para la finalidad del fichero de que se trate y a menos que tales datos completen otros datos personales introducidos en ese mismo fichero. Queda prohibido seleccionar una categoría particular de personas a partir únicamente de los datos sensibles mencionados en vulneración de las normas de finalidad citadas.

El Consejo, por mayoría cualificada y tras consultar con el Parlamento Europeo, aprobará las normas de desarrollo aplicables a los ficheros de trabajo de análisis elaborados por el consejo de administración, que previamente habrá obtenido el dictamen de la autoridad común de control, y en las que se precisarán, en particular, las indicaciones relativas a las categorías de datos personales previstos en el presente artículo y las disposiciones relativas a la seguridad de dichos datos y al control interno de su utilización.

2. Los ficheros de trabajo de análisis se crearán con fines de análisis, entendiendo por análisis el ordenamiento, tratamiento o utilización de datos para facilitar investigaciones penales. Para cada proyecto de análisis se creará un grupo de análisis en el que trabajarán en estrecha colaboración los siguientes participantes:

a) analistas y otros miembros del personal de Europol designados por el director;

b) funcionarios de enlace o expertos de los Estados miembros de donde proceda la información o afectados por el análisis en el sentido del apartado 4.

Solo los analistas estarán facultados para introducir datos en el fichero de que se trate y modificar tales datos. Todos los participantes en el grupo de análisis podrán consultar los datos del fichero.

3. Sin perjuicio de lo dispuesto en el artículo 8, apartado 5, a solicitud de Europol o por propia iniciativa, las unidades nacionales comunicarán a Europol toda la información que esta necesite a efectos del fichero de trabajo de análisis de que se trate. Los Estados miembros comunicarán los datos en cuestión solo cuando su legislación nacional autorice también su tratamiento a efectos de prevenir, analizar o combatir delitos. Los datos procedentes de las autoridades competentes designadas podrán llegar directamente, en función de su urgencia, a los ficheros de trabajo de análisis con arreglo al artículo 8, apartado 2.

4. Si el análisis es de tipo general y estratégico, se mantendrá plenamente asociados a todos los Estados miembros, por mediación de sus funcionarios de enlace o de expertos, a los resultados de los trabajos, sobre todo comunicándoles los informes elaborados por Europol.

Si el análisis se refiere a casos particulares que no afectan a todos los Estados miembros y tiene una orientación operativa directa, participarán en él los representantes de los siguientes Estados miembros:

a) aquellos de donde proceda la información que haya dado lugar a la decisión de creación del fichero de trabajo de análisis o a los que dicha información afecte de manera inmediata, y aquellos a los que el grupo de análisis invite posteriormente a asociarse porque se hayan convertido en partes afectadas;

b) aquellos que, tras consultar la función de índice mencionada en el artículo 15, constaten la necesidad de conocer el fichero en cuestión y reclamen el derecho a hacerlo en las condiciones definidas en el apartado 5 del presente artículo.

5. Los funcionarios de enlace habilitados alegarán esa necesidad. Cada Estado miembro designará y habilitará, a tal efecto, un número limitado de funcionarios de enlace.

Para alegar la necesidad de tener conocimiento de los ficheros en el sentido del apartado 4, segundo párrafo, letra b), el funcionario de enlace la justificará en un escrito que deberá ser aprobado por la autoridad jerárquica de la que dependa en su Estado y que se comunicará a todos los participantes en el análisis. A continuación participará de pleno derecho en el análisis en curso.

En caso de objeción en el grupo de análisis, se aplazará esta asociación de pleno derecho mientras se realiza un procedimiento de conciliación que constará de tres fases sucesivas:

a) los participantes en el análisis tratarán de ponerse de acuerdo con el funcionario de enlace que haya alegado su necesidad de tener conocimiento del fichero; para ello dispondrán de un plazo máximo de ocho días;

b) si persiste el desacuerdo, los jefes de las unidades nacionales afectadas y el director se reunirán en un plazo de tres días e intentarán llegar a un acuerdo;

c) si todavía persiste el desacuerdo, los representantes de las partes afectadas en el consejo de administración de Europol se reunirán en un plazo de ocho días. Si el Estado miembro de que se trate no renuncia a alegar su necesidad de tener conocimiento de los ficheros, su participación de pleno derecho se hará efectiva por decisión consensuada.

6. El Estado miembro que transmita un dato a Europol será el único capacitado para juzgar su grado de confidencialidad y sus posibles variaciones, pudiendo determinar las condiciones de tratamiento de los datos. La decisión acerca de cualquier difusión o explotación operativa de los datos transmitidos corresponderá al Estado miembro que haya transmitido los datos a Europol. En caso de que no pueda determinarse qué Estado miembro transmitió los datos a Europol, la decisión acerca de la difusión o explotación operativa de los datos corresponderá a los participantes en el análisis. Ningún Estado miembro ni ningún experto asociado que se incorporen a un análisis en curso podrán en particular difundir ni utilizar los datos sin el previo acuerdo de los Estados miembros inicialmente implicados.

7. Como excepción al apartado 6, en aquellos casos en que Europol descubra, después de haberse incluido los datos en un fichero de trabajo de análisis, que estos datos se refieren a una persona o a un objeto sobre los cuales ya se han introducidos en el fichero datos presentados por otro Estado miembro o tercero, se informará inmediatamente al Estado miembro o al tercero en cuestión acerca de la conexión, de conformidad con el artículo 17.

8. Europol podrá invitar a que en las actividades de un grupo de análisis participen expertos procedentes de las entidades mencionadas en los artículos 22, apartado 1, o 23, apartado 1, siempre que:

a) exista un acuerdo o un arreglo de trabajo de los mencionados en los artículos 22, apartado 2, y 23, apartado 2, vigente entre Europol y la entidad de que se trate que contenga disposiciones adecuadas sobre el intercambio de información, incluida la transmisión de datos personales, así como sobre la confidencialidad de la información intercambiada;

b) la participación de los expertos de la entidad redunde en interés de los Estados miembros;

c) el trabajo de análisis que se esté realizando afecte directamente a la entidad en cuestión, y

d) todos los participantes estén de acuerdo con la participación de los expertos procedentes de dicha entidad en las actividades del grupo de análisis.

Con arreglo a las condiciones establecidas en las letras b), c) y d) del primer párrafo, Europol invitará a expertos de la Oficina Europea de Lucha contra el Fraude a asociarse a las actividades del grupo de análisis si el proyecto de análisis se refiere al fraude o a otras actividades ilegales que afectan a los intereses financieros de las Comunidades Europeas.

La participación de expertos de una entidad en las actividades de un grupo de análisis estará supeditada a un acuerdo entre Europol y la entidad de que se trate. El consejo de administración determinará las normas por las que se regirán dichos acuerdos.

Los detalles sobre los acuerdos entre Europol y las entidades se remitirán a la autoridad común de control, que deberá dirigir los comentarios que estime oportunos al consejo de administración.

Artículo 15

Función de índice

1. Europol elaborará una función de índice de los datos almacenados en los ficheros de trabajo de análisis.

2. El director, los directores adjuntos, los miembros del personal de Europol debidamente habilitados, los funcionarios de enlace y los miembros de las unidades nacionales debidamente habilitados tendrán derecho a consultar la función de índice. La función de índice deberá estar constituida de manera que indique claramente a la persona que la utilice, a partir de los datos consultados, si un fichero de trabajo de análisis contiene datos de interés para la realización de las tareas de la persona que utiliza la función de índice.

3. El acceso a la función de índice se regulará de forma que permita determinar si una información está almacenada o no en un fichero de trabajo de análisis, sin que sea posible realizar ningún cotejo ni deducir el contenido de los ficheros.

4. El consejo de administración decidirá, previo dictamen de la autoridad común de control, la forma de organización de la función de índice, incluidas las condiciones de acceso a dicha función.

Artículo 16

Orden de creación de un fichero de trabajo de análisis

1. Para cada fichero de trabajo de análisis, el director deberá indicar, en una orden de creación del fichero, los elementos siguientes:

a) denominación del fichero;

b) objetivo del fichero;

c) categoría de personas a la que se refieren los datos que van a almacenarse;

d) naturaleza de los datos que se vayan a almacenar y, si ha lugar, los datos personales estrictamente necesarios que revelen el origen racial o étnico, las opiniones políticas, las creencias religiosas o filosóficas o la afiliación sindical y los datos relacionados con la salud o la vida sexual;

e) contexto general que lleva a la decisión de crear el fichero;

f) participantes en el grupo de análisis en el momento de crear el fichero;

g) condiciones en que podrán transmitirse datos personales almacenados en el fichero, a qué destinatarios y según qué procedimiento;

h) plazos de verificación de los datos y duración de su almacenamiento;

i) constancia documental.

2. El director informará inmediatamente al consejo de administración y a la autoridad común de control acerca de la orden de creación del fichero o de cualquier modificación subsiguiente de los elementos mencionados en el apartado 1 y les comunicará el expediente. La autoridad común de control podrá formular a la atención del consejo de administración todas las observaciones que estime oportunas. El director podrá solicitar a la autoridad común de control que formule sus observaciones en un determinado plazo.

3. El fichero de trabajo de análisis se almacenará durante un período máximo de tres años. Antes de que finalice el período de tres años, Europol verificará la necesidad de su conservación. Cuando resulte estrictamente necesario para los objetivos del fichero, el director podrá decidir su continuación durante un nuevo período de tres años. El consejo de administración y la autoridad común de control previstos en el artículo 33 serán informados inmediatamente por el director de los elementos del fichero que justifican la necesidad estricta de su conservación. La autoridad común de control formulará, a la atención del consejo de administración, todas las observaciones que estime oportunas. El director podrá pedir que la autoridad común de control haga esto en un determinado plazo.

4. El consejo de administración podrá en todo momento encomendar al director que modifique la orden de creación del fichero de trabajo de análisis o que lo cierre. El consejo de administración decidirá la fecha en que será efectiva la modificación o el cierre del fichero.

CAPÍTULO III

DISPOSICIONES COMUNES RELATIVAS AL TRATAMIENTO DE LA INFORMACIÓN

Artículo 17

Obligación de informar

Sin perjuicio del artículo 14, apartados 6 y 7, Europol comunicará sin demora a las unidades nacionales y, a solicitud de las mismas, a sus funcionarios de enlace la información que afecte a su Estado miembro y las relaciones establecidas entre delitos que sean competencia de Europol con arreglo al artículo 4. Podrá asimismo transmitir información y datos sobre otros delitos graves, obtenidos por Europol en el ejercicio de sus funciones.

Artículo 18

Normas sobre control de las consultas

Europol establecerá, en cooperación con los Estados miembros, mecanismos de control adecuados que permitan comprobar la licitud de las consultas de sus ficheros de datos automatizados utilizados para tratar datos personales y permitir a los Estados miembros acceder, a su petición, a los registros de auditoría. Los datos así recogidos solo podrán ser utilizados por Europol y las autoridades de control a que se refieren los artículos 33 y 34 para el fin designado y se suprimirán al cabo de dieciocho meses, excepto cuando se necesiten para un control en curso. El consejo de administración establecerá los pormenores de dichos mecanismos de control previa consulta a la autoridad común de control.

Artículo 19

Normas de uso de los datos

1. Únicamente las autoridades de los Estados miembros competentes para prevenir y combatir los delitos que son competencia de Europol y las demás formas graves de delincuencia podrán transmitir o utilizar los datos personales extraídos de cualquiera de los ficheros de tratamiento de datos o comunicados por cualquier otro medio apropiado. Europol solo podrá utilizar los datos a que se refiere el apartado 1 en el desempeño de sus funciones.

2. Cuando, con respecto a determinados datos, el Estado miembro suministrador o el tercer Estado u organismo suministrador comunique que, en ese Estado miembro, tercer Estado u organismo, la utilización de dichos datos está sujeta a limitaciones especiales, el usuario también deberá respetarlas, salvo en aquellos casos en que el Derecho nacional obligue a hacer excepciones a esas limitaciones en beneficio de las autoridades judiciales, de las instituciones legislativas o de cualquier otra entidad independiente creada por ley y encargada del control de las autoridades nacionales competentes. En dichos casos, solo se podrán utilizar los datos previa consulta al Estado que los haya suministrado, cuyos intereses y opiniones se tendrán en cuenta en la medida de lo posible.

3. Los datos solo podrán ser utilizados para fines distintos o por autoridades distintas de las autoridades nacionales competentes con la autorización previa del Estado miembro que los haya transmitido y siempre que lo permita el Derecho nacional de este.

Artículo 20

Plazos de conservación y supresión de los ficheros

1. Los datos contenidos en los ficheros solo se conservarán en Europol durante el tiempo necesario para que este organismo pueda cumplir sus funciones. A más tardar tres años después de su introducción deberá verificarse la necesidad de prolongar su almacenamiento. La verificación de los datos almacenados en el sistema de información de Europol y de su supresión serán llevadas a cabo por la unidad que los introdujo. La verificación de los datos almacenados en los demás ficheros de los Servicios de Europol y la supresión de los mismos correrán a cargo de Europol. Europol notificará a los Estados miembros con tres meses de antelación y de forma automática el vencimiento de los plazos de verificación en lo que respecta a la conservación de los datos que hayan introducido.

2. Cuando realicen esta verificación, las unidades a que se refiere la tercera y cuarta frases del apartado 1 podrán optar por conservar los datos hasta la siguiente verificación, que tendrá lugar tras otro período de tres años, si así lo requiere el cumplimiento de las funciones de Europol. De no tomarse tal decisión de prolongación, los datos se suprimirán automáticamente.

3. Cuando un Estado miembro suprima en sus ficheros nacionales datos transmitidos a Europol que esta conserve en los demás ficheros, deberá informar de ello a Europol. En tal caso Europol suprimirá los datos, a no ser que estos sigan revistiendo interés para Europol debido a información que obre en su poder y que no posea el Estado miembro transmisor. Europol comunicará al Estado miembro en cuestión la prolongación del almacenamiento de dichos datos.

4. No se procederá a la supresión cuando esta pueda perjudicar a intereses dignos de protección de la persona de que se trate. En tal caso los datos solo podrán utilizarse con el consentimiento de esta.

Artículo 21

Acceso a datos de otros sistemas de información

Si Europol, en virtud de instrumentos jurídicos de la Unión o de instrumentos jurídicos nacionales o internacionales, hubiese obtenido el derecho de consultar por vía informática otros sistemas de información, podrá extraer de esta forma datos personales siempre que ello sea necesario para el ejercicio de sus funciones. La utilización de dichos datos por parte de Europol se regirá por las disposiciones aplicables de dichos instrumentos jurídicos de la Unión Europea, nacionales o internacionales, siempre que prevean normas más estrictas sobre acceso y uso que la presente Decisión.

CAPÍTULO IV

RELACIONES CON OTRAS PARTES

Artículo 22

Relaciones con las instituciones, agencias y organismos de la Comunidad y de la Unión

1. En la medida en que ello sea útil para el ejercicio de sus funciones, Europol podrá establecer y mantener relaciones de cooperación con las instituciones, las agencias y los organismos creados por los Tratados constitutivos de las Comunidades Europeas y el Tratado de la Unión Europea, o en virtud de estos, en particular:

a) Eurojust;

b) la Oficina Europea de Lucha contra el Fraude (OLAF) (10);

c) la Agencia Europea para la gestión de la cooperación operativa en las fronteras exteriores de los Estados miembros de la Unión (Frontex) (11);

d) la Escuela Europea de Policía (CEPOL);

e) el Banco Central Europeo;

f) el Observatorio Europeo de las Drogas y las Toxicomanías (OEDT) (12).

2. Europol podrá celebrar acuerdos o arreglos de trabajo con las entidades mencionadas en el apartado 1. Tales acuerdos o arreglos podrán contemplar el intercambio de información operativa, estratégica y técnica, incluidos los datos personales y la información clasificada. La celebración de dichos acuerdos o arreglos requerirá la aprobación previa del consejo de administración, que recabará, en la medida en que afecte a la transmisión de datos personales, el dictamen previo de la autoridad común de control.

3. Antes de la entrada en vigor de los acuerdos o arreglos de trabajo contemplados en el apartado 2, Europol podrá recibir y utilizar directamente información, incluidos los datos personales, de las entidades contempladas en el apartado 1, en la medida en que ello sea necesario para el legítimo ejercicio de sus funciones, y podrá transmitir directamente, en las condiciones establecidas en el artículo 24, apartado 1, información, incluidos los datos personales, a dichas entidades, en la medida en que ello sea necesario para el legítimo ejercicio de las funciones de la entidad receptora.

4. La transmisión de información clasificada de Europol a las entidades contempladas en el apartado 1 solo estará autorizada en la medida en que exista un acuerdo de confidencialidad entre Europol y la entidad receptora.

Artículo 23

Relaciones con terceros Estados y organizaciones

1. En la medida en que sea necesario para el ejercicio de sus funciones, Europol también podrá establecer y mantener relaciones de cooperación con:

a) terceros Estados;

b) organizaciones tales como: i) organizaciones internacionales y sus organismos subordinados de Derecho público, ii) otros organismos de Derecho público creados por, o basados en, un acuerdo entre dos o más Estados, y iii) la Organización Internacional de Policía Criminal (Interpol).

2. Europol podrá celebrar acuerdos con las entidades mencionadas en el apartado 1 que estén incluidas en la lista contemplada por el artículo 26, apartado 1, letra a). Tales acuerdos podrán referirse al intercambio de información operativa, estratégica y técnica, incluidos los datos personales y la información clasificada, siempre que se transmitan a través de un punto de contacto designado que figure en el acuerdo a que se hace referencia en el apartado 6, letra b), del presente artículo. La celebración de tales acuerdos requerirá la aprobación previa del Consejo, tras consultar al consejo de administración y, por lo que se refiere al intercambio de datos personales, una vez recabado el dictamen de la Autoridad común de control a través del consejo de administración.

3. Antes de la entrada en vigor de los acuerdos mencionados en el apartado 2, Europol podrá recibir directamente información, incluidos los datos personales y la información clasificada, en la medida en que ello sea necesario para el legítimo ejercicio de sus funciones.

4. Antes de la entrada en vigor de los acuerdos mencionados en el apartado 2, y en las condiciones establecidas en el artículo 24, apartado 1, Europol podrá transmitir directamente información, excluidos los datos personales y la información clasificada, a las entidades a que se refiere el apartado 1 del presente artículo, en la medida en que ello sea necesario para el legítimo ejercicio de las funciones de la entidad receptora.

5. En las condiciones establecidas en el artículo 24, apartado 1, Europol podrá transmitir directamente información, excluidos los datos personales y la información clasificada, a las entidades mencionadas en el apartado 1 del presente artículo que no estén incluidas en la lista contemplada por el artículo 26, apartado 1, letra a), en la medida en que ello sea estrictamente necesario en casos particulares a efectos de prevención y lucha contra las infracciones penales en el ámbito de competencias de Europol.

6. En las condiciones establecidas en el artículo 24, apartado 1, Europol podrá transmitir a las entidades mencionadas en el apartado 1 del presente artículo:

a) datos personales e información clasificada cuando sea necesario en casos particulares a efectos de prevención y lucha contra las infracciones penales en el ámbito de competencias de Europol, y

b) datos personales cuando Europol haya celebrado un acuerdo, tal como se contempla en el apartado 2 del presente artículo, con la entidad de que se trate, que permita la transmisión de tales datos sobre la base de una evaluación de la existencia de un nivel adecuado de protección de datos por parte de dicha entidad.

7. La transmisión por parte de Europol de información clasificada a las entidades contempladas por el apartado 1 solo estará permitida en la medida en que exista un acuerdo en materia de confidencialidad entre Europol y la entidad receptora.

8. No obstante lo dispuesto en los apartados 6 y 7 y sin perjuicio de lo dispuesto en el artículo 24, apartado 1, Europol podrá transmitir datos personales e información clasificada que obre en su poder a las entidades contempladas en el apartado 1del presente artículo cuando el director considere que la transmisión de dichos datos es absolutamente necesaria para proteger los intereses esenciales de los Estados miembros interesados en el marco de los objetivos de Europol, o con el fin de prevenir un peligro inminente asociado a delitos o actos terroristas. El director considerará en todo caso el nivel de protección de datos aplicable al organismo en cuestión, con objeto de ponderar dicho nivel de protección con el fin mencionado. El director comunicará lo antes posible al consejo de administración y a la autoridad común de control su decisión y la base de evaluación del carácter adecuado del nivel de protección de datos ofrecido por las entidades de que se trata.

9. Previamente a la transmisión de datos personales en aplicación del apartado 8, el director evaluará el carácter adecuado del nivel de protección de datos que ofrezcan las entidades de que se trata, teniendo en cuenta todas las circunstancias que concurran en la transmisión de datos personales, y en particular:

a) la naturaleza de los datos;

b) su finalidad;

c) la duración del tratamiento previsto;

d) las disposiciones generales o específicas aplicables a la entidad;

e) si la entidad ha aceptado o no determinadas condiciones impuestas por Europol en relación con los datos.

Artículo 24

Transmisión de datos

1. Si los datos de que se trate han sido transmitidos a Europol por un Estado miembro, Europol solo podrá transmitirlos a las entidades contempladas por el artículo 22, apartado 1, y el artículo 23, apartado 1, únicamente con el acuerdo de ese Estado miembro. A tal fin, el Estado miembro interesado podrá manifestar su acuerdo previo, en términos generales o supeditado a determinadas condiciones, revocable en todo momento.

Si los datos no han sido transmitidos por un Estado miembro, Europol se cerciorará de que el hecho de transmitirlos:

a) no pone en peligro el correcto cumplimiento de las funciones que son competencia de un Estado miembro;

b) no amenaza el orden y la seguridad públicos de un Estado miembro ni perjudica de forma alguna los intereses de este último.

2. La responsabilidad de que la transmisión de los datos sea lícita recaerá en Europol. Europol deberá dejar constancia de todas las transmisiones realizadas en virtud del presente artículo y de los motivos que las justifican. La transmisión solo se realizará si el destinatario se compromete a utilizar los datos únicamente para el fin que ha motivado la transmisión.

Artículo 25

Información procedente de entidades privadas y por particulares

1. A efectos de la presente Decisión, se entenderá por:

a) «entidades privadas»: las entidades y organismos establecidos con arreglo al Derecho de un Estado miembro o de un tercer Estado, en particular, empresas, asociaciones empresariales, organizaciones sin ánimo lucrativo y demás personas jurídicas de derecho privado que no entren dentro del ámbito de aplicación del artículo 23, apartado 1;

b) «particulares»: todas las personas físicas.

2. En la medida en que sea necesario para el legítimo ejercicio de sus funciones, Europol podrá tratar información, incluidos los datos personales, procedentes de entidades privadas en las condiciones establecidas en el apartado 3.

3. Los datos personales procedentes de entidades privadas podrán ser tratados por Europol en las siguientes condiciones:

a) los datos personales procedentes de entidades privadas que hayan sido creadas con arreglo al Derecho de un Estado miembro solo podrán ser tratados por Europol si han sido transmitidos a través de la unidad nacional de dicho Estado miembro con arreglo al Derecho nacional. Europol no podrá ponerse en contacto directo con entidades privadas de los Estados miembros con el fin de recabar información;

b) los datos personales procedentes de entidades privadas que hayan sido creadas con arreglo al Derecho de un tercer Estado con el cual Europol haya celebrado un acuerdo de cooperación, en virtud del artículo 23, que permita el intercambio de datos personales, solo podrán transmitirse a Europol a través del punto de contacto de dicho Estado, designado mediante el acuerdo de cooperación en vigor y con arreglo a dicho acuerdo;

c) los datos personales procedentes de entidades privadas que hayan sido creadas con arreglo al Derecho de un tercer Estado con el cual Europol no haya celebrado un acuerdo de cooperación que permita el intercambio de datos personales solo podrán ser tratados por Europol si: i) la entidad privada está incluida en la lista contemplada por el artículo 25, apartado 2, y ii) Europol y la entidad privada han celebrado un memorando de acuerdo en materia de transmisión de información, incluidos los datos personales, que confirme la licitud de la recopilación y la transmisión de los datos personales por parte de las entidades privadas y precise que los datos personales transmitidos solo podrán utilizarse para el legítimo ejercicio de las funciones de Europol.La celebración de dicho memorando de acuerdo requerirá la aprobación previa del consejo de administración, que recabará el dictamen previo de la autoridad común de control. Si los datos transmitidos afectan a los intereses de un Estado miembro, Europol informará inmediatamente a la unidad nacional del Estado miembro de que se trate.

4. Además de tratar datos procedentes de entidades privadas de conformidad con el apartado 3, Europol podrá recabar directamente y tratar datos, incluidos los datos personales, procedentes de fuentes disponibles al público, tales como datos públicos y procedentes de medios de comunicación y de proveedores comerciales de información, con arreglo a lo dispuesto en la presente Decisión en materia de protección de datos. Europol transmitirá toda la información pertinente a las unidades nacionales con arreglo al artículo 17.

5. Europol podrá tratar la información, incluidos los datos personales, procedente de entidades privadas siempre y cuando la haya recibido a través de la unidad nacional de conformidad con el Derecho nacional o a través de un punto de contacto de un tercer Estado con el cual Europol haya celebrado un acuerdo de cooperación de conformidad con el artículo 23. Si Europol recibe información, incluidos los datos personales, de un particular con residencia en un tercer Estado con el cual Europol no tenga un acuerdo de cooperación, Europol solo podrá transmitirla al Estado miembro o al tercer Estado de que se trate con el que Europol haya celebrado un acuerdo de cooperación de conformidad con el artículo 23. Europol no podrá ponerse en contacto directo con particulares con el fin de recabar información.

6. Los datos personales transmitidos o recabados por Europol en virtud del apartado 3, letra c), del presente artículo, solo podrán tratarse a los efectos de su inclusión en el sistema de información de Europol mencionado en el artículo 11 y en los ficheros de trabajo de análisis mencionados en el artículo 14, o en otros sistemas de tratamiento de datos personales establecidos de conformidad con el artículo 10, apartados 2 y 3, con la condición de que dichos datos estén relacionados con otros datos ya introducidos en alguno de los sistemas anteriormente mencionados o de que dichos datos estén relacionados con una consulta anterior realizada por una unidad nacional a alguno de dichos sistemas.

De conformidad con el artículo 29, apartado 1, letra b), de la presente Decisión, la propia Europol será responsable de los datos que trate y que le hayan sido transmitidos en las condiciones establecidas en el apartado 3, letras b) y c), y en el apartado 4, así como de la información transmitida a través del punto de contacto de un tercer Estado con el que Europol haya celebrado un acuerdo de cooperación de conformidad con el artículo 23.

7. El director presentará un informe general al consejo de administración sobre la aplicación del presente artículo dos años después del inicio de la aplicación de la presente Decisión. Previo dictamen de la autoridad común de control o por propia iniciativa, el consejo de administración podrá adoptar las medidas que considere oportunas de conformidad con el artículo 36, apartado 8, letra b).

Artículo 26

Normas de desarrollo que rigen las relaciones de Europol

1. El Consejo, por mayoría cualificada y previa consulta del Parlamento Europeo:

a) determinará la lista de terceros Estados y organizaciones contemplada en el artículo 23, apartado 1, con los que Europol celebrará acuerdos. El consejo de administración elaborará la lista y, cuando sea necesario, la modificará, y

b) adoptará las normas de desarrollo que regirán las relaciones de Europol con las entidades mencionadas en el artículo 22, apartado 1, y el artículo 23, apartado 1, incluido el intercambio de datos personales y de información clasificada. El consejo de administración elaborará las normas de desarrollo, previo dictamen de la autoridad común de control.

2. El consejo de administración elaborará y, modificará, cuando proceda, la lista que determinará las entidades privadas con las que Europol puede celebrar memorandos de acuerdo de conformidad con el artículo 25, apartado 3, letra c), inciso ii), y adoptará normas aplicables al contenido y a los procedimientos de celebración de tales memorandos previo dictamen de la autoridad común de control.

CAPÍTULO V

PROTECCIÓN Y SEGURIDAD DE LOS DATOS

Artículo 27

Nivel de protección de los datos

Sin perjuicio de las disposiciones específicas de la presente Decisión, Europol tendrá en cuenta los principios del Convenio del Consejo de Europa, de 28 de enero de 1981, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, y la Recomendación no R (87) 15, de 17 de septiembre de 1987, del Comité de Ministros del Consejo de Europa. Europol respetará dichos principios en el tratamiento de datos personales, incluidos los datos automatizados y no automatizados que obren en su poder en forma de ficheros, en especial cualquier conjunto estructurado de datos personales accesible según criterios determinados.

Artículo 28

Responsable de la protección de datos

1. El consejo de administración nombrará, a propuesta del director, un responsable de la protección de datos, que será un miembro del personal. En el desempeño de sus funciones, dicho responsable actuará con independencia.

2. El responsable de la protección de datos tendrá, en particular, las funciones siguientes:

a) garantizar, de manera independiente, la legalidad y el cumplimiento de las disposiciones de la presente Decisión en lo que respecta al tratamiento de datos personales, incluido el tratamiento de datos personales relativos al personal de Europol;

b) asegurarse de que se lleve un registro escrito de la transmisión y recepción de datos personales, en cumplimiento de lo dispuesto en la presente Decisión;

c) garantizar que las personas a que se refieran los datos sean informadas, cuando así lo soliciten, de sus derechos con arreglo a la presente Decisión;

d) cooperar con el personal de Europol responsable de los procedimientos, la formación y el asesoramiento en materia de tratamiento de datos;

e) cooperar con la autoridad común de control;

f) elaborar un informe anual y transmitirlo al consejo de administración y a la autoridad común de control.

3. En el ejercicio de sus funciones, el responsable de la protección de datos tendrá acceso a todos los datos tratados por Europol y a todos sus locales.

4. Si el responsable de la protección de datos considera que no se han cumplido las disposiciones de la presente Decisión relativas al tratamiento de datos personales, informará de ello al director y le pedirá que resuelva el problema en un plazo determinado.

Si el director no resuelve el problema en el plazo fijado, el responsable de la protección de datos informará al consejo de administración, con el que acordará un plazo específico para una respuesta.

Si el consejo de administración no resuelve el problema en el plazo fijado, el responsable de la protección de datos elevará el asunto a la autoridad común de control.

5. El consejo de administración adoptará normas de desarrollo complementarias referentes al responsable de la protección de datos. Las normas de desarrollo se referirán, en particular, a la selección y destitución, funciones, deberes y atribuciones y salvaguardias de la independencia del responsable de la protección de datos.

Artículo 29

Responsabilidad en materia de protección de datos

1. De los datos que trate Europol, en particular de la licitud de su recogida y de su transmisión a Europol, así como de su introducción, del carácter exacto y actualizado de dichos datos y del control de los plazos de conservación, responderá:

a) el Estado miembro que los haya introducido o transmitido;

b) Europol, en lo que se refiere a los datos transmitidos por terceros a Europol, incluidos los datos transmitidos por particulares de conformidad con el artículo 25, apartado 3, letras b) y c), y el artículo 25, apartado 4, y a los datos trasmitidos a través del punto de contacto de un tercer Estado con el que Europol haya celebrado un acuerdo de cooperación de conformidad con el artículo 23, así como a los datos que resulten de los análisis efectuados por Europol.

2. Los datos que se hayan transmitido a Europol pero todavía no se hayan introducido en uno de los ficheros de datos de Europol permanecerán bajo la responsabilidad, por lo que respecta a su protección, de la parte que los haya transmitido. Sin embargo, Europol será responsable de garantizar la seguridad de los datos de conformidad con el artículo 35, apartado 2, hasta que tales datos se hayan introducido en un fichero de datos, en el sentido de que solo podrán ser consultados por los miembros del personal de Europol autorizados con el fin de determinar si pueden ser tratados en Europol, o por los agentes autorizados de la parte que haya suministrado los datos. Si Europol, después de realizar una valoración, tiene razones para concluir que los datos suministrados son inexactos o no están actualizados, informará de ello a la parte que los haya suministrado.

3. Además, sin perjuicio de las demás disposiciones de la presente Decisión, Europol será responsable de todos los datos que sean tratados por sus servicios.

4. Si Europol tuviera pruebas de que los datos introducidos en uno de los sistemas contemplados en el capítulo II contienen errores de hecho o han sido almacenados ilícitamente, informará de ello al Estado miembro o tercero implicado.

5. Europol almacenará los datos de manera que pueda determinarse qué Estado miembro o que parte los ha transmitido o si son fruto de un análisis realizado por Europol.

Artículo 30

Derecho de acceso del interesado

1. Toda persona tendrá derecho, a intervalos razonables y en las condiciones establecidas en el presente artículo, a obtener información sobre si Europol está tratando o no datos personales que se refieran a su persona, a que se le comuniquen dichos datos en una forma inteligible y a que se comprueben.

2. Cualquier persona que desee ejercer los derechos que le confiere el presente artículo podrá presentar, sin costes excesivos, una solicitud a tal efecto en el Estado miembro de su elección, ante la autoridad designada a tal efecto en dicho Estado miembro. Dicha autoridad remitirá la petición a Europol sin demora, y en todo caso en el plazo de un mes desde su recepción.

3. Europol responderá a la solicitud sin retrasos indebidos y en todo caso en el plazo de tres meses a partir de la fecha en que la haya recibido de conformidad con el presente artículo.

4. Europol consultará a las autoridades competentes de los Estados miembros afectados antes de decidir sobre su respuesta a una petición con arreglo al apartado 1. La decisión sobre el acceso a los datos estará supeditada a una estrecha cooperación entre Europol y los Estados miembros directamente afectados por la comunicación de dichos datos. En cualquier caso, cuando un Estado miembro se oponga a la respuesta propuesta por Europol, notificará a Europol los motivos de su oposición.

5. El acceso a la información en respuesta a una petición con arreglo al apartado 1 se denegará cuando dicha denegación sea necesaria:

a) para que Europol pueda cumplir adecuadamente sus funciones;

b) para proteger la seguridad de los Estados miembros y el orden público o para combatir la delincuencia;

c) para garantizar que no se ponga en peligro una investigación nacional;

d) para proteger los derechos y libertades de terceros.

Al evaluar la aplicabilidad de una excepción, deberán tenerse en cuenta los intereses de la persona de que se trate.

6. Si se denegara el acceso a la información en respuesta a una petición efectuada de conformidad con el apartado 1, Europol notificará a la persona de que se trate que ha efectuado las verificaciones, sin darle indicaciones que pudieran revelarle si Europol está tratando o no datos sobre su persona.

7. Cualquier persona tendrá derecho a solicitar a la autoridad común de control, a intervalos razonables, que compruebe que el almacenamiento, la recogida, el tratamiento y el uso de los datos relativos a su persona por parte de Europol se han realizado de conformidad con las disposiciones de la presente Decisión en relación con el tratamiento de datos personales. La autoridad común de control notificará al interesado que se han efectuado las verificaciones, sin darle indicaciones que puedan revelarle si Europol está tratando o no datos sobre su persona.

Artículo 31

Derecho del interesado a la rectificación y supresión de datos

1. Cualquier persona tendrá derecho a pedir a Europol que rectifique o suprima datos incorrectos referentes a ella. Si se advirtiese que datos almacenados por Europol, tanto si han sido transmitidos por terceros como si resultan de su actividad de análisis, contienen errores o que su introducción o almacenamiento incumplen a la presente Decisión, Europol deberá rectificarlos o suprimirlos.

2. Si los datos que contienen errores o que se han tratado incumpliendo las disposiciones de la presente Decisión han sido transmitidos directamente a Europol por un Estado miembro, este último deberá rectificarlos o suprimirlos de acuerdo con Europol.

3. Si los datos que contienen errores han sido transmitidos por cualquier otro medio apropiado, o si los errores que afectan a los datos suministrados por los Estados miembros se deben a una transmisión indebida o incumpliendo las disposiciones de la presente Decisión, o bien a que Europol los ha introducido, procesado o almacenado de manera indebida o incumpliendo las disposiciones de la presente Decisión, Europol deberá rectificarlos o suprimirlos de acuerdo con los Estados miembros afectados.

4. En los casos contemplados en los apartados 1, 2 y 3, se informará inmediatamente a los Estados miembros o terceros que hayan recibido los datos. Estos últimos deberán proceder asimismo a la rectificación o supresión de dichos datos. Cuando no sea posible suprimir los datos, estos se bloquearán para evitar cualquier tratamiento posterior.

5. Europol informará al solicitante por escrito, sin retrasos injustificados y, en todo caso, en el plazo de tres meses, de que los datos referentes a su persona han sido rectificados o suprimidos.

Artículo 32

Recursos

1. Al responder a una solicitud de verificación o de acceso a los datos, o de rectificación o supresión de datos, Europol informará al solicitante de que puede interponer un recurso ante la autoridad común de control si no está satisfecho con la decisión adoptada. El solicitante podrá recurrir también a la autoridad común de control si no se ha respondido a su solicitud dentro del plazo fijado en los artículos 30 o 31.

2. Si el solicitante interpone un recurso ante la autoridad común de control, la instrucción del recurso corresponderá a dicha autoridad.

3. Cuando el recurso se refiera una decisión de las contempladas en los artículos 30 o 31, la autoridad común de control consultará a las autoridades nacionales de control o al órgano jurisdiccional competente del Estado miembro del que procedan los datos o del Estado miembro directamente afectado. La decisión de la autoridad común de control, que podrá consistir en la negativa a comunicar información alguna, será tomada en estrecha cooperación con la autoridad nacional de control o el órgano jurisdiccional competente.

4. Si el recurso atañe al acceso a los datos introducidos por Europol en el sistema de información de Europol, a los datos almacenados en los ficheros de trabajo de análisis o en cualquier otro sistema establecido por Europol para el tratamiento de datos personales de conformidad con el artículo 10, y persiste la oposición de Europol, la autoridad común de control, tras haber escuchado los argumentos de Europol y del Estado o Estados miembros, de conformidad con el artículo 30, apartado 4, solo podrá desoír esa oposición cuando así lo acuerden sus miembros por mayoría de dos tercios. De no reunirse esa mayoría, la autoridad común de control notificará la denegación al solicitante, sin darle indicaciones que puedan revelarle la existencia de datos sobre su persona.

5. Si el recurso atañe a la verificación de los datos introducidos por un Estado miembro en el sistema de información de Europol, o a los datos almacenados en los ficheros de trabajo de análisis o en cualquier otro sistema establecido por Europol para el tratamiento de datos personales de conformidad con el artículo 10, la autoridad común de control se cerciorará de que las verificaciones necesarias se hayan efectuado correctamente, en estrecha cooperación con la autoridad nacional de control del Estado miembro que haya introducido los datos. La autoridad común de control notificará al solicitante que se han efectuado las verificaciones, sin darle indicaciones que puedan revelarle la existencia de datos sobre su persona.

6. Si el recurso atañe a la verificación de los datos introducidos por Europol en el sistema de información de Europol, o a los datos almacenados en los ficheros de trabajo de análisis o en cualquier otro sistema establecido por Europol para el tratamiento de datos personales de conformidad con el artículo 10, la autoridad común de control se cerciorará de que Europol haya llevado a cabo las verificaciones necesarias. La autoridad común de control notificará al solicitante que se han efectuado las verificaciones, sin darle indicaciones que puedan revelarle la existencia de datos sobre su persona.

Artículo 33

Autoridad nacional de control

1. Cada Estado miembro designará una autoridad nacional de control cuya tarea consistirá en vigilar, de manera independiente y con arreglo a la legislación nacional, la licitud de la introducción, la consulta de datos y todo tipo de transmisión de datos personales a Europol por parte del Estado miembro de que se trate, y en verificar que no se vulneran los derechos de las personas a las que se refieren los datos. A tal efecto, la autoridad nacional de control tendrá acceso, en las instalaciones de las unidades nacionales o de los funcionarios de enlace y según los procedimientos nacionales aplicables, a los datos introducidos por el Estado miembro en el sistema de información de Europol o en cualquier otro sistema establecido por Europol para el tratamiento de datos personales de conformidad con el artículo 10.

Para ejercer esta función de control, las autoridades nacionales de control tendrán acceso a las oficinas y a los documentos de sus respectivos funcionarios de enlace en Europol.

Las autoridades nacionales de control vigilarán asimismo, de acuerdo con los procedimientos nacionales aplicables, las actividades de las unidades nacionales y de los funcionarios de enlace, en la medida en que dichas actividades guarden relación con la protección de datos personales. También informarán a la autoridad común de control de las acciones que emprendan respecto de Europol.

2. Cualquier persona tendrá derecho a solicitar a la autoridad nacional de control que se cerciore de la licitud de la introducción y la transmisión de sus datos personales a Europol, en cualquiera de sus formas, y de la consulta de los datos por parte del Estado miembro de que se trate.

Este derecho se ejercerá con arreglo a la legislación nacional del Estado miembro en el que se presente la solicitud.

Artículo 34

Autoridad común de control

1. Se establecerá una autoridad común de control independiente cuyo cometido será vigilar la actividad de Europol, con arreglo a lo dispuesto en la presente Decisión, con el objeto de garantizar que el almacenamiento, el tratamiento y la utilización de los datos de que dispongan los servicios de Europol no vulneren los derechos de las personas. La autoridad común de control controlará además la licitud de la transmisión de datos que procedan de Europol. Integrarán la autoridad común de control como máximo dos miembros o representantes, en su caso asistidos por suplentes, de cada una de las autoridades nacionales de control independientes, que deberán tener las aptitudes necesarias, y que serán nombrados por cada Estado miembro por períodos de cinco años. Cada delegación dispondrá de un voto.

La autoridad común de control elegirá como presidente a uno de sus miembros.

En el ejercicio de sus funciones, los miembros de la autoridad común de control no recibirán instrucciones de ninguna autoridad.

2. Europol asistirá a la autoridad común de control en el cumplimiento de sus funciones. En particular deberá:

a) facilitar información a la autoridad común de control en respuesta a sus solicitudes, y darle acceso a todos los expedientes y documentos y acceso a los datos almacenados;

b) permitir a la autoridad común de control acceso libre en todo momento a todos sus locales;

c) dar cumplimiento a las decisiones que tome la autoridad común de control en relación con los recursos.

3. La autoridad común de control será competente para analizar las dificultades de aplicación e interpretación que pudiera plantear la actividad de Europol en relación con el tratamiento y la utilización de datos personales, para estudiar los posibles problemas en relación con el control independiente efectuado por las autoridades nacionales de control de los Estados miembros o con el ejercicio del derecho de acceso y para elaborar propuestas armonizadas con miras a hallar soluciones comunes a los problemas existentes.

4. Si la autoridad común de control comprobase que no se han respetado las disposiciones de la presente Decisión en el almacenamiento, tratamiento o utilización de datos personales, dirigirá todas las observaciones que considere oportunas al director y solicitará una respuesta en el plazo que ella fije. El director mantendrá al corriente al consejo de administración de todo el procedimiento. En caso de dificultades, la autoridad común de control se dirigirá al consejo de administración.

5. Para el cumplimiento de sus funciones y para contribuir a mejorar la coherencia de la aplicación de las normas y procedimientos del tratamiento de datos, la autoridad común de control cooperará en la medida necesaria con otras autoridades de supervisión.

6. La autoridad común de control elaborará informes de actividad a intervalos regulares. Estos informes se transmitirán al Parlamento Europeo y al Consejo. El consejo de administración podrá formular comentarios, que se adjuntarán al informe.

La autoridad común de control decidirá si procede o no publicar su informe de actividad y, en caso afirmativo, decidirá las condiciones de dicha publicación.

7. La autoridad común de control adoptará su reglamento interno por mayoría de dos tercios de sus miembros y lo presentará al Consejo para su aprobación. El Consejo se pronunciará por mayoría cualificada.

8. La autoridad común de control creará en su seno un comité integrado por un representante cualificado de cada Estado miembro, cada uno de los cuales tendrá derecho a un voto. Este comité se encargará de examinar los recursos contemplados en el artículo 32, para lo cual podrá utilizar todos los medios pertinentes. Si las partes lo solicitan, comparecerán ante el comité, asistidas por sus asesores si lo desean. Las decisiones adoptadas en este marco serán definitivas para todas las partes afectadas.

9. La autoridad común de control podrá crear, además, una o varias comisiones además de a las que se refiere el apartado 8.

10. La autoridad común de control será consultada sobre la parte del proyecto de presupuesto de Europol que le afecta. Su dictamen se adjuntará al proyecto de presupuesto de que se trate.

11. La autoridad común de control estará asistida por una secretaría cuyas tareas se definirán en el reglamento interno.

Artículo 35

Seguridad de los datos

1. Europol deberá tomar las medidas técnicas y organizativas necesarias para la ejecución de la presente Decisión. Una medida solo se considerará necesaria si su coste guarda proporción con el objetivo de protección perseguido.

2. Cada uno de los Estados miembros y Europol adoptarán, con miras al tratamiento automatizado de datos en Europol, las medidas adecuadas para:

a) impedir que personas no autorizadas accedan a las instalaciones utilizadas para el tratamiento de datos personales (control de entrada a las instalaciones);

b) impedir que los soportes de datos puedan ser leídos, copiados, modificados o retirados por personas no autorizadas (control de los soportes de datos);

c) impedir que se introduzcan datos sin autorización en los ficheros, o que puedan conocerse, modificarse o suprimirse sin autorización datos personales almacenados (control del almacenamiento);

d) impedir que los sistemas de tratamiento automatizado de datos puedan ser utilizados por personas no autorizadas por medio de instalaciones de transmisión de datos (control de la utilización);

e) garantizar que las personas autorizadas para utilizar un sistema de tratamiento automatizado de datos solo puedan tener acceso a los datos que sean de su competencia (control del acceso);

f) garantizar que pueda verificarse y determinarse a qué órganos pueden transmitirse o se han transmitido datos personales utilizando instalaciones de transmisión de datos (control de la transmisión);

g) garantizar que pueda comprobarse y determinarse qué datos personales se han introducido en los sistemas de tratamiento automatizado de datos, en qué momento y por quién (control de la introducción);

h) impedir que, en el momento de la transmisión de datos personales y durante el transporte de soportes de datos, los datos puedan ser leídos, copiados, modificados o suprimidos sin autorización (control del transporte);

i) garantizar que los sistemas utilizados puedan repararse rápidamente en caso de avería (restablecimiento);

j) garantizar que las funciones del sistema no presenten defectos, que los errores de funcionamiento se señalen de forma inmediata (fiabilidad), y que los datos almacenados no se falseen por defectos de funcionamiento del sistema (autenticidad).

CAPÍTULO VI

ORGANIZACIÓN

Artículo 36

Órganos de Europol

Los órganos de Europol serán:

a) el consejo de administración;

b) el director.

Artículo 37

Consejo de administración

1. El consejo de administración estará compuesto por un representante de cada Estado miembro y un representante de la Comisión. Cada miembro del consejo de administración dispondrá de un voto. Cada miembro del consejo de administración podrá estar representado por un miembro suplente que, en caso de ausencia del miembro titular, podrá ejercer su derecho de voto.

2. El grupo de tres Estados miembros que hayan preparado conjuntamente el programa del Consejo para 18 meses seleccionará dentro del grupo al presidente y al vicepresidente del consejo de administración. Estos ejercerán sus funciones durante el período de 18 meses correspondiente al programa del Consejo. Durante este período, el presidente dejará de actuar como representante de su Estado miembro en el consejo de administración. Cuando el presidente no pueda atender a sus funciones, el vicepresidente lo sustituirá de oficio.

3. El presidente será responsable del buen funcionamiento del consejo de administración en el marco de los objetivos contemplados en apartado 9; velará por que se preste especial atención a las cuestiones estratégicas y a las funciones principales de Europol enunciadas en el artículo 5, apartado 1.

4. El presidente contará con la ayuda de la secretaría del consejo de administración. En particular, la secretaría:

a) participará, de forma estrecha y permanente, en la organización, la coordinación y el control de la coherencia de los trabajos del consejo de administración. Bajo la responsabilidad y las orientaciones del presidente, ayudará a este a la hora de hallar soluciones;

b) dará al consejo de administración el apoyo administrativo necesario para que pueda llevar a cabo sus funciones.

5. El director participará en las reuniones del consejo de administración, sin derecho de voto.

6. Los miembros del consejo de administración, o sus suplentes, y el director podrán estar acompañados por expertos.

7. El consejo de administración se reunirá al menos dos veces al año.

8. El consejo de administración se pronunciará por mayoría de dos tercios de sus miembros, a menos que la presente Decisión disponga otra cosa.

9. El consejo de administración:

a) adoptará para Europol una estrategia que incluya índices de referencia destinados a determinar si se han alcanzado los objetivos fijados;

b) supervisará el desempeño de las funciones del director, incluida la ejecución de las decisiones del consejo de administración;

c) adoptará decisiones o normas de desarrollo de conformidad con las disposiciones de la presente Decisión;

d) adoptará las normas de desarrollo aplicables al personal de Europol, a propuesta del director y previo acuerdo de la Comisión;

e) adoptará el reglamento financiero y designará al contable de conformidad con el Reglamento (CE, Euratom) no 2343/2002 de la Comisión, de 19 de noviembre de 2002, por el que se aprueba el Reglamento financiero marco de los organismos a que se refiere el artículo 185 del Reglamento (CE, Euratom) no 1605/2002 del Consejo, por el que se aprueba el Reglamento financiero aplicable al presupuesto general de las Comunidades Europeas (13), previa consulta a la Comisión;

f) organizará la función de auditoría interna y designará a su personal de auditoría, que serán miembros del personal de Europol. Las normas de desarrollo complementarias relativas a la función de auditoría interna serán adoptadas por el consejo de administración. Las normas de desarrollo se referirán, en particular, a la selección y destitución, funciones, deberes, atribuciones y salvaguardias de la independencia de la función. El personal adscrito a la función de auditoría interna solo responderá ante el consejo de administración y tendrá acceso a toda la documentación necesaria para el ejercicio de dicha función;

g) establecerá una lista de al menos tres candidatos para los puestos de director y de directores adjuntos, que se presentará al Consejo;

h) será responsable de la realización de las demás tareas que le encargue el Consejo, en particular en el marco de las disposiciones de aplicación de la presente Decisión;

i) establecerá su reglamento interno, incluidas las disposiciones relativas a la independencia de la secretaría.

10. El consejo de administración adoptará cada año:

a) el proyecto de previsiones de gastos e ingresos, incluido el proyecto de plantilla de personal, que debe presentarse a la Comisión, y el presupuesto definitivo;

b) un programa de trabajo para las actividades futuras de Europol que tenga en cuenta las necesidades operativas de los Estados miembros y las incidencias en el presupuesto y la plantilla de Europol, previo dictamen de la Comisión;

c) un informe general sobre las actividades de Europol durante el año transcurrido, que incluya los resultados obtenidos en cuanto a las prioridades fijadas por el Consejo.

Estos documentos se presentarán al Consejo para su aprobación. El Consejo los enviará al Parlamento Europeo con carácter informativo.

11. En un plazo máximo de cuatro años a partir de la fecha de aplicación de la presente Decisión, y posteriormente cada cuatro años, el consejo de administración encargará una evaluación externa independiente de la aplicación de la presente Decisión y de las actividades llevadas a cabo por Europol.

El consejo de administración establecerá un mandato específico a tal efecto.

El informe de la evaluación se remitirá al Parlamento Europeo, y al Consejo y a la Comisión.

12. El consejo de administración podrá decidir establecer grupos de trabajo. Las normas de creación y funcionamiento de los grupos de trabajo se establecerán en el reglamento interno del consejo de administración.

13. El consejo de administración ejercerá las atribuciones establecidas en el artículo 39, apartado 3, por lo que se refiere al director, sin perjuicio de lo dispuesto en el artículo 38, apartados 1 y 7.

Artículo 38

Director

1. La dirección de Europol estará a cargo de un director, que será nombrado por el Consejo por mayoría cualificada, a partir de una lista de al menos tres candidatos presentada por el consejo de administración, para un período de cuatro años. El Consejo, a propuesta del consejo de administración, que habrá evaluado la gestión del director, podrá renovar una vez más su mandato por un período no superior a cuatro años.

2. El director estará asistido por tres directores adjuntos, que serán nombrados por el procedimiento que se contempla en el apartado 1 para un período de cuatro años, prorrogable una sola vez. Sus funciones serán precisadas por el director.

3. El consejo de administración establecerá normas relativas a la selección de candidatos al puesto de director o director adjunto incluida la renovación de su mandato. Estas normas serán aprobadas por el Consejo, por mayoría cualificada, antes de su entrada en vigor.

4. El director será responsable:

a) de la ejecución de las tareas que competen a Europol;

b) de la administración ordinaria;

c) de ejercer las atribuciones establecidas en el artículo 39, apartado 3, por lo que se refiere al personal y a los directores adjuntos, sin perjuicio de lo dispuesto en los apartados 2 y 7 del presente artículo;

d) de preparar y ejecutar las decisiones del consejo de administración y de atender a las peticiones de este;

e) de ayudar al presidente del consejo de administración a preparar las reuniones del consejo de administración;

f) de la elaboración de las previsiones de gastos e ingresos, incluido el proyecto de plantilla de personal, y del proyecto de programa de trabajo;

g) de la preparación del informe a que se refiere el artículo 37, apartado 10, letra c);

h) de la ejecución del presupuesto de Europol;

i) de informar regularmente al consejo de administración sobre la instrumentación de las prioridades definidas por el Consejo y sobre las relaciones exteriores de Europol;

j) de establecer y aplicar, cooperando con el consejo de administración, un procedimiento eficaz y eficiente de seguimiento y evaluación de los resultados de Europol en relación con los objetivos fijados. El director informará regularmente al consejo de administración de los resultados de este seguimiento;

k) de todas las demás tareas que encomiende al director la presente Decisión.

5. El director rendirá cuentas de su gestión al consejo de administración.

6. El director será el representante legal de Eur