FR Journal officiel de l'Union européenne L 135/53

RÈGLEMENT (UE) 2016/794 DU PARLEMENT EUROPÉEN ET DU CONSEIL

du 11 mai 2016

relatif à l'Agence de l'Union européenne pour la coopération des services répressifs (Europol) et remplaçant et abrogeant les décisions du Conseil 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI et 2009/968/JAI

LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L'UNION EUROPÉENNE,

vu le traité sur le fonctionnement de l'Union européenne, et notamment son article 88,

vu la proposition de la Commission européenne,

après transmission du projet d'acte législatif aux parlements nationaux,

statuant conformément à la procédure législative ordinaire (1),

considérant ce qui suit:

(1) Europol a été créé par la décision 2009/371/JAI du Conseil (2) en tant qu'entité de l'Union, financée par le budget général de l'Union, afin de soutenir et de renforcer l'action des autorités compétentes des États membres et leur coopération mutuelle dans la prévention de la criminalité organisée, du terrorisme et d'autres formes graves de criminalité affectant deux États membres ou plus et dans la lutte contre ces phénomènes. La décision 2009/371/JAI remplaçait la convention sur la base de l'article K.3 du traité sur l'Union européenne portant création d'un Office européen de police (convention Europol) (3).

(2) L'article 88 du traité sur le fonctionnement de l'Union européenne prévoit qu'Europol est régi par un règlement devant être adopté conformément à la procédure législative ordinaire. Il exige également la fixation des modalités de contrôle des activités d'Europol par le Parlement européen, contrôle auquel sont associés les parlements nationaux, sous réserve de l'article 12, point c), du traité sur l'Union européenne et de l'article 9 du protocole no 1 sur le rôle des parlements nationaux dans l'Union européenne, annexé au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne (ci-après dénommé «protocole no 1»), afin de renforcer la légitimité démocratique et la responsabilité d'Europol envers les citoyens de l'Union. Il convient, par conséquent, de remplacer la décision 2009/371/JAI par un règlement fixant, entre autres, les règles applicables à ce contrôle parlementaire.

(3) Le «programme de Stockholm — une Europe ouverte et sûre qui sert et protège les citoyens» (4) appelle Europol à évoluer et à devenir le «centre névralgique de l'échange d'informations entre les services répressifs des États membres et à jouer le rôle de prestataire de services et de plate-forme pour les services répressifs». Il ressort d'une évaluation du fonctionnement d'Europol que son efficacité opérationnelle doit encore être accrue afin d'atteindre cet objectif.

(4) Les réseaux criminels et terroristes à grande échelle constituent une menace importante pour la sécurité intérieure de l'Union ainsi que pour la sécurité et les moyens de subsistance de ses citoyens. Les évaluations de la menace disponibles montrent que les groupes criminels diversifient de plus en plus leurs activités («polycriminalité»), et que ces dernières revêtent un caractère de plus en plus transfrontalier. Il convient, dès lors, que les autorités répressives nationales coopèrent plus étroitement avec leurs homologues des autres États membres. Dans ce contexte, il est nécessaire de donner à Europol les moyens de mieux soutenir les États membres en matière de prévention de la criminalité ainsi que d'analyses et d'enquêtes criminelles à l'échelle de l'Union. L'évaluation de la décision 2009/371/JAI a également confirmé cette constatation.

(5) Le présent règlement vise à modifier et à étendre les dispositions de la décision 2009/371/JAI ainsi que des décisions du Conseil 2009/934/JAI (5), 2009/935/JAI (6), 2009/936/JAI (7) et 2009/968/JAI (8) portant application de la décision 2009/371/JAI. Étant donné que les modifications à apporter à ces décisions sont significatives tant par leur nombre que par leur nature, il convient, dans un souci de clarté, de remplacer intégralement ces décisions pour les États membres liés par le présent règlement. Europol instituée par le présent règlement devrait remplacer Europol qui avait été institué par la décision 2009/371/JAI, qui, par conséquent, devrait être abrogée, et en assumer les fonctions.

(6) Comme les formes graves de criminalité dépassent souvent les frontières intérieures, Europol devrait soutenir et renforcer les actions et la coopération des États membres visant à prévenir et à lutter contre les formes graves de criminalité affectant deux États membres ou plus. Le terrorisme constituant l'une des principales menaces pour la sécurité de l'Union, Europol devrait aider les États membres à faire face aux défis communs en la matière. En sa qualité d'agence de l'Union en matière répressive, Europol devrait également soutenir et renforcer les actions et la coopération visant à lutter contre les formes de criminalité affectant les intérêts de l'Union. Parmi les formes de criminalité relevant de sa compétence, la lutte contre la criminalité organisée continuera de figurer au rang des principaux objectifs d'Europol, étant donné que, au vu de son ampleur, de sa gravité et de ses conséquences, une action commune des États membres s'impose également. Europol devrait en outre apporter son appui à la prévention et à la répression des infractions pénales connexes commises pour se procurer les moyens de perpétrer les actes relevant de la compétence d'Europol, pour en faciliter l'exécution ou les perpétrer ou pour en assurer l'impunité.

(7) Europol devrait fournir des analyses stratégiques et des évaluations de la menace afin d'aider le Conseil et la Commission à établir les priorités stratégiques et opérationnelles de l'Union aux fins de la lutte contre la criminalité et à les mettre en œuvre de manière opérationnelle. Lorsque la Commission le demande conformément à l'article 8 du règlement (UE) no 1053/2013 du Conseil (9), Europol devrait aussi effectuer des analyses de risque, y compris concernant la criminalité organisée, dans la mesure où les risques concernés peuvent nuire à l'application de l'acquis de Schengen par les États membres. En outre, à la demande du Conseil et de la Commission, Europol devrait, le cas échéant, fournir des analyses stratégiques et des évaluations de la menace afin de contribuer à l'évaluation des États qui sont candidats à l'adhésion à l'Union.

(8) Les attaques contre les systèmes d'information affectant les organes de l'Union ou deux États membres ou plus constituent une menace croissante dans l'Union, en particulier au vu de leur rapidité, de leur impact et des difficultés à identifier leurs sources. Lorsqu'ils examinent des demandes d'Europol visant à ouvrir une enquête sur une attaque grave supposée être d'origine criminelle contre des systèmes d'information affectant des organes de l'Union ou deux États membres ou plus, les États membres devraient répondre à Europol sans retard, compte tenu du fait que la rapidité de la réponse est un élément clé pour lutter avec succès contre la criminalité informatique.

(9) Compte tenu de l'importance de la coopération interagences, Europol et Eurojust devraient veiller à ce que les dispositions nécessaires soient prises pour optimiser leur coopération opérationnelle, en tenant dument compte de leurs missions et de leurs mandats respectifs ainsi que des intérêts des États membres. En particulier, Europol et Eurojust devraient s'informer mutuellement de toute activité impliquant le financement d'équipes communes d'enquête.

(10) Lors de la création d'une équipe commune d'enquête, l'accord concerné devrait fixer les conditions relatives à la participation du personnel d'Europol à l'équipe. Europol devrait consigner par procès-verbal sa participation aux équipes communes d'enquête qui portent sur des activités criminelles relevant de ses objectifs.

(11) Il convient qu'Europol puisse demander aux États membres d'ouvrir, de mener ou de coordonner des enquêtes pénales dans des affaires spécifiques où la coopération transfrontalière apporterait une valeur ajoutée. Europol devrait informer Eurojust de ces demandes.

(12) Europol devrait être un centre névralgique de l'échange d'informations dans l'Union. Les informations collectées, stockées, traitées, analysées et échangées par Europol comprennent des éléments de renseignement criminel qui portent sur des informations concernant la criminalité ou des activités criminelles relevant des objectifs d'Europol, obtenus en vue d'établir si des actes criminels précis ont été commis ou peuvent être commis à l'avenir.

(13) Afin d'assurer l'efficacité d'Europol dans son rôle de centre névralgique de l'échange d'informations, il convient d'imposer aux États membres des obligations claires pour ce qui est de la fourniture à Europol des données qui lui sont nécessaires pour atteindre ses objectifs. En s'acquittant de ces obligations, les États membres devraient veiller, en particulier, à fournir des données utiles à la lutte contre les formes de criminalité considérées comme des priorités opérationnelles et stratégiques dans les instruments pertinents de l'Union, en particulier les priorités définies par le Conseil dans le cadre du cycle politique de l'UE pour lutter contre la grande criminalité internationale organisée. Les États membres devraient également s'efforcer de transmettre à Europol une copie des échanges bilatéraux et multilatéraux d'informations intervenus avec d'autres États membres au sujet des formes de criminalité relevant des objectifs d'Europol. Lorsqu'ils fournissent à Europol les informations nécessaires, les États membres devraient également inclure des informations sur toute allégation d'attaque informatique affectant les organes de l'Union situés sur leur territoire. Dans le même temps, Europol devrait accroître son soutien aux États membres, de manière à intensifier la coopération mutuelle et le partage d'informations. Europol devrait présenter au Parlement européen, au Conseil, à la Commission et aux parlements nationaux un rapport annuel sur les informations fournies par chaque État membre.

(14) Afin de garantir une coopération effective entre Europol et les États membres, il y a lieu de mettre en place une unité nationale dans chaque État membre (ci-après dénommée «unité nationale»). L'unité nationale devrait constituer le point de liaison entre les autorités nationales compétentes et Europol, jouant ainsi un rôle coordinateur en matière de coopération des États membres avec Europol et contribuant donc à garantir que tous les États membres répondent de manière uniforme aux demandes d'Europol. Afin de garantir un échange permanent et effectif d'informations entre Europol et les unités nationales et de faciliter leur coopération, chaque unité nationale devrait désigner au moins un officier de liaison auprès d'Europol.

(15) Compte tenu de la structure décentralisée de certains États membres et de la nécessité de garantir des échanges rapides d'informations, il convient qu'Europol soit autorisée à coopérer directement avec les autorités compétentes des États membres, sous réserve des conditions fixées par les États membres, tout en tenant les unités nationales informées à leur demande.

(16) Il convient d'encourager la constitution d'équipes communes d'enquête et de permettre au personnel d'Europol d'en faire partie. Afin que cette participation soit possible dans tous les États membres, le règlement (Euratom, CECA, CEE) no 549/69 du Conseil (10) dispose que les membres du personnel d'Europol ne bénéficient pas d'immunités lorsqu'ils participent à des équipes communes d'enquête.

(17) Il est en outre nécessaire d'améliorer la gouvernance d'Europol, en recherchant des gains d'efficacité et en rationalisant les procédures.

(18) La Commission et les États membres devraient être représentés au sein du conseil d'administration d'Europol (ci-après dénommé «conseil d'administration») afin de pouvoir effectivement en superviser le travail. Les membres et les membres suppléants du conseil d'administration devraient être nommés compte tenu de leurs compétences pertinentes en matière de gestion et d'administration ainsi qu'en matière budgétaire et de leur connaissance de la coopération entre services répressifs. Les membres suppléants devraient agir en qualité de membres en l'absence de ces derniers.

(19) Il convient que toutes les parties représentées au conseil d'administration s'efforcent de limiter la rotation de leurs représentants au conseil d'administration, afin d'assurer la continuité du travail de celui-ci. Toutes les parties devraient viser à atteindre une représentation équilibrée entre hommes et femmes au sein du conseil d'administration.

(20) Le conseil d'administration devrait pouvoir inviter des observateurs sans droit de vote dont l'avis peut être pertinent aux fins des débats, y compris un représentant désigné par le groupe de contrôle parlementaire conjoint.

(21) Il convient de doter le conseil d'administration des pouvoirs nécessaires, notamment pour établir le budget, contrôler son exécution et adopter les règles financières et documents prévisionnels appropriés, ainsi que pour adopter des règles de prévention et de gestion des conflits d'intérêts à l'égard de ses membres, établir des procédures de travail transparentes pour la prise de décision par le directeur exécutif d'Europol et adopter le rapport d'activité annuel. Le conseil d'administration devrait exercer les compétences de l'autorité investie du pouvoir de nomination à l'égard du personnel de l'Agence, y compris du directeur exécutif.

(22) Afin d'assurer un fonctionnement efficace d'Europol au jour le jour, il convient que le directeur exécutif soit à la fois son représentant légal et son dirigeant, qu'il agisse de façon indépendante dans l'exercice de ses fonctions et qu'il veille à ce qu'Europol remplisse les missions prévues par le présent règlement. Le directeur exécutif devrait notamment être chargé d'établir les documents budgétaires et prévisionnels soumis à la décision du conseil d'administration et de mettre en œuvre la programmation pluriannuelle et les programmes de travail annuels d'Europol ainsi que d'autres documents prévisionnels.

(23) Afin de prévenir et de lutter contre les formes de criminalité relevant de ses objectifs, il est nécessaire qu'Europol dispose des informations les plus complètes et les plus récentes possible. En conséquence, Europol devrait pouvoir traiter les données que lui fournissent les États membres, les organes de l'Union, les pays tiers, les organisations internationales et, dans certaines conditions strictes fixées dans le présent règlement, les parties privées, ainsi que les informations provenant de sources accessibles au public, afin de parvenir à une compréhension des tendances et phénomènes criminels, de recueillir des informations sur les réseaux criminels et de déceler des liens entre différentes infractions pénales.

(24) Pour qu'Europol puisse améliorer son efficacité au niveau de la précision des analyses de la criminalité qu'elle transmet aux autorités compétentes des États membres, elle devrait recourir aux nouvelles technologies pour traiter les données. Il importe en effet qu'Europol soit en mesure de déceler rapidement les liens entre des enquêtes et les modes opératoires communs à différents groupes criminels, de vérifier les recoupements de données et d'avoir une bonne vue d'ensemble des tendances, tout en garantissant un niveau élevé de protection des données à caractère personnel des personnes physiques. En conséquence, les bases de données d'Europol devraient être structurées de manière à permettre à Europol de choisir la structure informatique la plus efficace. Europol devrait également être en mesure de jouer le rôle de prestataire de services, en particulier en fournissant un réseau sécurisé pour l'échange de données, tel que l'application de réseau d'échange sécurisé d'informations (SIENA), qui vise à faciliter l'échange d'informations entre les États membres, Europol, les autres organes de l'Union, les pays tiers et les organisations internationales. Afin de garantir un niveau élevé de protection des données, il convient de définir la finalité des opérations de traitement et les droits d'accès ainsi que des garanties spécifiques supplémentaires. En particulier, les principes de nécessité et de proportionnalité devraient être respectés en ce qui concerne le traitement des données à caractère personnel.

(25) Europol devrait veiller à ce que toutes les données à caractère personnel traitées à des fins d'analyses opérationnelles se voient attribuer une finalité spécifique. Néanmoins, afin d'accomplir sa mission, Europol devrait être autorisée à traiter toutes les données à caractère personnel reçues pour identifier les liens entre de multiples formes de criminalité et d'enquêtes pénales et ne devrait pas se limiter à identifier les liens uniquement au sein d'une même forme de criminalité.

(26) Pour respecter la propriété des données et la protection des données à caractère personnel, il convient que les États membres, les organes de l'Union, les pays tiers et les organisations internationales soient en mesure de déterminer la ou les finalités pour lesquelles Europol peut traiter les données qu'ils fournissent et de restreindre les droits d'accès. La limitation de la finalité est un principe fondamental du traitement des données à caractère personnel; elle contribue notamment à la transparence, à la sécurité juridique et à la prévisibilité, et revêt une importance particulièrement grande dans le domaine de la coopération entre services répressifs, dans lequel les personnes concernées ignorent habituellement que leurs données à caractère personnel sont collectées et traitées et où l'utilisation de données à caractère personnel peut avoir une incidence considérable sur la vie et les libertés des personnes physiques.

(27) Afin que l'accès aux données ne soit autorisé qu'aux personnes qui doivent y avoir accès pour s'acquitter de leurs missions, il convient que le présent règlement définisse des règles précises sur les différents degrés de droits d'accès aux données traitées par Europol. Ces règles devraient être sans préjudice des limitations d'accès imposées par les fournisseurs de données, le principe de la propriété des données devant être respecté. Afin d'accroître l'efficacité de la prévention et de la répression des formes de criminalité relevant des objectifs d'Europol, il convient qu'Europol notifie aux États membres les informations qui les concernent.

(28) Pour approfondir la coopération opérationnelle entre les agences et, en particulier, établir des liens entre les données déjà en possession des différentes agences, il convient qu'Europol permette à Eurojust et à l'Office européen de lutte antifraude (OLAF) de disposer d'un accès aux données disponibles chez Europol, fondé sur un système de concordance/non-concordance. Europol et Eurojust devraient être en mesure de conclure un arrangement de travail leur assurant de manière réciproque, dans le cadre de leurs mandats respectifs, l'accès à toutes les informations fournies à des fins de recoupement et la possibilité d'effectuer des recherches dans celles-ci, conformément aux garanties spécifiques et aux garanties en matière de protection des données prévues par le présent règlement. Tout accès aux données dont dispose Europol devrait, par des moyens techniques, être limité aux informations relevant des mandats respectifs de ces organes de l'Union.

(29) Il convient qu'Europol entretienne des relations de coopération avec d'autres organes de l'Union, des autorités de pays tiers, des organisations internationales et des parties privées, dans la mesure nécessaire à l'accomplissement de ses missions.

(30) Afin de garantir son efficacité opérationnelle, il convient qu'Europol puisse échanger toutes les informations pertinentes, à l'exception des données à caractère personnel, avec d'autres organes de l'Union, des autorités de pays tiers et des organisations internationales, dans la mesure nécessaire à l'accomplissement de ses missions. Puisque des entreprises, des sociétés, des associations commerciales, des organisations non gouvernementales et d'autres parties privées possèdent une expérience et des informations directement pertinentes pour prévenir et lutter contre les formes graves de criminalité et le terrorisme, il convient qu'Europol puisse également échanger de telles informations avec des parties privées. En vue de prévenir et de lutter contre la criminalité informatique, en ce qui concerne les incidents liés à la sécurité des réseaux et de l'information, il convient qu'en vertu de l'acte législatif applicable de l'Union fixant des mesures destinées à assurer un niveau commun élevé de sécurité des réseaux et de l'information dans l'Union, Europol coopère avec les autorités nationales chargées de la sécurité des réseaux et des systèmes d'information et qu'elle échange des informations avec celles-ci, à l'exception des données à caractère personnel.

(31) Europol devrait être en mesure d'échanger des données à caractère personnel pertinentes avec d'autres organes de l'Union, dans la mesure nécessaire à l'accomplissement de ses missions ou de leurs missions.

(32) Les formes graves de criminalité et le terrorisme présentent souvent des connexions au-delà du territoire de l'Union. Il convient par conséquent qu'Europol puisse échanger des données à caractère personnel avec les autorités des pays tiers et avec des organisations internationales telles que l'Organisation internationale de police criminelle (Interpol), dans la mesure nécessaire à l'accomplissement de ses missions.

(33) Tous les États membres sont affiliés à Interpol. Pour exécuter sa mission, Interpol reçoit, conserve et diffuse des données pour aider les autorités répressives compétentes à prévenir et à lutter contre la criminalité internationale. Il est par conséquent approprié de renforcer la coopération entre Europol et Interpol en favorisant un échange efficace de données à caractère personnel tout en garantissant le respect des droits et des libertés fondamentales en ce qui concerne le traitement automatique des données à caractère personnel. Lorsque des données à caractère personnel sont transférées d'Europol à Interpol, le présent règlement devrait s'appliquer, en particulier les dispositions relatives aux transferts internationaux.

(34) Afin de garantir la limitation de la finalité, il est important de veiller à ce que les données à caractère personnel ne puissent être transférées par Europol à des organes de l'Union, vers des pays tiers et à des organisations internationales que si cela est nécessaire pour prévenir ou lutter contre les formes de criminalité relevant des objectifs d'Europol. À cet effet, il est nécessaire de veiller à ce que, lors du transfert de données à caractère personnel, le destinataire s'engage à les utiliser personnellement ou à les transférer à une autorité compétente d'un pays tiers exclusivement aux fins auxquelles elles ont été initialement transférées. Tout transfert ultérieur des données devrait se faire dans le respect du présent règlement.

(35) Europol devrait être en mesure de transférer des données à caractère personnel à une autorité d'un pays tiers ou à une organisation internationale sur la base d'une décision de la Commission constatant que le pays ou l'organisation internationale en question assure un niveau adéquat de protection des données (ci-après dénommée «décision d'adéquation»), ou, en l'absence d'une telle décision, en vertu d'un accord international conclu par l'Union au titre de l'article 218 du traité sur le fonctionnement de l'Union européenne, ou d'un accord de coopération autorisant l'échange de données à caractère personnel conclu entre Europol et le pays tiers avant l'entrée en vigueur du présent règlement. Compte tenu de l'article 9 du protocole no 36 sur les dispositions transitoires, annexé au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne, les effets juridiques de tels accords doivent être préservés aussi longtemps que ces accords n'auront pas été abrogés, annulés ou modifiés en application des traités. Le cas échéant et conformément au règlement (CE) no 45/2001 du Parlement européen et du Conseil (11), la Commission devrait pouvoir consulter le Contrôleur européen de la protection des données (CEPD) avant et pendant la négociation d'un accord international. Lorsque le conseil d'administration identifie un besoin opérationnel de coopération avec un pays tiers ou une organisation internationale, il devrait pouvoir suggérer au Conseil d'attirer l'attention de la Commission sur la nécessité de disposer d'une décision d'adéquation ou d'une recommandation en vue de l'ouverture de négociations d'un accord international tel que visé plus haut.

(36) Lorsqu'un transfert de données à caractère personnel ne peut se fonder sur une décision d'adéquation, ni sur un accord international conclu par l'Union, ni sur un accord de coopération existant, il convient que le conseil d'administration, en accord avec le CEPD, puisse autoriser un ensemble de transferts, lorsque des circonstances particulières l'exigent et moyennant l'existence de garanties adéquates. Le directeur exécutif devrait pouvoir autoriser le transfert de données au cas par cas, à titre exceptionnel, lorsqu'un tel transfert est requis, moyennant le respect de conditions particulières strictes.

(37) Il convient qu'Europol ne puisse traiter des données à caractère personnel provenant de parties privées ou de particuliers que si ces données lui sont transférées par l'une des entités suivantes: une unité nationale conformément à son droit national; un point de contact dans un pays tiers ou une organisation internationale avec laquelle une coopération a été établie au moyen d'un accord de coopération autorisant l'échange de données à caractère personnel conclu conformément à l'article 23 de la décision 2009/371/JAI avant l'entrée en vigueur du présent règlement; une autorité d'un pays tiers ou une organisation internationale faisant l'objet d'une décision d'adéquation, ou avec laquelle l'Union a conclu un accord international en vertu de l'article 218 du traité sur le fonctionnement de l'Union européenne. Cependant, dans les cas où Europol reçoit des données à caractère personnel émanant directement de parties privées et l'unité nationale, l'autorité ou le point de contact concerné ne peut pas être identifié, Europol devrait pouvoir traiter ces données à caractère personnel uniquement dans le but d'identifier ces entités, et les données en question devraient être supprimées à moins que ces entités ne les soumettent à nouveau dans les quatre mois suivant le transfert. Europol devrait veiller, par des moyens techniques, à ce que, durant cette période, lesdites données ne soient pas accessibles en vue d'un traitement pour toute autre finalité.

(38) Compte tenu de la menace exceptionnelle et spécifique que constituent pour la sécurité intérieure de l'Union le terrorisme et d'autres formes graves de criminalité, en particulier lorsqu'ils sont facilités, favorisés ou commis à l'aide de l'internet, les activités qu'Europol devrait mener sur la base du présent règlement, découlant de sa mise en œuvre des conclusions du Conseil du 12 mars 2015 et de l'appel lancé par le Conseil européen le 23 avril 2015 en particulier en rapport avec ces domaines prioritaires, notamment la pratique correspondante d'échanges directs de données à caractère personnel avec des parties privées, devraient être évaluées par la Commission le 1er mai 2019.

(39) Toute information manifestement obtenue en violation évidente des droits de l'homme ne devrait pas faire l'objet de traitement.

(40) Il convient de renforcer les règles relatives à la protection des données en vigueur au sein d'Europol, qui devraient reposer sur les principes qui sous-tendent le règlement (CE) no 45/2001 afin de garantir un niveau élevé de protection des personnes physiques à l'égard du traitement des données à caractère personnel. La déclaration no 21 sur la protection des données à caractère personnel dans le domaine de la coopération judiciaire en matière pénale et de la coopération policière annexée au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne reconnaissant la nature spécifique du traitement des données à caractère personnel dans le contexte répressif, il convient que les règles d'Europol en matière de protection des données soient autonomes tout en étant, dans le même temps, cohérentes avec d'autres instruments pertinents en matière de protection des données applicables au domaine de la coopération policière dans l'Union. Ces instruments comprennent, en particulier, la directive (UE) 2016/680 du Parlement européen et du Conseil (12), ainsi que la convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel du Conseil de l'Europe et sa recommandation no R (87) 15 (13).

(41) Tout traitement de données à caractère personnel par Europol devrait être licite et loyal à l'égard des personnes concernées. Le principe de traitement loyal requiert une transparence du traitement permettant aux personnes concernées d'exercer les droits que leur confère le présent règlement. L'accès à leurs données à caractère personnel devrait néanmoins pouvoir être refusé ou limité si, en tenant dûment compte des intérêts des personnes concernées, ce refus ou cette limitation constitue une mesure nécessaire pour permettre à Europol de s'acquitter dûment de ses missions, pour protéger la sécurité et l'ordre public ou pour prévenir la criminalité, pour garantir qu'une enquête nationale ne sera pas compromise ou pour protéger les droits et les libertés de tiers. Afin de renforcer la transparence, Europol devrait mettre à la disposition du public un document exposant, sous une forme intelligible, les dispositions applicables en matière de traitement des données à caractère personnel et les moyens à la disposition des personnes concernées pour exercer leurs droits. Europol devrait également publier sur son site internet une liste des décisions d'adéquation, des accords et des arrangements administratifs relatifs au transfert de données à caractère personnel vers des pays tiers ou à des organisations internationales. En outre, afin d'accroître la transparence d'Europol vis-à-vis des citoyens de l'Union et sa responsabilité, Europol devrait publier sur son site internet une liste des membres de son conseil d'administration et, le cas échéant, les résumés exposant les résultats des réunions du conseil d'administration, tout en respectant les exigences en matière de protection des données.

(42) Il convient, dans la mesure du possible, de différencier les données à caractère personnel en fonction de leur degré d'exactitude et de fiabilité. Il y a lieu de distinguer les faits des appréciations personnelles, afin de garantir tant la protection des personnes physiques que la qualité et la fiabilité des informations traitées par Europol. Dans le cas d'informations provenant de sources accessibles au public, en particulier de sources sur l'internet, Europol devrait, dans la mesure du possible, évaluer l'exactitude de ces informations et la fiabilité de leur source avec une diligence particulière, afin de répondre aux risques liés à l'internet en ce qui concerne la protection des données à caractère personnel et de la vie privée.

(43) Le domaine de la coopération entre services répressifs implique le traitement de données à caractère personnel se rapportant à différentes catégories de personnes concernées. Europol devrait établir des distinctions aussi claires que possible entre les données à caractère personnel de ces différentes catégories de personnes concernées. Il importe de protéger, en particulier, les données à caractère personnel concernant des personnes telles que les victimes, les témoins et les personnes détenant des informations utiles, ainsi que les données à caractère personnel concernant les mineurs. Europol ne devrait traiter de données sensibles que si ces données complètent d'autres données à caractère personnel déjà traitées par Europol.

(44) Eu égard au droit fondamental à la protection des données à caractère personnel, il convient qu'Europol ne conserve pas ces données plus longtemps qu'il n'est nécessaire à l'accomplissement de ses missions. La nécessité de continuer à conserver ces données devrait être examinée au plus tard trois ans après le début de leur traitement initial.

(45) Afin de garantir la sécurité des données à caractère personnel, il convient qu'Europol et les États membres mettent en œuvre les mesures techniques et organisationnelles nécessaires.

(46) Toute personne concernée devrait avoir un droit d'accès aux données à caractère personnel la concernant, un droit de rectification lorsque ces données sont inexactes, un droit d'effacement ou de limitation du traitement lorsque ces données ne sont plus nécessaires. Les coûts liés à l'exercice du droit d'accès aux données à caractère personnel ne devraient jamais représenter un obstacle à l'exercice effectif de ce droit. Il convient que les droits des personnes concernées et l'exercice de ces droits ne remettent pas en cause les obligations qui incombent à Europol et qu'ils soient soumis aux limitations prévues par le présent règlement.

(47) La protection des droits et des libertés des personnes concernées exige une répartition claire des responsabilités au titre du présent règlement. Il convient notamment que les États membres soient responsables de l'exactitude des données qu'ils ont transférées à Europol et de leur mise à jour, ainsi que de la légalité de ces transferts de données. Europol devrait être responsable de l'exactitude des données communiquées par d'autres fournisseurs de données, ou provenant des analyses qu'elle effectue elle-même, et de leur mise à jour. Europol devrait également veiller à ce que les données soient traitées loyalement et licitement, et qu'elles soient recueillies et traitées pour une finalité spécifique. Europol devrait également veiller à ce que les données soient adéquates, pertinentes et non excessives au regard de la finalité pour laquelle elles sont traitées, qu'elles ne soient conservées que pendant la durée nécessaire à la réalisation de cette finalité et qu'elles soient traitées de manière à garantir un niveau approprié de sécurité des données à caractère personnel et de confidentialité du traitement des données.

(48) Il convient qu'Europol tienne un relevé de la collecte, de la modification, de l'accès, de la divulgation, de la combinaison ou de l'effacement des données à caractère personnel, à des fins de vérification de la licéité du traitement des données, d'autocontrôle et de garantie de l'intégrité et de la sécurité des données. Europol devrait être tenue de coopérer avec le CEPD et de mettre les journaux ou la documentation à sa disposition, sur demande, pour qu'ils puissent servir au contrôle des opérations de traitement.

(49) Il convient qu'Europol désigne un délégué à la protection des données pour l'aider à contrôler le respect du présent règlement. Ce délégué à la protection des données devrait être en mesure d'accomplir ses fonctions et ses missions en toute indépendance et de manière effective, et devrait être doté des ressources nécessaires.

(50) Des structures de contrôle indépendantes, transparentes, responsables et efficaces sont indispensables pour protéger les personnes physiques à l'égard du traitement de leurs données à caractère personnel, comme l'exige l'article 8, paragraphe 3, de la charte des droits fondamentaux de l'Union européenne. Il convient que les autorités nationales chargées du contrôle du traitement des données à caractère personnel contrôlent la licéité des données à caractère personnel fournies par les États membres à Europol. Il convient que le CEPD contrôle la licéité des traitements de données effectués par Europol, en exerçant ses fonctions en toute indépendance. À cet égard, le mécanisme de consultation préalable constitue une garantie importante pour les nouveaux types d'opérations de traitement. Il ne devrait pas s'appliquer à des activités opérationnelles individuelles spécifiques telles que les projets d'analyse opérationnelle, mais à l'utilisation de nouveaux systèmes informatiques pour le traitement des données à caractère personnel et à toute modification importante de ceux-ci.

(51) Il est important d'assurer un contrôle renforcé et efficace d'Europol et de garantir que le CEPD puisse disposer des compétences nécessaires en matière de protection des données dans un contexte répressif lorsqu'il assume la responsabilité de contrôler Europol en ce qui concerne la protection des données. Il convient que le CEPD et les autorités nationales de contrôle coopèrent étroitement dans des domaines spécifiques exigeant une participation nationale et assurent une application cohérente du présent règlement dans toute l'Union.

(52) Sans préjudice de l'indépendance du CEPD et de sa responsabilité de contrôle d'Europol en ce qui concerne la protection des données, le CEPD et les autorités de contrôle nationales devraient, afin de faciliter leur coopération, se rencontrer régulièrement au sein du comité de coopération, lequel, en tant qu'organe consultatif, devrait formuler des avis, des lignes directrices et des recommandations et définir des bonnes pratiques sur les questions appelant une participation de l'échelon national.

(53) Dès lors qu'Europol traite également des données à caractère personnel non opérationnelles, qui ne se rapportent pas à une enquête pénale, telles que les données à caractère personnel concernant son propre personnel, ses prestataires de services ou ses visiteurs, il convient que le traitement de telles données soit soumis au règlement (CE) no 45/2001.

(54) Il convient que le CEPD reçoive et examine les réclamations des personnes concernées. L'enquête faisant suite à une réclamation devrait être menée, sous réserve d'un contrôle juridictionnel, dans la mesure appropriée au cas d'espèce. Il convient que l'autorité de contrôle nationale informe la personne concernée de l'état d'avancement et du résultat de la réclamation dans un délai raisonnable.

(55) Il convient que toute personne physique ait le droit de former un recours juridictionnel contre une décision du CEPD la concernant.

(56) Il convient qu'Europol soit soumise aux règles générales en matière de responsabilité contractuelle et extracontractuelle applicables aux institutions, agences et organes de l'Union, à l'exception des règles relatives à la responsabilité pour traitement illicite de données.

(57) Il peut être malaisé pour la personne physique concernée de déterminer si le dommage subi du fait d'un traitement illicite de données est la conséquence de l'action d'Europol ou d'un État membre. Il convient, par conséquent, qu'Europol et l'État membre dans lequel le fait dommageable s'est produit soient solidairement responsables.

(58) Tout en respectant le rôle du Parlement européen auquel sont associés les parlements nationaux dans le contrôle des activités d'Europol, il est nécessaire qu'Europol soit une organisation interne pleinement transparente et responsable. À cet effet, il y a lieu, eu égard à l'article 88 du traité sur le fonctionnement de l'Union européenne, de définir les modalités du contrôle des activités d'Europol par le Parlement européen en association avec les parlements nationaux. Ces modalités devraient être soumises à l'article 12, point c), du traité sur l'Union européenne et à l'article 9 du protocole no 1, qui prévoient que le Parlement européen et les parlements nationaux définissent ensemble l'organisation et la promotion d'une coopération interparlementaire efficace et régulière au sein de l'Union. Les modalités du contrôle des activités d'Europol à définir devraient tenir dûment compte de la nécessité de veiller à ce que le Parlement européen et les parlements nationaux soient sur un pied d'égalité, ainsi que de la nécessité de garantir la confidentialité des informations opérationnelles. Toutefois, la manière dont les parlements nationaux exercent leur contrôle sur leur gouvernement pour ce qui concerne les activités de l'Union relève de l'organisation et de la pratique constitutionnelle propre à chaque État membre.

(59) Il convient que le statut des fonctionnaires de l'Union européenne (ci-après dénommé «statut») et le régime applicable aux autres agents de l'Union européenne (ci-après dénommé «régime applicable aux autres agents») fixés par le règlement (CEE, Euratom, CECA) no 259/68 du Conseil (14) s'appliquent au personnel d'Europol. Il convient qu'Europol puisse engager du personnel des autorités compétentes des États membres en tant qu'agents temporaires dont la durée du service devrait être limitée afin de préserver le principe de rotation, puisque la réintégration ultérieure de ce personnel dans le service de l'autorité compétente d'origine favorise une coopération étroite entre Europol et les autorités compétentes des États membres. Il convient que les États membres prennent toutes les mesures nécessaires pour que ces membres du personnel engagés par Europol en tant qu'agents temporaires puissent réintégrer, à la fin de leur mission auprès d'Europol, l'administration nationale à laquelle ils appartiennent.

(60) Eu égard à la nature des fonctions d'Europol et au rôle du directeur exécutif, la commission compétente du Parlement européen devrait pouvoir inviter le directeur exécutif à se présenter devant elle, avant sa nomination ainsi qu'avant le renouvellement éventuel de son mandat. Il convient que le directeur exécutif présente aussi le rapport annuel au Parlement européen et au Conseil. Il convient, par ailleurs, que le Parlement européen et le Conseil puissent inviter le directeur exécutif à faire rapport sur l'exécution de ses fonctions.

(61) Afin de garantir la pleine autonomie et l'indépendance d'Europol, il convient de lui accorder un budget propre, alimenté essentiellement par une contribution du budget général de l'Union. Il convient que la procédure budgétaire de l'Union soit applicable en ce qui concerne la contribution de l'Union et toute autre subvention imputable au budget général de l'Union. La vérification des comptes devrait être effectuée par la Cour des comptes.

(62) Le règlement délégué (UE) no 1271/2013 de la Commission (15) devrait s'appliquer à Europol.

(63) Compte tenu de leurs pouvoirs juridiques et administratifs spécifiques et de leurs compétences techniques pour mener des activités d'échange d'informations, des opérations et des enquêtes transfrontalières, notamment dans le cadre d'équipes communes d'enquête, ainsi que pour fournir des locaux de formation, les autorités compétentes des États membres devraient pouvoir recevoir des subventions d'Europol sans appel de propositions, conformément à l'article 190, paragraphe 1, point d), du règlement délégué (UE) no 1268/2012 de la Commission (16).

(64) Le règlement (UE, Euratom) no 883/2013 du Parlement européen et du Conseil (17) devrait s'appliquer à Europol.

(65) Europol traite des données qui exigent une protection particulière puisqu'elles comprennent des informations sensibles non classifiées et classifiées de l'UE. Il convient, par conséquent, qu'Europol établisse des règles en matière de confidentialité et de traitement de ces informations. Les règles en matière de protection des informations classifiées de l'UE devraient être compatibles avec la décision 2013/488/UE du Conseil (18).

(66) Il convient de procéder à l'évaluation régulière de l'application du présent règlement.

(67) Les dispositions nécessaires relatives à l'implantation d'Europol à La Haye, où se trouve son siège, et les règles particulières applicables aux membres du personnel d'Europol et aux membres de leur famille devraient être arrêtées dans un accord de siège. Par ailleurs, l'État membre d'accueil devrait créer les conditions nécessaires au bon fonctionnement d'Europol, y compris en ce qui concerne la scolarisation multilingue à vocation européenne et les liaisons de transport adéquates, afin qu'elle puisse attirer du personnel de haute qualité représentant une couverture géographique aussi large que possible.

(68) Europol instituée par le présent règlement remplace Europol qui avait été institué par la décision 2009/371/JAI, auquel elle succède. Il convient par conséquent qu'elle soit le successeur en droit de l'ensemble de ses contrats, y compris les contrats de travail, des obligations qui lui incombent et des biens qu'il a acquis. Il convient que les accords internationaux conclus par Europol institué par la décision 2009/371/JAI ainsi que les accords conclus par Europol institué par la convention Europol avant le 1er janvier 2010 demeurent en vigueur.

(69) Pour permettre à Europol de continuer à remplir au mieux les missions d'Europol institué par la décision 2009/371/JAI, il convient de prévoir des mesures transitoires, notamment en ce qui concerne le conseil d'administration, le directeur exécutif et les membres du personnel employés en tant qu'agents locaux dans le cadre d'un contrat à durée indéterminée conclu par Europol institué par la convention Europol, lesquels devraient se voir offrir une possibilité d'emploi en tant qu'agents temporaires ou contractuels au titre du régime applicable aux autres agents.

(70) L'acte du Conseil du 3 décembre 1998 (19) concernant le statut du personnel d'Europol a été abrogé par l'article 63 de la décision 2009/371/JAI. Cependant, il devrait continuer de s'appliquer au personnel employé par Europol avant l'entrée en vigueur de la décision 2009/371/JAI. En conséquence, des dispositions transitoires devraient prévoir que les contrats conclus conformément à ce statut restent régis par celui-ci.

(71) Étant donné que l'objectif du présent règlement, à savoir l'établissement d'une entité chargée de la coopération des services répressifs au niveau de l'Union, ne peut pas être atteint de manière suffisante par les États membres mais peut, en raison des dimensions et des effets de l'action, l'être mieux au niveau de l'Union, celle-ci peut prendre des mesures, conformément au principe de subsidiarité consacré à l'article 5 du traité sur l'Union européenne. Conformément au principe de proportionnalité tel qu'énoncé audit article, le présent règlement n'excède pas ce qui est nécessaire pour atteindre cet objectif.

(72) Conformément à l'article 3 et à l'article 4 bis, paragraphe 1, du protocole no 21 sur la position du Royaume-Uni et de l'Irlande à l'égard de l'espace de liberté, de sécurité et de justice, annexé au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne, l'Irlande a notifié son souhait de participer à l'adoption et à l'application du présent règlement.

(73) Conformément aux articles 1er et 2 ainsi qu'à l'article 4 bis, paragraphe 1, du protocole no 21 sur la position du Royaume-Uni et de l'Irlande à l'égard de l'espace de liberté, de sécurité et de justice, annexé au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne, et sans préjudice de l'article 4 dudit protocole, le Royaume-Uni ne participe pas à l'adoption du présent règlement et n'est pas lié par celui-ci ni soumis à son application.

(74) Conformément aux articles 1er et 2 du protocole no 22 sur la position du Danemark, annexé au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne, le Danemark ne participe pas à l'adoption du présent règlement et n'est pas lié par celui-ci ni soumis à son application.

(75) Le CEPD a été consulté et a rendu un avis le 31 mai 2013.

(76) Le présent règlement respecte les droits fondamentaux et observe les principes reconnus en particulier par la charte des droits fondamentaux de l'Union européenne, notamment le droit à la protection des données à caractère personnel et le droit au respect de la vie privée, tels que garantis par les articles 8 et 7 de la charte, ainsi que par l'article 16 du traité sur le fonctionnement de l'Union européenne,

ONT ADOPTÉ LE PRÉSENT RÈGLEMENT:

CHAPITRE I

DISPOSITIONS GÉNÉRALES, OBJECTIFS ET MISSIONS D'EUROPOL

Article premier

Création de l'Agence de l'Union européenne pour la coopération des services répressifs

1. Une agence de l'Union européenne pour la coopération des services répressifs (Europol) est instituée en vue de soutenir la coopération entre les autorités répressives au sein de l'Union.

2. Europol instituée par le présent règlement se substitue et succède à Europol institué par la décision 2009/371/JAI.

Article 2

Définitions

Aux fins du présent règlement, on entend par:

a) «autorités compétentes des États membres», l'ensemble des autorités de police et autres services répressifs existant dans les États membres qui sont compétents, en vertu du droit national, en matière de prévention et de lutte contre les infractions pénales. Les autorités compétentes comprennent également d'autres autorités publiques existant dans les États membres qui sont compétentes, en vertu du droit national, en matière de prévention et de lutte contre les infractions pénales relevant de la compétence d'Europol;

b) «analyse stratégique», toutes les méthodes et techniques permettant de collecter, de stocker, de traiter et d'évaluer des informations en vue d'appuyer et d'élaborer une politique pénale qui contribue à prévenir et à lutter contre la criminalité de manière efficace et effective;

c) «analyse opérationnelle», toutes les méthodes et techniques permettant de collecter, de stocker, de traiter et d'évaluer des informations en vue d'appuyer des enquêtes pénales;

d) «organes de l'Union», les institutions, organes, missions, bureaux et agences institués par le traité sur l'Union européenne et le traité sur le fonctionnement de l'Union européenne ou sur la base de ces traités;

e) «organisation internationale», une organisation internationale et les organismes de droit public international qui en relèvent, ou tout autre organisme qui est créé par un accord entre deux pays ou plus, ou en vertu d'un tel accord;

f) «parties privées», des entités et organismes constitués en vertu du droit d'un État membre ou d'un pays tiers, notamment des entreprises et des sociétés, des associations commerciales, des organisations sans but lucratif et autres personnes morales qui ne sont pas visées au point e);

g) «particuliers», toute personne physique;

h) «données à caractère personnel», toute information se rapportant à une personne concernée;

i) «personne concernée», une personne physique identifiée ou identifiable, une «personne identifiable» étant une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel que un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale;

j) «données génétiques», toutes les données à caractère personnel relatives aux caractéristiques génétiques héréditaires ou acquises d'une personne physique qui donnent des informations uniques sur la physiologie ou l'état de santé de cette personne physique, et qui résultent, notamment, d'une analyse d'un échantillon biologique de la personne physique en question;

k) «traitement», toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction;

l) «destinataire», la personne physique ou morale, l'autorité publique, le service ou tout autre organisme qui reçoit communication de données, qu'il s'agisse ou non d'un tiers;

m) «transfert de données à caractère personnel», la communication de données à caractère personnel, mises à disposition activement à un nombre limité de parties identifiées, l'accès auxdites données étant accordé au destinataire par l'expéditeur en toute connaissance de cause ou de manière intentionnelle;

n) «violation de données à caractère personnel», une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à celles-ci;

o) «consentement de la personne concernée», toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement;

p) «données administratives à caractère personnel», toutes les données à caractère personnel traitées par Europol, hormis celles qui sont traitées dans le but d'atteindre les objectifs visés à l'article 3.

Article 3

Objectifs

1. Europol appuie et renforce l'action des autorités compétentes des États membres et leur collaboration mutuelle dans la prévention de la criminalité grave affectant deux ou plusieurs États membres, du terrorisme et des formes de criminalité qui portent atteinte à un intérêt commun qui fait l'objet d'une politique de l'Union, ainsi que dans la lutte contre ceux-ci, énumérées à l'annexe I.

2. Outre le paragraphe 1, les objectifs d'Europol s'étendent également aux infractions pénales connexes. Sont considérées comme des infractions pénales connexes:

a) les infractions pénales commises pour se procurer les moyens de perpétrer des actes relevant de la compétence d'Europol;

b) les infractions pénales commises pour faciliter l'exécution d'actes relevant de la compétence d'Europol, ou les perpétrer;

c) les infractions pénales commises dans le but d'assurer l'impunité de ceux qui commettent des actes relevant de la compétence d'Europol.

Article 4

Missions

1. Europol est chargée des missions suivantes pour atteindre les objectifs fixés à l'article 3:

a) collecter, stocker, traiter, analyser et échanger des informations, y compris des éléments de renseignement criminel;

b) communiquer sans retard aux États membres, par l'intermédiaire des unités nationales créées ou désignées en vertu de l'article 7, paragraphe 2, toute information ou tout lien existant entre des infractions pénales qui les concernent;

c) coordonner, organiser et réaliser des enquêtes et des actions opérationnelles pour soutenir et renforcer les actions des autorités compétentes des États membres, qui sont menées: i) conjointement avec les autorités compétentes des États membres; ou ii) dans le cadre d'équipes communes d'enquête, conformément à l'article 5 et, s'il y a lieu, en liaison avec Eurojust;

d) participer à des équipes communes d'enquête, ainsi que proposer leur constitution conformément à l'article 5;

e) fournir aux États membres des informations et une aide à l'analyse lors d'événements internationaux majeurs;

f) établir des évaluations de la menace, des analyses stratégiques et opérationnelles ainsi que des comptes rendus généraux;

g) développer, partager et promouvoir une expertise en ce qui concerne les méthodes de prévention de la criminalité, les procédures d'enquête et les méthodes de police techniques et scientifiques, ainsi que dispenser des conseils aux États membres;

h) soutenir les activités d'échange d'informations, les opérations et les enquêtes transfrontalières menées par les États membres, ainsi que les équipes communes d'enquête, notamment en fournissant un appui opérationnel, technique et financier;

i) assurer des formations spécialisées et aider les États membres à organiser des formations, y compris par un soutien financier, dans le cadre de ses objectifs et en fonction des effectifs et des ressources budgétaires dont elle dispose, en coordination avec l'Agence de l'Union européenne pour la formation des services répressifs (CEPOL);

j) coopérer avec les organes de l'Union institués sur la base du titre V du traité sur le fonctionnement de l'Union européenne et avec l'OLAF, en particulier par des échanges d'informations et en leur fournissant une aide à l'analyse dans les domaines relevant de leur compétence;

k) fournir des informations et un appui aux structures et aux missions de gestion des crises de l'UE instituées sur la base du traité sur l'Union européenne, dans le cadre des objectifs d'Europol énoncés à l'article 3;

l) développer des centres d'expertise spécialisée de l'Union pour lutter contre certaines formes de criminalité relevant des objectifs d'Europol, notamment le Centre européen de lutte contre la cybercriminalité;

m) soutenir les actions des États membres en matière de prévention des formes de criminalité énumérées à l'annexe I qui sont facilitées, favorisées ou commises à l'aide de l'internet, et de lutte contre ces phénomènes, y compris, en coopération avec les États membres, le signalement de contenu sur internet, à l'aide duquel ces formes de criminalité sont facilitées, favorisées ou commises, aux fournisseurs de services en ligne concernés pour qu'ils examinent sur une base volontaire la compatibilité du contenu sur internet signalé avec leurs propres conditions générales.

2. Europol fournit des analyses stratégiques et des évaluations de la menace afin d'aider le Conseil et la Commission à établir les priorités stratégiques et opérationnelles de l'Union aux fins de la lutte contre la criminalité. Europol fournit également un appui pour la mise en œuvre opérationnelle de ces priorités.

3. Europol fournit des analyses stratégiques et des évaluations de la menace pour contribuer à une utilisation efficace et rationnelle des ressources disponibles au niveau national et de l'Union pour les activités opérationnelles, et fournir un appui à ces dernières.

4. Europol joue le rôle d'office central de répression du faux-monnayage de l'euro conformément à la décision 2005/511/JAI du Conseil (20). Europol facilite également la coordination des mesures prises par les autorités compétentes des États membres ou dans le cadre d'équipes communes d'enquête, s'il y a lieu en liaison avec des organes de l'Union et les autorités de pays tiers, afin de lutter contre le faux-monnayage de l'euro.

5. Europol n'applique pas de mesures coercitives dans l'exercice de ses missions.

CHAPITRE II

COOPÉRATION ENTRE LES ÉTATS MEMBRES ET EUROPOL

Article 5

Participation aux équipes communes d'enquête

1. Le personnel d'Europol peut participer aux activités des équipes communes d'enquête lorsqu'elles portent sur les formes de criminalité relevant des objectifs d'Europol. L'accord créant une équipe commune d'enquête fixe les conditions relatives à la participation du personnel d'Europol à l'équipe, et comprend les informations relatives aux règles en matière de responsabilité.

2. Le personnel d'Europol peut, dans les limites du droit des États membres dans lesquels une équipe commune d'enquête opère, prêter son concours à toutes les activités et à tous les échanges d'informations ayant lieu avec tout membre de cette équipe commune d'enquête.

3. Le personnel d'Europol participant à une équipe commune d'enquête peut, conformément au présent règlement, fournir à tous les membres de l'équipe les informations nécessaires traitées par Europol aux fins énoncées à l'article 18, paragraphe 2. Europol en informe simultanément les unités nationales des États membres représentés dans l'équipe ainsi que celles des États membres qui ont fourni les informations.

4. Les informations obtenues par le personnel d'Europol lors de sa participation à une équipe commune d'enquête peuvent, avec l'accord et sous la responsabilité de l'État membre qui les a fournies, être traitées par Europol aux fins énoncées à l'article 18, paragraphe 2, selon les conditions établies par le présent règlement.

5. Lorsque Europol a des motifs de croire que la constitution d'une équipe commune d'enquête apporterait une valeur ajoutée à une enquête, elle peut en faire la proposition aux États membres concernés et prendre des mesures en vue de les aider à créer cette équipe.

Article 6

Demandes d'Europol visant à ouvrir une enquête pénale

1. Dans les cas particuliers où Europol considère qu'une enquête pénale devrait être ouverte au sujet d'une forme de criminalité relevant de ses objectifs, elle demande aux autorités compétentes des États membres concernés, par l'intermédiaire des unités nationales, d'ouvrir, de mener ou de coordonner cette enquête pénale.

2. Les unités nationales informent sans retard Europol de la décision des autorités compétentes des États membres concernant toute demande introduite en application du paragraphe 1.

3. Si les autorités compétentes d'un État membre décident de ne pas donner suite à une demande présentée par Europol en application du paragraphe 1, elles informent Europol des motifs de leur décision, sans retard injustifié, et de préférence dans un délai d'un mois à compter de la réception de la demande. Toutefois, il est permis de ne pas communiquer les motifs si leur communication:

a) était contraire aux intérêts essentiels de la sécurité de l'État membre concerné; ou

b) compromettait le succès d'une enquête en cours ou la sécurité d'une personne physique.

4. Europol informe immédiatement Eurojust de toute demande présentée en application du paragraphe 1 et de toute décision prise par une autorité compétente d'un État membre en application du paragraphe 2.

Article 7

Unités nationales Europol

1. Les États membres et Europol coopèrent dans l'accomplissement de leurs missions respectives définies dans le présent règlement.

2. Chaque État membre met en place ou désigne une unité nationale, qui constitue l'organe de liaison entre Europol et les autorités compétentes de cet État membre. Chaque État membre désigne un fonctionnaire comme chef de son unité nationale.

3. Chaque État membre veille à ce que son unité nationale soit compétente, en vertu de son droit national, pour s'acquitter des missions assignées aux unités nationales dans le présent règlement, et notamment à ce qu'elle ait accès aux données des services répressifs nationaux et aux autres données pertinentes nécessaires à la coopération avec Europol.

4. Chaque État membre définit l'organisation de son unité nationale et détermine ses effectifs conformément à son droit national.

5. Conformément au paragraphe 2, l'unité nationale est l'organe de liaison entre Europol et les autorités compétentes des États membres. Toutefois, sous réserve des conditions fixées par les États membres, y compris l'intervention préalable de l'unité nationale, les États membres peuvent autoriser des contacts directs entre leurs autorités compétentes et Europol. L'unité nationale reçoit en même temps d'Europol toutes les informations échangées au cours des contacts directs entre Europol et les autorités compétentes, à moins que l'autorité nationale n'indique qu'elle n'a pas besoin de recevoir ces informations.

6. Les États membres, par l'intermédiaire de leur unité nationale ou, sous réserve du paragraphe 5, d'une autorité compétente, assurent notamment:

a) la communication à Europol des informations nécessaires à la réalisation de ses objectifs, y compris des informations relatives aux formes de criminalité à l'égard desquelles la prévention et la lutte sont considérées comme des priorités de l'Union;

b) une communication et une coopération efficaces avec Europol, de la part de toutes les autorités compétentes concernées;

c) une sensibilisation aux activités d'Europol;

d) conformément à l'article 38, paragraphe 5, point a), le respect du droit national lors de la communication d'informations à Europol.

7. Sans préjudice de l'exercice, par les États membres, de leurs responsabilités en matière de maintien de l'ordre public et de protection de la sécurité intérieure, les États membres ne sont pas tenus, dans une affaire donnée, de fournir des informations conformément au paragraphe 6, point a), qui auraient pour effet:

a) d'être contraire aux intérêts essentiels de la sécurité de l'État membre;

b) de compromettre le succès d'une enquête en cours ou la sécurité d'une personne physique; ou

c) de divulguer des informations concernant des organisations ou des activités de renseignement spécifiques dans le domaine de la sûreté nationale.

Cependant, les États membres fournissent des informations dès qu'elles n'entrent plus dans le champ d'application des points a), b) ou c) du premier alinéa.

8. Les États membres veillent à ce que leurs cellules de renseignement financier, créées en application de la directive 2005/60/CE du Parlement européen et du Conseil (21), soient autorisées à coopérer avec Europol par l'intermédiaire de leur unité nationale en ce qui concerne les analyses, dans les limites de leur mandat et de leur compétence.

9. Les chefs des unités nationales se réunissent périodiquement, afin notamment d'examiner et de résoudre les problèmes qui se posent dans le cadre de leur coopération opérationnelle avec Europol.

10. Les frais exposés par les unités nationales pour les communications avec Europol sont à la charge des États membres et, à l'exception des frais de connexion, ne sont pas mis à la charge d'Europol.

11. Europol rédige un rapport annuel sur les informations fournies par chaque État membre en application du paragraphe 6, point a), sur la base des critères d'évaluation quantitatifs et qualitatifs fixés par le conseil d'administration. Ce rapport annuel est transmis au Parlement européen, au Conseil, à la Commission et aux parlements nationaux.

Article 8

Officiers de liaison

1. Chaque unité nationale désigne auprès d'Europol au moins un officier de liaison. Sauf dispositions contraires prévues dans le présent règlement, les officiers de liaison sont soumis au droit national de l'État membre qui procède à la désignation.

2. Les officiers de liaison, qui constituent les bureaux nationaux de liaison auprès d'Europol, sont chargés par leur unité nationale de représenter les intérêts de celle-ci au sein d'Europol conformément au droit national de l'État membre qui les a désignés et aux dispositions applicables au fonctionnement d'Europol.

3. Les officiers de liaison contribuent à l'échange d'informations entre Europol et leur État membre.

4. Les officiers de liaison contribuent, conformément à leur droit national, à l'échange d'informations entre leur État membre et les officiers de liaison des autres États membres, les pays tiers et les organisations internationales. Les infrastructures d'Europol peuvent également être utilisées, conformément au droit national, pour ces échanges bilatéraux lorsqu'il s'agit de formes de criminalité ne relevant pas des objectifs d'Europol. Tous ces échanges d'informations se font conformément au droit de l'Union et au droit national applicables.

5. Le conseil d'administration définit les droits et obligations des officiers de liaison à l'égard d'Europol. Les officiers de liaison jouissent des privilèges et des immunités nécessaires à l'exécution de leurs missions conformément à l'article 63, paragraphe 2.

6. Europol veille à ce que les officiers de liaison soient parfaitement informés de toutes ses activités et qu'ils y soient pleinement associés, dans la mesure nécessaire à l'exécution de leurs missions.

7. Europol assume les coûts liés à la mise à la disposition des États membres de locaux dans son immeuble et à l'octroi d'un soutien suffisant pour permettre aux officiers de liaison de remplir leurs fonctions. Tous les autres frais liés à la désignation d'officiers de liaison sont supportés par l'État membre qui procède à la désignation, y compris les frais liés à leur dotation en équipement, sauf si le Parlement européen et le Conseil en décident autrement sur recommandation du conseil d'administration.

CHAPITRE III

ORGANISATION D'EUROPOL

Article 9

Structure administrative et de gestion d'Europol

La structure administrative et de gestion d'Europol comprend:

a) le conseil d'administration;

b) un directeur exécutif;

c) s'il y a lieu, d'autres organes consultatifs créés par le conseil d'administration conformément à l'article 11, paragraphe 1, point s);

SECTION 1

Conseil d'administration

Article 10

Composition du conseil d'administration

1. Le conseil d'administration est composé d'un représentant de chaque État membre et d'un représentant de la Commission. Chaque représentant dispose du droit de vote.

2. Les membres du conseil d'administration sont nommés en tenant compte de leur connaissance de la coopération entre services répressifs.

3. Chaque membre du conseil d'administration a un membre suppléant, qui est nommé en tenant compte du critère fixé au paragraphe 2. Le suppléant représente le membre en son absence.

Il est également tenu compte du principe de la représentation équilibrée des hommes et des femmes au sein du conseil d'administration.

4. Sans préjudice du droit qu'ont les États membres et la Commission de mettre un terme au mandat de leurs membres et membres suppléants respectifs, le mandat au conseil d'administration est de quatre ans. Il peut être prolongé.

Article 11

Fonctions du conseil d'administration

1. Le conseil d'administration:

a) adopte chaque année, à la majorité des deux tiers de ses membres et conformément à l'article 12, un document contenant la programmation pluriannuelle d'Europol et son programme de travail annuel pour l'année suivante;

b) adopte, à la majorité des deux tiers de ses membres, le budget annuel d'Europol et exerce d'autres fonctions en rapport avec le budget d'Europol, en vertu du chapitre X;

c) adopte un rapport d'activité annuel consolidé sur les activités d'Europol et le transmet, au plus tard le 1er juillet de l'année suivante, au Parlement européen, au Conseil, à la Commission, à la Cour des comptes et aux parlements nationaux. Le rapport d'activité annuel consolidé est rendu public;

d) adopte les règles financières applicables à Europol, conformément à l'article 61;

e) adopte une stratégie antifraude interne proportionnée aux risques de fraude, tenant compte du rapport coûts-avantages des mesures à mettre en œuvre;

f) adopte des règles de prévention et de gestion des conflits d'intérêts à l'égard de ses membres, y compris en liaison avec leur déclaration d'intérêt;

g) conformément au paragraphe 2, exerce, vis-à-vis du personnel d'Europol, les compétences conférées à l'autorité investie du pouvoir de nomination par le statut et à l'autorité habilitée à conclure les contrats d'engagement par le régime applicable aux autres agents (ci-après dénommées «compétences relevant de l'autorité investie du pouvoir de nomination»);

h) adopte les règles d'exécution appropriées visant à donner effet au statut et du régime applicable aux autres agents, conformément à l'article 110 du statut;

i) adopte des règles internes relatives à la procédure de sélection du directeur exécutif, y compris les règles relatives à la composition du comité de sélection qui garantissent son indépendance et son impartialité;

j) propose au Conseil une liste restreinte de candidats pour le poste de directeur exécutif et les postes de directeurs exécutifs adjoints et, s'il y a lieu, propose au Conseil de prolonger leur mandat ou de les démettre de leurs fonctions, conformément aux articles 54 et 55;

k) établit des indicateurs de performance et supervise l'action du directeur exécutif, y compris la mise en œuvre des décisions du conseil d'administration;

l) nomme un délégué à la protection des données, qui est fonctionnellement indépendant dans l'exercice de ses fonctions;

m) nomme un comptable, qui est soumis au statut et au régime applicable aux autres agents et fonctionnellement indépendant dans l'exercice de ses fonctions;

n) met en place, le cas échéant, une structure d'audit interne;

o) assure un suivi adéquat des conclusions et recommandations issues des divers rapports d'audit et évaluations internes ou externes, ainsi que des enquêtes de l'OLAF et du CEPD;

p) détermine les critères d'évaluation à utiliser pour le rapport annuel, conformément à l'article 7, paragraphe 11;

q) adopte des lignes directrices précisant davantage les procédures de traitement des informations par Europol conformément à l'article 18, après consultation du CEPD;

r) autorise la conclusion d'arrangements de travail et d'arrangements administratifs conformément à l'article 23, paragraphe 4, et à l'article 25, paragraphe 1, respectivement;

s) décide, en prenant en considération à la fois les exigences opérationnelles et financières, de la mise en place des structures internes d'Europol, y compris des centres d'expertise spécialisée de l'Union visés à l'article 4, paragraphe 1, point l), sur proposition du directeur exécutif;

t) adopte son règlement intérieur, y compris des dispositions concernant les missions et le fonctionnement de son secrétariat;

u) adopte, le cas échéant, d'autres règles internes.

2. Si le conseil d'administration le considère nécessaire pour l'accomplissement des missions d'Europol, il peut suggérer au Conseil d'attirer l'attention de la Commission sur la nécessité de disposer d'une décision d'adéquation visée à l'article 25, paragraphe 1, point a), ou d'une recommandation de décision autorisant l'ouverture de négociations en vue de la conclusion d'un accord international visé à l'article 25, paragraphe 1, point b).

3. Le conseil d'administration adopte, conformément à l'article 110 du statut, une décision fondée sur l'article 2, paragraphe 1, du statut et sur l'article 6 du régime applicable aux autres agents, déléguant au directeur exécutif les compétences correspondantes relevant de l'autorité investie du pouvoir de nomination et établissant les conditions dans lesquelles cette délégation de compétences peut être suspendue. Le directeur exécutif est autorisé à subdéléguer ces compétences.

Lorsque des circonstances exceptionnelles l'exigent, le conseil d'administration peut, par voie de décision, suspendre temporairement la délégation des compétences relevant de l'autorité investie du pouvoir de nomination au directeur exécutif et toute subdélégation de celles-ci, et les exercer lui-même ou les déléguer à un de ses membres ou à un membre du personnel autre que le directeur exécutif.

Article 12

Programmation pluriannuelle et programmes de travail annuels

1. Au plus tard le 30 novembre de chaque année, le conseil d'administration adopte un document contenant la programmation pluriannuelle et le programme de travail annuel d'Europol, sur la base d'un projet proposé par le directeur exécutif, en tenant compte de l'avis de la Commission et, en ce qui concerne la programmation pluriannuelle, après consultation du groupe de contrôle parlementaire conjoint. Il transmet ce document au Conseil, à la Commission et au groupe de contrôle parlementaire conjoint.

2. La programmation pluriannuelle expose la programmation stratégique globale, y compris les objectifs, les résultats attendus et les indicateurs de performance. Elle contient également la planification des ressources, y compris le budget pluriannuel et les effectifs. Elle comprend la stratégie pour les relations avec les pays tiers et les organisations internationales.

La programmation pluriannuelle est mise en œuvre au moyen de programmes de travail annuels et, s'il y a lieu, est mise à jour au vu des résultats des évaluations externes et internes. La conclusion de ces évaluations est également prise en compte, au besoin, dans le programme de travail annuel pour l'année suivante.

3. Le programme de travail annuel expose les objectifs détaillés, les résultats escomptés et les indicateurs de performance. Il contient, en outre, une description des actions à financer et une indication des ressources financières et humaines allouées à chaque action, conformément aux principes d'établissement du budget par activités et de la gestion fondée sur les activités. Le programme de travail annuel est cohérent par rapport à la programmation pluriannuelle. Il indique clairement les tâches qui ont été ajoutées, modifiées ou supprimées par rapport à l'exercice précédent.

4. Lorsque, après l'adoption du programme de travail annuel, une nouvelle mission est confiée à Europol, le conseil d'administration modifie le programme de travail annuel.

5. Toute modification substantielle du programme de travail annuel est soumise à une procédure d'adoption identique à celle applicable à l'adoption du programme de travail annuel initial. Le conseil d'administration peut déléguer au directeur exécutif le pouvoir d'apporter des modifications non substantielles au programme de travail annuel.

Article 13

Président et vice-président du conseil d'administration

1. Le conseil d'administration élit un président et un vice-président au sein du groupe des trois États membres qui ont élaboré conjointement le programme de dix-huit mois du Conseil. Ils exercent leur mandat pendant la période de dix-huit mois correspondant audit programme du Conseil. Toutefois, si le président ou le vice-président perd sa qualité de membre du conseil d'administration à un moment quelconque de son mandat de président ou de vice-président, ce mandat expire automatiquement à la même date.

2. Le président et le vice-président sont élus à la majorité des deux tiers des membres du conseil d'administration.

3. Le vice-président remplace d'office le président si celui-ci n'est pas en mesure d'assumer ses fonctions.

Article 14

Réunions du conseil d'administration

1. Le président convoque le conseil d'administration.

2. Le directeur exécutif participe aux délibérations du conseil d'administration.

3. Le conseil d'administration se réunit au moins deux fois par an en session ordinaire. En outre, il se réunit à l'initiative de son président, ou à la demande de la Commission ou d'au moins un tiers de ses membres.

4. Le conseil d'administration peut inviter toute personne dont l'avis peut être pertinent aux fins des débats, y compris, le cas échéant, un représentant du groupe de contrôle parlementaire conjoint, à participer aux réunions en tant qu'observateur sans droit de vote.

5. Les membres titulaires et les membres suppléants du conseil d'administration peuvent, sous réserve du règlement intérieur, être assistés aux réunions par des conseillers ou des experts.

6. Europol assure le secrétariat du conseil d'administration.

Article 15

Procédure de vote du conseil d'administration

1. Sans préjudice de l'article 11, paragraphe 1, points a) et b), de l'article 13, paragraphe 2, de l'article 50, paragraphe 2, de l'article 54, paragraphe 8, et de l'article 64, le conseil d'administration prend ses décisions à la majorité de ses membres.

2. Chaque membre dispose d'une voix. En l'absence d'un membre disposant du droit de vote, son suppléant peut exercer son droit de vote.

3. Le directeur exécutif ne participe pas au vote.

4. Le règlement intérieur du conseil d'administration fixe les modalités détaillées du vote, notamment les conditions dans lesquelles un membre peut agir au nom d'un autre membre, ainsi que les exigences en matière de quorum, le cas échéant.

SECTION 2

Directeur exécutif

Article 16

Responsabilités du directeur exécutif

1. Le directeur exécutif assure la gestion d'Europol. Il rend compte de sa gestion au conseil d'administration.

2. Sans préjudice des compétences de la Commission ou du conseil d'administration, le directeur exécutif est indépendant dans l'exercice de ses fonctions et ne sollicite ni n'accepte aucune instruction d'aucune administration ni d'aucun autre organe.

3. Le Conseil peut inviter le directeur exécutif à faire rapport sur l'exécution de ses fonctions.

4. Le directeur exécutif est le représentant légal d'Europol.

5. Le directeur exécutif est chargé de la mise en œuvre des missions confiées à Europol par le présent règlement, notamment:

a) l'administration courante d'Europol;

b) la présentation au conseil d'administration de propositions relatives à la mise en place des structures internes d'Europol;

c) la mise en œuvre des décisions adoptées par le conseil d'administration;

d) l'élaboration du projet de programmation pluriannuelle et des programmes de travail annuels et leur présentation au conseil d'administration après consultation de la Commission;

e) la mise en œuvre de la programmation pluriannuelle et des programmes de travail annuels et l'établissement d'un rapport destiné au conseil d'administration sur leur mise en œuvre;

f) l'élaboration d'un projet de règles d'exécution visant à donner effet au statut et au régime applicable aux autres agents, conformément à l'article 110 du statut;

g) l'élaboration du projet de rapport annuel consolidé sur les activités d'Europol et sa présentation pour adoption au conseil d'administration;

h) l'élaboration d'un plan d'action donnant suite aux conclusions des rapports d'audit et des évaluations internes ou externes, ainsi qu'aux rapports d'enquête et aux recommandations résultant des enquêtes de l'OLAF et du CEPD, et la présentation de rapports semestriels à la Commission et de rapports réguliers au conseil d'administration sur les progrès accomplis;

i) la protection des intérêts financiers de l'Union par l'application de mesures préventives contre la fraude, la corruption et toute autre activité illégale et, sans préjudice des pouvoirs d'enquête de l'OLAF, par des contrôles efficaces et, si des irrégularités sont constatées, par le recouvrement des montants indûment versés et, le cas échéant, par des sanctions administratives et financières effectives, proportionnées et dissuasives;

j) l'élaboration d'un projet de stratégie antifraude interne pour Europol et sa présentation pour adoption au conseil d'administration;

k) l'élaboration d'un projet de règles internes de prévention et de gestion des conflits d'intérêts à l'égard des membres du conseil d'administration et sa présentation pour adoption au conseil d'administration;

l) l'élaboration du projet de règles financières applicable à Europol;

m) l'établissement du projet d'état prévisionnel des recettes et dépenses d'Europol et l'exécution de son budget;

n) l'assistance au président du conseil d'administration en ce qui concerne la préparation des réunions du conseil d'administration;

o) l'information régulière du conseil d'administration sur la mise en œuvre des priorités stratégiques et opérationnelles de l'Union en matière de lutte contre la criminalité;

p) l'exécution d'autres missions en vertu du présent règlement.

CHAPITRE IV

TRAITEMENT DE L'INFORMATION

Article 17

Sources d'information

1. Europol ne traite que les informations qui lui ont été fournies:

a) par les États membres, conformément à leur droit national et à l'article 7;

b) par les organes de l'Union, les pays tiers et les organisations internationales, conformément au chapitre V;

c) par les parties privées et les particuliers, conformément au chapitre V.

2. Europol peut directement extraire et traiter des informations, y compris des données à caractère personnel, provenant de sources accessibles au public, y compris l'internet et les données publiques.

3. Dans la mesure où Europol est en droit, en vertu d'instruments juridiques de l'Union, internationaux ou nationaux, d'interroger par voie automatisée des systèmes d'information de l'Union, internationaux ou nationaux, elle peut extraire et traiter de cette façon des informations, y compris des données à caractère personnel, si cela est nécessaire pour lui permettre d'accomplir ses missions. Les dispositions applicables de ces instruments juridiques de l'Union, internationaux ou nationaux régissent l'accès à ces informations et leur utilisation par Europol, dans la mesure où elles prévoient des règles d'accès et d'utilisation plus strictes que celles prévues par le présent règlement. L'accès à ces systèmes d'information n'est accordé qu'aux membres du personnel dûment habilités d'Europol et seulement dans la mesure où cela est nécessaire et proportionné à l'exécution de leurs missions.

Article 18

Finalités des activités de traitement d'informations

1. Dans la mesure nécessaire pour atteindre ses objectifs tels qu'énoncés à l'article 3, Europol peut traiter des informations, y compris des données à caractère personnel.

2. Les données à caractère personnel ne peuvent être traitées que pour les finalités ci-après:

a) recoupements visant à établir des liens ou d'autres rapports pertinents entre des informations relatives: i) aux personnes qui sont soupçonnées d'avoir commis une infraction pénale ou d'avoir participé à une infraction pénale relevant de la compétence d'Europol, ou qui ont été condamnées pour une telle infraction; ii) aux personnes pour lesquelles il existe des indices concrets ou de bonnes raisons de croire qu'elles commettront des infractions pénales relevant de la compétence d'Europol;

b) analyses de nature stratégique ou thématique;

c) analyses opérationnelles;

d) facilitation de l'échange d'informations entre les États membres, Europol, d'autres organes de l'Union, des pays tiers et des organisations internationales.

3. Le traitement aux fins des analyses opérationnelles visées au paragraphe 2, point c), est effectué au moyen de projets d'analyse opérationnelle auxquels s'appliquent les garanties spécifiques suivantes:

a) pour chaque projet d'analyse opérationnelle, le directeur exécutif définit la finalité spécifique, les catégories de données à caractère personnel et les catégories de personnes concernées, les participants, la durée de conservation et les conditions d'accès, de transfert et d'utilisation des données concernées et en informe le conseil d'administration et le CEPD;

b) les données à caractère personnel ne peuvent être collectées et traitées qu'aux fins du projet d'analyse opérationnelle spécifié. Lorsqu'il apparaît que les données à caractère personnel peuvent être utiles pour un autre projet d'analyse opérationnelle, un traitement ultérieur de ces données n'est autorisé que dans la mesure où il est nécessaire et proportionné et où les données à caractère personnel sont compatibles avec les dispositions prévues au point a) qui s'appliquent à l'autre projet d'analyse;

c) seul le personnel habilité peut avoir accès aux données du projet concerné et les traiter.

4. Le traitement visé aux paragraphes 2 et 3 est effectué dans le respect des garanties relatives à la protection des données prévues dans le présent règlement. Europol documente ces opérations de traitement comme il se doit. Cette documentation est, sur demande, mise à la disposition du délégué à la protection des données et du CEPD aux fins du contrôle de la licéité des opérations de traitement.

5. Les catégories de données à caractère personnel et les catégories de personnes concernées dont les données peuvent être collectées et traitées pour chacune des finalités visées au paragraphe 2 sont énumérées à l'annexe II.

6. Europol peut traiter temporairement des données afin de déterminer si, et, dans l'affirmative, pour quelle finalité visée au paragraphe 2, ces données sont pertinentes pour ses tâches. Le conseil d'administration, sur proposition du directeur exécutif et après consultation du CEPD, précise davantage les conditions relatives au traitement de ces données, notamment en ce qui concerne l'accès aux données et leur utilisation, ainsi que les délais de conservation et d'effacement des données, qui ne peuvent dépasser six mois, dans le strict respect des principes visés à l'article 28.

7. Le conseil d'administration, après consultation du CEPD, adopte, le cas échéant, des lignes directrices précisant davantage les procédures de traitement des informations aux fins énumérées au paragraphe 2, conformément à l'article 11, paragraphe 1, point q).

Article 19

Détermination des finalités du traitement d'informations par Europol et des limitations en la matière

1. Tout État membre, organe de l'Union, pays tiers ou organisation internationale qui fournit des informations à Europol définit la ou les finalités du traitement de ces données conformément à l'article 18. À défaut, Europol, en accord avec le fournisseur des informations concerné, traite ces informations en vue de déterminer leur pertinence ainsi que la ou les finalités de leur traitement ultérieur. Europol ne peut traiter ces informations à des fins autres que celles pour lesquelles elles ont été fournies que si le fournisseur des informations l'y autorise.

2. Les États membres, les organes de l'Union, les pays tiers et les organisations internationales peuvent notifier, lors de la fourniture des informations à Europol, toute limitation de l'accès à ces données ou de leur utilisation, en termes généraux ou spécifiques, y compris en ce qui concerne leur transfert, effacement ou destruction. Lorsque la nécessité d'appliquer ces limitations apparaît après la fourniture des informations, ils en informent Europol. Europol se conforme à ces limitations.

3. Dans des cas dûment justifiés, Europol peut soumettre les informations extraites auprès de sources accessibles au public à des limitations d'accès ou d'utilisation par les États membres, les organes de l'Union, les pays tiers et les organisations internationales.

Article 20

Accès des États membres et du personnel d'Europol aux informations conservées par Europol

1. Les États membres ont, conformément à leur droit national et à l'article 7, paragraphe 5, accès à toutes les informations fournies aux fins de l'article 18, paragraphe 2, points a) et b), et peuvent effectuer des recherches dans ces données. Cela s'entend sans préjudice du droit des États membres, des organes de l'Union, des pays tiers et des organisations internationales de notifier toute limitation conformément à l'article 19, paragraphe 2.

2. Les États membres disposent, conformément à leur droit national et à l'article 7, paragraphe 5, d'un accès indirect fondé sur un système de concordance/non-concordance («hit/no hit») aux informations fournies aux fins de l'article 18, paragraphe 2, point c). Cela s'entend sans préjudice de toute limitation notifiée par les États membres, les organes de l'Union, les pays tiers et les organisations internationales ayant fourni ces informations, conformément à l'article 19, paragraphe 2.

En cas de concordance, Europol engage la procédure permettant de partager l'information qui a généré cette concordance, conformément à la décision du fournisseur de l'information à Europol.

3. Conformément au droit national, les informations visées aux paragraphes 1 et 2 ne sont accessibles et ne font l'objet d'un traitement ultérieur par les États membres qu'aux fins de la prévention et de la répression:

a) des formes de criminalité qui relèvent de la compétence d'Europol; et

b) d'autres formes graves de criminalité énoncées dans la décision-cadre 2002/584/JAI du Conseil (22).

4. Les membres du personnel d'Europol dûment habilités par le directeur exécutif ont accès aux informations traitées par Europol dans la mesure nécessaire à l'exécution de leurs fonctions et sans préjudice de l'article 67.

Article 21

Accès d'Eurojust et de l'OLAF aux informations conservées par Europol

1. Europol prend toutes les mesures appropriées pour permettre à Eurojust et à l'OLAF, dans le cadre de leurs mandats respectifs, de disposer d'un accès indirect fondé sur un système de concordance/non-concordance («hit/no hit») aux informations fournies aux fins de l'article 18, paragraphe 2, points a), b) et c), sans préjudice de toute limitation notifiée par les États membres, les organes de l'Union, les pays tiers ou les organisations internationales ayant fourni les informations concernées, conformément à l'article 19, paragraphe 2.

En cas de concordance, Europol engage la procédure permettant de partager l'information qui a généré cette concordance, conformément à la décision du fournisseur de l'information à Europol et uniquement dans la mesure où les données générant la concordance sont nécessaires à l'accomplissement des missions d'Eurojust ou de l'OLAF.

2. Europol et Eurojust peuvent conclure un arrangement de travail leur assurant de manière réciproque et dans le cadre de leurs mandats respectifs, l'accès à toutes les informations fournies aux fins de l'article 18, paragraphe 2, point a), et la possibilité d'effectuer des recherches sur ces informations. Cela est sans préjudice du droit des États membres, des organes de l'Union, des pays tiers et des organisations internationales de notifier toute limitation de l'accès à ces données ou de leur utilisation et conformément aux garanties en matière de protection des données prévues dans le présent règlement.

3. Les recherches d'information relevant des paragraphes 1 et 2 ne sont effectuées qu'aux fins de déterminer si des informations disponibles auprès d'Eurojust ou de l'OLAF correspondent aux informations traitées au sein d'Europol.

4. Europol n'autorise la réalisation de recherches conformément aux paragraphes 1 et 2 qu'après avoir obtenu, de la part d'Eurojust, des informations sur les membres nationaux, les suppléants, les assistants et les membres du personnel d'Eurojust et, de la part de l'OLAF, des informations quant aux membres de son personnel qui ont été habilités à effectuer ces recherches.

5. Si, au cours de ses activités de traitement d'informations dans le cadre d'une enquête déterminée, Europol ou un État membre constate la nécessité d'une coordination, d'une coopération ou d'un appui conformément au mandat d'Eurojust ou de l'OLAF, Europol en informe ces derniers et engage la procédure de partage des informations, conformément à la décision de l'État membre ayant fourni les informations. Dans ce cas, Eurojust ou l'OLAF consultent Europol.

6. Eurojust, y compris son collège, ses membres nationaux, leurs suppléants, les assistants et les membres de son personnel, ainsi que l'OLAF respectent toute limitation de l'accès ou de l'utilisation, formulée en termes généraux ou spécifiques, notifiée par un État membre, un organe de l'Union, un pays tiers ou une organisation internationale, conformément à l'article 19, paragraphe 2.

7. Europol, Eurojust et l'OLAF s'informent mutuellement si, après consultation de leurs données réciproques conformément au paragraphe 2 ou à la suite d'une concordance conformément au paragraphe 1, il existe des indications selon lesquelles certaines données pourraient être erronées ou contredire d'autres données.

Article 22

Obligation d'informer les États membres

1. Conformément à l'article 4, paragraphe 1, point b), Europol communique sans retard à un État membre toute information le concernant. Si ces informations sont soumises à des limitations d'accès en application de l'article 19, paragraphe 2, qui en empêcheraient le partage, Europol consulte le fournisseur des informations qui a notifié la limitation d'accès afin d'obtenir l'autorisation de partager ces informations.

Dans un tel cas, les informations ne sont pas partagées sans autorisation explicite du fournisseur des informations.

2. Indépendamment de toute limitation d'accès, Europol communique à un État membre toute information le concernant si cela est absolument nécessaire aux fins de la prévention d'une menace imminente pour la vie des personnes.

Dans un tel cas, Europol informe simultanément le fournisseur des informations du partage de ces informations et justifie son analyse de la situation.

CHAPITRE V

RELATIONS AVEC LES PARTENAIRES

SECTION 1

Dispositions communes

Article 23

Dispositions communes

1. Dans la mesure où cela est nécessaire à l'accomplissement de ses missions, Europol peut établir et entretenir des relations de coopération avec des organes de l'Union conformément aux objectifs de ces derniers, avec des autorités de pays tiers, des organisations internationales et des parties privées.

2. Sous réserve de toute limitation en vertu de l'article 19, paragraphe 2, et sans préjudice de l'article 67, Europol peut procéder à un échange direct de toute information, à l'exception des données à caractère personnel, avec les entités visées au paragraphe 1 du présent article, dans la mesure où un tel échange est pertinent pour l'accomplissement de ses missions.

3. Le directeur exécutif informe le conseil d'administration de toutes les relations de coopération régulière qu'Europol a l'intention d'établir et de maintenir conformément aux paragraphes 1 et 2 ainsi que de leur évolution une fois qu'elles ont été établies.

4. Aux fins mentionnées aux paragraphes 1 et 2, Europol peut conclure des arrangements de travail avec des entités visées au paragraphe 1. De tels arrangements n'autorisent pas l'échange de données à caractère personnel et ne lient ni l'Union ni ses États membres.

5. Europol peut recevoir et traiter des données à caractère personnel d'entités mentionnées au paragraphe 1 dans la mesure où cela est nécessaire et proportionné pour l'accomplissement légitime de ses missions et sous réserve des dispositions du présent chapitre.

6. Sans préjudice de l'article 30, paragraphe 5, les données à caractère personnel ne sont transférées par Europol à des organes de l'Union, vers des pays tiers et à des organisations internationales que si cela est nécessaire pour prévenir et lutter contre les formes de criminalité relevant des objectifs d'Europol et conformément au présent règlement, et si le destinataire s'engage à ce que les données ne soient traitées qu'aux fins pour lesquelles elles ont été transférées. Si les données à transférer ont été fournies par un État membre, Europol demande le consentement de ce dernier, sauf si l'État membre a donné son accord préalable à ce transfert, en termes généraux ou sous réserve de conditions spécifiques. Cet accord est révocable à tout moment.

7. Les transferts ultérieurs de données à caractère personnel détenues par Europol, les États membres, les organes de l'Union, les pays tiers et les organisations internationales sont interdits, à moins qu'Europol ne les ait explicitement autorisés au préalable.

8. Europol veille à ce qu'un relevé détaillé de tous les transferts de données à caractère personnel ainsi que des motifs de ces transferts soit conservé, conformément au présent règlement.

9. Toute information manifestement obtenue en violation manifeste des droits de l'homme ne peut faire l'objet d'aucun traitement.

SECTION 2

Transferts et échanges de données à caractère personnel

Article 24

Transfert de données à caractère personnel vers des organes de l'Union

Sous réserve de toute limitation éventuelle en vertu de l'article 19, paragraphe 2 ou 3, et sans préjudice de l'article 67, Europol peut directement transférer des données à caractère personnel à un organe de l'Union, dans la mesure où cela est nécessaire à l'accomplissement de ses missions ou de celles de l'organe de l'Union destinataire.

Article 25

Transfert de données à caractère personnel vers des pays tiers et à des organisations internationales

1. Sous réserve de toute limitation éventuelle en vertu de l'article 19, paragraphe 2 ou 3, et sans préjudice de l'article 67, Europol peut transférer des données à caractère personnel à une autorité d'un pays tiers ou à une organisation internationale, dans la mesure nécessaire à l'accomplissement de ses missions, sur l'un des fondements suivants:

a) une décision de la Commission adoptée conformément à l'article 36 de la direc