CELEX ID: 32016R0794

--- ENGLISH ---

Document:
24.5.2016
EN
Official Journal of the European Union
L 135/53
REGULATION (EU) 2016/794 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL
of 11 May 2016
on the European Union Agency for Law Enforcement Cooperation (Europol) and replacing and repealing Council Decisions 2009/371/JHA, 2009/934/JHA, 2009/935/JHA, 2009/936/JHA and 2009/968/JHA
THE EUROPEAN PARLIAMENT AND THE COUNCIL OF THE EUROPEAN UNION,
Having regard to the Treaty on the Functioning of the European Union, and in particular Article 88 thereof,
Having regard to the proposal from the European Commission,
After transmission of the draft legislative act to the national parliaments,
Acting in accordance with the ordinary legislative procedure 
(
1
)
,
Whereas:
(1)
Europol was set up by Council Decision 2009/371/JHA 
(
2
)
 as an entity of the Union funded from the general budget of the Union to support and strengthen action by competent authorities of the Member States and their mutual cooperation in preventing and combating organised crime, terrorism and other forms of serious crime affecting two or more Member States. Decision 2009/371/JHA replaced the Convention based on Article K.3 of the Treaty on European Union, on the establishment of a European Police Office (Europol Convention) 
(
3
)
.
(2)
Article 88 of the Treaty on the Functioning of the European Union (TFEU) provides for Europol to be governed by a regulation to be adopted in accordance with the ordinary legislative procedure. It also requires the establishment of procedures for the scrutiny of Europol's activities by the European Parliament, together with national parliaments, subject to point (c) of Article 12 of the Treaty on European Union (TEU) and Article 9 of Protocol No 1 on the role of National Parliaments in the European Union, annexed to the TEU and to the TFEU (‘Protocol No 1’), in order to enhance the democratic legitimacy and accountability of Europol to the Union's citizens. Therefore, Decision 2009/371/JHA should be replaced by a regulation laying down, inter alia, rules on parliamentary scrutiny.
(3)
The ‘Stockholm programme — An open and secure Europe serving and protecting citizens’ 
(
4
)
 calls for Europol to evolve and become a hub for information exchange between the law enforcement authorities of the Member States, a service provider and a platform for law enforcement services. On the basis of an assessment of Europol's functioning, further enhancement of its operational effectiveness is needed to meet that objective.
(4)
Large-scale criminal and terrorist networks pose a significant threat to the internal security of the Union and to the safety and livelihood of its citizens. Available threat assessments show that criminal groups are becoming increasingly poly-criminal and cross-border in their activities. National law enforcement authorities therefore need to cooperate more closely with their counterparts in other Member States. In this context, it is necessary to equip Europol to better support Member States in Union-wide crime prevention, analyses and investigations. This was also confirmed in the evaluation of Decision 2009/371/JHA.
(5)
This Regulation aims to amend and expand the provisions of Decision 2009/371/JHA and of Council Decisions 2009/934/JHA 
(
5
)
, 2009/935/JHA 
(
6
)
, 2009/936/JHA 
(
7
)
 and 2009/968/JHA 
(
8
)
 implementing Decision 2009/371/JHA. Since the amendments to be made are of a substantial number and nature, those Decisions should, in the interests of clarity, be replaced in their entirety in relation to the Member States bound by this Regulation. Europol as established by this Regulation should replace and assume the functions of Europol as established by Decision 2009/371/JHA, which, as a consequence, should be repealed.
(6)
As serious crime often occurs across internal borders, Europol should support and strengthen Member States' actions and their cooperation in preventing and combating serious crime affecting two or more Member States. Given that terrorism is one of the most significant threats to the security of the Union, Europol should assist Member States in facing common challenges in this regard. As the Union law enforcement agency, Europol should also support and strengthen actions and cooperation in tackling forms of crime that affect the interests of the Union. Among the forms of crime with which Europol is competent to deal, organised crime will continue to fall within the scope of Europol's main objectives, as, given its scale, significance and consequences, it also calls for a common approach by the Member States. Europol should also offer support in preventing and combating related criminal offences which are committed in order to procure the means of perpetrating acts in respect of which Europol is competent or to facilitate or perpetrate such acts or to ensure the impunity of committing them.
(7)
Europol should provide strategic analyses and threat assessments to assist the Council and the Commission in laying down strategic and operational priorities of the Union for fighting crime and in the operational implementation of those priorities. Where the Commission so requests in accordance with Article 8 of Council Regulation (EU) No 1053/2013 
(
9
)
, Europol should also carry out risk analyses, including in respect of organised crime, insofar as the risks concerned may undermine the application of the Schengen 
acquis
 by the Member States. Moreover, at the request of the Council or the Commission where appropriate, Europol should provide strategic analyses and threat assessments to contribute to the evaluation of states that are candidates for accession to the Union.
(8)
Attacks against information systems affecting Union bodies or two or more Member States are a growing menace in the Union, in particular in view of their speed and impact and the difficulty in identifying their sources. When considering requests by Europol to initiate an investigation into a serious attack of suspected criminal origin against information systems affecting Union bodies or two or more Member States, Member States should respond to Europol without delay, taking into account the fact that the rapidity of the response is a key factor in successfully tackling computer crime.
(9)
Given the importance of the inter-agency cooperation, Europol and Eurojust should ensure that necessary arrangements are established to optimise their operational cooperation, taking due account of their respective missions and mandates and of the interests of Member States. In particular, Europol and Eurojust should keep each other informed of any activity involving the financing of joint investigation teams.
(10)
When a joint investigation team is set up, the relevant agreement should determine the conditions relating to the participation of the Europol staff in the team. Europol should keep a record of its participation in such joint investigation teams targeting criminal activities falling within the scope of its objectives.
(11)
Europol should be able to request Member States to initiate, conduct or coordinate criminal investigations in specific cases where cross-border cooperation would add value. Europol should inform Eurojust of such requests.
(12)
Europol should be a hub for information exchange in the Union. Information collected, stored, processed, analysed and exchanged by Europol includes criminal intelligence which relates to information about crime or criminal activities falling within the scope of Europol's objectives, obtained with a view to establishing whether concrete criminal acts have been committed or may be committed in the future.
(13)
In order to ensure Europol's effectiveness as a hub for information exchange, clear obligations should be laid down requiring Member States to provide Europol with the data necessary for it to fulfil its objectives. While implementing such obligations, Member States should pay particular attention to providing data relevant to the fight against crimes considered to be strategic and operational priorities within relevant policy instruments of the Union, in particular the priorities set by the Council in the framework of the EU Policy Cycle for organised and serious international crime. Member States should also endeavour to provide Europol with a copy of bilateral and multilateral exchanges of information with other Member States on crime falling within Europol's objectives. When supplying Europol with the necessary information, Member States should also include information about any alleged cyber attacks affecting Union bodies located in their territory. At the same time, Europol should increase the level of its support to Member States, so as to enhance mutual cooperation and the sharing of information. Europol should submit an annual report to the European Parliament, to the Council, to the Commission and to national parliaments on the information provided by the individual Member States.
(14)
To ensure effective cooperation between Europol and Member States, a national unit should be set up in each Member State (the ‘national unit’). The national unit should be the liaison link between national competent authorities and Europol, thereby having a coordinating role in respect of Member States' cooperation with Europol, and thus helping to ensure that each Member State responds to Europol requests in a uniform way. To ensure a continuous and effective exchange of information between Europol and the national units, and to facilitate their cooperation, each national unit should designate at least one liaison officer to be attached to Europol.
(15)
Taking into account the decentralised structure of some Member States and the need to ensure rapid exchanges of information, Europol should be allowed to cooperate directly with competent authorities in Member States, subject to the conditions defined by Member States, while keeping the national units informed at the latter's request.
(16)
The establishment of joint investigation teams should be encouraged and Europol staff should be able to participate in them. To ensure that such participation is possible in every Member State, Council Regulation (Euratom, ECSC, EEC) No 549/69 
(
10
)
 provides that Europol staff do not benefit from immunities while they are participating in joint investigation teams.
(17)
It is also necessary to improve the governance of Europol, by seeking efficiency gains and streamlining procedures.
(18)
The Commission and the Member States should be represented on the Management Board of Europol (the ‘Management Board’) to effectively supervise its work. The members and the alternate members of the Management Board should be appointed taking into account their relevant managerial, administrative and budgetary skills and knowledge of law enforcement cooperation. Alternate members should act as members in the absence of the member.
(19)
All parties represented on the Management Board should make efforts to limit the turnover of their representatives, with a view to ensuring the continuity of the Management Board's work. All parties should aim to achieve a balanced representation between men and women on the Management Board.
(20)
The Management Board should be able to invite non-voting observers whose opinion may be relevant for the discussion, including a representative designated by the Joint Parliamentary Scrutiny Group (JPSG).
(21)
The Management Board should be given the necessary powers, in particular to set the budget, verify its execution, and adopt the appropriate financial rules and planning documents, as well as adopt rules for the prevention and management of conflicts of interest in respect of its members, establish transparent working procedures for decision-making by the Executive Director of Europol, and adopt the annual activity report. It should exercise the powers of appointing authority vis-à-vis staff of the agency, including the Executive Director.
(22)
To ensure the efficient day-to-day functioning of Europol, the Executive Director should be its legal representative and manager, acting independently in the performance of his or her duties and ensuring that Europol carries out the tasks provided for by this Regulation. In particular, the Executive Director should be responsible for preparing budgetary and planning documents submitted for the decision of the Management Board and for implementing the multiannual programming and annual work programmes of Europol and other planning documents.
(23)
For the purposes of preventing and combating crime falling within the scope of its objectives, it is necessary for Europol to have the fullest and most up-to-date information possible. Therefore, Europol should be able to process data provided to it by Member States, Union bodies, third countries, international organisations and, under stringent conditions laid down by this Regulation, private parties, as well as data coming from publicly available sources, in order to develop an understanding of criminal phenomena and trends, to gather information about criminal networks, and to detect links between different criminal offences.
(24)
To improve Europol's effectiveness in providing accurate crime analyses to the competent authorities of the Member States, it should use new technologies to process data. Europol should be able to swiftly detect links between investigations and common modi operandi across different criminal groups, to check cross-matches of data and to have a clear overview of trends, while guaranteeing a high level of protection of personal data for individuals. Therefore, Europol databases should be structured in such a way as to allow Europol to choose the most efficient IT structure. Europol should also be able to act as a service provider, in particular by providing a secure network for the exchange of data, such as the secure information exchange network application (SIENA), aimed at facilitating the exchange of information between Member States, Europol, other Union bodies, third countries and international organisations. In order to ensure a high level of data protection, the purpose of processing operations and access rights as well as specific additional safeguards should be laid down. In particular, the principles of necessity and proportionality should be observed with regard to the processing of personal data.
(25)
Europol should ensure that all personal data processed for operational analyses are allocated a specific purpose. Nonetheless, in order for Europol to fulfil its mission, it should be allowed to process all personal data received to identify links between multiple crime areas and investigations, and should not be limited to identifying connections only within one crime area.
(26)
To respect the ownership of data and the protection of personal data, Member States, Union bodies, third countries and international organisations should be able to determine the purpose or purposes for which Europol may process the data they provide and to restrict access rights. Purpose limitation is a fundamental principle of personal data processing; in particular, it contributes to transparency, legal certainty and predictability and is particularly of high importance in the area of law enforcement cooperation, where data subjects are usually unaware when their personal data are being collected and processed and where the use of personal data may have a very significant impact on the lives and freedoms of individuals.
(27)
To ensure that data are accessed only by those needing access in order to perform their tasks, this Regulation should lay down detailed rules on different degrees of right of access to data processed by Europol. Such rules should be without prejudice to restrictions on access imposed by data providers, as the principle of ownership of data should be respected. In order to increase efficiency in the prevention and combating of crimes falling within the scope of Europol's objectives, Europol should notify Member States of information which concerns them.
(28)
To enhance operational cooperation between the agencies, and particularly to establish links between data already in the possession of the different agencies, Europol should enable Eurojust and the European Anti-Fraud Office (OLAF) to have access, on the basis of a hit/no hit system, to data available at Europol. Europol and Eurojust should be able to conclude a working arrangement ensuring, in a reciprocal manner within their respective mandates, access to, and the possibility of searching, all information that has been provided for the purpose of cross-checking in accordance with specific safeguards and data protection guarantees provided for in this Regulation. Any access to data available at Europol should, by technical means, be limited to information falling within the respective mandates of those Union bodies.
(29)
Europol should maintain cooperative relations with other Union bodies, authorities of third countries, international organisations and private parties, to the extent required for the accomplishment of its tasks.
(30)
To ensure operational effectiveness, Europol should be able to exchange all relevant information, with the exception of personal data, with other Union bodies, authorities of third countries and international organisations, to the extent necessary for the performance of its tasks. Since companies, firms, business associations, non-governmental organisations and other private parties hold expertise and information of direct relevance to the prevention and combating of serious crime and terrorism, Europol should also be able to exchange such information with private parties. To prevent and combat cybercrime, as related to network and information security incidents, Europol should, pursuant to the applicable legislative act of the Union laying down measures to ensure a high common level of network and information security across the Union, cooperate and exchange information, with the exception of personal data, with national authorities competent for the security of network and information systems.
(31)
Europol should be able to exchange relevant personal data with other Union bodies to the extent necessary for the accomplishment of its or their tasks.
(32)
Serious crime and terrorism often have links beyond the territory of the Union. Europol should therefore be able to exchange personal data with authorities of third countries and with international organisations such as the International Criminal Police Organisation — Interpol to the extent necessary for the accomplishment of its tasks.
(33)
All Member States are affiliated to Interpol. To fulfil its mission, Interpol receives, stores and circulates data to assist competent law enforcement authorities to prevent and combat international crime. Therefore, it is appropriate to strengthen cooperation between Europol and Interpol by promoting an efficient exchange of personal data whilst ensuring respect for fundamental rights and freedoms regarding the automatic processing of personal data. When personal data is transferred from Europol to Interpol, this Regulation, in particular the provisions on international transfers, should apply.
(34)
To guarantee purpose limitation, it is important to ensure that personal data can be transferred by Europol to Union bodies, third countries and international organisations only if necessary for preventing and combating crime that falls within Europol's objectives. To this end, it is necessary to ensure that, when personal data are transferred, the recipient gives an undertaking that the data will be used by the recipient or transferred onward to a competent authority of a third country solely for the purpose for which they were originally transferred. Further onward transfer of the data should take place in compliance with this Regulation.
(35)
Europol should be able to transfer personal data to an authority of a third country or an international organisation on the basis of a Commission decision finding that the country or international organisation in question ensures an adequate level of data protection (‘adequacy decision’), or, in the absence of an adequacy decision, an international agreement concluded by the Union pursuant to Article 218 TFEU, or a cooperation agreement allowing for the exchange of personal data concluded between Europol and the third country prior to the entry into force of this Regulation. In light of Article 9 of Protocol No 36 on transitional provisions, annexed to the TEU and to the TFEU, the legal effects of such agreements are to be preserved until those agreements are repealed, annulled or amended in the implementation of the Treaties. Where appropriate and in accordance with Regulation (EC) No 45/2001 of the European Parliament and of the Council 
(
11
)
, the Commission should be able to consult the European Data Protection Supervisor (EDPS) before and during the negotiation of an international agreement. Where the Management Board identifies an operational need for cooperation with a third country or an international organisation, it should be able to suggest to the Council that the latter draw the attention of the Commission to the need for an adequacy decision or for a recommendation for the opening of negotiations on an international agreement as referred to above.
(36)
Where a transfer of personal data cannot be based on an adequacy decision, an international agreement concluded by the Union or an existing cooperation agreement, the Management Board, in agreement with the EDPS, should be allowed to authorise a set of transfers, where specific conditions so require and provided that adequate safeguards are ensured. The Executive Director should be allowed to authorise the transfer of data in exceptional cases on a case-by-case basis, where such transfer is required, under specific strict conditions.
(37)
Europol should be able to process personal data originating from private parties and private persons only if those data are transferred to Europol by one of the following: a national unit in accordance with its national law; a contact point in a third country or an international organisation with which there is established cooperation through a cooperation agreement allowing for the exchange of personal data concluded in accordance with Article 23 of Decision 2009/371/JHA prior to the entry into force of this Regulation; an authority of a third country or an international organisation which is subject to an adequacy decision or with which the Union has concluded an international agreement pursuant to Article 218 TFEU. However, in cases where Europol receives personal data directly from private parties and the national unit, contact point or authority concerned cannot be identified, Europol should be able to process those personal data solely for the purpose of identifying those entities, and such data should be deleted unless those entities resubmit those personal data within four months after the transfer takes place. Europol should ensure by technical means that, during that period, such data would not be accessible for processing for any other purpose.
(38)
Taking into account the exceptional and specific threat posed to the internal security of the Union by terrorism and other forms of serious crime, especially when facilitated, promoted or committed using the internet, the activities that Europol should undertake on the basis of this Regulation, stemming from its implementation of the Council Conclusions of 12 March 2015 and the call by the European Council of 23 April 2015 in relation especially to those priority areas, in particular the corresponding practice of direct exchanges of personal data with private parties, should be evaluated by the Commission by 1 May 2019.
(39)
Any information which has clearly been obtained in obvious violation of human rights should not be processed.
(40)
Data protection rules at Europol should be strengthened and should draw on the principles underpinning Regulation (EC) No 45/2001 to ensure a high level of protection of individuals with regard to the processing of personal data. As Declaration No 21 on the protection of personal data in the fields of judicial cooperation in criminal matters and police cooperation, attached to the TEU and the TFEU, recognises the specificity of personal data processing in the law enforcement context, the data protection rules of Europol should be autonomous while at the same time consistent with other relevant data protection instruments applicable in the area of police cooperation in the Union. Those instruments include, in particular, Directive (EU) 2016/680 of the European Parliament and of the Council 
(
12
)
, as well as the Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data of the Council of Europe and its Recommendation No R(87) 15 
(
13
)
.
(41)
Any processing of personal data by Europol should be lawful and fair in relation to the data subjects concerned. The principle of fair processing requires transparency of processing allowing data subjects concerned to exercise their rights under this Regulation. It should be possible nevertheless to refuse or restrict access to their personal data if, with due regard to the interests of the data subjects concerned, such refusal or restriction constitutes a necessary measure to enable Europol to fulfil its tasks properly, to protect security and public order or to prevent crime, to guarantee that a national investigation will not be jeopardised or to protect the rights and freedoms of third parties. To enhance transparency, Europol should make publicly available a document setting out in an intelligible form the applicable provisions regarding the processing of personal data and the means available to data subjects to exercise their rights. Europol should also publish on its website a list of adequacy decisions, agreements and administrative arrangements relating to the transfer of personal data to third countries and international organisations. Moreover, in order to increase Europol's transparency vis-à-vis Union citizens and its accountability, Europol should publish on its website a list of its Management Board members and, where appropriate, the summaries of the outcome of the meetings of the Management Board, while respecting data protection requirements.
(42)
As far as possible, personal data should be distinguished according to their degree of accuracy and reliability. Facts should be distinguished from personal assessments, in order to ensure both the protection of individuals and the quality and reliability of the information processed by Europol. In the case of information obtained from publicly available sources, particularly sources on the internet, Europol should as far as possible assess the accuracy of such information and the reliability of its source with particular diligence in order to address the risks associated with the internet as regards the protection of personal data and privacy.
(43)
Personal data relating to different categories of data subjects are processed in the area of law enforcement cooperation. Europol should make distinctions between personal data in respect of different categories of data subjects as clear as possible. Personal data concerning persons such as victims, witnesses and persons possessing relevant information, as well as personal data concerning minors, should in particular be protected. Europol should only process sensitive data if those data supplement other personal data already processed by Europol.
(44)
In the light of the fundamental right to the protection of personal data, Europol should not store personal data for longer than is necessary for the performance of its tasks. The need for continued storage of such data should be reviewed no later than three years after the start of its initial processing.
(45)
To guarantee the security of personal data, Europol and Member States should implement necessary technical and organisational measures.
(46)
Any data subject should have a right of access to personal data concerning him or her, a right to rectification if those data are inaccurate, and a right to erasure or restriction if those data are no longer required. The costs related to exercising the right of access to personal data should not represent a barrier to effectively exercising that right. The rights of the data subject and the exercise thereof should not affect the obligations incumbent upon Europol and should be subject to the restrictions laid down in this Regulation.
(47)
The protection of the rights and freedoms of data subjects requires a clear attribution of the responsibilities under this Regulation. In particular, Member States should be responsible for the accuracy of data, for keeping up to date the data they have transferred to Europol and for the legality of such data transfers. Europol should be responsible for the accuracy of data and for keeping up to date the data provided by other data suppliers or resulting from Europol's own analyses. Europol should ensure that data are processed fairly and lawfully, and are collected and processed for a specific purpose. Europol should also ensure that the data are adequate, relevant, not excessive in relation to the purpose for which they are processed, stored no longer than is necessary for that purpose, and processed in a manner that ensures appropriate security of personal data and confidentiality of data processing.
(48)
Europol should keep records of collection, alteration, access, disclosure, combination or erasure of personal data for the purposes of verifying the lawfulness of the data processing, self-monitoring and ensuring proper data integrity and security. Europol should be obliged to co-operate with the EDPS and to make logs or documentation available upon request, so that they can be used for monitoring processing operations.
(49)
Europol should designate a Data Protection Officer to assist it in monitoring compliance with this Regulation. The Data Protection Officer should be in a position to perform his or her duties and tasks independently and effectively, and should be provided with the necessary resources to do so.
(50)
Independent, transparent, accountable and effective structures for supervision are essential for the protection of individuals with regard to the processing of personal data as required by Article 8(3) of the Charter of Fundamental Rights of the European Union. National authorities competent for the supervision of the processing of personal data should monitor the lawfulness of personal data provided by Member States to Europol. The EDPS should monitor the lawfulness of data processing carried out by Europol, exercising his or her functions with complete independence. In this regard, the prior consultation mechanism is an important safeguard for new types of processing operations. This should not apply to specific individual operational activities, such as operational analysis projects, but to the use of new IT systems for the processing of personal data and any substantial changes thereto.
(51)
It is important to ensure strengthened and effective supervision of Europol and to guarantee that the EDPS can make use of appropriate law enforcement data protection expertise when he or she assumes responsibility for data protection supervision of Europol. The EDPS and national supervisory authorities should closely cooperate with each other on specific issues requiring national involvement and should ensure the consistent application of this Regulation throughout the Union.
(52)
In order to facilitate the cooperation between the EDPS and the national supervisory authorities, but without prejudice to the independence of the EDPS and his or her responsibility for data protection supervision of Europol, they should regularly meet within the Cooperation Board, which, as an advisory body, should deliver opinions, guidelines, recommendations and best practices on various issues requiring national involvement.
(53)
As Europol also processes non-operational personal data, unrelated to criminal investigations, such as personal data concerning staff of Europol, service providers or visitors, the processing of such data should be subject to Regulation (EC) No 45/2001.
(54)
The EDPS should hear and investigate complaints lodged by data subjects. The investigation following a complaint should be carried out, subject to judicial review, to the extent that is appropriate in the specific case. The national supervisory authority should inform the data subject of the progress and the outcome of the complaint within a reasonable period.
(55)
Any individual should have the right to a judicial remedy against a decision of the EDPS concerning him or her.
(56)
Europol should be subject to the general rules on contractual and non-contractual liability applicable to Union institutions, agencies and bodies, save as regards the rules on liability for unlawful data processing.
(57)
It may be unclear for the individual concerned whether damage suffered as a result of unlawful data processing is a consequence of action by Europol or by a Member State. Europol and the Member State in which the event that gave rise to the damage occurred should therefore be jointly and severally liable.
(58)
While respecting the role of the European Parliament together with national parliaments in the scrutiny of Europol's activities, it is necessary that Europol be a fully accountable and transparent internal organisation. To that end, in light of Article 88 TFEU, procedures should be established for the scrutiny of Europol's activities by the European Parliament together with national parliaments. Such procedures should be subject to point (c) of Article 12 TEU and to Article 9 of Protocol No 1, providing that the European Parliament and national parliaments are together to determine the organisation and promotion of effective and regular interparliamentary cooperation within the Union. The procedures to be established for the scrutiny of Europol's activities should take due account of the need to ensure that the European Parliament and the national parliaments stand on an equal footing, as well as the need to safeguard the confidentiality of operational information. However, the way in which national parliaments scrutinise their governments in relation to the activities of the Union is a matter for the particular constitutional organisation and practice of each Member State.
(59)
The Staff Regulations of Officials of the European Union (the ‘Staff Regulations’) and the Conditions of Employment of Other Servants of the European Union (the ‘Conditions of Employment of Other Servants’) laid down in Council Regulation (EEC, Euratom, ECSC) No 259/68 
(
14
)
 should apply to Europol staff. Europol should be able to employ staff from the competent authorities of the Member States as temporary agents whose period of service should be limited in order to maintain the principle of rotation, as the subsequent reintegration of such staff members into the service of their competent authority facilitates close cooperation between Europol and the competent authorities of the Member States. Member States should take any measure necessary to ensure that staff engaged at Europol as temporary agents may, at the end of their term of service at Europol, return to the national civil service to which they belong.
(60)
Given the nature of the duties of Europol and the role of the Executive Director, the competent committee of the European Parliament should be able to invite the Executive Director to appear before it prior to his or her appointment, as well as prior to any extension of his or her term of office. The Executive Director should also present the annual report to the European Parliament and to the Council. Furthermore, the European Parliament and the Council should be able to invite the Executive Director to report on the performance of his or her duties.
(61)
To guarantee the full autonomy and independence of Europol, it should be granted an autonomous budget, with revenue coming essentially from a contribution from the general budget of the Union. The Union budgetary procedure should be applicable as far as the Union contribution and any other subsidies chargeable to the general budget of the Union are concerned. The auditing of accounts should be undertaken by the Court of Auditors.
(62)
Commission Delegated Regulation (EU) No 1271/2013 
(
15
)
 should apply to Europol.
(63)
Given their specific legal and administrative powers and their technical competences in conducting cross-border information-exchange activities, operations and investigations, including in joint investigation teams, and in providing facilities for training, the competent authorities of the Member States should be able to receive grants from Europol without a call for proposals in accordance with point (d) of Article 190(1) of Commission Delegated Regulation (EU) No 1268/2012 
(
16
)
.
(64)
Regulation (EU, Euratom) No 883/2013 of the European Parliament and of the Council 
(
17
)
 should apply to Europol.
(65)
Europol processes data that require particular protection as they include sensitive non-classified and EU classified information. Europol should therefore draw up rules on the confidentiality and processing of such information. The rules on the protection of EU classified information should be consistent with Council Decision 2013/488/EU 
(
18
)
.
(66)
It is appropriate to evaluate the application of this Regulation regularly.
(67)
The necessary provisions regarding accommodation for Europol in The Hague, where it has its headquarters, and the specific rules applicable to all Europol's staff and members of their families should be laid down in a headquarters agreement. Furthermore, the host Member State should provide the necessary conditions for the smooth operation of Europol, including multilingual, European-oriented schooling and appropriate transport connections, so as to attract high-quality human resources from as wide a geographical area as possible.
(68)
Europol as established by this Regulation replaces and succeeds Europol as established by Decision 2009/371/JHA. It should therefore be the legal successor of all its contracts, including employment contracts, liabilities and properties acquired. International agreements concluded by Europol as established by Decision 2009/371/JHA and agreements concluded by Europol as established by the Europol Convention before 1 January 2010 should remain in force.
(69)
To enable Europol to continue to fulfil the tasks of Europol as established by Decision 2009/371/JHA to the best of its abilities, transitional measures should be laid down, in particular with regard to the Management Board, the Executive Director and staff employed under a contract of indefinite duration as a local staff member concluded by Europol as established by the Europol Convention, who should be offered the possibility of employment as a member of the temporary or contract staff under the Conditions of Employment of Other Servants.
(70)
The Council Act of 3 December 1998 
(
19
)
 on Europol staff regulations has been repealed by Article 63 of Decision 2009/371/JHA. However, it should continue to apply to staff employed by Europol before the entry into force of Decision 2009/371/JHA. Therefore, transitional provisions should provide that contracts concluded in accordance with those staff regulations are to remain governed by them.
(71)
Since the objective of this Regulation, namely the establishment of an entity responsible for law enforcement cooperation at Union level, cannot be sufficiently achieved by the Member States but can rather, by reason of the scale and effects of the action, be better achieved at Union level, the Union may adopt measures, in accordance with the principle of subsidiarity as set out in Article 5 TEU. In accordance with the principle of proportionality as set out in that Article, this Regulation does not go beyond what is necessary in order to achieve that objective.
(72)
In accordance with Article 3 and Article 4a(1) of Protocol No 21 on the position of the United Kingdom and Ireland in respect of the area of freedom, security and justice, annexed to the TEU and to the TFEU, Ireland has notified its wish to take part in the adoption and application of this Regulation.
(73)
In accordance with Articles 1 and 2 and Article 4a(1) of Protocol No 21 on the position of the United Kingdom and Ireland in respect of the area of freedom, security and justice, annexed to the TEU and the TFEU, and without prejudice to Article 4 of that Protocol, the United Kingdom is not taking part in the adoption of this Regulation and is not bound by it or subject to its application.
(74)
In accordance with Articles 1 and 2 of Protocol No 22 on the position of Denmark, annexed to the TEU and to the TFEU, Denmark is not taking part in the adoption of this Regulation and is not bound by it or subject to its application.
(75)
The EDPS has been consulted and issued an opinion on 31 May 2013.
(76)
This Regulation respects the fundamental rights and observes the principles recognised in particular by the Charter of Fundamental Rights of the European Union, in particular the right to the protection of personal data and the right to privacy as protected by Articles 8 and 7 of the Charter, as well as by Article 16 TFEU,
HAVE ADOPTED THIS REGULATION:
CHAPTER I
GENERAL PROVISIONS, OBJECTIVES AND TASKS OF EUROPOL
Article 1
Establishment of the European Union Agency for Law Enforcement Cooperation
1.   A European Union Agency for Law Enforcement Cooperation (Europol) is hereby established with a view to supporting cooperation among law enforcement authorities in the Union.
2.   Europol as established by this Regulation shall replace and succeed Europol as established by Decision 2009/371/JHA.
Article 2
Definitions
For the purposes of this Regulation:
(a)
‘the competent authorities of the Member States’ means all police authorities and other law enforcement services existing in the Member States which are responsible under national law for preventing and combating criminal offences. The competent authorities shall also comprise other public authorities existing in the Member States which are responsible under national law for preventing and combating criminal offences in respect of which Europol is competent;
(b)
‘strategic analysis’ means all methods and techniques by which information is collected, stored, processed and assessed with the aim of supporting and developing a criminal policy that contributes to the efficient and effective prevention of, and the fight against, crime;
(c)
‘operational analysis’ means all methods and techniques by which information is collected, stored, processed and assessed with the aim of supporting criminal investigations;
(d)
‘Union bodies’ means institutions, bodies, missions, offices and agencies set up by, or on the basis of, the TEU and the TFEU;
(e)
‘international organisation’ means an organisation and its subordinate bodies governed by public international law, or any other body which is set up by, or on the basis of, an agreement between two or more countries;
(f)
‘private parties’ means entities and bodies established under the law of a Member State or third country, in particular companies and firms, business associations, non-profit organisations and other legal persons that are not covered by point (e);
(g)
‘private persons’ means all natural persons;
(h)
‘personal data’ means any information relating to a data subject;
(i)
‘data subject’ means an identified or identifiable natural person, an identifiable person being a person who can be identified, directly or indirectly, in particular by reference to an identifier such as a name, an identification number, location data or an online identifier or to one or more factors specific to the physical, physiological, genetic, mental, economic, cultural or social identity of that person;
(j)
‘genetic data’ means all personal data relating to the genetic characteristics of an individual that have been inherited or acquired, which give unique information about the physiology or the health of that individual, resulting in particular from an analysis of a biological sample from the individual in question;
(k)
‘processing’ means any operation or set of operations which is performed upon personal data or sets of personal data, whether or not by automated means, such as collection, recording, organisation, structuring, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, restriction, erasure or destruction;
(l)
‘recipient’ means a natural or legal person, public authority, agency or any other body to which data are disclosed, whether a third party or not;
(m)
‘transfer of personal data’ means the communication of personal data, actively made available, between a limited number of identified parties, with the knowledge or intention of the sender to give the recipient access to the personal data;
(n)
‘personal data breach’ means a breach of security leading to the accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to, personal data transmitted, stored or otherwise processed;
(o)
‘the data subject's consent’ means any freely given, specific, informed and unambiguous indication of his or her wishes by which the data subject, either by a statement or by a clear affirmative action, signifies agreement to personal data relating to him or her being processed;
(p)
‘administrative personal data’ means all personal data processed by Europol apart from those that are processed to meet the objectives laid down in Article 3.
Article 3
Objectives
1.   Europol shall support and strengthen action by the competent authorities of the Member States and their mutual cooperation in preventing and combating serious crime affecting two or more Member States, terrorism and forms of crime which affect a common interest covered by a Union policy, as listed in Annex I.
2.   In addition to paragraph 1, Europol's objectives shall also cover related criminal offences. The following shall be considered to be related criminal offences:
(a)
criminal offences committed in order to procure the means of perpetrating acts in respect of which Europol is competent;
(b)
criminal offences committed in order to facilitate or perpetrate acts in respect of which Europol is competent;
(c)
criminal offences committed in order to ensure the impunity of those committing acts in respect of which Europol is competent.
Article 4
Tasks
1.   Europol shall perform the following tasks in order to achieve the objectives set out in Article 3:
(a)
collect, store, process, analyse and exchange information, including criminal intelligence;
(b)
notify the Member States, via the national units established or designated pursuant to Article 7(2), without delay of any information and connections between criminal offences concerning them;
(c)
coordinate, organise and implement investigative and operational actions to support and strengthen actions by the competent authorities of the Member States, that are carried out:
(i)
jointly with the competent authorities of the Member States; or
(ii)
in the context of joint investigation teams in accordance with Article 5 and, where appropriate, in liaison with Eurojust;
(d)
participate in joint investigation teams, as well as propose that they be set up in accordance with Article 5;
(e)
provide information and analytical support to Member States in connection with major international events;
(f)
prepare threat assessments, strategic and operational analyses and general situation reports;
(g)
develop, share and promote specialist knowledge of crime prevention methods, investigative procedures and technical and forensic methods, and provide advice to Member States;
(h)
support Member States' cross-border information exchange activities, operations and investigations, as well as joint investigation teams, including by providing operational, technical and financial support;
(i)
provide specialised training and assist Member States in organising training, including with the provision of financial support, within the scope of its objectives and in accordance with the staffing and budgetary resources at its disposal in coordination with the European Union Agency for Law Enforcement Training (CEPOL);
(j)
cooperate with the Union bodies established on the basis of Title V of the TFEU and with OLAF, in particular through exchanges of information and by providing them with analytical support in the areas that fall within their competence;
(k)
provide information and support to EU crisis management structures and missions established on the basis of the TEU, within the scope of Europol's objectives as set out in Article 3;
(l)
develop Union centres of specialised expertise for combating certain types of crime falling within the scope of Europol's objectives, in particular the European Cybercrime Centre;
(m)
support Member States' actions in preventing and combating forms of crime listed in Annex I which are facilitated, promoted or committed using the internet, including, in cooperation with Member States, the making of referrals of internet content, by which such forms of crime are facilitated, promoted or committed, to the online service providers concerned for their voluntary consideration of the compatibility of the referred internet content with their own terms and conditions.
2.   Europol shall provide strategic analyses and threat assessments to assist the Council and the Commission in laying down strategic and operational priorities of the Union for fighting crime. Europol shall also assist in the operational implementation of those priorities.
3.   Europol shall provide strategic analyses and threat assessments to assist the efficient and effective use of the resources available at national and Union level for operational activities and the support of those activities.
4.   Europol shall act as the Central Office for combating euro counterfeiting in accordance with Council Decision 2005/511/JHA 
(
20
)
. Europol shall also encourage the coordination of measures carried out to fight euro counterfeiting by the competent authorities of the Member States or in the context of joint investigation teams, where appropriate in liaison with Union bodies and the authorities of third countries.
5.   Europol shall not apply coercive measures in carrying out its tasks.
CHAPTER II
COOPERATION BETWEEN MEMBER STATES AND EUROPOL
Article 5
Participation in joint investigation teams
1.   Europol staff may participate in the activities of joint investigation teams dealing with crime falling within Europol's objectives. The agreement setting up a joint investigation team shall determine the conditions relating to the participation of the Europol staff in the team, and shall include information on the rules on liability.
2.   Europol staff may, within the limits of the laws of the Member States in which a joint investigation team is operating, assist in all activities and exchanges of information with all members of the joint investigation team.
3.   Europol staff participating in a joint investigation team may, in accordance with this Regulation, provide all members of the team with necessary information processed by Europol for the purposes set out in Article 18(2). Europol shall at the same time inform the national units of the Member States represented in the team, as well as those of the Member States which provided the information.
4.   Information obtained by Europol staff while part of the joint investigation team may, with the consent and under the responsibility of the Member State which provided the information, be processed by Europol for the purposes set out in Article 18(2), under the conditions laid down in this Regulation.
5.   Where Europol has reason to believe that setting up a joint investigation team would add value to an investigation, it may propose this to the Member States concerned and take measures to assist them in setting up the joint investigation team.
Article 6
Request by Europol for the initiation of a criminal investigation
1.   In specific cases where Europol considers that a criminal investigation should be initiated into a crime falling within the scope of its objectives, it shall request the competent authorities of the Member States concerned via the national units to initiate, conduct or coordinate such a criminal investigation.
2.   The national units shall inform Europol without delay of the decision of the competent authorities of the Member States concerning any request made pursuant to paragraph 1.
3.   If the competent authorities of a Member State decide not to accede to a request made by Europol pursuant to paragraph 1, they shall inform Europol of the reasons for their decision without undue delay, preferably within one month of receipt of the request. However, the reasons may be withheld if providing them would:
(a)
be contrary to the essential interests of the security of the Member State concerned; or
(b)
jeopardise the success of an ongoing investigation or the safety of an individual.
4.   Europol shall immediately inform Eurojust of any request made pursuant to paragraph 1 and of any decision of a competent authority of a Member State pursuant to paragraph 2.
Article 7
Europol national units
1.   The Member States and Europol shall cooperate with each other in the fulfilment of their respective tasks set out in this Regulation.
2.   Each Member State shall establish or designate a national unit, which shall be the liaison body between Europol and the competent authorities of that Member State. Each Member State shall appoint an official as the head of its national unit.
3.   Each Member State shall ensure that its national unit is competent under national law to fulfil the tasks assigned to national units in this Regulation, and in particular that it has access to national law enforcement data and other relevant data necessary for cooperation with Europol.
4.   Each Member State shall determine the organisation and the staff of its national unit in accordance with its national law.
5.   In accordance with paragraph 2, the national unit shall be the liaison body between Europol and the competent authorities of the Member States. However, subject to conditions determined by the Member States, including prior involvement of the national unit, the Member States may allow direct contacts between their competent authorities and Europol. The national unit shall at the same time receive from Europol any information exchanged in the course of direct contacts between Europol and the competent authorities, unless the national unit indicates that it does not need to receive such information.
6.   Each Member State shall, via its national unit or, subject to paragraph 5, a competent authority, in particular:
(a)
supply Europol with the information necessary for it to fulfil its objectives, including information relating to forms of crime the prevention or combating of which is considered a priority by the Union;
(b)
ensure effective communication and cooperation of all relevant competent authorities with Europol;
(c)
raise awareness of Europol's activities;
(d)
in accordance with point (a) of Article 38(5), ensure compliance with national law when supplying information to Europol.
7.   Without prejudice to the discharge by Member States of their responsibilities with regard to the maintenance of law and order and the safeguarding of internal security, Member States shall not in any particular case be obliged to supply information in accordance with point (a) of paragraph 6 that would:
(a)
be contrary to the essential interests of the security of the Member State concerned;
(b)
jeopardise the success of an ongoing investigation or the safety of an individual; or
(c)
disclose information relating to organisations or specific intelligence activities in the field of national security.
However, Member States shall supply information as soon as it ceases to fall within the scope of points (a), (b) or (c) of the first subparagraph.
8.   Member States shall ensure that their financial intelligence units established pursuant to Directive 2005/60/EC of the European Parliament and of the Council 
(
21
)
 are allowed to cooperate with Europol via their national unit regarding analyses, within the limits of their mandate and competence.
9.   The heads of the national units shall meet on a regular basis, in particular to discuss and resolve problems that occur in the context of their operational cooperation with Europol.
10.   The costs incurred by national units in communications with Europol shall be borne by the Member States and, with the exception of the costs of connection, shall not be charged to Europol.
11.   Europol shall draw up an annual report on the information provided by each Member State pursuant to point (a) of paragraph 6 on the basis of the quantitative and qualitative evaluation criteria defined by the Management Board. The annual report shall be sent to the European Parliament, the Council, the Commission and national parliaments.
Article 8
Liaison officers
1.   Each national unit shall designate at least one liaison officer to be attached to Europol. Except as otherwise laid down in this Regulation, the liaison officers shall be subject to the national law of the designating Member State.
2.   Liaison officers shall constitute the national liaison bureaux at Europol and shall be instructed by their national units to represent the interests of the latter within Europol in accordance with the national law of the designating Member State and the provisions applicable to the administration of Europol.
3.   Liaison officers shall assist in the exchange of information between Europol and their Member States.
4.   Liaison officers shall, in accordance with their national law, assist in the exchange of information between their Member States and the liaison officers of other Member States, third countries and international organisations. Europol's infrastructure may be used, in accordance with national law, for such bilateral exchanges also to cover crimes falling outside the scope of the objectives of Europol. All such exchanges of information shall be in accordance with applicable Union and national law.
5.   The Management Board shall determine the rights and obligations of liaison officers in relation to Europol. Liaison officers shall enjoy the privileges and immunities necessary for the performance of their tasks in accordance with Article 63(2).
6.   Europol shall ensure that liaison officers are fully informed of and associated with all of its activities, in so far as necessary for the performance of their tasks.
7.   Europol shall cover the costs of providing Member States with the necessary premises within the Europol building and adequate support for liaison officers to perform their duties. All other costs that arise in connection with the designation of liaison officers shall be borne by the designating Member State, including the costs of equipment for liaison officers, unless the European Parliament and the Council decide otherwise on the recommendation of the Management Board.
CHAPTER III
ORGANISATION OF EUROPOL
Article 9
Administrative and management structure of Europol
The administrative and management structure of Europol shall comprise:
(a)
a Management Board;
(b)
an Executive Director;
(c)
where appropriate, other advisory bodies established by the Management Board in accordance with point (s) of Article 11(1).
SECTION 1
Management Board
Article 10
Composition of the Management Board
1.   The Management Board shall be composed of one representative from each Member State and one representative of the Commission. Each representative shall have a voting right.
2.   The members of the Management Board shall be appointed taking into account their knowledge of law enforcement cooperation.
3.   Each member of the Management Board shall have an alternate member who shall be appointed taking into account the criterion set out in paragraph 2. The alternate member shall represent the member in his or her absence.
The principle of a balanced gender representation on the Management Board shall also be taken into account.
4.   Without prejudice to the right of the Member States and of the Commission to terminate the mandate of their respective member and alternate member, the membership of the Management Board shall be for a period of four years. That term shall be extendable.
Article 11
Functions of the Management Board
1.   The Management Board shall:
(a)
adopt each year, by a majority of two-thirds of its members and in accordance with Article 12, a document containing Europol's multiannual programming and its annual work programme for the following year;
(b)
adopt, by a majority of two-thirds of its members, the annual budget of Europol and exercise other functions in respect of Europol's budget pursuant to Chapter X;
(c)
adopt a consolidated annual activity report on Europol's activities and, by 1 July of the following year, send it to the European Parliament, the Council, the Commission, the Court of Auditors and the national parliaments. The consolidated annual activity report shall be made public;
(d)
adopt the financial rules applicable to Europol in accordance with Article 61;
(e)
adopt an internal anti-fraud strategy, proportionate to fraud risks, taking into account the costs and benefits of the measures to be implemented;
(f)
adopt rules for the prevention and management of conflicts of interest in respect of its members, including in relation to their declaration of interests;
(g)
in accordance with paragraph 2, exercise, with respect to the staff of Europol, the powers conferred by the Staff Regulations on the appointing authority and by the Conditions of Employment of Other Servants on the authority empowered to conclude a contract of employment of other servants (‘the appointing authority powers’);
(h)
adopt appropriate implementing rules giving effect to the Staff Regulations and the Conditions of Employment of Other Servants in accordance with Article 110 of the Staff Regulations;
(i)
adopt internal rules regarding the procedure for the selection of the Executive Director, including rules on the composition of the selection committee which ensure its independence and impartiality;
(j)
propose to the Council a shortlist of candidates for the posts of Executive Director and Deputy Executive Directors and, where relevant, propose to the Council that their terms of office be extended or that they be removed from office in accordance with Articles 54 and 55;
(k)
establish performance indicators and oversee the Executive Director's performance, including the implementation of Management Board decisions;
(l)
appoint a Data Protection Officer, who shall be functionally independent in the performance of his or her duties;
(m)
appoint an accounting officer, who shall be subject to the Staff Regulations and the Conditions of Employment of Other Servants and functionally independent in the performance of his or her duties;
(n)
establish, where appropriate, an internal audit capability;
(o)
ensure adequate follow-up to findings and recommendations stemming from the internal or external audit reports and evaluations, as well as from investigations of OLAF and the EDPS;
(p)
define the evaluation criteria for the annual report in accordance with Article 7(11);
(q)
adopt guidelines further specifying the procedures for the processing of information by Europol in accordance with Article 18, after consulting the EDPS;
(r)
decide upon the conclusion of working and administrative arrangements in accordance with Article 23(4) and Article 25(1), respectively;
(s)
decide, taking into consideration both business and financial requirements, upon the establishment of Europol's internal structures, including Union centres of specialised expertise as referred to in point (l) of Article 4(1), upon a proposal of the Executive Director;
(t)
adopt its rules of procedure, including provisions concerning the tasks and the functioning of its secretariat;
(u)
adopt, where appropriate, other internal rules.
2.   If the Management Board considers it necessary for the performance of Europol's tasks, it may suggest to the Council that it draw the attention of the Commission to the need for an adequacy decision as referred to in point (a) of Article 25(1) or for a recommendation for a decision authorising the opening of negotiations with a view to the conclusion of an international agreement as referred to in point (b) of Article 25(1).
3.   The Management Board shall, in accordance with Article 110 of the Staff Regulations, adopt a decision based on Article 2(1) of the Staff Regulations and on Article 6 of the Conditions of Employment of Other Servants delegating the relevant appointing authority powers to the Executive Director and establishing the conditions under which such delegation of powers may be suspended. The Executive Director shall be authorised to subdelegate those powers.
Where exceptional circumstances so require, the Management Board may, by way of a decision, temporarily suspend the delegation of the appointing authority powers to the Executive Director and any subdelegation of such powers and exercise them itself or delegate those powers to one of its members or to a staff member other than the Executive Director.
Article 12
Multiannual programming and annual work programmes
1.   The Management Board shall, by 30 November each year, adopt a document containing Europol's multiannual programming and annual work programme, based on a draft put forward by the Executive Director, taking into account the opinion of the Commission and, as regards the multiannual programming, after having consulted the JPSG. The Management Board shall forward that document to the Council, the Commission and the JPSG.
2.   The multiannual programming shall set out the overall strategic programming, including the objectives, expected results and performance indicators. It shall also set out the resource planning, including the multiannual budget and staff. It shall include the strategy for relations with third countries and international organisations.
The multiannual programming shall be implemented by means of annual work programmes and shall, where appropriate, be updated following the outcome of external and internal evaluations. The conclusion of those evaluations shall also be reflected, where appropriate, in the annual work programme for the following year.
3.   The annual work programme shall comprise detailed objectives, expected results and performance indicators. It shall also contain a description of the actions to be financed and an indication of the financial and human resources allocated to each action, in accordance with the principles of activity-based budgeting and management. The annual work programme shall be consistent with the multiannual programming. It shall clearly indicate tasks that have been added, changed or deleted compared to the previous financial year.
4.   Where, after adoption of an annual work programme, a new task is assigned to Europol, the Management Board shall amend the annual work programme.
5.   Any substantial amendment to the annual work programme shall be adopted by the same procedure as that applicable to the adoption of the initial annual work programme. The Management Board may delegate to the Executive Director the power to make non-substantial amendments to the annual work programme.
Article 13
Chairperson and Deputy Chairperson of the Management Board
1.   The Management Board shall elect a Chairperson and a Deputy Chairperson from within the group of three Member States that have jointly prepared the Council's 18-month programme. They shall serve for the 18-month period corresponding to that Council programme. If, however, the Chairperson's or the Deputy Chairperson's membership of the Management Board ends at any time during their term of office as Chairperson or Deputy Chairperson, their term of office shall automatically expire at the same time.
2.   The Chairperson and the Deputy Chairperson shall be elected by a majority of two-thirds of the members of the Management Board.
3.   Where the Chairperson is unable to carry out his or her duties, he or she shall automatically be replaced by the Deputy Chairperson.
Article 14
Meetings of the Management Board
1.   The Chairperson shall convene the meetings of the Management Board.
2.   The Executive Director shall take part in the deliberations of the Management Board.
3.   The Management Board shall hold at least two ordinary meetings a year. In addition, it shall meet on the initiative of its Chairperson, or at the request of the Commission or of at least one-third of its members.
4.   The Management Board may invite any person whose opinion may be relevant for the discussion, including, where appropriate, a representative of the JPSG, to attend its meeting as a non-voting observer.
5.   The members and the alternate members of the Management Board may, subject to its rules of procedure, be assisted at the meetings by advisers or experts.
6.   Europol shall provide the secretariat for the Management Board.
Article 15
Voting rules of the Management Board
1.   Without prejudice to points (a) and (b) of Article 11(1), Article 13(2), Article 50(2), Article 54(8) and Article 64, the Management Board shall take decisions by a majority of its members.
2.   Each member shall have one vote. In the absence of a voting member, his or her alternate shall be entitled to exercise his or her right to vote.
3.   The Executive Director shall not take part in the vote.
4.   The Management Board's rules of procedure shall establish more detailed voting arrangements, in particular the circumstances in which a member may act on behalf of another member, and any quorum requirements, where necessary.
SECTION 2
Executive Director
Article 16
Responsibilities of the Executive Director
1.   The Executive Director shall manage Europol. He or she shall be accountable to the Management Board.
2.   Without prejudice to the powers of the Commission or the Management Board, the Executive Director shall be independent in the performance of his or her duties and shall neither seek nor take instructions from any government or any other body.
3.   The Council may invite the Executive Director to report on the performance of his or her duties.
4.   The Executive Director shall be the legal representative of Europol.
5.   The Executive Director shall be responsible for the implementation of the tasks assigned to Europol by this Regulation, in particular:
(a)
the day-to-day administration of Europol;
(b)
making proposals to the Management Board as regards the establishment of Europol's internal structures;
(c)
implementing decisions adopted by the Management Board;
(d)
preparing the draft multiannual programming and annual work programmes and submitting them to the Management Board, after having consulted the Commission;
(e)
implementing the multiannual programming and the annual work programmes and reporting to the Management Board on their implementation;
(f)
preparing appropriate draft implementing rules to give effect to the Staff Regulations and the Conditions of Employment of Other Servants in accordance with Article 110 of the Staff Regulations;
(g)
preparing the draft consolidated annual report on Europol's activities and presenting it to the Management Board for adoption;
(h)
preparing an action plan following up conclusions of internal or external audit reports and evaluations, as well as investigation reports and recommendations from investigations by OLAF and the EDPS, and reporting on progress twice a year to the Commission and regularly to the Management Board;
(i)
protecting the financial interests of the Union by applying measures to prevent fraud, corruption and any other illegal activity and, without prejudice to the investigative competence of OLAF, by effective checks and, if irregularities are detected, by recovering amounts wrongly paid and, where appropriate, by effective, proportionate and dissuasive administrative and financial penalties;
(j)
preparing a draft internal anti-fraud strategy for Europol and presenting it to the Management Board for adoption;
(k)
preparing draft internal rules for the prevention and management of conflicts of interest in respect of the members of the Management Board and presenting those draft rules to the Management Board for adoption;
(l)
preparing draft financial rules applicable to Europol;
(m)
preparing Europol's draft statement of estimates of revenue and expenditure and implementing its budget;
(n)
supporting the Chairperson of the Management Board in preparing Management Board meetings;
(o)
informing the Management Board on a regular basis regarding the implementation of Union strategic and operational priorities for fighting crime;
(p)
performing other tasks pursuant to this Regulation.
CHAPTER IV
PROCESSING OF INFORMATION
Article 17
Sources of information
1.   Europol shall only process information that has been provided to it:
(a)
by Member States in accordance with their national law and Article 7;
(b)
by Union bodies, third countries and international organisations in accordance with Chapter V;
(c)
by private parties and private persons in accordance with Chapter V.
2.   Europol may directly retrieve and process information, including personal data, from publicly available sources, including the internet and public data.
3.   In so far as Europol is entitled under Union, international or national legal instruments to gain computerised access to data from Union, international or national information systems, it may retrieve and process information, including personal data, by such means if that is necessary for the performance of its tasks. The applicable provisions of such Union, international or national legal instruments shall govern access to, and the use of, that information by Europol, in so far as they provide for stricter rules on access and use than those laid down by this Regulation. Access to such information systems shall be granted only to duly authorised staff of Europol and only in so far as this is necessary and proportionate for the performance of their tasks.
Article 18
Purposes of information processing activities
1.   In so far as is necessary for the achievement of its objectives as laid down in Article 3, Europol may process information, including personal data.
2.   Personal data may be processed only for the purposes of:
(a)
cross-checking aimed at identifying connections or other relevant links between information related to:
(i)
persons who are suspected of having committed or taken part in a criminal offence in respect of which Europol is competent, or who have been convicted of such an offence;
(ii)
persons regarding whom there are factual indications or reasonable grounds to believe that they will commit criminal offences in respect of which Europol is competent;
(b)
analyses of a strategic or thematic nature;
(c)
operational analyses;
(d)
facilitating the exchange of information between Member States, Europol, other Union bodies, third countries and international organisations.
3.   Processing for the purpose of operational analyses as referred to in point (c) of paragraph 2 shall be performed by means of operational analysis projects, in respect of which the following specific safeguards shall apply:
(a)
for every operational analysis project, the Executive Director shall define the specific purpose, categories of personal data and categories of data subjects, participants, duration of storage and conditions for access, transfer and use of the data concerned, and shall inform the Management Board and the EDPS thereof;
(b)
personal data may only be collected and processed for the purpose of the specified operational analysis project. Where it becomes apparent that personal data may be relevant for another operational analysis project, further processing of that personal data shall only be permitted insofar as such further processing is necessary and proportionate and the personal data are compatible with the provisions set out in point (a) that apply to the other analysis project;
(c)
only authorised staff may access and process the data of the relevant project.
4.   The processing referred to in paragraphs 2 and 3 shall be carried out in compliance with the data protection safeguards provided for in this Regulation. Europol shall duly document those processing operations. The documentation shall be made available, upon request, to the Data Protection Officer and to the EDPS for the purpose of verifying the lawfulness of the processing operations.
5.   Categories of personal data and categories of data subjects whose data may be collected and processed for each purpose referred to in paragraph 2 are listed in Annex II.
6.   Europol may temporarily process data for the purpose of determining whether such data are relevant to its tasks and, if so, for which of the purposes referred to in paragraph 2. The Management Board, acting on a proposal from the Executive Director and after consulting the EDPS, shall further specify the conditions relating to the processing of such data, in particular with respect to access to and use of the data, as well as time limits for the storage and deletion of the data, which may not exceed six months, having due regard to the principles referred to in Article 28.
7.   The Management Board, after consulting the EDPS, shall, as appropriate, adopt guidelines further specifying procedures for the processing of information for the purposes listed in paragraph 2 in accordance with point (q) of Article 11(1).
Article 19
Determination of the purpose of, and restrictions on, the processing of information by Europol
1.   A Member State, a Union body, a third country or an international organisation providing information to Europol shall determine the purpose or purposes for which it is to be processed, as referred to in Article 18. If it has not done so, Europol, in agreement with the provider of the information concerned, shall process the information in order to determine the relevance of such information as well as the purpose or purposes for which it is to be further processed. Europol may process information for a purpose different from that for which information has been provided only if authorised so to do by the provider of the information.
2.   Member States, Union bodies, third countries and international organisations may indicate, at the moment of providing information to Europol, any restriction on access thereto or the use to be made thereof, in general or specific terms, including as regards its transfer, erasure or destruction. Where the need for such restrictions becomes apparent after the information has been provided, they shall inform Europol accordingly. Europol shall comply with such restrictions.
3.   In duly justified cases Europol may assign restrictions to access or use by Member States, Union bodies, third countries and international organisations of information retrieved from publicly available sources.
Article 20
Access by Member States and Europol's staff to information stored by Europol
1.   Member States shall, in accordance with their national law and Article 7(5), have access to, and be able to search, all information which has been provided for the purposes of points (a) and (b) of Article 18(2). This shall be without prejudice to the right of Member States, Union bodies, third countries and international organisations to indicate any restrictions in accordance with Article 19(2).
2.   Member States shall, in accordance with their national law and Article 7(5), have indirect access on the basis of a hit/no hit system to information provided for the purposes of point (c) of Article 18(2). This shall be without prejudice to any restrictions indicated by the Member States, Union bodies and third countries or international organisations providing the information, in accordance with Article 19(2).
In the case of a hit, Europol shall initiate the procedure by which the information that generated the hit may be shared, in accordance with the decision of the provider of the information to Europol.
3.   In accordance with national law, the information referred to in paragraphs 1 and 2 shall be accessed and further processed by Member States only for the purpose of preventing and combating:
(a)
forms of crime in respect of which Europol is competent; and
(b)
other forms of serious crime, as set out in Council Framework Decision 2002/584/JHA 
(
22
)
.
4.   Europol staff duly empowered by the Executive Director shall have access to information processed by Europol to the extent required for the performance of their duties and without prejudice to Article 67.
Article 21
Access by Eurojust and OLAF to information stored by Europol
1.   Europol shall take all appropriate measures to enable Eurojust and OLAF, within their respective mandates, to have indirect access on the basis of a hit/no hit system to information provided for the purposes of points (a), (b) and (c) of Article 18(2), without prejudice to any restrictions indicated by the Member State, Union body, third country or international organisation providing the information in question, in accordance with Article 19(2).
In the case of a hit, Europol shall initiate the procedure by which the information that generated the hit may be shared, in accordance with the decision of the provider of the information to Europol, and only to the extent that the data generating the hit are necessary for the performance of Eurojust's or OLAF's tasks.
2.   Europol and Eurojust may conclude a working arrangement ensuring, in a reciprocal manner and within their respective mandates, access to, and the possibility of searching, all information that has been provided for the purpose specified in point (a) of Article 18(2). This shall be without prejudice to the right of Member States, Union bodies, third countries and international organisations to indicate restrictions on access to, and the use of, such data, and shall be in accordance with the data protection guarantees provided for in this Regulation.
3.   Searches of information in accordance with paragraphs 1 and 2 shall be carried out only for the purpose of identifying whether information available at Eurojust or OLAF matches with information processed at Europol.
4.   Europol shall allow searches in accordance with paragraphs 1 and 2 only after obtaining from Eurojust information on which National Members, Deputies and Assistants, as well as Eurojust staff members, and from OLAF information on which OLAF staff members, have been designated as authorised to perform such searches.
5.   If, during Europol's information-processing activities in respect of an individual investigation, Europol or a Member State identifies the need for coordination, cooperation or support in accordance with the mandate of Eurojust or OLAF, Europol shall notify them to that effect and shall initiate the procedure for sharing the information, in accordance with the decision of the Member State providing the information. In such a case, Eurojust or OLAF shall consult with Europol.
6.   Eurojust, including the College, the National Members, Deputies and Assistants, as well as Eurojust staff members, and OLAF, shall respect any restriction on access or use, in general or specific terms, indicated by Member States, Union bodies, third countries and international organisations in accordance with Article 19(2).
7.   Europol, Eurojust and OLAF shall inform each other if, after consulting each other's data in accordance with paragraph 2 or as a result of a hit in accordance with paragraph 1, there are indications that data may be incorrect or may conflict with other data.
Article 22
Duty to notify Member States
1.   Europol shall, in accordance with point (b) of Article 4(1), notify a Member State without delay of any information concerning it. If such information is subject to access restrictions pursuant to Article 19(2) that would prohibit its being shared, Europol shall consult with the provider of the information stipulating the access restriction and seek its authorisation for sharing.
In such a case, the information shall not be shared without an explicit authorisation by the provider.
2.   Irrespective of any access restrictions, Europol shall notify a Member State of any information concerning it if this is absolutely necessary in the interest of preventing an imminent threat to life.
In such a case, Europol shall at the same time notify the provider of the information about the sharing of the information and justify its analysis of the situation.
CHAPTER V
RELATIONS WITH PARTNERS
SECTION 1
Common provisions
Article 23
Common provisions
1.   In so far as necessary for the performance of its tasks, Europol may establish and maintain cooperative relations with Union bodies in accordance with the objectives of those bodies, the authorities of third countries, international organisations and private parties.
2.   Subject to any restriction pursuant to Article 19(2) and without prejudice to Article 67, Europol may directly exchange all information, with the exception of personal data, with entities referred to in paragraph 1 of this Article, in so far as such an exchange is relevant for the performance of Europol's tasks.
3.   The Executive Director shall inform the Management Board about any regular cooperative relations which Europol intends to establish and maintain in accordance with paragraphs 1 and 2, and about the development of such relations once established.
4.   For the purposes set out in paragraphs 1 and 2, Europol may conclude working arrangements with entities referred to in paragraph 1. Such working arrangements shall not allow the exchange of personal data and shall not bind the Union or its Member States.
5.   Europol may receive and process personal data from entities referred to in paragraph 1 insofar as necessary and proportionate for the legitimate performance of its tasks and subject to the provisions of this Chapter.
6.   Without prejudice to Article 30(5), personal data shall only be transferred by Europol to Union bodies, third countries and international organisations if necessary for preventing and combating crime falling within the scope of Europol's objectives and in accordance with this Regulation, and if the recipient gives an undertaking that the data will be processed only for the purpose for which they were transferred. If the data to be transferred have been provided by a Member State, Europol shall seek that Member State's consent, unless the Member State has granted its prior authorisation to such onward transfer, either in general terms or subject to specific conditions. Such consent may be withdrawn at any time.
7.   Onward transfers of personal data held by Europol by Member States, Union bodies, third countries and international organisations shall be prohibited, unless Europol has given its prior explicit authorisation.
8.   Europol shall ensure that detailed records of all transfers of personal data and of the grounds for such transfers are recorded in accordance with this Regulation.
9.   Any information which has clearly been obtained in obvious violation of human rights shall not be processed.
SECTION 2
Transfer and exchange of personal data
Article 24
Transfer of personal data to Union bodies
Subject to any possible restrictions pursuant to Article 19(2) or (3) and without prejudice to Article 67, Europol may directly transfer personal data to a Union body, insofar as such transfer is necessary for the performance of its tasks or those of the recipient Union body.
Article 25
Transfer of personal data to third countries and international organisations
1.   Subject to any possible restrictions pursuant to Article 19(2) or (3) and without prejudice to Article 67, Europol may transfer personal data to an authority of a third country or to an international organisation, insofar as such transfer is necessary for the performance of Europol's tasks, on the basis of one of the following:
(a)
a decision of the Commission adopted in accordance with Article 36 of Directive (EU) 2016/680, finding that the third country or a territory or a processing sector within that third country or the international organisation in question ensures an adequate level of protection (‘adequacy decision’);
(b)
an international agreement concluded between the Union and that third country or international organisation pursuant to Article 218 TFEU adducing adequate safeguards with respect to the protection of privacy and fundamental rights and freedoms of individuals;
(c)
a cooperation agreement allowing for the exchange of personal data concluded, before 1 May 2017, between Europol and that third country or international organisation in accordance with Article 23 of Decision 2009/371/JHA.
Europol may conclude administrative arrangements to implement such agreements or adequacy decisions.
2.   The Executive Director shall inform the Management Board about exchanges of personal data on the basis of adequacy decisions pursuant to point (a) of paragraph 1.
3.   Europol shall publish on its website and keep up to date a list of adequacy decisions, agreements, administrative arrangements and other instruments relating to the transfer of personal data in accordance with paragraph 1.
4.   By 14 June 2021, the Commission shall assess the provisions contained in the cooperation agreements referred to in point (c) of paragraph 1, in particular those concerning data protection. The Commission shall inform the European Parliament and the Council about the outcome of that assessment, and may, if appropriate, submit to the Council a recommendation for a decision authorising the opening of negotiations for the conclusion of international agreements referred to in point (b) of paragraph (1).
5.   By way of derogation from paragraph 1, the Executive Director may authorise the transfer of personal data to third countries or international organisations on a case-by-case basis if the transfer is:
(a)
necessary in order to protect the vital interests of the data subject or of another person;
(b)
necessary to safeguard legitimate interests of the data subject where the law of the Member State transferring the personal data so provides;
(c)
essential for the prevention of an immediate and serious threat to the public security of a Member State or a third country;
(d)
necessary in individual cases for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal sanctions; or
(e)
necessary in individual cases for the establishment, exercise or defence of legal claims relating to the prevention, investigation, detection or prosecution of a specific criminal offence or the execution of a specific criminal sanction.
Personal data shall not be transferred if the Executive Director determines that fundamental rights and freedoms of the data subject concerned override the public interest in the transfer referred to in points (d) and (e).
Derogations may not be applicable to systematic, massive or structural transfers.
6.   By way of derogation from paragraph 1, the Management Board may, in agreement with the EDPS, authorise for a period not exceeding one year, which shall be renewable, a set of transfers in accordance with points (a) to (e) of paragraph 5, taking into account the existence of adequate safeguards with respect to the protection of privacy and fundamental rights and freedoms of individuals. Such authorisation shall be duly justified and documented.
7.   The Executive Director shall as soon as possible inform the Management Board and the EDPS of the cases in which paragraph 5 has been applied.
8.   Europol shall keep detailed records of all transfers made pursuant to this Article.
Article 26
Exchanges of personal data with private parties
1.   Insofar as is necessary in order for Europol to perform its tasks, Europol may process personal data obtained from private parties on condition that they are received via:
(a)
a national unit in accordance with national law;
(b)
the contact point of a third country or an international organisation with which Europol has concluded, before 1 May 2017, a cooperation agreement allowing for the exchange of personal data in accordance with Article 23 of Decision 2009/371/JHA; or
(c)
an authority of a third country or an international organisation which is the subject of an adequacy decision as referred to in point (a) of Article 25(1) of this Regulation or with which the Union has concluded an international agreement pursuant to Article 218 TFEU.
2.   In cases where Europol nonetheless receives personal data directly from private parties and where the national unit, contact point or authority concerned, as referred to in paragraph 1, cannot be identified, Europol may process those personal data solely for the purpose of such identification. Subsequently, the personal data shall be forwarded immediately to the national unit, contact point or authority concerned and shall be deleted unless the national unit, contact point or authority concerned resubmits those personal data in accordance with Article 19(1) within four months after the transfer takes place. Europol shall ensure by technical means that, during that period, the data in question are not accessible for processing for any other purpose.
3.   Following the transfer of personal data in accordance with point (c) of paragraph 5 of this Article, Europol may in connection therewith receive personal data directly from a private party which that private party declares it is legally allowed to transmit in accordance with the applicable law, in order to process such data for the performance of the task set out in point (m) of Article 4(1).
4.   If Europol receives personal data from a private party in a third country with which there is no agreement concluded either on the basis of Article 23 of Decision 2009/371/JHA or on the basis of Article 218 TFEU, or which is not the subject of an adequacy decision as referred to in point (a) of Article 25(1) of this Regulation, Europol may forward those data only to a Member State, or to a third country concerned with which such an agreement has been concluded.
5.   Europol may not transfer personal data to private parties except where, on a case-by-case basis where strictly necessary and subject to any possible restrictions stipulated pursuant to Article 19(2) or (3) and without prejudice to Article 67:
(a)
the transfer is undoubtedly in the interests of the data subject, and either the data subject's consent has been given or the circumstances allow a clear presumption of consent; or
(b)
the transfer is absolutely necessary in the interests of preventing the imminent perpetration of a crime, including terrorism, for which Europol is competent; or
(c)
the transfer of personal data which are publicly available is strictly necessary for the performance of the task set out in point (m) of Article 4(1) and the following conditions are met:
(i)
the transfer concerns an individual and specific case; and
(ii)
no fundamental rights and freedoms of the data subjects concerned override the public interest necessitating the transfer in the case at hand.
6.   With regard to points (a) and (b) of paragraph 5 of this Article, if the private party concerned is not established within the Union or in a country with which Europol has a cooperation agreement allowing for the exchange of personal data, with which the Union has concluded an international agreement pursuant to Article 218 TFEU or which is the subject of an adequacy decision as referred to in point (a) of Article 25(1) of this Regulation, the transfer shall only be authorised if the transfer is:
(a)
necessary in order to protect the vital interests of the data subject or another person; or
(b)
necessary in order to safeguard legitimate interests of the data subject; or
(c)
essential for the prevention of an immediate and serious threat to public security of a Member State or a third country; or
(d)
necessary in individual cases for the purposes of the prevention, investigation, detection or prosecution of criminal offences for which Europol is competent; or
(e)
necessary in individual cases for the establishment, exercise or defence of legal claims relating to the prevention, investigation, detection or prosecution of a specific criminal offence for which Europol is competent.
7.   Europol shall ensure that detailed records of all transfers of personal data and the grounds for such transfers are recorded in accordance with this Regulation and communicated upon request to the EDPS pursuant to Article 40.
8.   If the personal data received or to be transferred affect the interests of a Member State, Europol shall immediately inform the national unit of the Member State concerned.
9.   Europol shall not contact private parties to retrieve personal data.
10.   The Commission shall evaluate the practice of direct exchanges of personal data with private parties by 1 May 2019.
Article 27
Information from private persons
1.   Insofar as is necessary in order for Europol to perform its tasks, Europol may receive and process information originating from private persons. Personal data originating from private persons may only be processed by Europol on condition that they are received via:
(a)
a national unit in accordance with national law;
(b)
the contact point of a third country or an international organisation with which Europol has concluded, before 1 May 2017, a cooperation agreement allowing for the exchange of personal data in accordance with Article 23 of Decision 2009/371/JHA; or
(c)
an authority of a third country or an international organisation which is the subject of an adequacy decision as referred to in point (a) of Article 25(1) or with which the Union has concluded an international agreement pursuant to Article 218 TFEU.
2.   If Europol receives information, including personal data, from a private person residing in a third country with which there is no international agreement concluded either on the basis of Article 23 of Decision 2009/371/JHA or on the basis of Article 218 TFEU, or which is not the subject of an adequacy decision as referred to in point (a) of Article 25(1) of this Regulation, Europol may only forward that information to a Member State or to a third country concerned with which such an international agreement has been concluded.
3.   If the personal data received affect the interests of a Member State, Europol shall immediately inform the national unit of the Member State concerned.
4.   Europol shall not contact private persons to retrieve information.
5.   Without prejudice to Articles 36 and 37, Europol may not transfer personal data to private persons.
CHAPTER VI
DATA PROTECTION SAFEGUARDS
Article 28
General data protection principles
1.   Personal data shall be:
(a)
processed fairly and lawfully;
(b)
collected for specified, explicit and legitimate purposes and not further processed in a manner incompatible with those purposes. Further processing of personal data for historical, statistical or scientific research purposes shall not be considered incompatible provided that Europol provides appropriate safeguards, in particular to ensure that data are not processed for any other purposes;
(c)
adequate, relevant, and limited to what is necessary in relation to the purposes for which they are processed;
(d)
accurate and kept up to date; every reasonable step must be taken to ensure that personal data that are inaccurate, having regard to the purposes for which they are processed, are erased or rectified without delay;
(e)
kept in a form which permits identification of data subjects for no longer than necessary for the purposes for which the personal data are processed; and
(f)
processed in a manner that ensures appropriate security of personal data.
2.   Europol shall make publicly available a document setting out in an intelligible form the provisions regarding the processing of personal data and the means available for the exercise of the rights of data subjects.
Article 29
Assessment of reliability of the source and accuracy of information
1.   The reliability of the source of information originating from a Member State shall be assessed as far as possible by the providing Member State using the following source evaluation codes:
(A): where there is no doubt as to the authenticity, trustworthiness and competence of the source, or if the information is provided by a source which has proved to be reliable in all instances;
(B): where the information is provided by a source which has in most instances proved to be reliable;
(C): where the information is provided by a source which has in most instances proved to be unreliable;
(X): where the reliability of the source cannot be assessed.
2.   The accuracy of information originating from a Member State shall be assessed as far as possible by the providing Member State using the following information evaluation codes:
(1): information the accuracy of which is not in doubt;
(2): information known personally to the source but not known personally to the official passing it on;
(3): information not known personally to the source but corroborated by other information already recorded;
(4): information not known personally to the source and which cannot be corroborated.
3.   Where Europol, on the basis of information already in its possession, comes to the conclusion that the assessment provided for in paragraphs 1 or 2 needs to be corrected, it shall inform the Member State concerned and seek to agree on an amendment to the assessment. Europol shall not change the assessment without such agreement.
4.   Where Europol receives information from a Member State without an assessment in accordance with paragraphs 1 or 2, it shall attempt to assess the reliability of the source or the accuracy of information on the basis of information already in its possession. The assessment of specific data and information shall take place in agreement with the providing Member State. A Member State may also agree with Europol in general terms on the assessment of specified types of data and specified sources. If no agreement is reached in a specific case, or no agreement in general terms exists, Europol shall assess the information or data and shall attribute to such information or data the evaluation codes (X) and (4) referred to in paragraphs 1 and 2 respectively.
5.   This Article shall apply 
mutatis mutandis
 where Europol receives data or information from a Union body, third country, international organisation or private party.
6.   Information from publicly available sources shall be assessed by Europol using the evaluation codes set out in paragraphs 1 and 2.
7.   Where information is the result of an analysis made by Europol in the performance of its tasks, Europol shall assess such information in accordance with this Article, and in agreement with the Member States participating in the analysis.
Article 30
Processing of special categories of personal data and of different categories of data subjects
1.   Processing of personal data in respect of victims of a criminal offence, witnesses or other persons who can provide information concerning criminal offences, or in respect of persons under the age of 18, shall be allowed if it is strictly necessary and proportionate for preventing or combating crime that falls within Europol's objectives.
2.   Processing of personal data, by automated or other means, revealing racial or ethnic origin, political opinions, religious or philosophical beliefs or trade union membership and processing of genetic data or data concerning a person's health or sex life shall be prohibited, unless it is strictly necessary and proportionate for preventing or combating crime that falls within Europol's objectives and if those data supplement other personal data processed by Europol. The selection of a particular group of persons solely on the basis of such personal data shall be prohibited.
3.   Only Europol shall have direct access to personal data as referred to in paragraphs 1 and 2. The Executive Director shall duly authorise a limited number of Europol officials to have such access if it is necessary for the performance of their tasks.
4.   No decision by a competent authority which produces adverse legal effects concerning a data subject shall be based solely on automated processing of data as referred to in paragraph 2, unless the decision is expressly authorised pursuant to national or Union legislation.
5.   Personal data as referred to in paragraphs 1 and 2 shall not be transmitted to Member States, Union bodies, third countries or international organisations unless such transmission is strictly necessary and proportionate in individual cases concerning crime that falls within Europol's objectives and in accordance with Chapter V.
6.   Every year Europol shall provide to the EDPS a statistical overview of all personal data as referred to in paragraph 2 which it has processed.
Article 31
Time-limits for the storage and erasure of personal data
1.   Personal data processed by Europol shall be stored by Europol only for as long as is necessary and proportionate for the purposes for which the data are processed.
2.   Europol shall in any event review the need for continued storage no later than three years after the start of initial processing of personal data. Europol may decide on the continued storage of personal data until the following review, which shall take place after another period of three years, if continued storage is still necessary for the performance of Europol's tasks. The reasons for the continued storage shall be justified and recorded. If no decision is taken on the continued storage of personal data, that data shall be erased automatically after three years.
3.   If personal data as referred to in Article 30(1) and (2) are stored for a period exceeding five years, the EDPS shall be informed accordingly.
4.   Where a Member State, a Union body, a third country or an international organisation has indicated any restriction as regards the earlier erasure or destruction of the personal data at the moment of transfer in accordance with Article 19(2), Europol shall erase the personal data in accordance with those restrictions. If continued storage of the data is deemed necessary, on the basis of information that is more extensive than that possessed by the data provider, in order for Europol to perform its tasks, Europol shall request the authorisation of the data provider to continue storing the data and shall present a justification for such request.
5.   Where a Member State, a Union body, a third country or an international organisation erases from its own data files personal data provided to Europol, it shall inform Europol accordingly. Europol shall erase the data unless the continued storage of the data is deemed necessary, on the basis of information that is more extensive than that possessed by the data provider, in order for Europol to perform its tasks. Europol shall inform the data provider of the continued storage of such data and present a justification of such continued storage.
6.   Personal data shall not be erased if:
(a)
this would damage the interests of a data subject who requires protection. In such cases, the data shall be used only with the express and written consent of the data subject;
(b)
their accuracy is contested by the data subject, for a period enabling Member States or Europol, where appropriate, to verify the accuracy of the data;
(c)
they have to be maintained for purposes of proof or for the establishment, exercise or defence of legal claims; or
(d)
the data subject opposes their erasure and requests the restriction of their use instead.
Article 32
Security of processing
1.   Europol shall implement appropriate technical and organisational measures to protect personal data against accidental or unlawful destruction, accidental loss or unauthorised disclosure, alteration and access or any other unauthorised form of processing.
2.   In respect of automated data processing, Europol and each Member State shall implement measures designed to:
(a)
deny unauthorised persons access to data-processing equipment used for processing personal data (equipment access control);
(b)
prevent the unauthorised reading, copying, modification or removal of data media (data media control);
(c)
prevent the unauthorised input of data and the unauthorised inspection, modification or deletion of stored personal data (storage control);
(d)
prevent the use of automated data-processing systems by unauthorised persons using data-communication equipment (user control);
(e)
ensure that persons authorised to use an automated data-processing system have access only to data covered by their access authorisation (data access control);
(f)
ensure that it is possible to verify and establish to which bodies personal data may be or have been transmitted using data-communication equipment (communication control);
(g)
ensure that it is possible to verify and establish which personal data have been input into automated data-processing systems and when and by whom the data were input (input control);
(h)
ensure that it is possible to verify and establish what data have been accessed by which member of personnel and at what time (access log);
(i)
prevent the unauthorised reading, copying, modification or deletion of personal data during transfers of personal data or during the transportation of data media (transport control);
(j)
ensure that it is possible, in the event of interruption, to restore installed systems immediately (recovery); and
(k)
ensure that the functions of the system perform faultlessly, that the occurrence of faults in the functions is immediately reported (reliability) and that stored data cannot be corrupted by system malfunctions (integrity).
3.   Europol and Member States shall establish mechanisms to ensure that security needs are taken on board across information system boundaries.
Article 33
Data protection by design
Europol shall implement appropriate technical and organisational measures and procedures in such a way that the data processing will comply with this Regulation and protect the rights of the data subjects concerned.
Article 34
Notification of a personal data breach to the authorities concerned
1.   In the event of a personal data breach, Europol shall without undue delay notify the EDPS, as well as the competent authorities of the Member States concerned, of that breach, in accordance with the conditions laid down in Article 7(5),as well as the provider of the data concerned.
2.   The notification referred to in paragraph 1 shall, as a minimum:
(a)
describe the nature of the personal data breach including, where possible and appropriate, the categories and number of data subjects concerned and the categories and number of data records concerned;
(b)
describe the likely consequences of the personal data breach;
(c)
describe the measures proposed or taken by Europol to address the personal data breach; and
(d)
where appropriate, recommend measures to mitigate the possible adverse effects of the personal data breach.
3.   Europol shall document any personal data breaches, including the facts surrounding the breach, its effects and the remedial action taken, thereby enabling the EDPS to verify compliance with this Article.
Article 35
Communication of a personal data breach to the data subject
1.   Subject to paragraph 4 of this Article, where a personal data breach as referred to in Article 34 is likely to severely and adversely affect the rights and freedoms of the data subject, Europol shall communicate the personal data breach to the data subject without undue delay.
2.   The communication to the data subject referred to in paragraph 1 shall describe, where possible, the nature of the personal data breach, recommend measures to mitigate the possible adverse effects of the personal data breach, and contain the identity and contact details of the Data Protection Officer.
3.   If Europol does not have the contact details of the data subject concerned, it shall request the provider of the data to communicate the personal data breach to the data subject concerned and to inform Europol about the decision taken. Member States providing the data shall communicate the breach to the data subject concerned in accordance with the procedures of their national law.
4.   The communication of a personal data breach to the data subject shall not be required if:
(a)
Europol has applied to the personal data concerned by that breach appropriate technological protection measures that render the data unintelligible to any person who is not authorised to access it;
(b)
Europol has taken subsequent measures which ensure that the data subject's rights and freedoms are no longer likely to be severely affected; or
(c)
such communication would involve disproportionate effort, in particular owing to the number of cases involved. In such a case, there shall instead be a public communication or similar measure informing the data subjects concerned in an equally effective manner.
5.   The communication to the data subject may be delayed, restricted or omitted where this constitutes a necessary measure with due regard for the legitimate interests of the person concerned:
(a)
to avoid obstructing official or legal inquiries, investigations or procedures;
(b)
to avoid prejudicing the prevention, detection, investigation and prosecution of criminal offences or for the execution of criminal penalties;
(c)
to protect public and national security;
(d)
to protect the rights and freedoms of third parties.
Article 36
Right of access for the data subject
1.   Any data subject shall have the right, at reasonable intervals, to obtain information on whether personal data relating to him or her are processed by Europol.
2.   Without prejudice to paragraph 5, Europol shall provide the following information to the data subject:
(a)
confirmation as to whether or not data related to him or her are being processed;
(b)
information on at least the purposes of the processing operation, the categories of data concerned, and the recipients or categories of recipients to whom the data are disclosed;
(c)
communication in an intelligible form of the data undergoing processing and of any available information as to their sources;
(d)
an indication of the legal basis for processing the data;
(e)
the envisaged period for which the personal data will be stored;
(f)
the existence of the right to request from Europol rectification, erasure or restriction of processing of personal data concerning the data subject.
3.   Any data subject wishing to exercise the right of access to personal data relating to him or her may make a request to that effect, without incurring excessive costs, to the authority appointed for that purpose in the Member State of his or her choice. That authority shall refer the request to Europol without delay, and in any case within one month of receipt.
4.   Europol shall confirm receipt of the request under paragraph 3. Europol shall answer it without undue delay, and in any case within three months of receipt by Europol of the request from the national authority.
5.   Europol shall consult the competent authorities of the Member States, in accordance with the conditions laid down in Article 7(5), and the provider of the data concerned, on a decision to be taken. A decision on access to personal data shall be conditional on close cooperation between Europol and the Member States and the provider of the data directly concerned by the access of the data subject to such data. If a Member State or the provider of the data objects to Europol's proposed response, it shall notify Europol of the reasons for its objection in accordance with paragraph 6 of this Article. Europol shall take the utmost account of any such objection. Europol shall subsequently notify its decision to the competent authorities concerned, in accordance with the conditions laid down in Article 7(5), and to the provider of the data.
6.   The provision of information in response to any request under paragraph 1 may be refused or restricted if such refusal or restriction constitutes a measure that is necessary in order to:
(a)
enable Europol to fulfil its tasks properly;
(b)
protect security and public order or prevent crime;
(c)
guarantee that any national investigation will not be jeopardised; or
(d)
protect the rights and freedoms of third parties.
When the applicability of an exemption is assessed, the fundamental rights and interests of the data subject shall be taken into account.
7.   Europol shall inform the data subject in writing of any refusal or restriction of access, of the reasons for such a decision and of his or her right to lodge a complaint with the EDPS. Where the provision of such information would deprive paragraph 6 of its effect, Europol shall only notify the data subject concerned that it has carried out the checks, without giving any information which might reveal to him or her whether or not personal data concerning him or her are processed by Europol.
Article 37
Right to rectification, erasure and restriction
1.   Any data subject having accessed personal data concerning him or her processed by Europol in accordance with Article 36 shall have the right to request Europol, through the authority appointed for that purpose in the Member State of his or her choice, to rectify personal data concerning him or her held by Europol if they are incorrect or to complete or update them. That authority shall refer the request to Europol without delay and in any case within one month of receipt.
2.   Any data subject having accessed personal data concerning him or her processed by Europol in accordance with Article 36 shall have the right to request Europol, through the authority appointed for that purpose in the Member State of his or her choice, to erase personal data relating to him or her held by Europol if they are no longer required for the purposes for which they are collected or are further processed. That authority shall refer the request to Europol without delay and in any case within one month of receipt.
3.   Europol shall restrict rather than erase personal data as referred to in paragraph 2 if there are reasonable grounds to believe that erasure could affect the legitimate interests of the data subject. Restricted data shall be processed only for the purpose that prevented their erasure.
4.   If personal data as referred to in paragraphs 1, 2 and 3 held by Europol have been provided to it by third countries, international organisations or Union bodies, have been directly provided by private parties or have been retrieved by Europol from publicly available sources or result from Europol's own analyses, Europol shall rectify, erase or restrict such data and, where appropriate, inform the providers of the data.
5.   If personal data as referred to in paragraphs 1, 2 and 3 held by Europol have been provided to Europol by Member States, the Member States concerned shall rectify, erase or restrict such data in collaboration with Europol, within their respective competences.
6.   If incorrect personal data have been transferred by another appropriate means or if the errors in the data provided by Member States are due to faulty transfer or transfer in breach of this Regulation or if they result from data being input, taken over or stored in an incorrect manner or in breach of this Regulation by Europol, Europol shall rectify or erase such data in collaboration with the provider of the data concerned.
7.   In the cases referred to in paragraphs 4, 5 and 6, all addressees of the data concerned shall be notified forthwith. In accordance with the rules applicable to them, the addressees shall then rectify, erase or restrict those data in their systems.
8.   Europol shall inform the data subject in writing without undue delay, and in any case within three months of receipt of a request in accordance with paragraph 1 or 2, that data concerning him or her have been rectified, erased or restricted.
9.   Within three months of receipt of a request in accordance with paragraph 1 or 2, Europol shall inform the data subject in writing of any refusal of rectification, erasure or restricting, of the reasons for such a refusal and of the possibility of lodging a complaint with the EDPS and of seeking a judicial remedy.
Article 38
Responsibility in data protection matters
1.   Europol shall store personal data in a way that ensures that their source, as referred to in Article 17, can be established.
2.   The responsibility for the quality of personal data as referred to in point (d) of Article 28(1) shall lie with:
(a)
the Member State or the Union body which provided the personal data to Europol;
(b)
Europol in respect of personal data provided by third countries or international organisations or directly provided by private parties; of personal data retrieved by Europol from publicly available sources or resulting from Europol's own analyses; and of personal data stored by Europol in accordance with Article 31(5).
3.   If Europol becomes aware that personal data provided pursuant to points (a) and (b) of Article 17(1) are factually incorrect or have been unlawfully stored, it shall inform the provider of those data accordingly.
4.   Europol shall be responsible for compliance with the principles referred to in points (a), (b), (c), (e) and (f) of Article 28(1).
5.   The responsibility for the legality of a data transfer shall lie with:
(a)
the Member State which provided the personal data to Europol;
(b)
Europol in the case of personal data provided by it to Member States, third countries or international organisations.
6.   In the case of a transfer between Europol and a Union body, the responsibility for the legality of the transfer shall lie with Europol.
Without prejudice to the first subparagraph, where the data are transferred by Europol following a request from the recipient, both Europol and the recipient shall be responsible for the legality of such a transfer.
7.   Europol shall be responsible for all data processing operations carried out by it, with the exception of the bilateral exchange of data using Europol's infrastructure between Member States, Union bodies, third countries and international organisations to which Europol has no access. Such bilateral exchanges shall take place under the responsibility of the entities concerned and in accordance with their law. The security of such exchanges shall be ensured in accordance with Article 32.
Article 39
Prior consultation
1.   Any new type of processing operations to be carried out shall be subject to prior consultation where:
(a)
special categories of data as referred to in Article 30(2) are to be processed;
(b)
the type of processing, in particular using new technologies, mechanisms or procedures, presents specific risks for the fundamental rights and freedoms, and in particular the protection of personal data, of data subjects.
2.   The prior consultation shall be carried out by the EDPS following receipt of a notification from the Data Protection Officer that shall contain at least a general description of the envisaged processing operations, an assessment of the risks to the rights and freedoms of data subjects, the measures envisaged to address those risks, safeguards and security measures and mechanisms to ensure the protection of personal data and to demonstrate compliance with this Regulation, taking into account the rights and legitimate interests of the data subjects and other persons concerned.
3.   The EDPS shall deliver his or her opinion to the Management Board within two months following receipt of the notification. That period may be suspended until the EDPS has obtained any further information that he or she may have requested.
If the opinion has not been delivered after four months it shall be deemed to be favourable.
If the opinion of the EDPS is that the notified processing may involve a breach of any provision of this Regulation, he or she shall, where appropriate, make proposals to avoid such a breach. Where Europol does not modify the processing operation accordingly, the EDPS may exercise the powers granted to him or her under Article 43(3).
4.   The EDPS shall keep a register of all processing operations that have been notified to him or her pursuant to paragraph 1. The register shall not be made public.
Article 40
Logging and documentation
1.   For the purpose of verifying the lawfulness of data processing, self-monitoring and ensuring proper data integrity and security, Europol shall keep records of the collection, alteration, access, disclosure, combination or erasure of personal data. Such logs or documentation shall be deleted after three years, unless the data which they contain are further required for ongoing control. There shall be no possibility of modifying the logs.
2.   Logs or documentation prepared pursuant to paragraph 1 shall be communicated upon request to the EDPS, to the Data Protection Officer and, if required for a specific investigation, to the national unit concerned. The information thus communicated shall only be used for the control of data protection and for ensuring proper data processing as well as data integrity and security.
Article 41
Data Protection Officer
1.   The Management Board shall appoint a Data Protection Officer, who shall be a member of the staff. In the performance of his or her duties, he or she shall act independently.
2.   The Data Protection Officer shall be selected on the basis of his or her personal and professional qualities and, in particular, the expert knowledge of data protection.
It shall be ensured in the selection of the Data Protection Officer that no conflict of interest may result from the performance of his or her duty in that capacity and from any other official duties, in particular those relating to the application of this Regulation.
3.   The Data Protection Officer shall be appointed for a term of four years. He or she shall be eligible for reappointment up to a maximum total term of eight years. He or she may be dismissed from his or her function as Data Protection Officer by the Management Board only with the consent of the EDPS, if he or she no longer meets the conditions required for the performance of his or her duties.
4.   After his or her appointment, the Data Protection Officer shall be registered with the EDPS by the Management Board.
5.   With respect to the performance of his or her duties, the Data Protection Officer shall not receive any instructions.
6.   The Data Protection Officer shall, in particular, have the following tasks with regard to personal data, with the exception of administrative personal data:
(a)
ensuring, in an independent manner, the internal application of this Regulation concerning the processing of personal data;
(b)
ensuring that a record of the transfer and receipt of personal data is kept in accordance with this Regulation;
(c)
ensuring that data subjects are informed of their rights under this Regulation at their request;
(d)
cooperating with Europol staff responsible for procedures, training and advice on data processing;
(e)
cooperating with the EDPS;
(f)
preparing an annual report and communicating that report to the Management Board and to the EDPS;
(g)
keeping a register of personal data breaches.
7.   The Data Protection Officer shall also carry out the functions provided for by Regulation (EC) No 45/2001 with regard to administrative personal data.
8.   In the performance of his or her tasks, the Data Protection Officer shall have access to all the data processed by Europol and to all Europol premises.
9.   If the Data Protection Officer considers that the provisions of this Regulation concerning the processing of personal data have not been complied with, he or she shall inform the Executive Director and shall require him or her to resolve the non-compliance within a specified time.
If the Executive Director does not resolve the non-compliance of the processing within the time specified, the Data Protection Officer shall inform the Management Board. The Data Protection Officer and the Management Board shall agree a specified time for a response by the latter. If the Management Board does not resolve the non-compliance within the time specified, the Data Protection Officer shall refer the matter to the EDPS.
10.   The Management Board shall adopt implementing rules concerning the Data Protection Officer. Those implementing rules shall, in particular, concern the selection procedure for the position of the Data Protection Officer and his or her dismissal, tasks, duties and powers, and safeguards ensuring the independence of the Data Protection Officer.
11.   Europol shall provide the Data Protection Officer with the staff and resources needed in order for him or her to be able to carry out his or her duties. Those staff members shall have access to all the data processed at Europol and to Europol premises only to the extent necessary for the performance of their tasks.
12.   The Data Protection Officer and his or her staff shall be bound by the obligation of confidentiality in accordance with Article 67(1).
Article 42
Supervision by the national supervisory authority
1.   Each Member State shall designate a national supervisory authority. The national supervisory authority shall have the task of monitoring independently, in accordance with its national law, the permissibility of the transfer, the retrieval and any communication to Europol of personal data by the Member State concerned, and of examining whether such transfer, retrieval or communication violates the rights of the data subjects concerned. For that purpose, the national supervisory authority shall have access, at the national unit or at the liaison officers' premises, to data submitted by its Member State to Europol in accordance with the relevant national procedures and to logs and documentation as referred to in Article 40.
2.   For the purpose of exercising their supervisory function, national supervisory authorities shall have access to the offices and documents of their respective liaison officers at Europol.
3.   National supervisory authorities shall, in accordance with the relevant national procedures, supervise the activities of national units and the activities of liaison officers, insofar as such activities are relevant to the protection of personal data. They shall also keep the EDPS informed of any actions they take with respect to Europol.
4.   Any person shall have the right to request the national supervisory authority to verify the legality of any transfer or communication to Europol of data concerning him or her in any form and of access to those data by the Member State concerned. That right shall be exercised in accordance with the national law of the Member State in which the request is made.
Article 43
Supervision by the EDPS
1.   The EDPS shall be responsible for monitoring and ensuring the application of the provisions of this Regulation relating to the protection of fundamental rights and freedoms of natural persons with regard to the processing of personal data by Europol, and for advising Europol and data subjects on all matters concerning the processing of personal data. To that end, he or she shall fulfil the duties set out in paragraph 2 and exercise the powers laid down in paragraph 3, while closely cooperating with the national supervisory authorities in accordance with Article 44.
2.   The EDPS shall have the following duties:
(a)
hearing and investigating complaints, and informing the data subject of the outcome within a reasonable period;
(b)
conducting inquiries either on his or her own initiative or on the basis of a complaint, and informing the data subject of the outcome within a reasonable period;
(c)
monitoring and ensuring the application of this Regulation and any other Union act relating to the protection of natural persons with regard to the processing of personal data by Europol;
(d)
advising Europol, either on his or her own initiative or in response to a consultation, on all matters concerning the processing of personal data, in particular before it draws up internal rules relating to the protection of fundamental rights and freedoms with regard to the processing of personal data;
(e)
keeping a register of new types of processing operations notified to him or her by virtue of Article 39(1) and registered in accordance with Article 39(4);
(f)
carrying out a prior consultation on processing notified to him or her.
3.   The EDPS may pursuant to this Regulation:
(a)
give advice to data subjects on the exercise of their rights;
(b)
refer a matter to Europol in the event of an alleged breach of the provisions governing the processing of personal data, and, where appropriate, make proposals for remedying that breach and for improving the protection of the data subjects;
(c)
order that requests to exercise certain rights in relation to data be complied with where such requests have been refused in breach of Articles 36 and 37;
(d)
warn or admonish Europol;
(e)
order Europol to carry out the rectification, restriction, erasure or destruction of personal data which have been processed in breach of the provisions governing the processing of personal data and to notify such actions to third parties to whom such data have been disclosed;
(f)
impose a temporary or definitive ban on processing operations by Europol which are in breach of the provisions governing the processing of personal data;
(g)
refer a matter to Europol and, if necessary, to the European Parliament, the Council and the Commission;
(h)
refer a matter to the Court of Justice of the European Union under the conditions provided for in the TFEU;
(i)
intervene in actions brought before the Court of Justice of the European Union.
4.   The EDPS shall have the power to:
(a)
obtain from Europol access to all personal data and to all information necessary for his or her enquiries;
(b)
obtain access to any premises in which Europol carries on its activities when there are reasonable grounds for presuming that an activity covered by this Regulation is being carried out there.
5.   The EDPS shall draw up an annual report on the supervisory activities of Europol, after consulting the national supervisory authorities. That report shall be part of the annual report of the EDPS referred to in Article 48 of Regulation (EC) No 45/2001.
The report shall include statistical information regarding complaints, inquiries, and investigations carried out in accordance with paragraph 2, as well as regarding transfers of personal data to third countries and international organisations, cases of prior consultation, and the use of the powers laid down in paragraph 3.
6.   The EDPS, the officials and the other staff members of the EDPS's Secretariat shall be bound by the obligation of confidentiality laid down in Article 67(1).
Article 44
Cooperation between the EDPS and national supervisory authorities
1.   The EDPS shall act in close cooperation with the national supervisory authorities on issues requiring national involvement, in particular if the EDPS or a national supervisory authority finds major discrepancies between the practices of Member States or potentially unlawful transfers in the use of Europol's channels for exchanges of information, or in the context of questions raised by one or more national supervisory authorities on the implementation and interpretation of this Regulation.
2.   The EDPS shall use the expertise and experience of the national supervisory authorities in carrying out his or her duties as set out in Article 43(2). In carrying out joint inspections together with the EDPS, members and staff of national supervisory authorities shall, taking due account of the principles of subsidiarity and proportionality, have powers equivalent to those laid down in Article 43(4) and be bound by an obligation equivalent to that laid down in Article 43(6). The EDPS and the national supervisory authorities shall, each acting within the scope of their respective competences, exchange relevant information and assist each other in carrying out audits and inspections.
3.   The EDPS shall keep national supervisory authorities fully informed of all issues directly affecting or otherwise relevant to them. Upon the request of one or more national supervisory authorities, the EDPS shall inform them of specific issues.
4.   In cases relating to data originating from one or more Member States, including the cases referred to in Article 47(2), the EDPS shall consult the national supervisory authorities concerned. The EDPS shall not decide on further action to be taken before those national supervisory authorities have informed the EDPS of their position, within a deadline specified by him or her which shall not be shorter than one month and not longer than three months. The EDPS shall take the utmost account of the respective positions of the national supervisory authorities concerned. In cases where the EDPS intends not to follow the position of a national supervisory authority, he or she shall inform that authority, provide a justification and submit the matter for discussion to the Cooperation Board established by Article 45(1).
In cases which the EDPS considers to be extremely urgent, he or she may decide to take immediate action. In such cases, the EDPS shall immediately inform the national supervisory authorities concerned and justify the urgent nature of the situation as well as the action he or she has taken.
Article 45
Cooperation Board
1.   A Cooperation Board with an advisory function is hereby established. It shall be composed of a representative of a national supervisory authority of each Member State and of the EDPS.
2.   The Cooperation Board shall act independently when performing its tasks pursuant to paragraph 3 and shall neither seek nor take instructions from any body.
3.   The Cooperation Board shall have the following tasks:
(a)
discussing general policy and strategy of data protection supervision of Europol and the permissibility of the transfer, the retrieval and any communication to Europol of personal data by the Member States;
(b)
examining difficulties of interpretation or application of this Regulation;
(c)
studying general problems relating to the exercise of independent supervision or the exercise of the rights of data subjects;
(d)
discussing and drawing up harmonised proposals for joint solutions on matters referred to in Article 44(1);
(e)
discussing cases submitted by the EDPS in accordance with Article 44(4);
(f)
discussing cases submitted by any national supervisory authority; and
(g)
promoting awareness of data protection rights.
4.   The Cooperation Board may issue opinions, guidelines, recommendations and best practices. The EDPS and the national supervisory authorities shall, without prejudice to their independence and each acting within the scope of their respective competences, take the utmost account of them.
5.   The Cooperation Board shall meet whenever necessary, and at least twice a year. The costs and servicing of its meetings shall be borne by the EDPS.
6.   Rules of procedure of the Cooperation Board shall be adopted at its first meeting by a simple majority of its members. Further working methods shall be developed jointly as necessary.
Article 46
Administrative personal data
Regulation (EC) No 45/2001 shall apply to all administrative personal data held by Europol.
CHAPTER VII
REMEDIES AND LIABILITY
Article 47
Right to lodge a complaint with the EDPS
1.   Any data subject shall have the right to lodge a complaint with the EDPS if he or she considers that the processing by Europol of personal data relating to him or her does not comply with this Regulation.
2.   Where a complaint relates to a decision as referred to in Article 36 or 37, the EDPS shall consult the national supervisory authorities of the Member State that provided the data or the Member State directly concerned. In adopting his or her decision, which may extend to a refusal to communicate any information, the EDPS shall take into account the opinion of the national supervisory authority.
3.   Where a complaint relates to the processing of data provided by a Member State to Europol, the EDPS and the national supervisory authority of the Member State that provided the data shall, each acting within the scope of their respective competences, ensure that the necessary checks on the lawfulness of the processing of the data have been carried out correctly.
4.   Where a complaint relates to the processing of data provided to Europol by Union bodies, third countries or international organisations, or of data retrieved by Europol from publicly available sources or resulting from Europol's own analyses, the EDPS shall ensure that Europol has correctly carried out the necessary checks on the lawfulness of the processing of the data.
Article 48
Right to a judicial remedy against the EDPS
Any action against a decision of the EDPS shall be brought before the Court of Justice of the European Union.
Article 49
General provisions on liability and the right to compensation
1.   Europol's contractual liability shall be governed by the law applicable to the contract in question.
2.   The Court of Justice of the European Union shall have jurisdiction to give judgment pursuant to any arbitration clause in a contract concluded by Europol.
3.   Without prejudice to Article 49, in the case of non-contractual liability, Europol shall, in accordance with the general principles common to the laws of the Member States, make good any damage caused by its departments or by its staff in the performance of their duties.
4.   The Court of Justice of the European Union shall have jurisdiction in disputes relating to compensation for damage as referred to in paragraph 3.
5.   The personal liability of Europol staff vis-à-vis Europol shall be governed by the provisions laid down in the Staff Regulations or in the Conditions of Employment of Other Servants applicable to them.
Article 50
Liability for incorrect personal data processing and the right to compensation
1.   Any individual who has suffered damage as a result of an unlawful data processing operation shall have the right to receive compensation for damage suffered, either from Europol in accordance with Article 340 TFEU or from the Member State in which the event that gave rise to the damage occurred, in accordance with its national law. The individual shall bring an action against Europol before the Court of Justice of the European Union, or against the Member State before a competent national court of that Member State.
2.   Any dispute between Europol and Member States over the ultimate responsibility for compensation awarded to an individual in accordance with paragraph 1 shall be referred to the Management Board, which shall decide by a majority of two-thirds of its members, without prejudice to the right to challenge that decision in accordance with Article 263 TFEU.
CHAPTER VIII
JOINT PARLIAMENTARY SCRUTINY
Article 51
Joint Parliamentary scrutiny
1.   Pursuant to Article 88 TFEU, the scrutiny of Europol's activities shall be carried out by the European Parliament together with national parliaments. This shall constitute a specialised Joint Parliamentary Scrutiny Group (JPSG) established together by the national parliaments and the competent committee of the European Parliament. The organisation and the rules of procedure of the JPSG shall be determined together by the European Parliament and the national parliaments in accordance with Article 9 of Protocol No 1.
2.   The JPSG shall politically monitor Europol's activities in fulfilling its mission, including as regards the impact of those activities on the fundamental rights and freedoms of natural persons.
For the purposes of the first subparagraph:
(a)
the Chairperson of the Management Board, the Executive Director or their Deputies shall appear before the JPSG at its request to discuss matters relating to the activities referred to in the first subparagraph, including the budgetary aspects of such activities, the structural organisation of Europol and the potential establishment of new units and specialised centres, taking into account the obligations of discretion and confidentiality. The JPSG may decide to invite to its meetings other relevant persons, where appropriate;
(b)
the EDPS shall appear before the JPSG at its request, and at least once a year, to discuss general matters relating to the protection of fundamental rights and freedoms of natural persons, and in particular the protection of personal data, with regard to Europol's activities, taking into account the obligations of discretion and confidentiality;
(c)
the JPSG shall be consulted in relation to the multiannual programming of Europol in accordance with Article 12(1).
3.   Europol shall transmit the following documents, for information purposes, to the JPSG, taking into account the obligations of discretion and confidentiality:
(a)
threat assessments, strategic analyses and general situation reports relating to Europol's objective as well as the results of studies and evaluations commissioned by Europol;
(b)
the administrative arrangements concluded pursuant to Article 25(1);
(c)
the document containing the multiannual programming and the annual work programme of Europol, referred to in Article 12(1);
(d)
the consolidated annual activity report on Europol's activities, referred to in point (c) of Article 11(1);
(e)
the evaluation report drawn up by the Commission, referred to in Article 68(1).
4.   The JPSG may request other relevant documents necessary for the fulfilment of its tasks relating to the political monitoring of Europol's activities, subject to Regulation (EC) No 1049/2001 of the European Parliament and of the Council 
(
23
)
 and without prejudice to Articles 52 and 67 of this Regulation.
5.   The JPSG may draw up summary conclusions on the political monitoring of Europol's activities and submit those conclusions to the European Parliament and national parliaments. The European Parliament shall forward them, for information purposes, to the Council, the Commission and Europol.
Article 52
Access by the European Parliament to information processed by or through Europol
1.   For the purpose of enabling it to exercise parliamentary scrutiny of Europol's activities in accordance with Article 51, access by the European Parliament to sensitive non-classified information processed by or through Europol, upon the European Parliament's request, shall comply with the rules referred to in Article 67(1).
2.   Access by the European Parliament to EU classified information processed by or through Europol shall be consistent with the Interinstitutional Agreement of 12 March 2014 between the European Parliament and the Council concerning the forwarding to and the handling by the European Parliament of classified information held by the Council on matters other than those in the area of the common foreign and security policy 
(
24
)
, and shall comply with the rules referred to in Article 67(2) of this Regulation.
3.   The necessary details regarding access by the European Parliament to the information referred to in paragraphs 1 and 2 shall be governed by working arrangements concluded between Europol and the European Parliament.
CHAPTER IX
STAFF
Article 53
General provisions
1.   The Staff Regulations, the Conditions of Employment of Other Servants and the rules adopted by agreement between the institutions of the Union for giving effect to the Staff Regulations and to the Conditions of Employment of Other Servants shall apply to the staff of Europol with the exception of staff who, on 1 May 2017, are employed pursuant to a contract concluded by Europol as established by the Europol Convention without prejudice to Article 73(4) of this Regulation. Such contracts shall continue to be governed by the Council Act of 3 December 1998.
2.   Europol staff shall consist of temporary staff and/or contract staff. The Management Board shall be informed on a yearly basis of contracts of an indefinite duration granted by the Executive Director. The Management Board shall decide which temporary posts provided for in the establishment plan can be filled only by staff from the competent authorities of the Member States. Staff recruited to occupy such posts shall be temporary agents and may be awarded only fixed-term contracts, renewable once for a fixed period.
Article 54
Executive Director
1.   The Executive Director shall be engaged as a temporary agent of Europol under point (a) of Article 2 of the Conditions of Employment of Other Servants.
2.   The Executive Director shall be appointed by the Council from a shortlist of candidates proposed by the Management Board, following an open and transparent selection procedure.
The shortlist shall be drawn up by a selection committee set up by the Management Board and composed of members designated by Member States and a Commission representative
For the purpose of concluding a contract with the Executive Director, Europol shall be represented by the Chairperson of the Management Board.
Before appointment, the candidate selected by the Council may be invited to appear before the competent committee of the European Parliament, which shall subsequently give a non-binding opinion.
3.   The term of office of the Executive Director shall be four years. By the end of that period, the Commission, in association with the Management Board, shall undertake an assessment taking into account:
(a)
an evaluation of the Executive Director's performance, and
(b)
Europol's future tasks and challenges.
4.   The Council, acting on a proposal from the Management Board that takes into account the assessment referred to in paragraph 3, may extend the term of office of the Executive Director once and for no more than four years.
5.   The Management Board shall inform the European Parliament if it intends to propose to the Council that the Executive Director's term of office be extended. Within the month before any such extension, the Executive Director may be invited to appear before the competent committee of the European Parliament.
6.   An Executive Director whose term of office has been extended shall not participate in another selection procedure for the same post at the end of the overall period.
7.   The Executive Director may be removed from office only pursuant to a decision of the Council acting on a proposal from the Management Board. The European Parliament shall be informed about that decision.
8.   The Management Board shall reach decisions regarding proposals to be made to the Council on the appointment, extension of the term of office, or removal from office, of the Executive Director by a majority of two-thirds of its members with voting rights.
Article 55
Deputy Executive Directors
1.   Three Deputy Executive Directors shall assist the Executive Director. The Executive Director shall define their tasks.
2.   Article 54 shall apply to the Deputy Executive Directors. The Executive Director shall be consulted prior to their appointment, any extension of their term of office or their removal from office.
Article 56
Seconded national experts
1.   Europol may make use of seconded national experts.
2.   The Management Board shall adopt a decision laying down rules on the secondment of national experts to Europol.
CHAPTER X
FINANCIAL PROVISIONS
Article 57
Budget
1.   Estimates of all revenue and expenditure for Europol shall be prepared each financial year, which shall correspond to the calendar year, and shall be shown in Europol's budget.
2.   Europol's budget shall be balanced in terms of revenue and of expenditure.
3.   Without prejudice to other resources, Europol's revenue shall comprise a contribution from the Union entered in the general budget of the Union.
4.   Europol may benefit from Union funding in the form of delegation agreements or ad hoc grants in accordance with its financial rules referred to in Article 61 and with the provisions of the relevant instruments supporting the policies of the Union.
5.   Europol's expenditure shall include staff remuneration, administrative and infrastructure expenses, and operating costs.
6.   Budgetary commitments for actions relating to large-scale projects extending over more than one financial year may be broken down into several annual instalments.
Article 58
Establishment of the budget
1.   Each year the Executive Director shall draw up a draft statement of estimates of Europol's revenue and expenditure for the following financial year, including an establishment plan, and shall send it to the Management Board.
2.   The Management Board shall, on the basis of the draft statement of estimates, adopt a provisional draft estimate of Europol's revenue and expenditure for the following financial year and shall send it to the Commission by 31 January each year.
3.   The Management Board shall send the final draft estimate of Europol's revenue and expenditure, which shall include a draft establishment plan, to the European Parliament, the Council and the Commission by 31 March each year.
4.   The Commission shall send the statement of estimates to the European Parliament and the Council, together with the draft general budget of the Union.
5.   On the basis of the statement of estimates, the Commission shall enter in the draft general budget of the Union the estimates that it considers necessary for the establishment plan and the amount of the contribution to be charged to the general budget, which it shall place before the European Parliament and the Council in accordance with Articles 313 and 314 TFEU.
6.   The European Parliament and the Council shall authorise the appropriations for the contribution from the Union to Europol.
7.   The European Parliament and the Council shall adopt Europol's establishment plan.
8.   Europol's budget shall be adopted by the Management Board. It shall become final following the final adoption of the general budget of the Union. Where necessary, it shall be adjusted accordingly.
9.   For any building projects likely to have significant implications for Europol's budget, Delegated Regulation (EU) No 1271/2013 shall apply.
Article 59
Implementation of the budget
1.   The Executive Director shall implement Europol's budget.
2.   Each year the Executive Director shall send to the European Parliament and the Council all information relevant to the findings of any evaluation procedures.
Article 60
Presentation of accounts and discharge
1.   Europol's accounting officer shall send the provisional accounts for the financial year (year N) to the Commission's accounting officer and to the Court of Auditors by 1 March of the following financial year (year N + 1).
2.   Europol shall send a report on the budgetary and financial management for year N to the European Parliament, the Council and the Court of Auditors by 31 March of year N + 1.
3.   The Commission's accounting officer shall send Europol's provisional accounts for year N, consolidated with the Commission's accounts, to the Court of Auditors by 31 March of year N + 1.
4.   On receipt of the Court of Auditors' observations on Europol's provisional accounts for year N pursuant to Article 148 of Regulation (EU, Euratom) No 966/2012 of the European Parliament and of the Council 
(
25
)
, Europol's accounting officer shall draw up Europol's final accounts for that year. The Executive Director shall submit them to the Management Board for an opinion.
5.   The Management Board shall deliver an opinion on Europol's final accounts for year N.
6.   Europol's accounting officer shall, by 1 July of year N + 1, send the final accounts for year N to the European Parliament, the Council, the Commission, the Court of Auditors and national parliaments, together with the Management Board's opinion referred to in paragraph 5.
7.   The final accounts for year N shall be published in the 
Official Journal of the European Union
 by 15 November of year N + 1.
8.   The Executive Director shall send to the Court of Auditors, by 30 September of year N + 1, a reply to the observations made in its annual report. He or she shall also send the reply to the Management Board.
9.   The Executive Director shall submit to the European Parliament, at the latter's request, any information required for the smooth application of the discharge procedure for year N, as laid down in Article 109(3) of Delegated Regulation (EU) No 1271/2013.
10.   On a recommendation from the Council acting by a qualified majority, the European Parliament shall, before 15 May of year N + 2, grant a discharge to the Executive Director in respect of the implementation of the budget for year N.
Article 61
Financial rules
1.   The financial rules applicable to Europol shall be adopted by the Management Board after consultation with the Commission. They shall not depart from Delegated Regulation (EU) No 1271/2013 unless such a departure is specifically required for the operation of Europol and the Commission has given its prior consent.
2.   Europol may award grants related to the fulfilment of tasks as referred to in Article 4.
3.   Europol may award grants without a call for proposals to Member States for performance of their cross-border operations and investigations and for the provision of training relating to the tasks referred to in points (h) and (i) of Article 4(1).
4.   In respect of the financial support to be given to joint investigation teams' activities, Europol and Eurojust shall jointly establish the rules and conditions upon which applications for such support are to be processed.
CHAPTER XI
MISCELLANEOUS PROVISIONS
Article 62
Legal status
1.   Europol shall be an agency of the Union. It shall have legal personality.
2.   In each Member State Europol shall enjoy the most extensive legal capacity accorded to legal persons under national law. Europol may, in particular, acquire and dispose of movable and immovable property and be a party to legal proceedings.
3.   In accordance with Protocol No 6 on the location of the seats of the institutions and of certain bodies, agencies and departments of the European Union, annexed to the TEU and to the TFEU (‘Protocol No 6’), Europol shall have its seat in The Hague.
Article 63
Privileges and immunities
1.   Protocol No 7 on the privileges and immunities of the European Union, annexed to the TEU and to the TFEU, shall apply to Europol and its staff.
2.   Privileges and immunities of liaison officers and members of their families shall be subject to an agreement between the Kingdom of Netherlands and the other Member States. That agreement shall provide for such privileges and immunities as are necessary for the proper performance of the tasks of liaison officers.
Article 64
Language arrangements
1.   The provisions laid down in Regulation No 1 
(
26
)
 shall apply to Europol.
2.   The Management Board shall decide by a majority of two-thirds of its members on the internal language arrangements of Europol.
3.   The translation services required for the functioning of Europol shall be provided by the Translation Centre for the bodies of the European Union.
Article 65
Transparency
1.   Regulation (EC) No 1049/2001 shall apply to documents held by Europol.
2.   By 14 December 2016, the Management Board shall adopt the detailed rules for applying Regulation (EC) No 1049/2001 with regard to Europol documents.
3.   Decisions taken by Europol under Article 8 of Regulation (EC) No 1049/2001 may be the subject of a complaint to the European Ombudsman or of an action before the Court of Justice of the European Union, in accordance with Articles 228 and 263 TFEU respectively.
4.   Europol shall publish on its website a list of the Management Board members and summaries of the outcome of the meetings of the Management Board. The publication of those summaries shall be temporarily or permanently omitted or restricted if such publication would risk jeopardising the performance of Europol's tasks, taking into account its obligations of discretion and confidentiality and the operational character of Europol.
Article 66
Combating fraud
1.   In order to facilitate the fight against fraud, corruption and any other illegal activities under Regulation (EU, Euratom) No 883/2013, Europol shall, by 30 October 2017, accede to the Interinstitutional Agreement of 25 May 1999 between the European Parliament, the Council of the European Union and the Commission of the European Communities concerning internal investigations by the European Anti-Fraud Office (OLAF) 
(
27
)
 and shall adopt appropriate provisions applicable to all employees of Europol, using the template set out in the Annex to that Agreement.
2.   The Court of Auditors shall have a power of audit, on the basis of documents and on-the-spot checks, over all grant beneficiaries, contractors and subcontractors who have received Union funds from Europol.
3.   OLAF may carry out investigations, including on-the-spot checks and inspections, with a view to establishing whether there has been fraud, corruption or any other illegal activity affecting the financial interests of the Union in connection with a grant or a contract awarded by Europol. Such investigations shall be carried out in accordance with the provisions and procedures laid down in Regulation (EU, Euratom) No 883/2013 and in Council Regulation (Euratom, EC) No 2185/96 
(
28
)
.
4.   Without prejudice to paragraphs 1, 2 and 3, working arrangements with Union bodies, authorities of third countries, international organisations and private parties, contracts, grant agreements and grant decisions of Europol shall contain provisions expressly empowering the Court of Auditors and OLAF to conduct the audits and investigations referred to in paragraphs 2 and 3, in accordance with their respective competences.
Article 67
Rules on the protection of sensitive non-classified and classified information
1.   Europol shall establish rules on the obligations of discretion and confidentiality and on the protection of sensitive non-classified information.
2.   Europol shall establish rules on the protection of EU classified information which shall be consistent with Decision 2013/488/EU in order to ensure an equivalent level of protection for such information.
Article 68
Evaluation and review
1.   By 1 May 2022 and every five years thereafter, the Commission shall ensure that an evaluation assessing, in particular, the impact, effectiveness and efficiency of Europol and of its working practices is carried out. The evaluation may, in particular, address the possible need to modify the structure, operation, field of action and tasks of Europol, and the financial implications of any such modification.
2.   The Commission shall submit the evaluation report to the Management Board. The Management Board shall provide its observations on the evaluation report within three months from the date of receipt. The Commission shall then submit the final evaluation report, together with the Commission's conclusions, and the Management Board's observations in an annex thereto, to the European Parliament, the Council, the national parliaments and the Management Board. Where appropriate, the main findings of the evaluation report shall be made public.
Article 69
Administrative inquiries
The activities of Europol shall be subject to inquiries by the European Ombudsman in accordance with Article 228 TFEU.
Article 70
Headquarters
The necessary arrangements concerning the accommodation to be provided for Europol in the Kingdom of the Netherlands and the facilities to be made available by the Kingdom of the Netherlands, together with the specific rules applicable there to the Executive Director, members of the Management Board, Europol's staff and members of their families, shall be laid down in a headquarters agreement between Europol and the Kingdom of the Netherlands, in accordance with Protocol No 6.
CHAPTER XII
TRANSITIONAL PROVISIONS
Article 71
Legal succession
1.   Europol as established by this Regulation shall be the legal successor in respect of all contracts concluded by, liabilities incumbent upon and properties acquired by Europol as established by Decision 2009/371/JHA.
2.   This Regulation shall not affect the legal force of agreements concluded by Europol as established by Decision 2009/371/JHA before 13 June 2016, or of agreements concluded by Europol as established by the Europol Convention before 1 January 2010.
Article 72
Transitional arrangements concerning the Management Board
1.   The term of office of the members of the Management Board as established on the basis of Article 37 of Decision 2009/371/JHA shall terminate on 1 May 2017.
2.   During the period from 13 June 2016 to 1 May 2017, the Management Board as established on the basis of Article 37 of Decision 2009/371/JHA shall:
(a)
exercise the functions of the Management Board in accordance with Article 11 of this Regulation;
(b)
prepare the adoption of the rules relating to the application of Regulation (EC) No 1049/2001 with regard to Europol documents as referred to in Article 65(2) of this Regulation, and of the rules referred to in Article 67 of this Regulation;
(c)
prepare any instrument necessary for the application of this Regulation, in particular any measures relating to Chapter IV; and
(d)
review the internal rules and measures which it has adopted on the basis of Decision 2009/371/JHA so as to allow the Management Board as established pursuant to Article 10 of this Regulation to take a decision pursuant to Article 76 of this Regulation.
3.   The Commission shall without delay after 13 June 2016 take the measures necessary to ensure that the Management Board established pursuant to Article 10 starts its work on 1 May 2017.
4.   By 14 December 2016, the Member States shall notify the Commission of the names of the persons whom they have appointed as member and alternate member of the Management Board, in accordance with Article 10.
5.   The Management Board established pursuant to Article 10 shall hold its first meeting on 1 May 2017. On that occasion it shall, if necessary, take decisions as referred to in Article 76.
Article 73
Transitional arrangements concerning the Executive Director, the Deputy Directors and staff
1.   The Director of Europol appointed on the basis of Article 38 of Decision 2009/371/JHA shall, for the remaining period of his or her term of office, be assigned the responsibilities of Executive Director, as provided for in Article 16 of this Regulation. The other conditions of his or her contract shall remain unchanged. If the term of office ends between 13 June 2016 and 1 May 2017, it shall be extended automatically until 1 May 2018.
2.   Should the Director appointed on the basis of Article 38 of Decision 2009/371/JHA be unwilling or unable to act in accordance with paragraph 1 of this Article, the Management Board shall designate an interim Executive Director to exercise the duties assigned to the Executive Director for a period not exceeding 18 months, pending the appointment provided for in Article 54(2) of this Regulation.
3.   Paragraphs 1 and 2 of this Article shall apply to the Deputy Directors appointed on the basis of Article 38 of Decision 2009/371/JHA.
4.   In accordance with the Conditions of Employment of Other Servants, the authority referred to in the first paragraph of Article 6 thereof shall offer employment of indefinite duration as a member of the temporary or contract staff to any person who, on 1 May 2017, is employed under a contract of indefinite duration as a local staff member concluded by Europol as established by the Europol Convention. The offer of employment shall be based on the tasks to be performed by the servant as a member of the temporary or contract staff. The contract concerned shall take effect at the latest on 1 May 2018. A staff member who does not accept the offer referred to in this paragraph may retain his or her contractual relationship with Europol in accordance with Article 53(1).
Article 74
Transitional budgetary provisions
The discharge procedure in respect of the budgets approved on the basis of Article 42 of Decision 2009/371/JHA shall be carried out in accordance with the rules established by Article 43 thereof.
CHAPTER XIII
FINAL PROVISIONS
Article 75
Replacement and repeal
1.   Decisions 2009/371/JHA, 2009/934/JHA, 2009/935/JHA, 2009/936/JHA and 2009/968/JHA are hereby replaced for the Member States bound by this Regulation with effect from 1 May 2017.
Therefore, Decisions 2009/371/JHA, 2009/934/JHA, 2009/935/JHA, 2009/936/JHA and 2009/968/JHA are repealed with effect from 1 May 2017.
2.   With regard to the Member States bound by this Regulation, references to the Decisions referred to in paragraph 1 shall be construed as references to this Regulation.
Article 76
Maintenance in force of the internal rules adopted by the Management Board
Internal rules and measures adopted by the Management Board on the basis of Decision 2009/371/JHA shall remain in force after 1 May 2017, unless otherwise decided by the Management Board in the application of this Regulation.
Article 77
Entry into force and application
1.   This Regulation shall enter into force on the twentieth day following that of its publication in the 
Official Journal of the European Union
.
2.   It shall apply from 1 May 2017.
However, Articles 71, 72 and 73 shall apply from 13 June 2016.
This Regulation shall be binding in its entirety and directly applicable in the Member States in accordance with the Treaties.
Done at Strasbourg, 11 May 2016.
For the European Parliament
The President
M. SCHULZ
For the Council
The President
J.A. HENNIS-PLASSCHAERT
(
1
)
  Position of the European Parliament of 25 February 2014 (not yet published in the Official Journal) and position of the Council at first reading of 10 March 2016 (not yet published in the Official Journal). Position of the European Parliament of 11 May 2016 (not yet published in the Official Journal).
(
2
)
  Council Decision 2009/371/JHA of 6 April 2009 establishing the European Police Office (Europol) (
OJ L 121, 15.5.2009, p. 37
).
(
3
)
  
            
OJ C 316, 27.11.1995, p. 1
.
(
4
)
  
            
OJ C 115, 4.5.2010, p. 1
.
(
5
)
  Council Decision 2009/934/JHA of 30 November 2009 adopting the implementing rules governing Europol's relations with partners, including the exchange of personal data and classified information (
OJ L 325, 11.12.2009, p. 6
).
(
6
)
  Council Decision 2009/935/JHA of 30 November 2009 determining the list of third States and organisations with which Europol shall conclude agreements (
OJ L 325, 11.12.2009, p. 12
).
(
7
)
  Council Decision 2009/936/JHA of 30 November 2009 adopting the implementing rules for Europol analysis work files (
OJ L 325, 11.12.2009, p. 14
).
(
8
)
  Council Decision 2009/968/JHA of 30 November 2009 adopting the rules on the confidentiality of Europol information (
OJ L 332, 17.12.2009, p. 17
).
(
9
)
  Council Regulation (EU) No 1053/2013 of 7 October 2013 establishing an evaluation and monitoring mechanism to verify the application of the Schengen 
acquis
 and repealing the Decision of the Executive Committee of 16 September 1998 setting up a Standing Committee on the evaluation and implementation of Schengen (
OJ L 295, 6.11.2013, p. 27
).
(
10
)
  Regulation (Euratom, ECSC, EEC) No 549/69 of the Council of 25 March 1969 determining the categories of officials and other servants of the European Communities to whom the provisions of Article 12, the second paragraph of Article 13 and Article 14 of the Protocol on the Privileges and Immunities of the Communities apply (
OJ L 74, 27.3.1969, p. 1
).
(
11
)
  Regulation (EC) No 45/2001 of the European Parliament and of the Council of 18 December 2000 on the protection of individuals with regard to the processing of personal data by the Community institutions and bodies and on the free movement of such data (
OJ L 8, 12.1.2001, p. 1
).
(
12
)
  Directive (EU) 2016/680 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data, and repealing Council Framework Decision 2008/977/JHA (
OJ L 119, 4.5.2016, p. 89
).
(
13
)
  Council of Europe Committee of Ministers Recommendation No R(87) 15 to the Member States on regulating the use of personal data in the police sector, 17.9.1987.
(
14
)
  
            
OJ L 56, 4.3.1968, p. 1
.
(
15
)
  Commission Delegated Regulation (EU) No 1271/2013 of 30 September 2013 on the framework financial regulation for the bodies referred to in Article 208 of Regulation (EU, Euratom) No 966/2012 of the European Parliament and of the Council (
OJ L 328, 7.12.2013, p. 42
).
(
16
)
  Commission Delegated Regulation (EU) No 1268/2012 of 29 October 2012 on the rules of application of Regulation (EU, Euratom) No 966/2012 of the European Parliament and of the Council on the financial rules applicable to the general budget of the Union (
OJ L 362, 31.12.2012, p. 1
).
(
17
)
  Regulation (EU, Euratom) No 883/2013 of the European Parliament and of the Council of 11 September 2013 concerning investigations conducted by the European Anti-Fraud Office (OLAF) and repealing Regulation (EC) No 1073/1999 of the European Parliament and of the Council and Council Regulation (Euratom) No 1074/1999 (
OJ L 248, 18.9.2013, p. 1
).
(
18
)
  Council Decision 2013/488/EU of 23 September 2013 on the security rules for protecting EU classified information (
OJ L 274, 15.10.2013, p. 1
).
(
19
)
  Council Act of 3 December 1998 laying down the staff regulations applicable to Europol employees (
OJ C 26, 30.1.1999, p. 23
).
(
20
)
  Council Decision 2005/511/JHA of 12 July 2005 on protecting the euro against counterfeiting, by designating Europol as the Central Office for combating euro counterfeiting (
OJ L 185, 16.7.2005, p. 35
).
(
21
)
  Directive 2005/60/EC of the European Parliament and of the Council of 26 October 2005 on the prevention of the use of the financial system for the purpose of money laundering and terrorist financing (
OJ L 309, 25.11.2005, p. 15
).
(
22
)
  Council Framework Decision 2002/584/JHA of 13 June 2002 on the European arrest warrant and the surrender procedures between Member States (
OJ L 190, 18.7.2002, p. 1
).
(
23
)
  Regulation (EC) No 1049/2001 of the European Parliament and of the Council of 30 May 2001 regarding public access to European Parliament, Council and Commission documents (
OJ L 145, 31.5.2001, p. 43
).
(
24
)
  
            
OJ C 95, 1.4.2014, p. 1
.
(
25
)
  Regulation (EU, Euratom) No 966/2012 of the European Parliament and of the Council of 25 October 2012 on the financial rules applicable to the general budget of the Union and repealing Council Regulation (EC, Euratom) No 1605/2002 (
OJ L 298, 26.10.2012, p. 1
).
(
26
)
  Regulation No 1 determining the languages to be used by the European Economic Community (
OJ 17, 6.10.1958, p. 385/58
).
(
27
)
  
            
OJ L 136, 31.5.1999, p. 15
.
(
28
)
  Council Regulation (Euratom, EC) No 2185/96 of 11 November 1996 concerning on-the-spot checks and inspections carried out by the Commission in order to protect the European Communities' financial interests against fraud and other irregularities (
OJ L 292, 15.11.1996, p. 2
).
ANNEX I
LIST OF FORMS OF CRIME REFERRED TO IN ARTICLE 3(1)
—
terrorism,
—
organised crime,
—
drug trafficking,
—
money-laundering activities,
—
crime connected with nuclear and radioactive substances,
—
immigrant smuggling,
—
trafficking in human beings,
—
motor vehicle crime,
—
murder and grievous bodily injury,
—
illicit trade in human organs and tissue,
—
kidnapping, illegal restraint and hostage-taking,
—
racism and xenophobia,
—
robbery and aggravated theft,
—
illicit trafficking in cultural goods, including antiquities and works of art,
—
swindling and fraud,
—
crime against the financial interests of the Union,
—
insider dealing and financial market manipulation,
—
racketeering and extortion,
—
counterfeiting and product piracy,
—
forgery of administrative documents and trafficking therein,
—
forgery of money and means of payment,
—
computer crime,
—
corruption,
—
illicit trafficking in arms, ammunition and explosives,
—
illicit trafficking in endangered animal species,
—
illicit trafficking in endangered plant species and varieties,
—
environmental crime, including ship-source pollution,
—
illicit trafficking in hormonal substances and other growth promoters,
—
sexual abuse and sexual exploitation, including child abuse material and solicitation of children for sexual purposes,
—
genocide, crimes against humanity and war crimes.
ANNEX II
A.   Categories of personal data and categories of data subjects whose data may be collected and processed for the purpose of cross-checking as referred to in point (a) of Article 18(2)
1.
Personal data collected and processed for the purpose of cross-checking shall relate to:
(a)
persons who, in accordance with the national law of the Member State concerned, are suspected of having committed or having taken part in a criminal offence in respect of which Europol is competent, or who have been convicted of such an offence;
(b)
persons regarding whom there are factual indications or reasonable grounds under the national law of the Member State concerned to believe that they will commit criminal offences in respect of which Europol is competent.
2.
Data relating to the persons referred to in paragraph 1 may include only the following categories of personal data:
(a)
surname, maiden name, given names and any alias or assumed name;
(b)
date and place of birth;
(c)
nationality;
(d)
sex;
(e)
place of residence, profession and whereabouts of the person concerned;
(f)
social security numbers, driving licences, identification documents and passport data; and
(g)
where necessary, other characteristics likely to assist in identification, including any specific objective physical characteristics not subject to change such as dactyloscopic data and DNA profile (established from the non-coding part of DNA).
3.
In addition to the data referred to in paragraph 2, the following categories of personal data concerning the persons referred to in paragraph 1 may be collected and processed:
(a)
criminal offences, alleged criminal offences and when, where and how they were (allegedly) committed;
(b)
means which were or which may have been used to commit those criminal offences, including information concerning legal persons;
(c)
departments handling the case and their filing references;
(d)
suspected membership of a criminal organisation;
(e)
convictions, where they relate to criminal offences in respect of which Europol is competent;
(f)
inputting party.
These data may be provided to Europol even when they do not yet contain any references to persons.
4.
Additional information held by Europol or national units concerning the persons referred to in paragraph 1 may be communicated to any national unit or to Europol, should either so request. National units shall do so in compliance with their national law.
5.
If proceedings against the person concerned are definitively dropped or if that person is definitively acquitted, the data relating to the case in respect of which either decision has been taken shall be deleted.
B.   Categories of personal data and categories of data subjects whose data may be collected and processed for the purpose of analyses of a strategic or thematic nature, for the purpose of operational analyses or for the purpose of facilitating the exchange of information as referred to in points (b), (c) and (d) of Article 18(2)
1.
Personal data collected and processed for the purpose of analyses of a strategic or thematic nature, for the purpose of operational analyses or for the purpose of facilitating the exchange of information between Member States, Europol, other Union bodies, third countries and international organisations shall relate to:
(a)
persons who, pursuant to the national law of the Member State concerned, are suspected of having committed or having taken part in a criminal offence in respect of which Europol is competent, or who have been convicted of such an offence;
(b)
persons regarding whom there are factual indications or reasonable grounds under the national law of the Member State concerned to believe that they will commit criminal offences in respect of which Europol is competent;
(c)
persons who might be called on to testify in investigations in connection with the offences under consideration or in subsequent criminal proceedings;
(d)
persons who have been the victims of one of the offences under consideration or with regard to whom certain facts give reason to believe that they could be the victims of such an offence;
(e)
contacts and associates; and
(f)
persons who can provide information on the criminal offences under consideration.
2.
The following categories of personal data, including associated administrative data, may be processed on the categories of persons referred to in points (a) and (b) of paragraph 1:
(a)
personal details:
(i)
present and former surnames;
(ii)
present and former forenames;
(iii)
maiden name;
(iv)
father's name (where necessary for the purpose of identification);
(v)
mother's name (where necessary for the purpose of identification):
(vi)
sex;
(vii)
date of birth;
(viii)
place of birth;
(ix)
nationality;
(x)
marital status;
(xi)
alias;
(xii)
nickname;
(xiii)
assumed or false name;
(xiv)
present and former residence and/or domicile;
(b)
physical description:
(i)
physical description;
(ii)
distinguishing features (marks/scars/tattoos etc.);
(c)
means of identification:
(i)
identity documents/driving licence;
(ii)
national identity card/passport numbers;
(iii)
national identification number/social security number, if applicable;
(iv)
visual images and other information on appearance;
(v)
forensic identification information such as fingerprints, DNA profile (established from the non-coding part of DNA), voice profile, blood group, dental information;
(d)
occupation and skills:
(i)
present employment and occupation;
(ii)
former employment and occupation;
(iii)
education (school/university/professional);
(iv)
qualifications;
(v)
skills and other fields of knowledge (language/other);
(e)
economic and financial information:
(i)
financial data (bank accounts and codes, credit cards, etc.);
(ii)
cash assets;
(iii)
shareholdings/other assets;
(iv)
property data;
(v)
links with companies;
(vi)
bank and credit contacts;
(vii)
tax position;
(viii)
other information revealing a person's management of his or her financial affairs;
(f)
behavioural data:
(i)
lifestyle (such as living above means) and routine;
(ii)
movements;
(iii)
places frequented;
(iv)
weapons and other dangerous instruments;
(v)
danger rating;
(vi)
specific risks such as escape probability, use of double agents, connections with law enforcement personnel;
(vii)
criminal-related traits and profiles;
(viii)
drug abuse;
(g)
contacts and associates, including type and nature of the contact or association;
(h)
means of communication used, such as telephone (static/mobile), fax, pager, electronic mail, postal addresses, internet connection(s);
(i)
means of transport used, such as vehicles, boats, aircraft, including information identifying those means of transport (registration numbers);
(j)
information relating to criminal conduct:
(i)
previous convictions;
(ii)
suspected involvement in criminal activities;
(iii)
modi operandi;
(iv)
means which were or may be used to prepare and/or commit crimes;
(v)
membership of criminal groups/organisations and position in the group/organisation;
(vi)
role in the criminal organisation;
(vii)
geographical range of criminal activities;
(viii)
material gathered in the course of an investigation, such as video and photographic images;
(k)
references to other information systems in which information on the person is stored:
(i)
Europol;
(ii)
police/customs agencies;
(iii)
other enforcement agencies;
(iv)
international organisations;
(v)
public entities;
(vi)
private entities;
(l)
information on legal persons associated with the data referred to in points (e) and (j):
(i)
designation of the legal person;
(ii)
location;
(iii)
date and place of establishment;
(iv)
administrative registration number;
(v)
legal form;
(vi)
capital;
(vii)
area of activity;
(viii)
national and international subsidiaries;
(ix)
directors;
(x)
links with banks.
3.
‘Contacts and associates’, as referred to in point (e) of paragraph 1, are persons through whom there is sufficient reason to believe that information which relates to the persons referred to in points (a) and (b) of paragraph 1 and which is relevant for the analysis can be gained, provided they are not included in one of the categories of persons referred to in points (a), (b), (c), (d) and (f) of paragraph 1. ‘Contacts’ are those persons who have a sporadic contact with the persons referred to in points (a) and (b) of paragraph 1. ‘Associates’ are those persons who have a regular contact with the persons referred to in points (a) and (b) of paragraph 1.
In relation to contacts and associates, the data referred to in paragraph 2 may be stored as necessary, provided there is reason to assume that such data are required for the analysis of the relationship of such persons with persons referred to in points (a) and (b) of paragraph 1. In this context, the following shall be observed:
(a)
such relationship shall be clarified as soon as possible;
(b)
the data referred to in paragraph 2 shall be deleted without delay if the assumption that such relationship exists turns out to be unfounded;
(c)
all data referred to in paragraph 2 may be stored if contacts or associates are suspected of having committed an offence falling within the scope of Europol's objectives, or have been convicted for the commission of such an offence, or if there are factual indications or reasonable grounds under the national law of the Member State concerned to believe that they will commit such an offence;
(d)
data referred to in paragraph 2 on contacts, and associates, of contacts as well as on contacts, and associates, of associates shall not be stored, with the exception of data on the type and nature of their contact or association with the persons referred to in points (a) and (b) of paragraph 1;
(e)
if a clarification pursuant to the previous points is not possible, this shall be taken into account when a decision is taken on the need for, and the extent of, data storage for further analysis.
4.
With regard to a person who, as referred to in point (d) of paragraph 1, has been the victim of one of the offences under consideration or who, on the basis of certain facts there is reason to believe could be the victim of such an offence, the data referred to in point (a) to point (c)(iii) of paragraph 2 as well as the following categories of data may be stored:
(a)
victim identification data;
(b)
reason for victimisation;
(c)
damage (physical/financial/psychological/other);
(d)
whether anonymity is to be guaranteed;
(e)
whether participation in a court hearing is possible;
(f)
crime-related information provided by or through persons referred to in point (d) of paragraph 1, including where necessary information on their relationship with other persons, for the purpose of identifying the persons referred to in points (a) and (b) of paragraph 1.
Other data referred to in paragraph 2 may be stored as necessary, provided there is reason to assume that they are required for the analysis of a person's role as victim or potential victim.
Data not required for any further analysis shall be deleted.
5.
With regard to persons who, as referred to in point (c) of paragraph 1, might be called on to testify in investigations in connection with the offences under consideration or in subsequent criminal proceedings, data referred to in point (a) to point (c)(iii) of paragraph 2 as well as categories of data complying with the following criteria may be stored:
(a)
crime-related information provided by such persons, including information on their relationship with other persons included in the analysis work file;
(b)
whether anonymity is to be guaranteed;
(c)
whether protection is to be guaranteed and by whom;
(d)
new identity;
(e)
whether participation in a court hearing is possible.
Other data referred to in paragraph 2 may be stored as necessary, provided there is reason to assume that they are required for the analysis of such persons' role as witness.
Data not required for any further analysis shall be deleted.
6.
With regard to persons who, as referred to in point (f) of paragraph 1, can provide information on the criminal offences under consideration, data referred to in point (a) to point (c)(iii) of paragraph 2 as well as categories of data complying with the following criteria may be stored:
(a)
coded personal details;
(b)
type of information supplied;
(c)
whether anonymity is to be guaranteed;
(d)
whether protection is to be guaranteed and by whom;
(e)
new identity;
(f)
whether participation in a court hearing is possible;
(g)
negative experiences;
(h)
rewards (financial/favours).
Other data referred to in paragraph 2 may be stored as necessary, provided there is reason to assume that they are required for the analysis of such persons' role as informant.
Data not required for any further analysis shall be deleted.
7.
If, at any time during the course of an analysis, it becomes clear on the basis of serious and corroborating indications that a person should be included in a category of persons, as defined in this Annex, other than the category in which that person was initially placed, Europol may process only the data on that person which is permitted under that new category, and all other data shall be deleted.
If, on the basis of such indications, it becomes clear that a person should be included in two or more different categories as defined in this Annex, all data allowed under such categories may be processed by Europol.

Summary:
European Union Agency for Law Enforcement Cooperation (Europol)
SUMMARY OF:
Regulation (EU) 2016/794 on the European Union Agency for Law Enforcement Cooperation (Europol)
WHAT IS THE AIM OF THE REGULATION?
It sets up the rules for the 
European Union Agency for Law Enforcement Cooperation
 (Europol), including a system by which the 
European Parliament
, together with national parliaments, can politically monitor Europol’s activities.
It adapts Europol’s external relations to the rules of the 
Treaty of Lisbon
.
Amending Regulation (EU) 
2022/991
 strengthens Europol’s mandate to fight serious crime and terrorism and to tackle emerging security threats.
KEY POINTS
Objectives
Europol’s objectives are to support and strengthen:
action by law enforcement authorities
 in the 
European Union
 (EU) 
Member States
;
mutual cooperation
 among Member States in preventing and combating terrorism, serious crime affecting two or more Member States and forms of crime that affect a common interest covered by EU policy.
Tasks
The regulation sets out a number of specific tasks in order to meet those objectives, including:
collecting, storing, processing, analysing and sharing information
 including criminal intelligence;
notifying Member States
, via Europol 
national units
, of any information and connection between criminal offences concerning them;
coordinating, organising and implementing investigative and operational actions
 to support and strengthen actions by Member States’ authorities;
preparing 
threat assessments
, strategic and operational analyses and general situation reports;
participating in 
joint investigation teams
;
developing 
EU centres of specialised expertise
 for combating certain types of crime, for example the 
European Cybercrime Centre
;
supporting Member States in combating crime enabled, promoted or committed using the internet.
Scrutiny
Europol’s powers are accompanied by data protection safeguards, democratic oversight and accountability mechanisms to ensure that the agency’s activities and tasks are carried out in full compliance with fundamental rights and freedoms, as enshrined in the 
Charter of Fundamental Rights
.
The 
European Data Protection Supervisor
 (EDPS) supervises Europol’s processing of personal data and there is a clear procedure for citizens to address requests under 
EU law
.
Europol’s work is overseen by a 
Joint Parliamentary Scrutiny Group
, with members from both the European Parliament and national parliaments.
Amending Regulation (EU) 2022/991
The amending regulation:
strengthens Europol’s operational capacity for 
cooperation with private parties
 (rules on exchanging personal data with private parties and analysing these data);
allows Europol to 
share personal data with certain private parties
 to prevent the dissemination of: 
online content related to terrorism or violent extremism in crisis situations, and
online child sexual abuse material;
sets out rules on 
analysing big data
 (datasets that are too large or complex to be dealt with by traditional data-processing application software) in line with Europol’s operational needs and in compliance with 
fundamental rights
, including a new legal basis for Europol to 
process big data
 in support of an 
ongoing criminal investigation
;
reinforces Europol’s 
external supervision
 by the EDPS and Europol’s 
internal supervision
 by its 
data protection function
, and introduces the new role of 
fundamental rights officer
;
gives Europol 
new powers
: 
to propose the initiation of a 
criminal investigation
 in a Member State for crimes affecting a common interest covered by an EU policy, 
without
 the requirement of a cross-border dimension of the crime concerned – however, the Member State in question is not required to inform Europol if it decides not to take up the proposal,
to propose that Member States enter 
information alerts into the 
Schengen information system
;
enhances 
cooperation with the 
European Public Prosecutor’s Office
 (EPPO) by introducing a hit / no-hit system that enables the EPPO to have indirect access to Europol data relating to offences within the EPPO’s mandate;
in relation to 
research and innovation
, introduces rules on using emerging technologies, exploring new approaches and developing common technological solutions – including with regard to the development, training, testing and validation of algorithms;
in relation to the 
data protection framework applicable to Europol
, incorporates into the regulation the relevant rules in Regulation (EU) 
2018/1725
 (see 
summary
) on the protection of natural persons with regard to the processing of operational personal data;
increases 
parliamentary oversight and accountability
 with the participation, as observers, of two members of the Joint Parliamentary Scrutiny Group in 
Europol Management Board
 meetings to discuss non-operational matters, and enhances Europol reporting obligations;
offers Europol the possibility to transfer personal data to 
non-EU countries
 in specific and duly justified situations and where appropriate safeguards exist.
EDPS legal action, September 2022
In September 2022, the EDPS requested that the 
Court of Justice of the European Union
 annul Articles 74a and 74b of the Europol regulation (Regulation (EU) 2016/794, as newly amended by Regulation (EU) 2022/991), which clarify that the new rules set by the co-legislators for the processing of big data apply to all data that Europol held legally at the moment of application of the amending regulation (i.e. 
28 June 2022
).
These articles remain valid until a decision has been made by the Court of Justice.
Repeal
The regulation repeals and replaces the former Europol decision, Decision 
2009/371/JHA
.
FROM WHEN DOES THE REGULATION APPLY?
It has applied since 
1 May 2017
, except for some rules which have applied since 
13 June 2016
:
legal agreements and contracts concluded under Decision 2009/371/EU – Article 71,
transitional arrangements concerning the management board) – Article 72 and
transitional arrangements concerning staff – Article 73.
Changes introduced by amending Regulation (EU) 2022/991 have applied since 
28 June 2022
.
BACKGROUND
For further information, see:
About Europol
 (Europol).
MAIN DOCUMENT
Regulation (EU) 
2016/794
 of the European Parliament and of the Council of 
11 May 2016
 on the European Union Agency for Law Enforcement Cooperation (Europol) and replacing and repealing Council Decisions 2009/371/JHA, 2009/934/JHA, 2009/935/JHA, 2009/936/JHA and 2009/968/JHA (OJ L 135, 
24.5.2016
, 
pp. 53–114
).
Successive amendments to Regulation (EU) 2016/794 have been incorporated into the original text. This 
consolidated version
 is of documentary value only.
RELATED DOCUMENTS
Regulation (EU) 
2018/1725
 of the European Parliament and of the Council of 
23 October 2018
 on the protection of natural persons with regard to the processing of personal data by the Union institutions, bodies, offices and agencies and on the free movement of such data, and repealing Regulation (EC) 
No 45/2001
 and Decision 
No 1247/2002/EC
 (OJ L 295, 
21.11.2018
, 
pp. 39–98
).
Council Regulation (EU) 
2017/1939
 of 
12 October 2017
 implementing enhanced cooperation on the establishment of the European Public Prosecutor’s Office (‘the EPPO’) (OJ L 283, 
31.10.2017
, 
pp. 1–71
).
See 
consolidated version
.
Council Framework Decision 
2002/465/JHA
 of 
13 June 2002
 on joint investigation teams (OJ L 162, 
20.6.2002
, 
pp. 1–3
).
last update 
18.1.2023

--- DANISH ---

Document:
24.5.2016
DA
Den Europæiske Unions Tidende
L 135/53
EUROPA-PARLAMENTETS OG RÅDETS FORORDNING (EU) 2016/794
af 11. maj 2016
om Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) og om erstatning og ophævelse af Rådets afgørelse 2009/371/RIA, 2009/934/RIA, 2009/935/RIA, 2009/936/RIA og 2009/968/RIA
EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR —
under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 88,
under henvisning til forslag fra Europa-Kommissionen,
efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter,
efter den almindelige lovgivningsprocedure 
(
1
)
, og
ud fra følgende betragtninger:
(1)
Europol blev oprettet ved Rådets afgørelse 2009/371/RIA 
(
2
)
 som en EU-enhed finansieret over Unionens almindelige budget til at støtte og styrke de kompetente nationale myndigheders indsats og deres gensidige samarbejde om forebyggelse og bekæmpelse af organiseret kriminalitet, terrorisme og andre former for grov kriminalitet, der berører to eller flere medlemsstater. Afgørelse 2009/371/RIA trådte i stedet for konventionen udarbejdet på grundlag af artikel K.3 i traktaten om Den Europæiske Union om oprettelse af en europæisk politienhed (Europolkonventionen) 
(
3
)
.
(2)
I artikel 88 i traktaten om den Europæiske Unions funktionsmåde (TEUF) bestemmes det, at Europol skal reguleres ved en forordning, der skal vedtages efter den almindelige lovgivningsprocedure. Det bestemmes også, at der deri skal fastlægges de nærmere bestemmelser om Europa-Parlamentets kontrol af Europols aktiviteter sammen med de nationale parlamenter, med forbehold af artikel 12, litra c), i traktaten om Den Europæiske Union (TEU) og artikel 9 i protokol nr. 1 om de nationale parlamenters rolle i Den Europæiske Union, der er knyttet som bilag til TEU og TEUF (»protokol nr. 1«), med henblik på at øge Europols demokratiske legitimitet og ansvarlighed over for Unionens borgere. Afgørelse 2009/371/RIA bør derfor erstattes med en forordning, der bl.a. indeholder bestemmelser om parlamentarisk kontrol.
(3)
»Stockholmprogrammet — et åbent og sikkert Europa i borgernes tjeneste og til deres beskyttelse« 
(
4
)
 opfordrer til, at Europol udvikles og bliver et knudepunkt for informationsudveksling mellem medlemsstaternes retshåndhævende myndigheder, en tjenesteudbyder og en platform for de retshåndhævende tjenester. Efter en vurdering af Europols virke er det nødvendigt yderligere at forbedre Europols operationelle effektivitet, hvis dette mål skal nås.
(4)
Omfattende kriminelle netværk og terroristnetværk udgør en betydelig trussel mod Unionens indre sikkerhed og mod borgernes sikkerhed og levebrød. De foreliggende vurderinger af truslen viser, at kriminelle grupper i stigende grad er involveret i mange former for kriminalitet og opererer på tværs af landegrænserne. De nationale retshåndhævende myndigheder har derfor brug for at samarbejde tættere med deres kolleger i andre medlemsstater. I den forbindelse er det nødvendigt at give Europol midlerne til bedre at støtte medlemsstaterne i forebyggelsen af kriminalitet og i analyser og efterforskning af kriminalitet i hele Unionen. Dette blev også bekræftet i evalueringen af afgørelse 2009/371/RIA.
(5)
Formålet med denne forordning er at ændre og udvide bestemmelserne i afgørelse 2009/371/RIA og i Rådets afgørelse 2009/934/RIA 
(
5
)
, 2009/935/RIA 
(
6
)
, 2009/936/RIA 
(
7
)
 og 2009/968/RIA 
(
8
)
 til gennemførelse af afgørelse 2009/371/RIA. Eftersom der skal foretages et stort antal væsentlige ændringer, bør disse afgørelser af klarhedshensyn erstattes som helhed for så vidt angår de medlemsstater, der er bundet af denne forordning. Europol som oprettet ved denne forordning bør træde i stedet for Europol som oprettet ved afgørelse 2009/371/RIA, som derfor bør ophæves, og overtage dets opgaver.
(6)
Da grov kriminalitet ofte begås på tværs af indre landegrænser, bør Europol støtte og styrke medlemsstaternes indsats og deres samarbejde om at forebygge og bekæmpe alvorlig kriminalitet, der berører to eller flere medlemsstater. Eftersom terrorisme er en af de væsentligste trusler mod Unionens sikkerhed, bør Europol bistå medlemsstaterne med at imødegå fælles udfordringer herfra. Som Unionens retshåndhævelsesagentur bør Europol også støtte og styrke indsatsen for at tackle de former for kriminalitet, der berører Unionens interesser, og samarbejdet herom. Blandt de former for kriminalitet, som Europol har kompetence til at beskæftige sig med, vil organiseret kriminalitet fortsat falde inden for rammerne af Europols hovedmålsætninger, da den på grund af dens omfang, betydning og følger også kræver en fælles tilgang fra medlemsstaternes side. Europol bør også tilbyde støtte til forebyggelse og bekæmpelse af relaterede strafbare handlinger, der begås for at skaffe midler til at begå handlinger, som henhører under Europols kompetenceområde, eller for at fremme eller begå sådanne handlinger eller sikre, at de kan begås ustraffet.
(7)
Europol bør udarbejde strategiske analyser og trusselsvurderinger til hjælp for Rådet og Kommissionen, når de skal fastlægge Unionens strategiske og operationelle prioriteter for bekæmpelse af kriminalitet og foretage den operationelle gennemførelse af disse prioriteter. Hvis Kommissionen anmoder herom i henhold til artikel 8 i Rådets forordning (EU) nr. 1053/2013 
(
9
)
, bør Europol også foretage risikoanalyser, blandt andet om organiseret kriminalitet, for så vidt som de pågældende risici kan underminere medlemsstaternes anvendelse af Schengenreglerne. Desuden bør Europol efter anmodning fra Rådet eller Kommissionen, hvor det er relevant, levere strategiske analyser og trusselsvurderinger som bidrag til evalueringen af stater, der er kandidater til tiltrædelse af Unionen.
(8)
Angreb på informationssystemer, der påvirker Unionens organer eller to eller flere medlemsstater, er en voksende trussel i Unionen, navnlig i betragtning af deres hastighed og konsekvenser og vanskelighederne med at fastslå kilderne til dem. Medlemsstaterne bør ved behandling af anmodninger fra Europol om at indlede en efterforskning af et alvorligt angreb af formodet kriminel oprindelse på informationssystemer med konsekvenser for Unionens organer eller to eller flere medlemsstater hurtigst muligt svare Europol, under hensyntagen til den omstændighed, at indsatsens hurtighed er afgørende for at tackle IT-kriminalitet.
(9)
I betragtning af betydningen af samarbejde mellem agenturer bør Europol og Eurojust sørge for, at der etableres de nødvendige ordninger for at optimere deres operationelle samarbejde under behørig hensyntagen til deres respektive opgaver og mandater og medlemsstaternes interesser. Europol og Eurojust bør navnlig holde hinanden underrettet om alle aktiviteter vedrørende finansiering af fælles efterforskningshold.
(10)
Når der oprettes et fælles efterforskningshold, bør den relevante aftale fastlægge betingelserne for Europolansattes deltagelse i holdet. Europol bør føre et register over sin deltagelse i fælles efterforskningshold, der er målrettet kriminelle handlinger, som falder inden for rammerne af Europols målsætninger.
(11)
Europol bør kunne anmode medlemsstaterne om at indlede, gennemføre eller koordinere strafferetlige efterforskninger i konkrete sager, hvor samarbejde på tværs af landegrænserne vil være nyttigt. Europol bør underrette Eurojust om disse anmodninger.
(12)
Europol bør være et knudepunkt for informationsudveksling i Unionen. Oplysninger, der indsamles, lagres, behandles, analyseres og udveksles med Europol, omfatter kriminalefterretninger, som vedrører oplysninger om kriminalitet eller kriminelle handlinger, der falder inden for rammerne af Europols målsætninger, opnået med henblik på at fastslå, om der er begået eller i fremtiden kan blive begået konkrete strafbare handlinger.
(13)
For at sikre Europols effektivitet som et knudepunkt for informationsudveksling bør der fastsættes klare forpligtelser, der kræver, at medlemsstaterne meddeler Europol de nødvendige oplysninger, så Europol kan opfylde sine målsætninger. I forbindelse med opfyldelsen af disse forpligtelser bør medlemsstaterne lægge særlig vægt på at meddele oplysninger, der er relevante for bekæmpelsen af de former for kriminalitet, som anses for at være strategiske og operationelle prioriteter inden for de relevante politikinstrumenter i Unionen, især de prioriteter, der fastsættes af Rådet inden for rammerne af EU-politikcyklussen for organiseret og grov international kriminalitet. Medlemsstaterne bør også bestræbe sig på at tilsende Europol en kopi af bilaterale og multilaterale udvekslinger med andre medlemsstater af information om kriminalitet, der er omfattet af Europols målsætninger. Når medlemsstaterne giver Europol de nødvendige oplysninger, bør de medtage oplysninger om eventuelle påståede cyberangreb, der påvirker unionsorganer, som er etableret på deres område. Samtidig bør Europol i højere grad yde støtte til medlemsstaterne med henblik på at styrke det gensidige samarbejde og øge informationsudvekslingen. Europol bør forelægge en årsrapport for Europa-Parlamentet, Rådet og Kommissionen og de nationale parlamenter om de oplysninger, der meddeles af de enkelte medlemsstater.
(14)
For at sikre et effektivt samarbejde mellem Europol og medlemsstaterne bør der oprettes en national enhed i hver medlemsstat (den »nationale enhed«). Den nationale enhed bør være forbindelsesled mellem de nationale kompetente myndigheder og Europol og derved have en koordinerende rolle med hensyn til medlemsstaternes samarbejde med Europol og således bidrage til at sikre, at hver medlemsstat svarer på en ensartet måde på anmodninger fra Europol. For at sikre en løbende og effektiv udveksling af oplysninger mellem Europol og de nationale enheder og fremme deres samarbejde bør hver national enhed udpege mindst én forbindelsesofficer, der tilknyttes Europol.
(15)
Under hensyntagen til visse medlemsstaters decentraliserede struktur og behovet for hurtigt at udveksle oplysninger bør Europol kunne samarbejde direkte med de kompetente myndigheder i medlemsstaterne på de af medlemsstaterne fastsatte betingelser, samtidig med at de nationale enheder på anmodning af sidstnævnte holdes underrettet.
(16)
Der bør tilskyndes til oprettelse af fælles efterforskningshold, og Europols personale bør kunne deltage i dem. For at sikre, at denne deltagelse er mulig i samtlige medlemsstater, fastsættes det i Rådets forordning (Euratom, EKSF, EØF) nr. 549/69 
(
10
)
, at Europols personale ikke er omfattet af immuniteter, når det deltager i fælles efterforskningshold.
(17)
Det er også nødvendigt at forbedre styringen af Europol ved at søge effektivitetsforbedringer og strømline procedurer.
(18)
Kommissionen og medlemsstaterne bør være repræsenteret i Europols bestyrelse (»bestyrelsen«), så de effektivt kan føre tilsyn med Europols virksomhed. Medlemmerne af og suppleanterne til bestyrelsen bør udnævnes under hensyn til deres relevante ledelses-, administrations- og budgetkvalifikationer og kendskab til retshåndhævelsessamarbejde. Suppleanter bør optræde som medlem i medlemmers fravær.
(19)
Alle parter, der er repræsenteret i bestyrelsen, bør bestræbe sig på at begrænse udskiftningen af deres repræsentanter med henblik på at sikre kontinuiteten i bestyrelsens arbejde. Alle parter bør tilstræbe at opnå en afbalanceret repræsentation af mænd og kvinder i bestyrelsen.
(20)
Bestyrelsen bør kunne indbyde observatører uden stemmeret, hvis synspunkter kan være relevante for diskussionen, herunder en repræsentant, der er udpeget af Gruppen for Fælles Parlamentarisk Kontrol.
(21)
Bestyrelsen bør have de nødvendige beføjelser, særlig til at opstille budgettet, kontrollere dets gennemførelse og vedtage de nødvendige finansielle regler og planlægningsdokumenter samt vedtage regler for forebyggelse og håndtering af interessekonflikter for så vidt angår bestyrelsesmedlemmerne, fastlægge gennemsigtige arbejdsprocedurer for Europols administrerende direktørs beslutningstagning og vedtage årsberetningen. Den bør have beføjelser som ansættelsesmyndighed over for agenturets personale, herunder den administrerende direktør.
(22)
For at sikre effektiv daglig drift af Europol bør den administrerende direktør repræsentere Europol i retlig henseende og forestå ledelsen heraf, handle uafhængigt i udøvelsen af sine opgaver og sikre, at Europol udfører de opgaver, der er fastsat i denne forordning. Særligt bør den administrerende direktør være ansvarlig for at udarbejde de budget- og planlægningsdokumenter, der forelægges for bestyrelsen til vedtagelse, og for at gennemføre Europols flerårige programmering og årlige arbejdsprogrammer og andre planlægningsdokumenter.
(23)
For at kunne forebygge og bekæmpe den kriminalitet, der falder inden for rammerne af Europols målsætninger, er det nødvendigt, at Europol har så fyldige og aktuelle oplysninger som muligt. Europol bør derfor kunne behandle de oplysninger, som medlemsstaterne, EU-organer, tredjelande, internationale organisationer og, under strenge betingelser som fastsat i denne forordning, private parter har meddelt Europol, samt oplysninger fra offentligt tilgængelige kilder, så Europol kan få en forståelse af fænomener og tendenser inden for kriminalitet, indsamle efterretninger om kriminelle netværk og opdage forbindelser mellem forskellige strafbare handlinger.
(24)
Europol bør anvende ny teknologi til databehandling, så agenturet mere effektivt kan give medlemsstaternes kompetente myndigheder præcise analyser af kriminalitet. Europol bør hurtigt kunne opdage forbindelser mellem undersøgelser og afdække fremgangsmåder, der er fælles for forskellige kriminelle grupper, tjekke sammenfald i data og skaffe sig et klart overblik over tendenser, samtidig med at der garanteres en høj standard for beskyttelse af personoplysninger. Europols databaser bør derfor være opbygget således, at agenturet kan vælge den mest effektive IT-struktur. Europol bør også kunne fungere som tjenesteudbyder, især ved at stille et sikkert netværk til udvekslingen af oplysninger såsom netværksprogrammet for sikker informationsudveksling (SIENA) til rådighed med henblik på at lette informationsudvekslingen mellem medlemsstater, Europol, andre EU-organer, tredjelande og internationale organisationer. For at sikre et højt databeskyttelsesniveau bør det fastsættes, til hvilke formål data kan behandles, og til hvilke formål der kan gives adgang til data, og der bør fastsættes særlige yderligere garantier. Navnlig bør principperne om nødvendighed og proportionalitet overholdes i forbindelse med behandlingen af personoplysninger.
(25)
Europol bør sikre, at alle personoplysninger, der behandles til operationelle analyser, tildeles et bestemt formål. Dog bør Europol for at kunne opfylde sin funktion have tilladelse til at behandle alle personoplysninger, der er modtaget, med henblik på at finde forbindelser mellem forskellige kriminalitetsområder og efterforskninger og bør ikke være begrænset til kun at finde sammenhænge inden for et kriminalitetsområde.
(26)
Af hensyn til ejendomsretten til oplysninger og beskyttelsen af personoplysninger bør medlemsstater, EU-organer, tredjelande og internationale organisationer kunne bestemme, til hvilket eller hvilke formål Europol må behandle de data, som de meddeler, og begrænse adgangsrettighederne. Formålsbegrænsning er et grundlæggende princip inden for behandling af personoplysninger; navnlig øger det gennemsigtigheden, retssikkerheden og forudsigeligheden og er særlig vigtigt inden for retshåndhævelsessamarbejde, hvor de registrerede som regel er uvidende om, at deres personoplysninger bliver indsamlet og behandlet, og hvor brugen af personoplysninger kan have meget betydelig indflydelse på enkeltpersoners liv og frihedsrettigheder.
(27)
For at sikre, at adgang til data kun gives til dem, der har brug for adgang for at kunne udføre deres arbejdsopgaver, bør forordningen fastsætte detaljerede regler om, i hvilket omfang der skal gives ret til at få adgang til data, der behandles af Europol. Disse regler bør ikke gribe ind i de adgangsbegrænsninger, som leverandørerne af oplysninger har fastsat, da princippet om ejendomsret til oplysninger bør overholdes. Med henblik på en mere effektiv forebyggelse og bekæmpelse af den kriminalitet, der falder inden for rammerne af Europols målsætninger, bør Europol underrette medlemsstaterne om oplysninger, der vedrører dem.
(28)
For at styrke det operationelle samarbejde mellem agenturerne og særligt for at kunne konstatere, om der er forbindelser mellem oplysninger, der allerede er i de forskellige agenturers besiddelse, bør Europol give Eurojust og Det Europæiske Kontor for Bekæmpelse af Svig (OLAF) mulighed for at få adgang til oplysninger hos Europol for at få svar på, om der findes oplysninger om søgeemnet. Europol og Eurojust bør være i stand til at indgå en samarbejdsordning, der på gensidig vis inden for deres respektive mandater sikrer adgang til og mulighed for at søge i alle oplysninger, der er meddelt med henblik på krydstjek i overensstemmelse med de særlige sikkerhedsforanstaltninger og databeskyttelsesgarantier, der er fastsat i denne forordning. Enhver adgang til oplysninger hos Europol bør ved hjælp af tekniske midler blive begrænset til information, der falder ind under disse EU-organers respektive mandat.
(29)
Europol bør opretholde samarbejdsrelationer med andre EU-organer, myndigheder i tredjelande, internationale organisationer og private parter, i det omfang det er nødvendigt, for at Europol kan udføre sine opgaver.
(30)
For at sikre operationel effektivitet bør Europol kunne udveksle alle relevante oplysninger, undtagen personoplysninger, med andre EU-organer, myndigheder i tredjelande samt internationale organisationer, i det omfang det er nødvendigt, for at Europol kan udføre sine opgaver. Da selskaber, virksomheder, erhvervssammenslutninger, ikkestatslige organisationer og andre private parter besidder sagkundskab og oplysninger, der har umiddelbar relevans for forebyggelse og bekæmpelse af grov kriminalitet og terrorisme, bør Europol også kunne udveksle sådanne oplysninger med private parter. For at forebygge og bekæmpe IT-kriminalitet forbundet med sikkerhedsrelaterede hændelser i net og informationssystemer bør Europol i henhold til den gældende EU-retsakt om fastsættelse af foranstaltninger, der skal sikre et højt fælles niveau for net- og informationssikkerhed i hele Unionen, samarbejde og udveksle oplysninger, dog undtagen personoplysninger, med de nationale myndigheder, der er ansvarlige for sikkerheden af net og informationssystemer.
(31)
Europol bør kunne udveksle relevante personoplysninger med andre EU-organer, i det omfang det er nødvendigt, for at Europol kan udføre sine opgaver eller EU-organerne deres opgaver.
(32)
Grov kriminalitet og terrorisme har ofte forbindelser uden for Unionen. Europol bør derfor kunne udveksle personoplysninger med myndigheder i tredjelande og med internationale organisationer, såsom Den Internationale Kriminalpolitiorganisation — Interpol, i det omfang det er nødvendigt, for at Europol kan udføre sine opgaver.
(33)
Alle medlemsstater er tilknyttet Interpol. Med henblik på at opfylde sin funktion modtager, opbevarer og videregiver Interpol oplysninger for at bistå de kompetente retshåndhævende myndigheder med at forebygge og bekæmpe international kriminalitet. Derfor er det relevant at styrke samarbejdet mellem Europol og Interpol ved at fremme en effektiv udveksling af personoplysninger, samtidig med at overholdelse af de grundlæggende rettigheder og frihedsrettigheder med hensyn til automatisk behandling af personoplysninger sikres. Når der overføres personoplysninger fra Europol til Interpol, bør denne forordning finde anvendelse, navnlig bestemmelserne om internationale videregivelser.
(34)
For at garantere formålsbegrænsning er det vigtigt at sikre, at Europol kun kan overføre personoplysninger til EU-organer, tredjelande og internationale organisationer, hvis det er nødvendigt for at forebygge og bekæmpe kriminalitet, der er omfattet af Europols målsætninger. Med henblik herpå er det nødvendigt, når der overføres personoplysninger, at sikre, at modtageren giver tilsagn om, at oplysningerne udelukkende vil blive anvendt af modtageren eller videregivet til en kompetent myndighed i et tredjeland til det formål, hvortil de oprindelig blev overført. Yderligere videregivelse af oplysninger bør finde sted i overensstemmelse med denne forordning.
(35)
Europol bør kunne videregive personoplysninger til myndigheder i tredjelande eller internationale organisationer på grundlag af en afgørelse fra Kommissionen om, at det pågældende land eller den pågældende organisation sikrer et tilstrækkeligt databeskyttelsesniveau (»afgørelse om tilstrækkeligt beskyttelsesniveau«), eller, når der ikke er truffet en afgørelse om tilstrækkeligt beskyttelsesniveau, på grundlag af en international aftale indgået af Unionen i medfør af artikel 218 i TEUF eller en samarbejdsaftale, der muliggør udveksling af personoplysninger, og som er indgået mellem Europol og det pågældende tredjeland inden denne forordnings ikrafttræden. I lyset af artikel 9 i protokol nr. 36 om overgangsbestemmelser, der er knyttet som bilag til TEU og TEUF, skal retsvirkningerne af disse aftaler bevares, indtil aftalerne ophæves, annulleres eller ændres i medfør af traktaterne. Hvis det er relevant og i overensstemmelse med Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 
(
11
)
, bør Kommissionen kunne høre Den Europæiske Tilsynsførende for Databeskyttelse (EDPS) inden og under forhandlingerne om en international aftale. Hvis bestyrelsen konstaterer, at der et operationelt behov for samarbejde med et tredjeland eller en international organisation, bør den kunne foreslå Rådet, at sidstnævnte henleder Kommissionens opmærksomhed på, at der er behov for en afgørelse om tilstrækkeligt beskyttelsesniveau eller for en henstilling om at indlede forhandlinger om en international aftale som omhandlet ovenfor.
(36)
Når personoplysninger ikke kan videregives på grundlag af en afgørelse om tilstrækkeligt beskyttelsesniveau eller en international aftale indgået af Unionen eller en gældende samarbejdsaftale, bør bestyrelsen efter aftale med EDPS kunne give tilladelse til en gruppe videregivelser, når særlige forhold gør det nødvendigt, og der sikres tilstrækkelige garantier. Den administrerende direktør bør kunne give tilladelse til videregivelse af oplysninger i ekstraordinære enkeltstående tilfælde, når en sådan videregivelse er påkrævet, på bestemte strenge betingelser.
(37)
Europol bør kun kunne behandle personoplysninger, der hidrører fra private parter og privatpersoner, hvis disse oplysninger videregives til Europol af en af følgende: en national enhed i henhold til national ret; et kontaktpunkt i et tredjeland eller en international organisation, hvormed der er et etableret samarbejde på grundlag af en samarbejdsaftale, der muliggør udveksling af personoplysninger, og som er indgået i henhold til artikel 23 i afgørelse 2009/371/RIA inden denne forordnings ikrafttræden; en myndighed i et tredjeland eller en international organisation, som er omfattet af en afgørelse om tilstrækkeligt beskyttelsesniveau, eller hvormed Unionen har indgået en international aftale i henhold til artikel 218 i TEUF. Dog bør Europol, i tilfælde, hvor Europol modtager personoplysninger direkte fra private parter, og den berørte nationale enhed, det berørte kontaktpunkt eller den berørte myndighed ikke kan identificeres, kun kunne behandle disse personoplysninger med henblik på at identificere disse enheder, og sådanne oplysninger bør slettes, medmindre disse enheder igen meddeler disse personoplysninger senest fire måneder efter, at overførslen finder sted. Europol bør ved hjælp af tekniske midler sikre, at disse oplysninger i denne periode ikke er tilgængelige for behandling til andre formål.
(38)
Under hensyn til den ekstraordinære og specifikke trussel, som terrorisme og andre former for alvorlig kriminalitet udgør for Unionens interne sikkerhed, navnlig når de lettes, fremmes eller begås ved hjælp af internettet, bør de aktiviteter, som Europol bør gennemføre på grundlag af denne forordning som følge af gennemførelsen af Rådets konklusioner af 12. marts 2015 og opfordringen fra Det Europæiske Råd den 23. april 2015, især i forbindelse med de pågældende prioriterede områder, navnlig den hermed overensstemmende praksis med direkte udveksling af personoplysninger med private parter, evalueres af Kommissionen senest den 1. maj 2019.
(39)
Oplysninger, der tydeligvis er opnået i åbenbar strid med menneskerettighederne, bør ikke kunne behandles.
(40)
Databeskyttelsesreglerne for Europol bør strammes op og bør følge principperne i forordning (EF) nr. 45/2001, så der sikres et højt niveau for beskyttelse af fysiske personer med hensyn til behandling af personoplysninger. Da erklæring nr. 21 om beskyttelse af personoplysninger inden for retligt samarbejde i straffesager og politisamarbejde, der er knyttet som bilag til TEU og TEUF, anerkender den specifikke karakter af behandling af personoplysninger i forbindelse med retshåndhævelse, bør databeskyttelsesreglerne for Europol være selvstændige regler, som er forenelige med andre relevante databeskyttelsesinstrumenter, der gælder inden for politisamarbejde i Unionen. Disse instrumenter omfatter navnlig Europa-Parlamentets og Rådets direktiv (EU) 2016/680 
(
12
)
 samt Europarådets konvention om beskyttelse af det enkelte menneske i forbindelse med elektronisk databehandling af personoplysninger og dets anbefaling R(87) 15 
(
13
)
.
(41)
Enhver behandling af personoplysninger af Europol bør være lovlig og rimelig med hensyn til de registrerede. Princippet om rimelig behandling kræver gennemsigtighed i behandlingen, der gør det muligt for de registrerede at udøve deres rettigheder i henhold til denne forordning. Det bør dog være muligt at afslå eller begrænse adgang til deres personoplysninger, hvis et sådant afslag eller en sådan begrænsning under behørig hensyntagen til den pågældende registreredes interesser udgør en nødvendig foranstaltning for at gøre det muligt for Europol at udføre sine opgaver korrekt, for at beskytte sikkerheden og den offentlige orden eller hindre kriminalitet, for at sikre, at en national efterforskning ikke bringes i fare, eller for at beskytte tredjemands rettigheder og frihedsrettigheder. For at fremme gennemsigtighed bør Europol offentliggøre et dokument, der i forståelig form redegør for de gældende bestemmelser om behandling af personoplysninger og de midler, der står til rådighed for registreredes udøvelse af deres rettigheder. Europol bør også på sit websted offentliggøre en liste over afgørelser om tilstrækkeligt beskyttelsesniveau, aftaler og administrative ordninger vedrørende videregivelse af personoplysninger til tredjelande og internationale organisationer. Desuden bør Europol for at øge sin gennemsigtighed over for EU-borgere og sin ansvarlighed på sit websted offentliggøre en liste over sine bestyrelsesmedlemmer og, hvis det er relevant, sammenfatninger af resultaterne af bestyrelsesmøderne under overholdelse af databeskyttelseskravene.
(42)
Der bør så vidt muligt sondres mellem forskellige kategorier af personoplysninger, alt efter hvor korrekte og pålidelige de er. Der bør sondres mellem kendsgerninger og personlige vurderinger for både at sikre beskyttelsen af fysiske personer og kvaliteten og pålideligheden af de oplysninger, der behandles af Europol. For så vidt angår oplysninger, der er opnået fra offentligt tilgængelige kilder, navnlig kilder på internettet, bør Europol så vidt muligt med særlig omhu vurdere rigtigheden af sådanne oplysninger og kildens pålidelighed for at imødegå de risici, der er forbundet med internettet hvad angår beskyttelse af personoplysninger og privatlivets fred.
(43)
Der behandles personoplysninger i relation til forskellige kategorier af registrerede i forbindelse med retshåndhævelsessamarbejde. Europol bør gøre sondringerne mellem personoplysninger for forskellige kategorier af registrerede så klare som muligt. Personoplysninger om personer såsom ofre, vidner og personer i besiddelse af relevante oplysninger samt personoplysninger om mindreårige bør i særlig grad beskyttes. Europol bør kun behandle følsomme oplysninger, hvis disse oplysninger supplerer andre personoplysninger, der allerede er blevet behandlet af Europol.
(44)
I lyset af de grundlæggende rettigheder til beskyttelse af personoplysninger bør Europol ikke opbevare personoplysninger længere end nødvendigt til, at det kan udføre sine opgaver. Behovet for fortsat opbevaring af sådanne oplysninger bør undersøges senest tre år efter påbegyndelsen af den oprindelige behandling.
(45)
For at garantere sikkerheden af personoplysninger bør Europol og medlemsstaterne træffe de nødvendige tekniske og organisatoriske foranstaltninger.
(46)
Enhver registreret bør have ret til indsigt i personoplysninger, der vedrører den pågældende selv, ret til at få berigtiget disse oplysninger, hvis de er urigtige, og ret til at få dem slettet eller begrænset, hvis disse oplysninger ikke længere er nødvendige. Omkostningerne ved udøvelse af retten til indsigt i personoplysninger bør ikke være en hindring for effektivt at udøve denne ret. Den registreredes rettigheder og udøvelsen heraf bør ikke have nogen indvirkning på Europols forpligtelser og bør undergives begrænsningerne i denne forordning.
(47)
Beskyttelsen af de registreredes rettigheder og friheder kræver en klar ansvarsfordeling i henhold til denne forordning. Særligt bør medlemsstaterne være ansvarlige for oplysningernes rigtighed, for at de oplysninger, de har videregivet til Europol, bliver ajourført, og for at videregivelserne af disse oplysninger er lovlige. Europol bør være ansvarlig for oplysningernes rigtighed og for, at de oplysninger, der stammer fra andre leverandører af oplysninger eller fra Europols egne analyser, bliver ajourført. Europol bør sikre, at oplysninger behandles loyalt og lovligt, og at de indsamles og behandles til udtrykkeligt angivne formål. Europol bør også sikre, at oplysningerne er tilstrækkelige og relevante og ikke for omfattende i forhold til formålet med behandlingen, at de ikke opbevares længere end nødvendigt til det pågældende formål, og at de behandles på en måde, der garanterer passende sikkerhed af personoplysninger og fortrolig databehandling.
(48)
Europol bør registrere indsamling, ændring, adgang, videregivelse, samkøring og sletning af personoplysninger med henblik på at kontrollere lovligheden af databehandlingen, udøve egenkontrol og garantere dataenes integritet og sikkerhed. Europol bør have pligt til at samarbejde med EDPS og til efter anmodning at stille registreringer eller dokumentation til rådighed for den tilsynsførende, så de kan bruges i forbindelse med kontrollen af databehandlingen.
(49)
Europol bør udpege en databeskyttelsesansvarlig til at bistå sig med kontrollen af, om denne forordning overholdes. Den databeskyttelsesansvarlige bør være i stand til at udøve sit hverv uafhængigt og effektivt og bør råde over de nødvendige ressourcer med henblik herpå.
(50)
Det er afgørende for beskyttelsen af fysiske personer i forbindelse med behandling af personoplysninger, at der findes uafhængige, gennemsigtige, ansvarlige og effektive tilsynsstrukturer som krævet i artikel 8, stk. 3, i Den Europæiske Unions charter om grundlæggende rettigheder. Nationale myndigheder, der har beføjelser til at føre tilsyn med behandling af personoplysninger, bør kontrollere lovligheden af de personoplysninger, som medlemsstaterne meddeler Europol. EDPS bør kontrollere lovligheden af databehandling, der er udført af Europol, ved udøvelsen af sit hverv, og være fuldstændig uafhængig. I denne forbindelse er den forudgående høringsmekanisme en vigtig garanti for nye typer af behandlingsoperationer. Dette bør ikke finde anvendelse på specifikke individuelle operationelle aktiviteter som f.eks. operationelle analyseprojekter, men på anvendelse af nye IT-systemer til behandling af personoplysninger og væsentlige ændringer af disse.
(51)
Det er vigtigt at sikre styrket og effektivt tilsyn med Europol og garantere, at EDPS kan gøre brug af passende ekspertise inden for databeskyttelse på retshåndhævelsesområdet, når vedkommende påtager sig ansvar for databeskyttelsestilsynet med Europol. EDPS og de nationale tilsynsmyndigheder bør samarbejde tæt med hinanden om særlige spørgsmål, der kræver, at de nationale myndigheder inddrages, og bør sikre ensartet anvendelse af denne forordning overalt i Unionen.
(52)
For at lette samarbejdet mellem EDPS og de nationale tilsynsmyndigheder, men uden at dette berører EDPS' uafhængighed og dennes ansvar for databeskyttelsestilsynet med Europol, bør de mødes regelmæssigt i samarbejdsrådet, der som rådgivende organ bør udarbejde udtalelser, retningslinjer, henstillinger og bedste praksis om forskellige spørgsmål, der kræver, at de nationale myndigheder inddrages.
(53)
Da Europol også behandler personoplysninger, der ikke er operationelle oplysninger, og som ikke vedrører strafferetlig efterforskning, f.eks. personoplysninger om Europols ansatte, tjenesteydere eller besøgende, bør forordning (EF) nr. 45/2001 finde anvendelse på behandlingen af sådanne oplysninger.
(54)
De registrerede bør kunne indgive klage til EDPS, der bør undersøge klagen. Behandlingen af en klage bør foretages, i det omfang det er relevant i det konkrete tilfælde, med mulighed for domstolsprøvelse. Den nationale tilsynsmyndighed bør underrette den registrerede om behandlingen og resultatet af klagen inden en rimelig frist.
(55)
Enhver fysisk person bør have adgang til retsmidler over for afgørelser truffet af EDPS vedrørende den pågældende selv.
(56)
De almindelige regler om ansvar i og uden for kontrakt, der gælder for EU-institutionerne og EU-agenturer og -organer, bør finde anvendelse på Europol, dog med undtagelse af reglerne om ansvar for ulovlig databehandling.
(57)
Det er muligvis ikke klart for den pågældende fysiske person, om den skade, den pågældende har lidt som følge af ulovlig databehandling, skyldes Europols eller en medlemsstats handlinger. Europol og medlemsstaten, hvor den skadevoldende handling skete, bør derfor være solidarisk ansvarlige.
(58)
Samtidig med at Europa-Parlamentets og de nationale parlamenters rolle med hensyn til kontrol af Europols aktiviteter respekteres, er det nødvendigt, at Europol er en fuldt ansvarlig og gennemsigtig intern organisation. Med henblik herpå bør der i lyset af artikel 88 i TEUF fastlægges procedurer for Europa-Parlamentets og de nationale parlamenters kontrol af Europols aktiviteter. Disse procedurer bør være omfattet af artikel 12, litra c), i TEU og af artikel 9 i protokol nr. 1, som fastsætter, at Europa-Parlamentet og de nationale parlamenter i fællesskab tilrettelægger og fremmer et effektivt og regelmæssigt interparlamentarisk samarbejde inden for Unionen. De procedurer, der skal fastsættes for kontrol af Europols aktiviteter, bør tage hensyn til nødvendigheden af at sikre, at Europa-Parlamentet og de nationale parlamenter er ligestillede, samt nødvendigheden af at sikre fortroligheden af operationelle oplysninger. Den måde, hvorpå de nationale parlamenter udøver kontrol med deres regering i relation til Den Europæiske Unions aktiviteter, falder dog ind under den enkelte medlemsstats særlige forfatningsmæssige system og praksis.
(59)
Vedtægten for tjenestemænd i Den Europæiske Union (»personalevedtægten«) og ansættelsesvilkårene for de øvrige ansatte i Unionen (»ansættelsesvilkårene for de øvrige ansatte«), der er fastsat i Rådets forordning (EØF, Euratom, EKSF) nr. 259/68 
(
14
)
, bør finde anvendelse på Europols personale. Europol bør kunne ansætte personale fra medlemsstaternes kompetente myndigheder som midlertidigt ansatte med en begrænset ansættelsesperiode ud fra et princip om rotation, da det fremmer et tæt samarbejde mellem Europol og medlemsstaternes kompetente myndigheder, når sådant personale siden reintegreres i den kompetente myndighed, som det kom fra. Medlemsstaterne bør træffe alle de nødvendige foranstaltninger for at sikre, at personale, der er midlertidigt ansat hos Europol, kan vende tilbage til den nationale forvaltningsmyndighed, de tilhører, når ansættelsesperioden hos Europol ophører.
(60)
I betragtning af karakteren af Europols opgaver og den administrerende direktørs rolle bør det kompetente udvalg i Europa-Parlamentet kunne opfordre den administrerende direktør til at give møde for det inden den pågældendes udnævnelse samt inden en eventuel forlængelse af den pågældendes ansættelsesperiode. Den administrerende direktør bør også forelægge årsberetningen for Europa-Parlamentet og Rådet. Desuden bør Europa-Parlamentet og Rådet have mulighed for at opfordre den administrerende direktør til at aflægge rapport om udførelsen af sine opgaver.
(61)
For at sikre Europol fuld selvstændighed og uafhængighed bør agenturet råde over et selvstændigt budget, hvor indtægterne hovedsagelig kommer fra et bidrag fra Unionens almindelige budget. Unionens budgetprocedure bør gælde, for så vidt angår Unionens bidrag og enhver anden støtte, som ydes over Unionens almindelige budget. Revisionen af regnskaberne bør foretages af Revisionsretten.
(62)
Kommissionens delegerede forordning (EU) nr. 1271/2013 
(
15
)
, bør finde anvendelse på Europol.
(63)
Medlemsstaternes kompetente myndigheder bør som følge af deres specifikke retlige og administrative beføjelser og deres tekniske kompetence med hensyn til at udføre informationsudvekslingsaktiviteter, operationer og efterforskninger på tværs af landegrænserne, herunder som led i fælles efterforskningshold, og med hensyn til at tilbyde uddannelsesfaciliteter kunne modtage tilskud fra Europol uden indkaldelse af forslag i overensstemmelse med artikel 190, stk. 1, litra d), i Kommissionens delegerede forordning (EU) nr. 1268/2012 
(
16
)
.
(64)
Europa-Parlamentets og Rådets forordning (EU, Euratom) nr. 883/2013 
(
17
)
 bør finde anvendelse på Europol.
(65)
Europol behandler oplysninger, der kræver særlig beskyttelse, da de omfatter følsomme ikkeklassificerede og EU-klassificerede informationer. Europol bør derfor fastsætte regler om fortroligheden og behandlingen af sådanne oplysninger. Reglerne for beskyttelse af EU's klassificerede informationer bør være i overensstemmelse med Rådets afgørelse 2013/488/EU 
(
18
)
.
(66)
Anvendelsen af denne forordning bør regelmæssigt evalueres.
(67)
De nødvendige bestemmelser vedrørende lokaler til Europol i Haag, hvor det har sit hjemsted, og de særlige regler, der skal gælde for hele Europols personale og dets familiemedlemmer, bør fastsættes i en hjemstedsaftale. Endvidere bør værtsmedlemsstaten sikre de nødvendige vilkår for et velfungerende Europol, herunder skoleundervisning på flere sprog med et europæisk indhold og hensigtsmæssige transportforbindelser, så der kan tiltrækkes højt kvalificerede medarbejdere fra så stort et geografisk område som muligt.
(68)
Europol som oprettet ved denne forordning erstatter og efterfølger Europol som oprettet ved afgørelse 2009/371/RIA. Det bør derfor retligt succedere i alle sine kontrakter, herunder ansættelseskontrakter, og i sine forpligtelser og ejendomsrettigheder. Internationale aftaler indgået af Europol som oprettet ved afgørelse 2009/371/RIA og aftaler indgået af Europol som oprettet ved Europolkonventionen inden den 1. januar 2010 bør forblive i kraft.
(69)
For at Europol fortsat bedst muligt kan udføre de opgaver, som Europol oprettet ved afgørelse 2009/371/RIA udførte, bør der fastsættes overgangsforanstaltninger, navnlig med hensyn til bestyrelsen, den administrerende direktør og personale, der er lokalt ansat i henhold til en kontrakt på ubestemt tid indgået af Europol som oprettet ved Europolkonventionen, som bør tilbydes muligheden for ansættelse som midlertidigt ansat eller kontraktansat personale i henhold til ansættelsesvilkårene for de øvrige ansatte.
(70)
Rådets retsakt af 3. december 1998 
(
19
)
 om vedtægten for Europols personale er ophævet ved artikel 63 i afgørelse 2009/371/RIA. Den bør dog fortsat gælde for personale, der blev ansat af Europol før ikrafttrædelsen af afgørelse 2009/371/RIA. Overgangsbestemmelser bør derfor fastsætte, at kontrakter, der er indgået i henhold til denne personalevedtægt, stadig skal reguleres af den.
(71)
Målet for denne forordning, nemlig oprettelse af en enhed med ansvar for retshåndhævelsessamarbejde på EU-plan, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne, men kan på grund af den foreslåede handlings omfang og virkninger bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i TEU. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går denne forordning ikke videre, end hvad der er nødvendigt for at nå dette mål.
(72)
I medfør af artikel 3 og artikel 4a, stk. 1, i protokol nr. 21 om Det Forenede Kongeriges og Irlands stilling for så vidt angår området med frihed, sikkerhed og retfærdighed, der er knyttet som bilag til TEU og til TEUF, har Irland meddelt, at det ønsker at deltage i vedtagelsen og anvendelsen af denne forordning.
(73)
I medfør af artikel 1 og 2 og artikel 4a, stk. 1, i protokol nr. 21 om Det Forenede Kongeriges og Irlands stilling for så vidt angår området med frihed, sikkerhed og retfærdighed, der er knyttet som bilag til TEU og til TEUF, og med forbehold af artikel 4 i samme protokol deltager Det Forenede Kongerige ikke i vedtagelsen af denne forordning, som ikke er bindende for og ikke finder anvendelse i Det Forenede Kongerige.
(74)
I medfør af artikel 1 og 2 i protokol nr. 22 om Danmarks stilling, der er knyttet som bilag til TEU og til TEUF, deltager Danmark ikke i vedtagelsen af denne forordning, som ikke er bindende for og ikke finder anvendelse i Danmark.
(75)
EDPS er blevet hørt og afgav udtalelse den 31. maj 2013.
(76)
I denne forordning respekteres de grundlæggende rettigheder og følges de principper, som bl.a. Den Europæiske Unions charter om grundlæggende rettigheder anerkender, herunder retten til beskyttelse af personoplysninger og retten til respekt for privatliv som beskyttet ved charterets artikel 8 og 7 samt artikel 16 i TEUF —
VEDTAGET DENNE FORORDNING:
KAPITEL I
ALMINDELIGE BESTEMMELSER OM OG MÅLSÆTNINGER OG OPGAVER FOR EUROPOL
Artikel 1
Oprettelse af Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde
1.   Herved oprettes Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) med henblik på at støtte samarbejde mellem de retshåndhævende myndigheder i Unionen.
2.   Det Europol, der oprettes ved denne forordning, erstatter og efterfølger det Europol, der blev oprettet ved afgørelse 2009/371/RIA.
Artikel 2
Definitioner
I denne forordning forstås ved:
a)   
»medlemsstaternes kompetente myndigheder«
: alle politimyndigheder og andre retshåndhævende tjenester i medlemsstaterne, der i henhold til national ret er ansvarlige for forebyggelse og bekæmpelse af strafbare handlinger. De kompetente myndigheder omfatter også andre offentlige myndigheder i medlemsstaterne, der i henhold til national ret er ansvarlige for forebyggelse og bekæmpelse af strafbare handlinger, der henhører under Europols kompetence
b)   
»strategisk analyse«
: alle metoder og teknikker til indsamling, opbevaring, behandling og vurdering af oplysninger med henblik på at støtte og udvikle en kriminalpolitik, der bidrager til den effektive og virkningsfulde forebyggelse og bekæmpelsen af kriminalitet
c)   
»operationel analyse«
: alle metoder og teknikker til indsamling, opbevaring, behandling og vurdering af oplysninger med henblik på at støtte strafferetlige efterforskninger
d)   
»EU-organer«
: institutioner, organer, missioner, kontorer og agenturer, der er oprettet ved TEU og TEUF eller med hjemmel deri
e)   
»international organisation«
: en folkeretlig organisation og organer, der er underordnet den, eller ethvert andet organ, der er oprettet ved eller med hjemmel i en aftale mellem to eller flere lande
f)   
»private parter«
: enheder og organer oprettet i henhold til en medlemsstats eller et tredjelands lovgivning, navnlig selskaber og virksomheder, erhvervssammenslutninger, nonprofitorganisationer og andre juridiske personer, som ikke er omfattet af litra e)
g)   
»privatpersoner«
: alle fysiske personer
h)   
»personoplysninger«
: enhver form for information om en registreret
i)   
»en registreret«
: en identificeret eller identificerbar fysisk person; en identificerbar person er en person, der direkte eller indirekte kan identificeres, navnlig ved en identifikator som f.eks. et navn, et identifikationsnummer, lokaliseringsdata eller et online-ID eller ved et eller flere elementer, der er særlige for denne persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet
j)   
»genetiske data«
: alle personoplysninger vedrørende en fysisk persons genetiske karakteristika, der er blevet arvet eller erhvervet, som giver entydig information om personens fysiologi eller helbred, og som navnlig foreligger efter en analyse af en biologisk prøve fra den pågældende fysiske person
k)   
»behandling«
: enhver operation eller række af operationer, med eller uden brug af automatisk databehandling, som personoplysninger eller sæt af personoplysninger gøres til genstand for, f.eks. indsamling, registrering, systematisering, strukturering, opbevaring, tilpasning eller ændring, fremfinding, søgning, brug, videregivelse ved transmission, formidling eller anden tilrådighedsstillelse, sammenstilling eller samkøring samt begrænsning, sletning eller tilintetgørelse
l)   
»modtager«
: en fysisk eller juridisk person, en offentlig myndighed, et agentur eller ethvert andet organ, hvortil oplysninger videregives, uanset om der er tale om en tredjemand eller ej
m)   
»videregivelse af personoplysninger«
: meddelelsen af personoplysninger, der aktivt stilles til rådighed mellem et begrænset antal identificerede parter med afsenderens viden eller hensigt om at give modtageren adgang til personoplysningerne
n)   
»brud på persondatasikkerheden«
: et brud på sikkerheden, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, ubeføjet videregivelse af eller adgang til personoplysninger, der er videresendt, opbevaret eller på anden måde behandlet
o)   
»den registreredes samtykke«
: enhver frivillig, specifik, informeret og utvetydig viljestilkendegivelse, hvorved den registrerede, enten via en erklæring eller via en klar bekræftelse, indvilliger i, at personoplysninger, der vedrører den pågældende selv, gøres til genstand for behandling
p)   
»administrative personoplysninger«
: alle andre personoplysninger, som Europol behandler, end dem, der behandles for at opfylde målsætningerne i artikel 3.
Artikel 3
Målsætninger
1.   Europol støtter og styrker medlemsstaternes kompetente myndigheders indsats for og deres indbyrdes samarbejde om at forebygge og bekæmpe grov kriminalitet, der berører to eller flere medlemsstater, samt terrorisme og former for kriminalitet, der berører en fælles interesse, som er omfattet af en EU-politik, jf. listen i bilag I.
2.   Ud over stk. 1 omfatter Europols målsætninger også relaterede strafbare handlinger. Ved relaterede strafbare handlinger forstås følgende:
a)
strafbare handlinger, der begås for at skaffe midler til at begå handlinger, der henhører under Europols kompetenceområde
b)
strafbare handlinger, der begås for at lette eller begå handlinger, der henhører under Europols kompetenceområde
c)
strafbare handlinger, der begås for at undgå straf for handlinger, der henhører under Europols kompetenceområde.
Artikel 4
Opgaver
1.   Europol udfører følgende opgaver med henblik på at nå de mål, som er fastsat i artikel 3:
a)
indsamle, opbevare, behandle, analysere og udveksle oplysninger, herunder kriminalefterretninger
b)
uden ophold give medlemsstaterne meddelelse om alle oplysninger og indbyrdes forbindelser mellem strafbare handlinger, der vedrører dem, via de nationale enheder, der oprettes eller udpeges i henhold til artikel 7, stk. 2
c)
koordinere, organisere og gennemføre efterforskninger og operationelle foranstaltninger for at støtte og styrke medlemsstaternes kompetente myndigheders indsats, der udføres:
i)
sammen med medlemsstaternes kompetente myndigheder, eller
ii)
inden for rammerne af fælles efterforskningshold, jf. artikel 5 og eventuelt i samarbejde med Eurojust
d)
deltage i fælles efterforskningshold og foreslå, at sådanne hold oprettes i henhold til artikel 5
e)
meddele oplysninger og yde analytisk støtte til medlemsstaterne i forbindelse med større internationale begivenheder
f)
udarbejde trusselsvurderinger, strategiske og operationelle analyser og rapporter om den generelle situation
g)
udvikle, dele og fremme ekspertviden om metoder til forebyggelse af kriminalitet, efterforskningsprocedurer og tekniske og kriminaltekniske metoder samt rådgive medlemsstaterne
h)
støtte medlemsstaternes informationsudvekslingsaktiviteter, operationer og efterforskninger på tværs af landegrænserne samt fælles efterforskningshold, herunder ved at yde operationel, teknisk og finansiel støtte
i)
levere specialiseret uddannelse og bistå medlemsstaterne med at tilrettelægge uddannelse, herunder med levering af finansiel støtte, inden for rammerne af sine målsætninger og i overensstemmelse med de personale- og budgetressourcer, som det har til sin rådighed, i samordning med Den Europæiske Unions Agentur for Uddannelse inden for Retshåndhævelse (Cepol)
j)
samarbejde med de EU-organer, der er oprettet med hjemmel i afsnit V i TEUF, og med OLAF, navnlig gennem informationsudvekslinger og ved at yde dem analytisk bistand inden for deres kompetenceområder
k)
meddele oplysninger og yde støtte til EU-krisestyringsstrukturer og -missioner, der er oprettet med hjemmel i TEU, inden for rammerne af Europols målsætninger som fastsat i artikel 3
l)
udvikle specialiserede EU-ekspertisecentre for bekæmpelse af visse former for kriminalitet inden for rammerne af Europols målsætninger, navnlig Det Europæiske Center til Bekæmpelse af IT-Kriminalitet
m)
støtte medlemsstaternes indsats for at forebygge og bekæmpe de former for kriminalitet, der er anført i bilag I, som lettes, fremmes eller begås ved hjælp af internettet, herunder i samarbejde med medlemsstaterne foretage indberetninger af internetindhold, med hvilket sådanne former for kriminalitet lettes, fremmes eller begås, til de pågældende udbydere af onlinetjenester med henblik på deres frivillige overvejelse af, om det indberettede internetindhold er i overensstemmelse med deres egne vilkår og betingelser.
2.   Europol udarbejder strategiske analyser og trusselsvurderinger til hjælp for Rådet og Kommissionen, når de skal fastlægge Unionens strategiske og operationelle prioriteter for bekæmpelse af kriminalitet. Europol bistår tillige med den operationelle gennemførelse af disse prioriteter.
3.   Europol leverer strategiske analyser og trusselsvurderinger til brug for en effektiv og virkningsfuld anvendelse af de ressourcer, som på nationalt plan og på EU-plan er til rådighed til operationel indsats og støtte til denne indsats.
4.   Europol fungerer som centralkontor for bekæmpelse af eurofalskmøntneri i overensstemmelse med Rådets afgørelse 2005/511/RIA 
(
20
)
. Europol fremmer endvidere koordinering af foranstaltninger til bekæmpelse af eurofalskmøntneri, der gennemføres af medlemsstaternes kompetente myndigheder eller af fælles efterforskningshold, eventuelt i samarbejde med EU-organer og tredjelandes myndigheder.
5.   Europol anvender ikke tvangsindgreb under udøvelsen af sine opgaver.
KAPITEL II
SAMARBEJDE MELLEM MEDLEMSSTATERNE OG EUROPOL
Artikel 5
Deltagelse i fælles efterforskningshold
1.   Europolansatte kan deltage i aktiviteter udøvet af fælles efterforskningshold, som beskæftiger sig med kriminalitet, der er omfattet af Europols målsætninger. Aftalen om oprettelse af et fælles efterforskningshold skal fastlægge betingelserne for deltagelse af Europolansatte i holdet og skal indeholde oplysninger om reglerne om ansvar.
2.   Europolansatte kan inden for begrænsningerne i lovgivningen i de medlemsstater, hvor et fælles efterforskningshold opererer, bistå i forbindelse med alle aktiviteter og udvekslinger af oplysninger med alle medlemmerne af det fælles efterforskningshold.
3.   Europolansatte, der deltager i et fælles efterforskningshold, kan i overensstemmelse med denne forordning give alle medlemmer af holdet de nødvendige oplysninger, der er behandlet af Europol til de formål, der er fastsat i artikel 18, stk. 2. Europol underretter på samme tid de nationale enheder i de medlemsstater, der er repræsenteret på holdet, og de nationale enheder i de medlemsstater, der har stillet oplysningerne til rådighed.
4.   Oplysninger, som Europolansatte er kommet i besiddelse af i forbindelse med deres deltagelse i et fælles efterforskningshold, må med samtykke fra den medlemsstat, der stillede oplysningerne til rådighed, og på dennes ansvar behandles af Europol til de formål, der er fastsat i artikel 18, stk. 2, på de betingelser, der er fastsat i denne forordning.
5.   Har Europol grund til at antage, at det vil være nyttigt for en efterforskning, at der oprettes et fælles efterforskningshold, kan den foreslå dette for de berørte medlemsstater, og træffe foranstaltninger til at bistå dem med at oprette det fælles efterforskningshold.
Artikel 6
Anmodning fra Europol om at indlede en strafferetlig efterforskning
1.   Finder Europol i en konkret sag, at der bør indledes strafferetlig efterforskning af en strafbar handling, der er inden for rammerne af dets målsætninger, anmoder det gennem de nationale enheder de berørte medlemsstaters kompetente myndigheder om at indlede, gennemføre eller koordinere en sådan strafferetlig efterforskning.
2.   De nationale enheder underretter straks Europol om den beslutning, som medlemsstaternes kompetente myndigheder træffer angående enhver anmodning i henhold til stk. 1.
3.   Hvis en medlemsstats kompetente myndigheder beslutter ikke at efterkomme en anmodning fra Europol i henhold til stk. 1, meddeler de Europol grundene til deres beslutning uden unødigt ophold, helst inden for en måned efter modtagelse af anmodningen. De kan dog undlade at meddele grundene, hvis dette ville:
a)
være i modstrid med den pågældende medlemsstats væsentlige sikkerhedsinteresser, eller
b)
bringe gennemførelsen af en igangværende efterforskning eller en enkeltpersons sikkerhed i fare.
4.   Europol underretter straks Eurojust om alle anmodninger i henhold til stk. 1 og om enhver beslutning, som den kompetente myndighed i en medlemsstat har truffet i henhold til stk. 2.
Artikel 7
Nationale Europolenheder
1.   Medlemsstaterne og Europol samarbejder med hinanden om udførelsen af deres respektive opgaver som fastsat i denne forordning.
2.   Hver medlemsstat opretter eller udpeger en national enhed, der skal være forbindelsesled mellem Europol og denne medlemsstats kompetente myndigheder. Hver medlemsstat udnævner en embedsmand til leder af sin nationale enhed.
3.   Hver medlemsstat sikrer, at dens nationale enhed er kompetent i henhold til national ret til at udføre de opgaver, der er tildelt nationale enheder i denne forordning, og navnlig at den har adgang til de nationale retshåndhævelsesoplysninger og andre relevante oplysninger, som er nødvendige for samarbejdet med Europol.
4.   Hver medlemsstat træffer bestemmelse om sin nationale enheds organisation og personale i overensstemmelse med sin nationale ret.
5.   I overensstemmelse med stk. 2 er den nationale enhed forbindelsesled mellem Europol og medlemsstaternes kompetente myndigheder. Med forbehold af betingelser, der fastsættes af medlemsstaterne, herunder forudgående inddragelse af den nationale enhed, kan medlemsstaterne dog tillade direkte kontakter mellem deres kompetente myndigheder og Europol. Den nationale enhed modtager samtidig fra Europol eventuelle oplysninger, der udveksles under direkte kontakter mellem Europol og de kompetente myndigheder, medmindre den nationale enhed tilkendegiver, at den ikke har behov for at modtage sådanne oplysninger.
6.   Hver medlemsstat skal gennem sin nationale enhed eller, med forbehold af stk. 5, en kompetent myndighed navnlig:
a)
meddele Europol de oplysninger, som er nødvendige, for at Europol kan opfylde sine målsætninger, herunder oplysninger om de former for kriminalitet, hvis forebyggelse eller bekæmpelse anses for en prioritet for Unionen
b)
sikre, at alle relevante kompetente myndigheder kommunikerer og samarbejder effektivt med Europol
c)
øge bevidstheden om Europols aktiviteter
d)
i overensstemmelse med artikel 38, stk. 5, litra a), sikre overholdelse af national ret, når de videregiver oplysninger til Europol.
7.   Med forbehold af medlemsstaternes varetagelse af deres opgaver med hensyn til opretholdelse af lov og orden og sikring af den interne sikkerhed, er medlemsstaterne ikke forpligtet til i en given sag at meddele oplysninger i overensstemmelse med stk. 6, litra a), hvis dette ville:
a)
være i modstrid med den pågældende medlemsstats væsentlige sikkerhedsinteresser
b)
bringe gennemførelsen af en igangværende efterforskning eller en persons sikkerhed i fare, eller
c)
afsløre oplysninger, der vedrører organisationer eller særlig efterretningsvirksomhed i forbindelse med national sikkerhed.
Medlemsstaterne er dog forpligtede til at meddele oplysningerne, så snart de ophører med at være omfattet af første afsnit, litra a), b) eller c).
8.   Medlemsstaterne sikrer, at deres finansielle efterretningsenheder, der er oprettet i henhold til Europa-Parlamentets og Rådets direktiv 2005/60/EF 
(
21
)
, har tilladelse til at samarbejde med Europol gennem deres nationale enhed for så vidt angår analyser, der er omfattet af deres mandat og kompetenceområde.
9.   Lederne af de nationale enheder mødes regelmæssigt, navnlig for at drøfte og løse problemer, der opstår i forbindelse med deres operationelle samarbejde med Europol.
10.   De nationale enheders udgifter til kommunikation med Europol afholdes af medlemsstaterne og kræves med undtagelse af tilslutningsudgifterne ikke godtgjort af Europol.
11.   Europol udfærdiger en årsrapport om de oplysninger, som hver medlemsstat har meddelt i henhold til stk. 6, litra a), på grundlag af kvantitative og kvalitative evalueringskriterier, der fastlægges af bestyrelsen. Årsrapporten fremsendes til Europa-Parlamentet, Rådet, Kommissionen og de nationale parlamenter.
Artikel 8
Forbindelsesofficerer
1.   Hver national enhed udpeger mindst én forbindelsesofficer, der tilknyttes Europol. Medmindre andet er fastsat i denne forordning, er forbindelsesofficererne undergivet national ret i den medlemsstat, der har udpeget dem.
2.   Forbindelsesofficererne fungerer som nationale forbindelseskontorer ved Europol og instrueres af deres nationale enhed om at varetage dennes interesser i Europol i henhold til national ret i den medlemsstat, der har udpeget dem, og de bestemmelser, der finder anvendelse på forvaltningen af Europol.
3.   Forbindelsesofficerer bistår med udvekslingen af oplysninger mellem Europol og deres medlemsstater.
4.   Forbindelsesofficerer bistår i overensstemmelse med deres nationale ret med udvekslingen af oplysninger mellem deres medlemsstater og andre medlemsstaters, tredjelandes og internationale organisationers forbindelsesofficerer. Europols infrastruktur kan i overensstemmelse med national ret også anvendes til bilateral udveksling om kriminalitet, der falder uden for rammerne af Europols målsætninger. Enhver sådan udveksling af oplysninger skal være i overensstemmelse med gældende EU-ret og gældende national ret.
5.   Bestyrelsen fastsætter forbindelsesofficerernes rettigheder og forpligtelser i forhold til Europol. Forbindelsesofficererne nyder de privilegier og immuniteter, der er nødvendige for udførelsen af deres opgaver, i overensstemmelse med artikel 63, stk. 2.
6.   Europol sikrer, at forbindelsesofficererne er fuldt ud informeret om og inddraget i alle Europols aktiviteter, i det omfang det er nødvendigt for udførelsen af deres opgaver.
7.   Europol afholder omkostningerne ved at stille de nødvendige lokaler til rådighed for medlemsstaterne i Europolbygningen og yde forbindelsesofficererne passende støtte med henblik på udførelsen af deres opgaver. Alle andre udgifter i forbindelse med udpegelsen af forbindelsesofficerer afholdes af de medlemsstater, der har udpeget dem, herunder udgifter til forbindelsesofficerernes udstyr, medmindre Europa-Parlamentet og Rådet efter henstilling fra bestyrelsen træffer anden afgørelse herom.
KAPITEL III
EUROPOLS ORGANISATION
Artikel 9
Europols forvaltnings- og ledelsesstruktur
Europols forvaltnings- og ledelsesstruktur består af:
a)
en bestyrelse
b)
en administrerende direktør
c)
om fornødent andre rådgivende organer, som bestyrelsen opretter i medfør af artikel 11, stk. 1, litra s).
AFDELING 1
Bestyrelsen
Artikel 10
Bestyrelsens sammensætning
1.   Bestyrelsen består af en repræsentant for hver medlemsstat og en repræsentant for Kommissionen. Hver repræsentant har en stemmeret.
2.   Medlemmerne af bestyrelsen udnævnes under hensyntagen til deres kendskab til retshåndhævelsessamarbejde.
3.   Hvert bestyrelsesmedlem har en suppleant, der udnævnes under hensyntagen til kriteriet i stk. 2. Suppleanten repræsenterer medlemmet i vedkommendes fravær.
Der bør ligeledes tages hensyn til princippet om en afbalanceret kønsrepræsentation i bestyrelsen.
4.   Med forbehold af medlemsstaternes og Kommissionens ret til at bringe deres respektive medlems og suppleants mandat til ophør er medlemsskabet af bestyrelsen for en periode på fire år. Denne periode kan forlænges.
Artikel 11
Bestyrelsens opgaver
1.   Bestyrelsen skal:
a)
hvert år med et flertal på to tredjedele af sine medlemmer og i overensstemmelse med artikel 12 vedtage et dokument med Europols flerårige programmering og dets årlige arbejdsprogram for det følgende år
b)
med et flertal på to tredjedele af sine medlemmer vedtage Europols årlige budget og udøve andre funktioner vedrørende Europols budget i medfør af kapitel X
c)
vedtage en konsolideret årsberetning om Europols aktiviteter og sende den til Europa-Parlamentet, Rådet, Kommissionen, Revisionsretten og de nationale parlamenter inden den 1. juli i det følgende år. Den konsoliderede årsberetning offentliggøres
d)
vedtage de finansielle bestemmelser for Europol i henhold til artikel 61
e)
vedtage en intern strategi for bekæmpelse af svig, som står i rimeligt forhold til risikoen for svig og tager omkostningerne og fordelene ved de foranstaltninger, der skal gennemføres, i betragtning
f)
vedtage bestemmelser til forebyggelse og håndtering af interessekonflikter for så vidt angår bestyrelsesmedlemmerne, herunder i relation til deres interesseerklæringer
g)
over for Europols ansatte udøve de beføjelser, som personalevedtægten tillægger ansættelsesmyndigheden, og som ansættelsesvilkårene for de øvrige ansatte tillægger den myndighed, der har beføjelse til at indgå en ansættelseskontrakt for øvrige ansatte (»beføjelserne som ansættelsesmyndighed«), jf. stk. 2
h)
vedtage de nærmere bestemmelser til gennemførelse af personalevedtægten og ansættelsesvilkårene for de øvrige ansatte i medfør af personalevedtægtens artikel 110
i)
vedtage interne regler for udvælgelsesproceduren for den administrerende direktør, herunder regler for sammensætning af udvælgelseskomitéen, som sikrer dens uafhængighed og upartiskhed
j)
foreslå Rådet en slutliste over kandidater til stillingerne som administrerende direktør og vicedirektører og i påkommende tilfælde foreslå Rådet, at deres embedsperiode forlænges, eller at de afskediges, jf. artikel 54 og 55
k)
opstille resultatindikatorer og føre tilsyn med den administrerende direktørs resultater, herunder med gennemførelsen af bestyrelsens afgørelser
l)
udnævne en databeskyttelsesansvarlig, som er funktionelt uafhængig under udførelsen af sit hverv
m)
udnævne en regnskabsfører, som personalevedtægten og ansættelsesvilkårene for de øvrige ansatte skal finde anvendelse på, og som skal være funktionelt uafhængig i udøvelsen af sit hverv
n)
eventuelt etablere en intern revisionsfunktion
o)
sikre passende opfølgning på resultater og henstillinger fra interne eller eksterne revisionsrapporter og evalueringer samt fra undersøgelser foretaget af OLAF og EDPS
p)
fastsætte evalueringskriterier for årsrapporten i henhold til artikel 7, stk. 11
q)
vedtage retningslinjer med nærmere angivelse af procedurerne for Europols behandling af oplysninger i henhold til artikel 18 efter høring af EDPS
r)
træffe afgørelse om indgåelse af samarbejdsordninger og administrative ordninger i overensstemmelse med henholdsvis artikel 23, stk. 4, og artikel 25, stk. 1
s)
under hensyntagen til både forretningsmæssige og finansielle krav træffe afgørelse om etablering af Europols interne strukturer, herunder EU-ekspertisecentre som omhandlet i artikel 4, stk. 1, litra l), på et forslag af den administrerende direktør
t)
vedtage sin forretningsorden, herunder bestemmelser om sit sekretariats opgaver og funktion
u)
eventuelt vedtage andre interne regler.
2.   Hvis bestyrelsen finder det nødvendigt for udførelsen af Europols opgaver, kan den opfordre Rådet til, at det henleder Kommissionens opmærksomhed på, at der er behov for en afgørelse om tilstrækkeligt beskyttelsesniveau, som omhandlet i artikel 25, stk. 1, litra a), eller for en henstilling med henblik på en afgørelse om bemyndigelse til indledning af forhandlinger med henblik på indgåelsen af en international aftale som omhandlet i artikel 25, stk. 1, litra b).
3.   I overensstemmelse med personalevedtægtens artikel 110 vedtager bestyrelsen i medfør af artikel 2, stk. 1, i personalevedtægten og artikel 6 i ansættelsesvilkårene for de øvrige ansatte en afgørelse om delegation af de relevante beføjelser som ansættelsesmyndighed til den administrerende direktør og om fastsættelse af betingelserne for suspension af en sådan delegation af beføjelser. Den administrerende direktør bemyndiges til at subdelegere disse beføjelser.
Når det på grund af ekstraordinære omstændigheder er nødvendigt, kan bestyrelsen ved afgørelse midlertidigt suspendere delegationen af beføjelserne som ansættelsesmyndighed til den administrerende direktør og enhver subdelegation af sådanne beføjelser og selv udøve beføjelserne eller delegere dem til et af sine medlemmer eller til en anden medarbejder end den administrerende direktør.
Artikel 12
Flerårig programmering og årlige arbejdsprogrammer
1.   Bestyrelsen vedtager senest den 30. november hvert år et dokument indeholdende Europols flerårige programmering og årlige arbejdsprogram på grundlag af et forslag fra den administrerende direktør og under hensyntagen til Kommissionens udtalelse og for den flerårige programmerings vedkommende efter høring af Gruppen for Fælles Parlamentarisk Kontrol. Bestyrelsen fremsender dette dokument til Rådet, Kommissionen og Gruppen for Fælles Parlamentarisk Kontrol.
2.   Den flerårige programmering skal indeholde den overordnede strategiske programmering, herunder målsætningerne, de forventede resultater og resultatindikatorerne. Den skal endvidere indeholde ressourceplanlægningen, herunder det flerårige budget og den flerårige personaleplan. Den skal indeholde strategien for forholdet til tredjelande og internationale organisationer.
Den flerårige programmering skal gennemføres i årlige arbejdsprogrammer og skal i nødvendigt omfang ajourføres i lyset af resultaterne af eksterne og interne evalueringer. Evalueringernes konklusioner skal også i nødvendigt omfang afspejles i det årlige arbejdsprogram for det følgende år.
3.   Det årlige arbejdsprogram skal indeholde detaljerede mål, forventede resultater og resultatindikatorer. Det skal også indeholde en beskrivelse af de foranstaltninger, der skal finansieres, og oplysninger om de finansielle ressourcer og personaleressourcer, der afsættes til hver foranstaltning, i overensstemmelse med principperne om aktivitetsbaseret budgetlægning og -forvaltning. Det årlige arbejdsprogram skal være i overensstemmelse med den flerårige programmering. Det skal klart anføres i programmet, hvilke opgaver der er blevet tilføjet, ændret eller slettet i forhold til det foregående regnskabsår.
4.   Hvis Europol efter vedtagelsen af et årligt arbejdsprogram tillægges en ny opgave, ændrer bestyrelsen det årlige arbejdsprogram.
5.   Væsentlige ændringer af det årlige arbejdsprogram vedtages efter samme procedure som den, der gælder for vedtagelsen af det oprindelige årlige arbejdsprogram. Bestyrelsen kan delegere beføjelsen til at foretage ikkevæsentlige ændringer i det årlige arbejdsprogram til den administrerende direktør.
Artikel 13
Bestyrelsens formand og næstformand
1.   Bestyrelsen vælger en formand og en næstformand blandt den gruppe af tre medlemsstater, som i fællesskab har udarbejdet Rådets 18-månedersprogram. De udnævnes for den 18-månedersperiode, der svarer til Rådets program. Hvis formandens eller næstformandens medlemskab af bestyrelsen ophører på et tidspunkt under deres mandatperiode som formand eller næstformand, udløber deres mandatperiode dog automatisk samtidig.
2.   Formanden og næstformanden vælges med et flertal på to tredjedele af bestyrelsesmedlemmerne.
3.   Hvis formanden ikke er i stand til at udføre sit hverv, afløses vedkommende automatisk af næstformanden.
Artikel 14
Bestyrelsesmøder
1.   Bestyrelsesformanden indkalder til bestyrelsesmøder.
2.   Den administrerende direktør deltager i bestyrelsens drøftelser.
3.   Bestyrelsen afholder mindst to ordinære møder om året. Bestyrelsen mødes desuden på initiativ af bestyrelsesformanden eller efter anmodning fra Kommissionen eller fra mindst en tredjedel af bestyrelsesmedlemmerne.
4.   Bestyrelsen kan indbyde enhver, hvis synspunkter kan være relevante for diskussionen, herunder, hvis dette er relevant, en repræsentant fra Gruppen for Fælles Parlamentarisk Kontrol, til at deltage i mødet som observatør uden stemmeret.
5.   Bestyrelsesmedlemmerne og suppleanterne kan under møderne, såfremt forretningsordenen tillader det, bistås af rådgivere eller eksperter.
6.   Europol varetager sekretariatsopgaverne for bestyrelsen.
Artikel 15
Bestyrelsens afstemningsregler
1.   Bestyrelsen træffer afgørelse med et flertal af sine medlemmer, jf. dog artikel 11, stk. 1, litra a) og b), artikel 13, stk. 2, artikel 50, stk. 2, artikel 54, stk. 8, og artikel 64.
2.   Hvert medlem har én stemme. Hvis et medlem ikke er til stede, er vedkommendes suppleant berettiget til at udøve vedkommendes stemmeret.
3.   Den administrerende direktør deltager ikke i afstemningen.
4.   I bestyrelsens forretningsorden fastsættes mere detaljerede afstemningsregler, navnlig regler om, hvornår et medlem kan handle på et andet medlems vegne, samt om nødvendigt regler om beslutningsdygtighed.
AFDELING 2
Den administrerende direktør
Artikel 16
Den administrerende direktørs ansvarsområder
1.   Den administrerende direktør forestår ledelsen af Europol. Den administrerende direktør er ansvarlig over for bestyrelsen.
2.   Med forbehold af Kommissionens eller bestyrelsens beføjelser er den administrerende direktør uafhængig i udførelsen af sit hverv og må hverken søge eller modtage instruktioner fra regeringer eller andre organer.
3.   Rådet kan anmode den administrerende direktør om at aflægge rapport om udførelsen af vedkommendes hverv.
4.   Den administrerende direktør er Europols repræsentant i retlig henseende.
5.   Den administrerende direktør er ansvarlig for udførelsen af de opgaver, der pålægges Europol ved denne forordning, navnlig:
a)
den daglige administration af Europol
b)
fremsættelse af forslag til bestyrelsen med henblik på etablering af Europols interne strukturer
c)
gennemførelse af bestyrelsens afgørelser
d)
udarbejdelse af udkastet til den flerårige programmering og de årlige arbejdsprogrammer og forelæggelse heraf for bestyrelsen efter høring af Kommissionen
e)
gennemførelse af den flerårige programmering og de årlige arbejdsprogrammer og aflæggelse af rapport om gennemførelsen heraf til bestyrelsen
f)
udarbejdelse af udkast til de nærmere bestemmelser til gennemførelse af personalevedtægten og ansættelsesvilkårene for de øvrige ansatte i medfør af personalevedtægtens artikel 110
g)
udarbejdelse af udkastet til en konsolideret årsberetning om Europols aktiviteter og forelæggelse heraf for bestyrelsen til vedtagelse
h)
forberedelse af en handlingsplan som opfølgning på konklusionerne i de interne eller eksterne revisionsrapporter og evalueringer og undersøgelsesrapporter og henstillinger fra undersøgelser foretaget af OLAF og EDPS samt aflæggelse af en statusrapport to gange om året til Kommissionen og regelmæssigt til bestyrelsen
i)
beskyttelse af Unionens finansielle interesser gennem anvendelse af foranstaltninger til forebyggelse af svig, korruption og anden ulovlig aktivitet og gennem effektiv kontrol, der dog ikke må gribe ind i OLAF's undersøgelsesbeføjelser, og, hvis der konstateres uregelmæssigheder, gennem inddrivelse af uretmæssigt udbetalte beløb og efter omstændighederne gennem administrative og finansielle sanktioner, der er effektive, står i et rimeligt forhold til uregelmæssigheden og har afskrækkende virkning
j)
udarbejdelse af et udkast til Europols interne strategi for bekæmpelse af svig og forelæggelse heraf for bestyrelsen til vedtagelse
k)
udarbejdelse af udkast til interne regler om forebyggelse og håndtering af interessekonflikter for så vidt angår medlemmer af bestyrelsen og forelæggelse af disse udkast til regler for bestyrelsen til vedtagelse
l)
udarbejdelse af udkast til finansielle bestemmelser for Europol
m)
udarbejdelse af Europols udkast til overslag over indtægter og udgifter og gennemførelse af dets budget
n)
ydelse af støtte til bestyrelsesformanden i forbindelse med forberedelsen af bestyrelsesmøderne
o)
regelmæssig informering af bestyrelsen om gennemførelsen af Unionens strategiske og operationelle prioriteter for bekæmpelse af kriminalitet
p)
udførelse af andre opgaver i henhold til denne forordning.
KAPITEL IV
BEHANDLING AF OPLYSNINGER
Artikel 17
Informationskilder
1.   Europol må kun behandle oplysninger, der er meddelt agenturet af:
a)
medlemsstaterne i henhold til deres nationale ret og artikel 7
b)
EU-organer, tredjelande og internationale organisationer i henhold til kapitel V
c)
private parter og privatpersoner i henhold til kapitel V.
2.   Europol kan direkte indhente og behandle oplysninger, herunder personoplysninger, fra offentligt tilgængelige kilder, herunder internettet og offentlige oplysninger.
3.   Hvis Europol i henhold til Unionens eller internationale eller nationale retlige instrumenter har ret til at foretage datasøgning i EU-informationssystemer eller internationale eller nationale informationssystemer, kan det indhente og behandle oplysninger, herunder personoplysninger, ad denne vej, såfremt det er nødvendigt for udførelsen af dets opgaver. De relevante bestemmelser i disse instrumenter i EU-retten, folkeretten eller national ret finder anvendelse på Europols adgang til og brug af disse oplysninger, i det omfang de indeholder regler om adgang og brug, der er strengere end de regler, der er fastsat i henhold til denne forordning. Der gives kun adgang til disse informationssystemer for ansatte i Europol, der har fået tilladelse hertil, og kun i det omfang, det er nødvendigt for og står i et rimeligt forhold til udførelsen af deres opgaver.
Artikel 18
Formål med behandling af oplysninger
1.   Europol kan behandle oplysninger, herunder personoplysninger, for så vidt det er nødvendigt for at nå målsætningerne i artikel 3.
2.   Personoplysninger må kun behandles til følgende formål:
a)
krydstjek med henblik på at finde sammenhænge eller andre relevante forbindelser mellem oplysninger om:
i)
personer, som mistænkes for at have begået eller deltaget i en strafbar handling, som henhører under Europols kompetence, eller som er dømt for en sådan handling
ii)
personer, om hvem der er konkrete indicier for eller en rimelig grund til at antage, at de vil begå strafbare handlinger, som henhører under Europols kompetence
b)
analyser af strategisk eller tematisk art
c)
operationelle analyser
d)
lettelse af informationsudvekslingen mellem medlemsstater, Europol, andre EU-organer, tredjelande og internationale organisationer.
3.   Behandling med henblik på operationelle analyser som omhandlet i stk. 2, litra c), foretages ved hjælp af operationelle analyseprojekter, for hvilke der gælder følgende særlige sikkerhedsforanstaltninger:
a)
For hvert operationelt analyseprojekt fastlægger den administrerende direktør det specifikke formål, kategorier af personoplysninger og kategorier af registrerede, deltagere, opbevaringens varighed og betingelser for adgang, videregivelse og anvendelse af de pågældende oplysninger og underretter bestyrelsen og EDPS herom.
b)
Personoplysninger må kun indsamles og behandles med henblik på det fastlagte operationelle analyseprojekts formål. Hvis det bliver klart, at personoplysninger kan være relevante for et andet operationelt analyseprojekt, er yderligere behandling af disse personoplysninger kun tilladt, for så vidt en sådan videre behandling er nødvendig og forholdsmæssig, og personoplysningerne er i overensstemmelse med de bestemmelser, der gælder for det andet analyseprojekt, jf. litra a).
c)
Kun bemyndigede ansatte må få adgang til og behandle oplysninger vedrørende det pågældende projekt.
4.   Behandling omhandlet i stk. 2 og 3 foretages i overensstemmelse med de i denne forordning fastsatte databeskyttelsesgarantier. Europol skal behørigt dokumentere disse behandlingsoperationer. Dokumentationen stilles efter anmodning til rådighed for den databeskyttelsesansvarlige og EDPS med henblik på kontrol af behandlingsoperationernes lovlighed.
5.   De kategorier af personoplysninger, der må indsamles og behandles til hvert af de i stk. 2 anførte formål, og de kategorier af registrerede, hvis oplysninger må indsamles og behandles til hvert af disse formål, er opført på listen i bilag II.
6.   Europol kan midlertidigt behandle oplysninger med henblik på at afgøre, om de pågældende oplysninger er relevante for dets opgaver og, hvis dette er tilfældet, til hvilke af de i stk. 2 anførte formål. Bestyrelsen præciserer på forslag af den administrerende direktør og efter at have hørt EDPS betingelserne for behandling af sådanne oplysninger, især med hensyn til adgang til og brug af oplysningerne samt tidsfrister for opbevaring og sletning af oplysninger, som ikke må være på over seks måneder, idet der tages behørigt hensyn til de i artikel 28 anførte principper.
7.   Bestyrelsen vedtager, hvor dette er relevant, efter høring af EDPS retningslinjer med nærmere angivelse af procedurerne for behandling af oplysninger til de formål, der er nævnt i stk. 2, i henhold til artikel 11, stk. 1, litra q).
Artikel 19
Bestemmelse af formålet med og restriktioner i forbindelse med Europols behandling af oplysninger
1.   Medlemsstater, EU-organer, tredjelande eller internationale organisationer, der meddeler oplysninger til Europol, bestemmer, til hvilket eller hvilke af de i artikel 18 nævnte formål oplysningerne skal behandles. Hvis de ikke har gjort dette, behandler Europol efter aftale med leverandøren af de pågældende oplysninger disse oplysninger med henblik på at fastslå deres relevans, og til hvilket eller hvilke formål de yderligere skal behandles. Europol må kun behandle oplysninger til andre formål end dem, som oplysningerne blev meddelt til, hvis leverandøren af oplysningerne har givet tilladelse til at gøre det.
2.   Medlemsstater, EU-organer, tredjelande og internationale organisationer kan ved meddelelse af oplysninger til Europol anføre, om adgangen til oplysningerne eller brugen af dem generelt eller konkret skal begrænses, herunder med hensyn til deres videregivelse, sletning eller tilintetgørelse. Hvis behovet for sådanne begrænsninger opstår, efter oplysningerne er blevet meddelt, informerer de Europol herom. Europol skal overholde disse begrænsninger.
3.   I behørigt begrundede tilfælde kan Europol foretage begrænsninger i medlemsstaters, EU-organers, tredjelandes og internationale organisationers adgang til eller brug af oplysninger, der er indhentet fra offentligt tilgængelige kilder.
Artikel 20
Medlemsstaternes og Europols personales adgang til oplysninger, som Europol opbevarer
1.   Medlemsstaterne har i henhold til deres nationale ret og artikel 7, stk. 5, adgang til og kan søge i alle oplysninger, der er meddelt til formålene i artikel 18, stk. 2, litra a) og b). Dette berører ikke den ret, som medlemsstaterne, EU-organer, tredjelande og internationale organisationer har til at anføre eventuelle begrænsninger i overensstemmelse med artikel 19, stk. 2.
2.   Medlemsstaterne har i henhold til deres nationale ret og artikel 7, stk. 5, indirekte adgang til oplysninger, der er meddelt til formålet i artikel 18, stk. 2, litra c), for at få svar på, om der findes oplysninger om søgeemnet. Dette berører ikke eventuelle begrænsninger, som de medlemsstater, EU-organer, tredjelande og internationale organisationer, der har meddelt oplysningerne, har anført i overensstemmelse med artikel 19, stk. 2.
Hvis der findes oplysninger om søgeemnet, indleder Europol den procedure, hvorefter de oplysninger, der svarer til søgeemnet, kan videregives i overensstemmelse med afgørelsen fra den, der meddelte Europol oplysningerne.
3.   I overensstemmelse med national ret må de i stk. 1 og 2 omhandlede oplysninger kun tilgås og viderebehandles af medlemsstaterne med det formål at forebygge og bekæmpe:
a)
former for kriminalitet, der henhører under Europols kompetence, og
b)
andre former for grov kriminalitet, jf. Rådets rammeafgørelse 2002/584/RIA 
(
22
)
.
4.   Ansatte i Europol, som er blevet bemyndiget hertil af den administrerende direktør, har adgang til de oplysninger, som Europol behandler, i det omfang det er nødvendigt for, at de kan udføre deres opgaver, jf. dog artikel 67.
Artikel 21
Eurojusts og OLAF's adgang til oplysninger, som Europol opbevarer
1.   Med forbehold af eventuelle begrænsninger, som medlemsstaten, EU-organet, tredjelandet eller den internationale organisation, der har meddelt de pågældende oplysninger, har anført, jf. artikel 19, stk. 2, træffer Europol alle nødvendige foranstaltninger for, at Eurojust og OLAF inden for deres respektive mandater kan få indirekte adgang til oplysninger, der er meddelt til formålene i artikel 18, stk. 2, litra a), b) og c), for at få svar på, om der findes oplysninger om søgeemnet.
Hvis der findes oplysninger om søgeemnet, indleder Europol den procedure, hvorefter de oplysninger, der svarer til søgeemnet, kan videregives i overensstemmelse med afgørelsen fra den, der meddelte Europol oplysningerne, og kun i det omfang de oplysninger, der svarer til søgeemnet, er nødvendige for udførelsen af Eurojusts eller OLAF's opgaver.
2.   Europol og Eurojust kan indgå en samarbejdsordning, der på gensidig vis og inden for deres respektive mandater sikrer adgang til og mulighed for at søge i alle oplysninger, der er meddelt med henblik på det i artikel 18, stk. 2, litra a), fastsatte formål. Dette berører ikke medlemsstaternes, EU-organernes, tredjelandes og internationale organisationers ret til at angive begrænsninger for adgang til og anvendelsen af sådanne oplysninger og skal være i overensstemmelse med de databeskyttelsesgarantier, der er fastsat i denne forordning.
3.   Søgninger efter oplysninger i henhold til stk. 1 og 2 kan kun foretages med det formål at konstatere, om oplysninger hos Eurojust eller OLAF svarer til de oplysninger, som Europol behandler.
4.   Europol må kun tillade søgninger i henhold til stk. 1 og 2 efter at have fået oplysninger fra Eurojust om, hvilke nationale medlemmer, stedfortrædere, assisterende medlemmer og ansatte i Eurojust der har fået tilladelse til at udføre søgninger, og fra OLAF om, hvilke OLAF-ansatte der har fået tilladelse til at udføre søgninger.
5.   Hvis Europol eller en medlemsstat i forbindelse med Europols behandling af oplysninger som led i en konkret efterforskning konstaterer, at der er behov for koordinering, samarbejde eller støtte i overensstemmelse med Eurojusts eller OLAF's mandat, meddeler Europol dem dette og iværksætter proceduren for at dele oplysningerne i overensstemmelse med afgørelsen fra den medlemsstat, der har meddelt oplysningerne. I så fald rådfører Eurojust eller OLAF sig med Europol.
6.   Eurojust, herunder kollegiet, de nationale medlemmer, stedfortræderne og de assisterende medlemmer samt de ansatte i Eurojust, og OLAF skal overholde alle generelle og specifikke begrænsninger i adgang eller brug, som medlemsstater, EU-organer, tredjelande og internationale organisationer har anført i henhold til artikel 19, stk. 2.
7.   Europol, Eurojust og OLAF underretter hinanden, såfremt de efter at have konsulteret hinandens oplysninger i henhold til stk. 2 eller som følge af, at der findes oplysninger om søgeemnet i henhold til stk. 1, finder, at der er tegn på, at oplysningerne kan være forkerte eller kan være i modstrid med andre oplysninger.
Artikel 22
Underretningspligt over for medlemsstaterne
1.   Europol giver i overensstemmelse med artikel 4, stk. 1, litra b), omgående en medlemsstat meddelelse om oplysninger, der vedrører den. Hvis sådanne oplysninger er genstand for begrænsninger i henhold til artikel 19, stk. 2, der ville være til hinder for, at de bliver videregivet, hører Europol den leverandør af oplysninger, der har anført adgangsbegrænsningen, og søger at opnå dennes tilladelse til videregivelse.
I tilfælde heraf må oplysningerne ikke videregives uden leverandørens udtrykkelige tilladelse.
2.   Uanset om der er foretaget begrænsninger i adgangen, giver Europol en medlemsstat meddelelse om oplysninger, der vedrører den, hvis det er strengt nødvendigt for at afværge en nært forestående livsfare.
Europol giver da samtidig leverandøren af oplysningerne meddelelse om videregivelsen af oplysningerne og anfører grundene til sin analyse af situationen.
KAPITEL V
FORBINDELSER MED PARTNERE
AFDELING 1
Fælles bestemmelser
Artikel 23
Fælles bestemmelser
1.   I det omfang det er nødvendigt, for at Europol kan udføre sine opgaver, kan Europol oprette og vedligeholde samarbejdsrelationer med EU-organer i overensstemmelse med disse organers formål og med myndigheder i tredjelande, internationale organisationer og private parter.
2.   Europol kan udveksle alle oplysninger direkte, undtagen personoplysninger, med de i stk. 1 i denne artikel nævnte enheder, med forbehold af begrænsninger i henhold til artikel 19, stk. 2, og med forbehold af artikel 67, i det omfang en sådan udveksling er relevant, for at Europol kan udføre sine opgaver.
3.   Den administrerende direktør underretter bestyrelsen om eventuelle regelmæssige samarbejdsrelationer, som Europol agter at oprette og vedligeholde i overensstemmelse med stk. 1 og 2, og om udviklingen i sådanne relationer, når de er oprettet.
4.   Europol kan til de formål, der er fastsat i stk. 1 og 2, indgå samarbejdsordninger med de i stk. 1 nævnte enheder. Sådanne samarbejdsordninger må ikke give mulighed for udveksling af personoplysninger og er hverken bindende for Unionen eller dens medlemsstater.
5.   Europol kan modtage og behandle personoplysninger fra de i stk. 1 nævnte enheder, i det omfang det er nødvendigt og forholdsmæssigt, for at Europol retmæssigt kan udføre sine opgaver, jf. dog bestemmelserne i dette kapitel.
6.   Med forbehold af artikel 30, stk. 5, må Europol kun videregive personoplysninger til EU-organer, tredjelande og internationale organisationer, hvis det er nødvendigt for at forebygge og bekæmpe kriminalitet, der falder inden for rammerne af Europols målsætninger, og i overensstemmelse med denne forordning, og hvis modtageren giver tilsagn om, at oplysningerne udelukkende vil blive behandlet til det formål, hvortil de videregives. Hvis de oplysninger, der skal videregives, er meddelt af en medlemsstat, indhenter Europol den pågældende medlemsstats samtykke, medmindre medlemsstaten på forhånd har givet tilladelse til en sådan videregivelse til andre enten generelt eller under nærmere fastsatte betingelser. Et sådant samtykke kan til enhver tid tilbagekaldes.
7.   Medlemsstaters, EU-organers, tredjelandes og internationale organisationers videregivelse til andre af personoplysninger, som Europol er i besiddelse af, er forbudt, medmindre Europol forinden udtrykkelig har givet tilladelse hertil.
8.   Europol sikrer, at der foretages detaljeret registrering af alle videregivelser af personoplysninger og af grundene til sådanne videregivelser i overensstemmelse med denne forordning.
9.   Oplysninger, der tydeligvis er opnået i åbenbar strid med menneskerettighederne, behandles ikke.
AFDELING 2
Videregivelse og udveksling af personoplysninger
Artikel 24
Videregivelse af personoplysninger til EU-organer
Med forbehold af eventuelle begrænsninger i henhold til artikel 19, stk. 2 eller 3, og med forbehold af artikel 67 kan Europol direkte videregive personoplysninger til et EU-organ, i det omfang en sådan videregivelse er nødvendig, for at Europol eller det EU-organ, der er modtageren, kan udføre sine opgaver.
Artikel 25
Videregivelse af personoplysninger til tredjelande og internationale organisationer
1.   Med forbehold af eventuelle begrænsninger i henhold til artikel 19, stk. 2 eller 3, og med forbehold af artikel 67 kan Europol videregive personoplysninger til en myndighed i et tredjeland eller til en international organisation, i det omfang en sådan videregivelse er nødvendig, for at Europol kan udføre sine opgaver, med hjemmel i en af følgende:
a)
en afgørelse, Kommissionen har vedtaget i overensstemmelse med artikel 36 i direktiv (EU) 2016/680, der fastslår, at tredjelandet eller et territorium eller en behandlingssektor i dette tredjeland eller den pågældende internationale organisation sikrer et tilstrækkeligt niveau for databeskyttelse (»afgørelse om tilstrækkeligt beskyttelsesniveau«)
b)
en international aftale, der er indgået mellem Unionen og det pågældende tredjeland eller den pågældende internationale organisation i medfør af artikel 218 i TEUF, og som giver tilstrækkelige garantier med hensyn til beskyttelsen af privatlivets fred og fysiske personers grundlæggende rettigheder og friheder
c)
en samarbejdsaftale, der muliggør udveksling af personoplysninger, og som er indgået mellem Europol og det pågældende tredjeland eller den pågældende internationale organisation før den 1. maj 2017 i henhold til artikel 23 i afgørelse 2009/371/RIA.
Europol kan indgå administrative ordninger for at gennemføre sådanne aftaler eller afgørelser om tilstrækkeligt beskyttelsesniveau.
2.   Den administrerende direktør underretter bestyrelsen om udveksling af personoplysninger med hjemmel i afgørelser om tilstrækkeligt beskyttelsesniveau i henhold til stk. 1, litra a).
3.   Europol offentliggør på sit websted og ajourfører en liste over afgørelser om tilstrækkeligt beskyttelsesniveau, aftaler, administrative ordninger og andre instrumenter vedrørende videregivelse af personoplysninger i henhold til stk. 1.
4.   Senest den 14. juni 2021 foretager Kommissionen en vurdering af bestemmelserne i de samarbejdsaftaler, der er omhandlet i stk. 1, litra c), navnlig dem om databeskyttelse. Kommissionen underretter Europa-Parlamentet og Rådet om resultaterne af denne vurdering og kan, hvis det er relevant, forelægge Rådet en henstilling med henblik på en afgørelse om bemyndigelse til indledning af forhandlinger om indgåelsen af internationale aftaler, jf. stk. 1, litra b).
5.   Uanset stk. 1 kan den administrerende direktør give tilladelse til videregivelse af personoplysninger til tredjelande eller internationale organisationer under hensyntagen til sagens konkrete omstændigheder, hvis videregivelsen er:
a)
nødvendig for at beskytte den registreredes eller en anden persons vitale interesser
b)
nødvendig for at beskytte den registreredes legitime interesser, hvis det er påkrævet ved lov i den medlemsstat, der videregiver personoplysningerne
c)
afgørende for at afværge en umiddelbar og alvorlig trussel mod en medlemsstats eller et tredjelands offentlige sikkerhed
d)
nødvendig i enkeltsager med henblik på forebyggelsen, efterforskningen, opdagelsen eller retsforfølgningen af strafbare handlinger eller fuldbyrdelsen af strafferetlige sanktioner, eller
e)
nødvendig i enkeltsager med henblik på at fastslå et retskrav eller gøre det gældende eller forsvare det ved en domstol i forbindelse med forebyggelse, efterforskning, opdagelse eller retsforfølgning af en konkret strafbar handling eller fuldbyrdelse af en konkret strafferetlig sanktion.
Personoplysninger må ikke videregives, hvis den administrerende direktør fastslår, at den pågældende registreredes grundlæggende rettigheder og frihedsrettigheder vægter højere end den offentlige interesse i den i litra d) og e) omhandlede videregivelse.
Undtagelser må ikke finde anvendelse på systematiske, omfangsrige eller strukturelle videregivelser af oplysninger.
6.   Uanset stk. 1 kan bestyrelsen efter aftale med EDPS, hvis der foreligger passende garantier for beskyttelse af privatlivets fred og fysiske personers grundlæggende rettigheder og frihedsrettigheder, i en periode, der ikke må overstige et år, med mulighed for forlængelse give tilladelse til en gruppe videregivelser i overensstemmelse med stk. 5, litra a)-e). En sådan tilladelse skal være behørigt begrundet og dokumenteret.
7.   Den administrerende direktør underretter så hurtigt som muligt bestyrelsen og EDPS om de tilfælde, hvor stk. 5 har været anvendt.
8.   Europol fører et detaljeret register over alle videregivelser foretaget i henhold til denne artikel.
Artikel 26
Udveksling af personoplysninger med private parter
1.   I det omfang det er nødvendigt, for at Europol kan udføre sine opgaver, kan Europol behandle personoplysninger opnået fra private parter, hvis de modtages gennem:
a)
en medlemsstats nationale enhed i overensstemmelse med national ret
b)
kontaktpunktet i et tredjeland eller en international organisation, hvormed Europol før den 1. maj 2017 har indgået en samarbejdsaftale, der muliggør udveksling af personoplysninger, i medfør af artikel 23 i afgørelse 2009/371/RIA, eller
c)
en myndighed i et tredjeland eller en international organisation, der er omfattet af en afgørelse om tilstrækkeligt beskyttelsesniveau som omhandlet i artikel 25, stk. 1, litra a), i denne forordning, eller hvormed Unionen har indgået en international aftale i medfør af artikel 218 i TEUF.
2.   I tilfælde, hvor Europol ikke desto mindre modtager personoplysninger direkte fra private parter, og hvor den berørte nationale enhed, det berørte kontaktpunkt eller den berørte myndighed som omhandlet i stk. 1 ikke kan identificeres, kan Europol kun behandle disse personoplysninger med henblik på en sådan identifikation. Personoplysningerne fremsendes herefter straks til den berørte nationale enhed, det berørte kontaktpunkt eller den berørte myndighed og slettes, medmindre den berørte nationale enhed, det berørte kontaktpunkt eller den berørte myndighed igen meddeler disse personoplysninger i overensstemmelse med artikel 19, stk. 1, senest fire måneder efter, at overførslen finder sted. Europol sikrer ved hjælp af tekniske midler, at de pågældende oplysninger i denne periode ikke er tilgængelige for behandling til andre formål.
3.   Efter videregivelse af personoplysninger i henhold til denne artikels stk. 5, litra c), kan Europol i forbindelse hermed modtage personoplysninger direkte fra en privat part, hvis den private part erklærer, at denne lovligt kan sende disse oplysninger i overensstemmelse med gældende lovgivning, med henblik på at behandle disse oplysninger til udførelsen af den opgave, der er omhandlet i artikel 4, stk. 1, litra m).
4.   Hvis Europol modtager personoplysninger fra en privat part i et tredjeland, hvormed der ikke er indgået nogen aftale, hverken med hjemmel i artikel 23 i afgørelse 2009/371/RIA eller med hjemmel i artikel 218 i TEUF, eller som ikke er omfattet af en afgørelse om tilstrækkeligt beskyttelsesniveau som omhandlet i artikel 25, stk. 1, litra a), i denne forordning, kan Europol kun videregive disse oplysninger til en medlemsstat eller til et berørt tredjeland, hvormed der er indgået en sådan aftale.
5.   Kun i enkeltstående tilfælde, hvor det er strengt nødvendigt og med forbehold af eventuelle begrænsninger i henhold til artikel 19, stk. 2 eller 3, og med forbehold af artikel 67, må Europol videregive personoplysninger til private parter, hvis:
a)
videregivelsen uden tvivl er i den registreredes interesse, og den registrerede enten har givet sit samtykke hertil, eller omstændighederne muliggør en klar formodning om et sådant samtykke, eller
b)
videregivelsen er strengt nødvendig for at afværge en nært forestående kriminel handling, herunder terrorisme, som henhører under Europols kompetence, eller
c)
videregivelsen af personoplysninger, der er offentligt tilgængelige, er strengt nødvendig for udførelsen af opgaven i artikel 4, stk. 1, litra m), og følgende betingelser er opfyldt:
i)
videregivelsen vedrører et individuelt og særligt tilfælde, og
ii)
ingen af de berørte registreredes grundlæggende rettigheder eller frihedsrettigheder vægter højere end den offentlige interesse, der nødvendiggør videregivelse i den konkrete sag.
6.   Med hensyn til denne artikels stk. 5, litra a) og b), er videregivelsen, hvis den berørte private part ikke er etableret inden for Unionen eller i et land, hvormed Europol har en samarbejdsaftale, der muliggør udveksling af personoplysninger, eller hvormed Unionen har indgået en international aftale i henhold til artikel 218 i TEUF, eller som er omfattet af en afgørelse om tilstrækkeligt beskyttelsesniveau som omhandlet i artikel 25, stk. 1, litra a), i denne forordning, kun tilladt, hvis videregivelsen er:
a)
nødvendig for at beskytte den registreredes eller en anden persons vitale interesser, eller
b)
nødvendig for at beskytte den registreredes legitime interesser, eller
c)
afgørende for at afværge en umiddelbar og alvorlig trussel mod en medlemsstats eller et tredjelands offentlige sikkerhed, eller
d)
nødvendig i enkeltsager med henblik på forebyggelsen, efterforskningen, opdagelsen eller retsforfølgningen af strafbare handlinger, som henhører under Europols kompetenceområde, eller
e)
nødvendig i enkeltsager med henblik på at fastslå et retskrav eller gøre det gældende eller forsvare det ved en domstol i forbindelse med forebyggelse, efterforskning, opdagelse eller retsforfølgning af en konkret strafbar handling, som henhører under Europols kompetenceområde.
7.   Europol sikrer, at der foretages detaljeret registrering af alle videregivelser af personoplysninger og grundene hertil i overensstemmelse med denne forordning, og at de meddeles EDPS på dennes anmodning i henhold til artikel 40.
8.   Hvis de modtagne personoplysninger eller de personoplysninger, der skal videregives, berører en medlemsstats interesser, underretter Europol straks den berørte medlemsstats nationale enhed.
9.   Europol må ikke kontakte private parter for at indhente personoplysninger.
10.   Kommissionen vurderer praksis med hensyn til direkte udveksling af personoplysninger med private parter senest den 1. maj 2019.
Artikel 27
Oplysninger fra privatpersoner
1.   I det omfang det er nødvendigt, for at Europol kan udføre sine opgaver, kan Europol modtage og behandle oplysninger, der hidrører fra privatpersoner. Personoplysninger, der hidrører fra privatpersoner, kan kun behandles af Europol, hvis de modtages gennem:
a)
en national enhed i overensstemmelse med national ret
b)
kontaktpunktet i et tredjeland eller en international organisation, hvormed Europol inden den 1. maj 2017 har indgået en samarbejdsaftale, der muliggør udveksling af personoplysninger, i medfør af artikel 23 i afgørelse 2009/371/RIA, eller
c)
en myndighed i et tredjeland eller en international organisation, der er omfattet af en afgørelse om tilstrækkeligt beskyttelsesniveau som omhandlet i artikel 25, stk. 1, litra a), eller hvormed Unionen har indgået en international aftale i medfør af artikel 218 i TEUF.
2.   Hvis Europol modtager oplysninger, herunder personoplysninger, fra en privatperson, der opholder sig i et tredjeland, hvormed der ikke er indgået en international aftale, hverken med hjemmel i artikel 23 i afgørelse 2009/371/RIA eller med hjemmel i artikel 218 i TEUF, eller som ikke er omfattet af en afgørelse om tilstrækkeligt beskyttelsesniveau som omhandlet i artikel 25, stk. 1, litra a), i denne forordning, kan Europol kun videregive disse oplysninger til en medlemsstat eller et berørt tredjeland, hvormed der er indgået en sådan international aftale.
3.   Hvis de modtagne personoplysninger berører en medlemsstats interesser, underretter Europol straks den berørte medlemsstats nationale enhed.
4.   Europol må ikke kontakte privatpersoner for at indhente oplysninger.
5.   Europol må ikke videregive personoplysninger til privatpersoner, jf. dog artikel 36 og 37.
KAPITEL VI
DATABESKYTTELSESGARANTIER
Artikel 28
Almindelige databeskyttelsesprincipper
1.   Personoplysninger skal:
a)
behandles loyalt og lovligt
b)
indsamles til udtrykkeligt angivne og legitime formål og må ikke gøres til genstand for yderligere behandling, som er uforenelig med disse formål. Yderligere behandling af personoplysninger til historiske, statistiske eller videnskabelige forskningsformål anses ikke for at være uforenelig med disse formål, såfremt Europol giver de fornødne garantier, især til sikring af, at oplysningerne ikke behandles til andre formål
c)
være tilstrækkelige og relevante og begrænses til det, der er nødvendigt i forhold til de formål, hvortil de behandles
d)
være korrekte og ajourførte; der skal træffes alle rimelige foranstaltninger til at sikre, at personoplysninger, der er urigtige, under hensyntagen til de formål, hvortil de behandles, omgående slettes eller berigtiges
e)
opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i længere tid end nødvendigt af hensyn til de formål, hvortil personoplysningerne behandles, og
f)
behandles på en måde, der sikrer tilstrækkelig sikkerhed for personoplysningerne.
2.   Europol offentliggør et dokument, der i forståelig form redegør for bestemmelserne om behandling af personoplysninger, og hvilke midler der står til rådighed for udøvelse af registreredes rettigheder.
Artikel 29
Vurdering af kildens pålidelighed og oplysningers nøjagtighed
1.   Pålideligheden af kilden til oplysninger, der hidrører fra en medlemsstat, skal så vidt muligt vurderes af den medlemsstat, der har meddelt oplysningerne, ved anvendelse af følgende kildevurderingskoder:
A: hvor der ikke hersker tvivl om kildens ægthed, pålidelighed og kompetence, eller hvor oplysningerne er meddelt af en kilde, der har vist sig at være pålidelig i alle tilfælde
B: hvor oplysningerne er meddelt af en kilde, der i de fleste tilfælde har vist sig at være pålidelig
C: hvor oplysningerne er meddelt af en kilde, der i de fleste tilfælde har vist sig at være upålidelig
X: hvor kildens pålidelighed ikke kan vurderes.
2.   Nøjagtigheden af oplysninger, der hidrører fra en medlemsstat, skal så vidt muligt vurderes af den medlemsstat, der har meddelt oplysningerne, ved anvendelse af følgende oplysningsvurderingskoder:
1: oplysninger, hvis rigtighed der ikke er tvivl om
2: oplysninger, som kilden har personligt kendskab til, men som den rapporterende tjenestemand ikke har personligt kendskab til
3: oplysninger, som kilden ikke har personligt kendskab til, men som underbygges af andre allerede registrerede oplysninger
4: oplysninger, som kilden ikke har personligt kendskab til, og som ikke kan underbygges.
3.   Hvis Europol på grundlag af de oplysninger, det allerede har i sin besiddelse, kommer til den konklusion, at der er behov for at korrigere vurderingen i stk. 1 eller 2, underretter Europol den pågældende medlemsstat herom og søger at nå til enighed om en ændret vurdering. Europol ændrer ikke vurderingen, medmindre de er nået til enighed herom.
4.   Hvis Europol modtager oplysninger fra en medlemsstat uden en vurdering i overensstemmelse med stk. 1 eller 2, forsøger Europol at vurdere, hvor pålidelig kilden er, eller hvor nøjagtige oplysningerne er, på grundlag af oplysninger, som det allerede har i sin besiddelse. Vurderingen af specifikke data og oplysninger skal ske i enighed med den medlemsstat, der har meddelt oplysningerne. En medlemsstat og Europol kan også indgå en generel aftale om vurdering af bestemte typer oplysninger og bestemte kilder. Hvis det i et konkret tilfælde ikke er muligt at nå til enighed, eller der ikke er indgået en generel aftale, vurderer Europol oplysningerne eller dataene og tildeler disse oplysninger eller data vurderingskoderne X og 4, jf. henholdsvis stk. 1 og 2.
5.   Hvis Europol modtager data eller oplysninger fra et EU-organ, et tredjeland, en international organisation eller en privat part, finder denne artikel tilsvarende anvendelse.
6.   Oplysninger fra offentligt tilgængelige kilder vurderes af Europol under anvendelse af vurderingskoderne i stk. 1 og 2.
7.   Hvis oplysninger er resultatet af en analyse, som Europol har foretaget under udførelsen af sine opgaver, vurderer Europol sådanne oplysninger i overensstemmelse med denne artikel og i enighed med de medlemsstater, der deltager i analysen.
Artikel 30
Behandling af særlige kategorier af personoplysninger og forskellige kategorier af registrerede
1.   Behandling af personoplysninger om ofre for strafbare handlinger, vidner eller andre personer, som kan give oplysninger vedrørende strafbare handlinger, samt om personer under 18 år er tilladt, hvis det er strengt nødvendigt for og står i rimeligt forhold til forebyggelse eller bekæmpelse af kriminalitet, som er omfattet af Europols målsætninger.
2.   Automatisk eller anden form for behandling af personoplysninger om race eller etnisk oprindelse, politiske anskuelser, religiøs eller filosofisk overbevisning eller medlemskab af fagforening og behandling af genetiske data eller oplysninger om en persons helbredsforhold eller seksuelle forhold er forbudt, medmindre det er strengt nødvendigt for og står i rimeligt forhold til forebyggelse eller bekæmpelse af kriminalitet, som er omfattet af Europols målsætninger, og disse oplysninger supplerer andre personoplysninger, der behandles af Europol. Udvælgelsen af en bestemt persongruppe på grundlag af sådanne personoplysninger alene er forbudt.
3.   Kun Europol har direkte adgang til den slags personoplysninger, der er omhandlet i stk. 1 og 2. Den administrerende direktør giver et begrænset antal Europol-tjenestemænd tilladelse til at få adgang hertil, når det er nødvendigt, for at de kan udføre deres opgaver.
4.   Afgørelser truffet af en kompetent myndighed, der har negative retsvirkninger for en registreret, må ikke alene træffes på grundlag af automatisk behandling af den slags personoplysninger, der er omhandlet i stk. 2, medmindre afgørelsen udtrykkeligt er tilladt i henhold til national lovgivning eller EU-lovgivning.
5.   Den slags personoplysninger, der er omhandlet i stk. 1 og 2, må ikke videregives til medlemsstaterne, EU-organer, tredjelande eller internationale organisationer, medmindre en sådan videregivelse er strengt nødvendigt i og står i rimeligt forhold til en konkret sag vedrørende kriminalitet, som er omfattet af Europols målsætninger, og i overensstemmelse med kapitel V.
6.   Hvert år udarbejder Europol til EDPS en statistisk oversigt over alle den slags personoplysninger, der er omhandlet i stk. 2, som det har behandlet.
Artikel 31
Frister for opbevaring og sletning af personoplysninger
1.   Europol må ikke opbevare de personoplysninger, som det behandler, længere end det er nødvendigt og står i rimeligt forhold til de formål, hvortil personoplysningerne behandles.
2.   Senest tre år efter, at den oprindelige behandling af personoplysningerne begyndte, skal Europol i alle tilfælde undersøge, om det er nødvendigt fortsat at opbevare oplysningerne. Hvis opbevaringen stadig er nødvendig for udførelsen af Europols opgaver, kan Europol beslutte fortsat at opbevare personoplysningerne indtil den følgende undersøgelse, der skal finde sted efter endnu en periode på tre år. Grundene til den fortsatte opbevaring skal angives og registreres. Hvis det ikke besluttes fortsat at opbevare personoplysningerne, skal de automatisk slettes efter tre år.
3.   Hvis den slags personoplysninger, der er omhandlet i artikel 30, stk. 1 og 2, opbevares i en længere periode end fem år, skal EDPS underrettes herom.
4.   Hvis en medlemsstat, et EU-organ, et tredjeland eller en international organisation ved videregivelsen har anført begrænsninger med hensyn til en tidligere sletning eller tilintetgørelse af personoplysningerne, jf. artikel 19, stk. 2, sletter Europol personoplysningerne i overensstemmelse med begrænsningerne. Hvis fortsat opbevaring af oplysningerne på grundlag af mere omfattende informationer end dem, leverandøren af oplysningerne er i besiddelse af, anses for at være nødvendig for, at Europol kan udføre sine opgaver, anmoder Europol leverandøren af oplysningerne om tilladelse til fortsat at opbevare oplysningerne med angivelse af grundene til anmodningen.
5.   Hvis en medlemsstat, et EU-organ, et tredjeland eller en international organisation i sine egne dataregistre sletter personoplysninger, der er meddelt Europol, underretter den/det Europol herom. Europol sletter da oplysningerne, medmindre fortsat opbevaring af oplysningerne på grundlag af mere omfattende informationer end dem, som leverandøren af oplysningerne er i besiddelse af, anses for at være nødvendig, for at Europol kan udføre sine opgaver. Europol underretter leverandøren af oplysningerne, hvis de pågældende oplysninger fortsat opbevares, og angiver begrundelsen for den fortsatte opbevaring.
6.   Personoplysninger må ikke slettes, hvis:
a)
dette ville være i strid med hensynet til en registreret, der har behov for beskyttelse. I så fald anvendes oplysningerne udelukkende med den registreredes udtrykkelige og skriftlige samtykke
b)
deres rigtighed bestrides af den registrerede, før medlemsstaterne eller, efter omstændighederne, Europol har haft mulighed for at fastslå, om de er rigtige
c)
de skal bevares som bevismiddel, eller for at et retskrav kan fastslås, gøres gældende eller forsvares, eller
d)
den registrerede modsætter sig deres sletning og i stedet anmoder om, at anvendelse heraf begrænses.
Artikel 32
Sikkerhed i forbindelse med behandling
1.   Europol træffer de nødvendige tekniske og organisatoriske foranstaltninger til at beskytte personoplysninger mod hændelig eller ulovlig tilintetgørelse, hændeligt tab og ubeføjet videregivelse, ændring og adgang og enhver anden form for uautoriseret behandling.
2.   Med henblik på automatisk databehandling træffer Europol og hver medlemsstat foranstaltninger til at:
a)
forhindre, at uautoriserede personer får adgang til det databehandlingsudstyr, der benyttes til behandling af personoplysninger (fysisk adgangskontrol)
b)
forhindre uautoriseret læsning, kopiering, ændring eller fjernelse af datamedier (kontrol med datamedier)
c)
forhindre uautoriseret indlæsning af oplysninger samt uautoriseret adgang til og ændring og sletning af de opbevarede personoplysninger (kontrol med opbevaring)
d)
forhindre, at uautoriserede personer benytter automatiske databehandlingssystemer ved hjælp af datatransmissionsudstyr (brugerkontrol)
e)
sikre, at autoriserede brugere af et automatisk databehandlingssystem kun får adgang til de oplysninger, som henhører under deres adgangsautorisation (adgangskontrol)
f)
sikre, at det er muligt at undersøge og fastslå, til hvilke organer der kan videregives eller er blevet videregivet personoplysninger via datatransmissionsudstyr (kontrol med videregivelse)
g)
sikre, at det kan efterprøves og fastslås, hvilke personoplysninger der er blevet indlæst i automatiske databehandlingssystemer, og hvornår og af hvem oplysningerne blev indlæst (kontrol med indlæsning)
h)
sikre, at det er muligt at kontrollere og fastslå, hvilke medarbejdere der har haft adgang til hvilke oplysninger og hvornår (adgangslogning)
i)
forhindre uautoriseret læsning, kopiering, ændring eller sletning af personoplysninger i forbindelse med videregivelse af personoplysninger eller transport af datamedier (kontrol med transport)
j)
sikre, at det er muligt i tilfælde af tekniske forstyrrelser straks at genetablere de anvendte systemer (genopretning), og
k)
sikre, at systemet fungerer fejlfrit, at indtrufne fejl straks meldes (pålidelighed), og at lagrede oplysninger ikke bliver forkerte som følge af fejlfunktioner i systemet (integritet).
3.   Europol og medlemsstaterne træffer foranstaltninger til at sikre, at der tages hensyn til sikkerheden på tværs af grænserne mellem informationssystemerne.
Artikel 33
Indbygget databeskyttelse
Europol indfører passende tekniske og organisatoriske foranstaltninger og procedurer på en sådan måde, at databehandling er i overensstemmelse med denne forordning og beskytter de pågældende registreredes rettigheder.
Artikel 34
Anmeldelse af brud på persondatasikkerheden til de berørte myndigheder
1.   I tilfælde af brud på persondatasikkerheden anmelder Europol uden unødig forsinkelse dette brud til EDPS og de berørte medlemsstaters kompetente myndigheder i overensstemmelse med de betingelser, der er fastsat i artikel 7, stk. 5, samt til leverandøren af de pågældende oplysninger.
2.   Den i stk. 1 omhandlede anmeldelse skal mindst:
a)
beskrive arten af bruddet på persondatasikkerheden, herunder, hvis det er muligt og hensigtsmæssigt, kategorierne og antallet af berørte registrerede samt kategorierne og antallet af berørte dataregistreringer
b)
beskrive de sandsynlige konsekvenser af bruddet på persondatasikkerheden
c)
beskrive de foranstaltninger, som Europol foreslår eller har truffet for at afhjælpe bruddet på persondatasikkerheden, og
d)
hvor det er hensigtsmæssigt, anbefale foranstaltninger til at begrænse de mulige skadevirkninger af bruddet på persondatasikkerheden.
3.   Europol dokumenterer alle brud på persondatasikkerheden, herunder kendsgerningerne i forbindelse med bruddet, dets virkninger og de trufne afhjælpende foranstaltninger, således at EDPS kan kontrollere overholdelsen af denne artikel.
Artikel 35
Meddelelse af brud på persondatasikkerheden til den registrerede
1.   Med forbehold af stk. 4 i denne artikel underretter Europol uden unødig forsinkelse den registrerede om brud på persondatasikkerheden, hvis et brud på persondatasikkerheden som omhandlet i artikel 34 sandsynligvis i alvorlig grad vil krænke den registreredes rettigheder og frihedsrettigheder.
2.   Den i stk. 1 omhandlede meddelelse til den registrerede skal beskrive, hvis dette er muligt, arten af bruddet på persondatasikkerheden og anbefale foranstaltninger til at begrænse de mulige skadevirkninger af bruddet på persondatasikkerheden samt indeholde den databeskyttelsesansvarliges identitet og kontaktoplysninger.
3.   Såfremt Europol ikke har den berørte registreredes kontaktoplysninger, anmoder det leverandøren af de pågældende oplysninger om at underrette den berørte registrerede om bruddet på persondatasikkerheden og at orientere Europol om den afgørelse, der træffes. De medlemsstater, der leverer oplysningerne, underretter i overensstemmelse med procedurerne i deres nationale ret den berørte registrerede om bruddet.
4.   Meddelelse af brud på persondatasikkerheden til den registrerede er ikke påkrævet, hvis:
a)
Europol har på de personoplysninger, som det pågældende brud vedrørte, anvendt passende teknologiske beskyttelsesforanstaltninger, der gør oplysningerne uforståelige for alle, der ikke har lovlig adgang hertil
b)
Europol har truffet efterfølgende foranstaltninger, der sikrer, at den registreredes rettigheder og frihedsrettigheder sandsynligvis ikke længere i alvorlig grad vil blive krænket, eller
c)
en sådan meddelelse ville kræve en uforholdsmæssig indsats, navnlig på grund af antallet af tilfælde. I så fald skal der i stedet gives en offentlig meddelelse eller træffes en tilsvarende foranstaltning, hvorved de pågældende registrerede underrettes på en lige så effektiv måde.
5.   Meddelelsen til den registrerede kan forsinkes, begrænses eller udelades, hvis dette udgør en nødvendig foranstaltning under behørigt hensyn til den berørte persons legitime interesser:
a)
for at undgå at lægge hindringer i vejen for officielle eller retlige undersøgelser, efterforskninger eller procedurer
b)
for at undgå at skade forebyggelse, opdagelse, efterforskning og retsforfølgning af strafbare handlinger eller med henblik på fuldbyrdelsen af strafferetlige sanktioner
c)
for at beskytte den offentlige og nationale sikkerhed
d)
for at beskytte tredjemands rettigheder og frihedsrettigheder.
Artikel 36
Den registreredes ret til indsigt
1.   Den registrerede har ret til med rimelige mellemrum at få oplyst, om personoplysninger om den pågældende behandles af Europol.
2.   Med forbehold af stk. 5 meddeler Europol den registrerede følgende:
a)
en bekræftelse af, om personoplysninger om den pågældende behandles
b)
oplysninger, der mindst skal omfatte formålene med behandlingen, kategorierne af de oplysninger, der er tale om, og modtagerne eller kategorierne af modtagere, som de videregives til
c)
meddelelse i forståelig form af de oplysninger, der er genstand for behandling, og af alle foreliggende oplysninger om, hvor de stammer fra
d)
en angivelse af retsgrundlaget for behandling af oplysningerne
e)
det påtænkte tidsrum, hvori personoplysningerne opbevares
f)
retten til at anmode Europol om at få berigtiget eller slettet personoplysninger om den registrerede eller begrænset behandlingen heraf.
3.   Alle registrerede, der ønsker at benytte sig af deres ret til indsigt i personoplysninger om dem selv, kan indgive en anmodning herom til den myndighed, der er udpeget hertil, i en medlemsstat efter eget valg uden at blive pålagt uforholdsmæssigt store udgifter. Myndigheden skal straks og under alle omstændigheder senest en måned efter modtagelsen oversende anmodningen til Europol.
4.   Europol skal bekræfte modtagelsen af den i stk. 3 omhandlede anmodning. Europol skal besvare den uden unødig forsinkelse og under alle omstændigheder senest tre måneder efter Europols modtagelse af den nationale myndigheds anmodning.
5.   Europol skal høre medlemsstaternes kompetente myndigheder, jf. betingelserne i artikel 7, stk. 5, og den pågældende leverandør af oplysninger, inden der træffes afgørelse. En afgørelse om adgang til personoplysninger er betinget af et tæt samarbejde mellem Europol og medlemsstaterne og den leverandør af oplysninger, der direkte er berørt af den registreredes adgang til oplysningerne. Hvis en medlemsstat eller leverandøren af oplysninger gør indsigelse mod Europols foreslåede svar, underretter den Europol om grundene hertil, jf. stk. 6 i denne artikel. Europol skal i det videst mulige omfang tage hensyn til en sådan indsigelse. Europol meddeler efterfølgende sin afgørelse til de berørte kompetente myndigheder i overensstemmelse med de betingelser, der er fastsat i artikel 7, stk. 5, og til leverandøren af oplysningerne.
6.   Meddelelse af oplysninger som svar på en anmodning i henhold til stk. 1 kan afslås eller begrænses, hvis et sådant afslag eller en sådan begrænsning er en foranstaltning, der er nødvendig for at:
a)
gøre det muligt for Europol at udføre sine opgaver behørigt
b)
beskytte sikkerheden og den offentlige orden eller forebygge kriminalitet
c)
sikre, at eventuelle nationale efterforskninger ikke bringes i fare, eller
d)
beskytte tredjemands rettigheder og frihedsrettigheder.
Ved vurderingen af, om en undtagelse finder anvendelse, tages der hensyn til den registreredes grundlæggende rettigheder og interesser.
7.   Hvis der træffes afgørelse om at afslå at give indsigt eller om at give begrænset indsigt, underretter Europol den registrerede skriftligt herom med angivelse af begrundelsen herfor og oplysning om den pågældendes adgang til at klage til EDPS. Hvis det ville fratage stk. 6 dens virkning, at disse oplysninger blev videregivet, underretter Europol kun den pågældende registrerede om, at det har foretaget kontrol, uden at anføre oplysninger, som gør det muligt at finde ud af, om Europol behandler personoplysninger om vedkommende.
Artikel 37
Ret til berigtigelse, sletning og begrænsning
1.   Registrerede, der har indsigt i personoplysninger om dem selv, som Europol har behandlet i overensstemmelse med artikel 36, har ret til at anmode Europol gennem den myndighed, der er udpeget hertil, i en medlemsstat efter eget valg om at berigtige personoplysninger om dem selv, som Europol er i besiddelse af, hvis oplysningerne er urigtige, eller om at tilføje det manglende eller ajourføre dem. Myndigheden skal straks og under alle omstændigheder senest en måned efter modtagelsen oversende anmodningen til Europol.
2.   Registrerede, der har indsigt i personoplysninger om dem selv, som Europol har behandlet i overensstemmelse med artikel 36, har ret til at anmode Europol gennem den myndighed, der er udpeget hertil, i en medlemsstat efter eget valg om at slette personoplysninger om dem selv, som Europol er i besiddelse af, hvis oplysningerne ikke længere er nødvendige til de formål, som de blev indsamlet til eller bliver viderebehandlet til. Myndigheden skal straks og under alle omstændigheder senest en måned efter modtagelsen oversende anmodningen til Europol.
3.   Europol begrænser snarere end sletter personoplysninger i henhold til stk. 2, hvis der er rimelig grund til at antage, at sletning kunne skade den registreredes berettigede interesser. Begrænsede oplysninger må kun behandles til det formål, der var grunden til, at de ikke blev slettet.
4.   Hvis de i stk. 1, 2 og 3 omhandlede personoplysninger, som Europol er i besiddelse af, er blevet meddelt Europol af tredjelande, internationale organisationer eller EU-organer, er blevet meddelt direkte af private parter, er blevet indhentet af Europol fra offentligt tilgængelige kilder eller er resultatet af Europols egne analyser, skal Europol berigtige, slette eller begrænse sådanne oplysninger og, hvis det er relevant, orientere leverandørerne af oplysningerne.
5.   Hvis de i stk. 1, 2 og 3 omhandlede personoplysninger, som Europol er i besiddelse af, er blevet meddelt Europol af medlemsstater, skal de pågældende medlemsstater berigtige, slette eller begrænse oplysningerne i samarbejde med Europol inden for deres respektive kompetenceområder.
6.   Hvis urigtige personoplysninger er videregivet på anden passende vis, eller hvis fejlene i oplysningerne fra medlemsstaterne skyldes fejl ved videregivelsen eller videregivelse i strid med denne forordning, eller hvis fejlene skyldes, at Europol har indlæst, accepteret eller opbevaret oplysningerne forkert eller i strid med denne forordning, skal Europol berigtige eller slette oplysningerne i samarbejde med den pågældende leverandør af oplysninger.
7.   I de i stk. 4, 5 og 6 omhandlede tilfælde skal alle modtagerne af de pågældende oplysninger straks underrettes. Modtagerne skal derefter berigtige, slette eller begrænse disse oplysninger i deres egne systemer i henhold til de for dem gældende regler.
8.   Europol informerer uden unødig forsinkelse og under alle omstændigheder inden for tre måneder efter modtagelsen af en anmodning i henhold til stk. 1 eller 2 den registrerede skriftligt om, at oplysningerne vedrørende den pågældende er blevet berigtiget, slettet eller begrænset.
9.   Inden for tre måneder efter modtagelsen af en anmodning i henhold til stk. 1 eller 2 informerer Europol skriftligt den registrerede om ethvert afslag på at berigtige, slette eller begrænse oplysningerne med angivelse af begrundelsen for et sådant afslag og om den pågældendes mulighed for at indgive en klage til EDPS og benytte andre retsmidler.
Artikel 38
Databeskyttelsesansvar
1.   Europol skal opbevare personoplysninger på en måde, der sikrer, at deres kilde til oplysningerne, jf. artikel 17, kan fastslås.
2.   Ansvaret for kvaliteten af personoplysninger, jf. artikel 28, stk. 1, litra d), påhviler:
a)
den medlemsstat eller det EU-organ, der har meddelt Europol personoplysningerne
b)
Europol med hensyn til de personoplysninger, der er meddelt af tredjelande eller internationale organisationer eller direkte meddelt af private parter, med hensyn til de personoplysninger, som Europol har indhentet fra offentligt tilgængelige kilder, eller som er resultatet af Europols egne analyser, og med hensyn til de personoplysninger, som Europol opbevarer i overensstemmelse med artikel 31, stk. 5.
3.   Hvis Europol bliver klar over, at personoplysninger, der er meddelt i henhold til artikel 17, stk. 1, litra a) og b), er faktisk urigtige eller er opbevaret ulovligt, underretter det leverandøren af disse oplysninger herom.
4.   Europol er ansvarlig for overholdelsen af principperne omhandlet i artikel 28, stk.1, litra a), b), c), e) og f).
5.   Ansvaret for lovligheden af videregivelsen af oplysninger påhviler:
a)
den medlemsstat, der har meddelt Europol personoplysningerne
b)
Europol, for så vidt angår personoplysninger, som Europol har meddelt medlemsstaterne, tredjelande eller internationale organisationer.
6.   I tilfælde af videregivelse mellem Europol og et EU-organ påhviler ansvaret for lovligheden af videregivelsen Europol.
Med forbehold af første afsnit, når Europol videregiver oplysningerne efter anmodning fra modtageren, er både Europol og modtageren ansvarlige for lovligheden af en sådan videregivelse.
7.   Europol er ansvarlig for alle de databehandlingsoperationer, som det foretager, med undtagelse af den bilaterale udveksling af oplysninger mellem medlemsstater, EU-organer, tredjelande og internationale organisationer, som benytter Europols infrastruktur, men som Europol ikke har adgang til. Sådanne bilaterale udvekslinger finder sted under de pågældende enheders ansvar og i overensstemmelse med deres ret. Sikkerheden af sådanne udvekslinger sikres i overensstemmelse med artikel 32.
Artikel 39
Forudgående høring
1.   Alle nye typer behandlingsoperationer skal underkastes forudgående høring, når
a)
særlige kategorier af oplysninger, jf. artikel 30, stk. 2, skal behandles
b)
den pågældende type behandling, navnlig ved brug af nye teknologier, mekanismer eller procedurer, indebærer særlige risici for de registreredes grundlæggende rettigheder og frihedsrettigheder, navnlig retten til beskyttelse af personoplysninger.
2.   Den forudgående høring foretages af EDPS efter modtagelse af en anmeldelse fra den databeskyttelsesansvarlige, der som minimum omfatter en generel beskrivelse af de planlagte behandlingsoperationer, en vurdering af risiciene for registreredes rettigheder og frihedsrettigheder, de påtænkte foranstaltninger til afhjælpning af disse risici, garantier og sikkerhedsforanstaltninger og mekanismer til sikring af beskyttelsen af personoplysninger og til påvisning af overholdelse af denne forordning under hensyntagen til de registreredes og andre berørte personers rettigheder og legitime interesser.
3.   EDPS skal afgive udtalelse til bestyrelsen inden to måneder efter modtagelsen af anmeldelsen. Denne frist kan suspenderes, indtil EDPS har modtaget eventuelle yderligere oplysninger, som denne har anmodet om.
Er udtalelsen ikke afgivet efter fire måneder, anses den for at være positiv.
Hvis EDPS mener, at den anmeldte behandling vil kunne indebære en overtrædelse af en af denne forordnings bestemmelser, skal denne om nødvendigt fremsætte forslag til, hvordan en sådan overtrædelse kan undgås. Hvis Europol ikke ændrer behandlingen i overensstemmelse hermed, kan EDPS gøre brug af sine beføjelser i medfør af artikel 43, stk. 3.
4.   EDPS fører et register over alle behandlinger, der anmeldes til vedkommende i medfør af stk. 1. Registret gøres ikke tilgængeligt for offentligheden.
Artikel 40
Logning og dokumentation
1.   Med henblik på kontrol af lovligheden af databehandling samt med henblik på at udøve egenkontrol og sikre datas integritet og sikkerhed registrerer Europol indsamlingen, ændringen, adgangen, videregivelsen, samkøringen og sletningen af personoplysninger. Denne logning eller dokumentation slettes efter tre år, medmindre de indeholdte oplysninger stadig er nødvendige til løbende kontrol. Der kan ikke ændres i logninger.
2.   Logning eller dokumentation i henhold til stk. 1 meddeles efter anmodning til EDPS, til den databeskyttelsesansvarlige og, hvis dette er påkrævet med henblik på en konkret efterforskning, til den berørte nationale enhed. Oplysningerne, der således meddeles, må kun anvendes til kontrol af databeskyttelse og til at sikre korrekt databehandling og datas integritet og sikkerhed.
Artikel 41
Databeskyttelsesansvarlig
1.   Bestyrelsen udpeger en databeskyttelsesansvarlig, som skal være medlem af personalet. Den databeskyttelsesansvarlige handler uafhængigt ved udførelsen af sine opgaver.
2.   Den databeskyttelsesansvarlige udvælges på grundlag af sine personlige egenskaber og faglige kvalifikationer, især sin ekspertise på databeskyttelsesområdet.
Det skal ved udvælgelsen af den databeskyttelsesansvarlige sikres, at der ikke kan opstå nogen interessekonflikter som følge af udøvelsen af vedkommendes hverv i den pågældende kapacitet og som følge af eventuelle andre officielle opgaver, navnlig dem, der vedrører anvendelsen af denne forordning.
3.   Den databeskyttelsesansvarlige udnævnes for en periode på fire år. Den pågældende kan genudnævnes, men kan dog højst varetage hvervet i otte år i alt. Hvis den databeskyttelsesansvarlige ikke længere opfylder de krav, der stilles til udførelsen af vedkommendes opgaver, kan bestyrelsen kun afskedige den pågældende fra funktionen som databeskyttelsesansvarlig med samtykke fra EDPS.
4.   Efter udnævnelsen af den databeskyttelsesansvarlige underretter bestyrelsen EDPS om den pågældendes navn.
5.   Den databeskyttelsesansvarlige må ikke modtage instrukser vedrørende udførelsen af sine opgaver.
6.   Den databeskyttelsesansvarlige har navnlig følgende opgaver med hensyn til personoplysninger, undtagen administrative personoplysninger:
a)
på uafhængig vis at sikre, at denne forordning vedrørende behandling af personoplysninger anvendes internt
b)
at sikre, at videregivelse og modtagelse af personoplysninger registreres i henhold til denne forordning
c)
at sikre, at de registrerede efter anmodning informeres om deres rettigheder i henhold til denne forordning
d)
at samarbejde med de ansatte i Europol, der har ansvaret for procedurer, uddannelse og rådgivning om databehandling
e)
at samarbejde med EDPS
f)
at udarbejde en årsrapport og sende denne til bestyrelsen og EDPS
g)
at føre et register over brud på persondatasikkerheden.
7.   Endvidere udfører den databeskyttelsesansvarlige de opgaver, der er fastsat i forordning (EF) nr. 45/2001 med hensyn til administrative personoplysninger.
8.   Den databeskyttelsesansvarlige skal ved udførelsen af sine opgaver have adgang til alle de oplysninger, som Europol behandler, og til alle Europols lokaler.
9.   Hvis den databeskyttelsesansvarlige mener, at bestemmelserne om behandling af personoplysninger i denne forordning ikke er overholdt, skal vedkommende underrette den administrerende direktør og anmode denne om at løse problemet med manglende overholdelse inden en fastsat frist.
Hvis den administrerende direktør ikke inden den fastsatte frist løser problemet med manglende overholdelse af bestemmelserne i forbindelse med behandlingen, underretter den databeskyttelsesansvarlige bestyrelsen. Den databeskyttelsesansvarlige og bestyrelsen aftaler en bestemt svarfrist for sidstnævnte. Hvis bestyrelsen ikke inden den fastsatte frist løser problemet med manglende overholdelse, henviser den databeskyttelsesansvarlige sagen til EDPS.
10.   Bestyrelsen vedtager gennemførelsesbestemmelser vedrørende den databeskyttelsesansvarlige. Gennemførelsesbestemmelserne skal navnlig fastlægge proceduren for udvælgelse til stillingen som databeskyttelsesansvarlig, afskedigelse af den databeskyttelsesansvarlige, dennes hverv, opgaver og beføjelser og garantier, der sikrer den databeskyttelsesansvarliges uafhængighed.
11.   Den databeskyttelsesansvarlige får af Europol stillet det personale og de ressourcer til rådighed, som er nødvendige, for at vedkommende er i stand til at udføre sine opgaver. Dette personale må kun få adgang til alle de oplysninger, der behandles i Europol, og til Europols lokaler, i det omfang det er nødvendigt, for at det kan udføre sine opgaver.
12.   Den databeskyttelsesansvarlige og vedkommendes personale har tavshedspligt, jf. artikel 67, stk. 1.
Artikel 42
Den nationale tilsynsmyndigheds tilsyn
1.   Hver medlemsstat udpeger en national tilsynsmyndighed. Den nationale tilsynsmyndighed har til opgave uafhængigt og i overensstemmelse med national ret at føre tilsyn med lovligheden af den pågældende medlemsstats videregivelse, indhentning samt meddelelse til Europol af personoplysninger samt at undersøge, om de pågældende registreredes rettigheder krænkes ved videregivelsen, indhentningen eller meddelelsen. Med henblik herpå skal den nationale tilsynsmyndighed have adgang til de oplysninger, som medlemsstaten har videregivet til Europol, i den nationale enhed eller i forbindelsesofficerernes lokaler efter de gældende nationale procedurer samt til logninger og dokumentation som omhandlet i artikel 40.
2.   For at kunne udføre tilsynet skal de nationale tilsynsmyndigheder have adgang til lokaler og sagsakter hos de respektive forbindelsesofficerer i Europol.
3.   De nationale tilsynsmyndigheder fører efter de gældende nationale procedurer tilsyn med de nationale enheders og forbindelsesofficerernes aktiviteter, for så vidt som disse er relevante for beskyttelsen af personoplysninger. De holder også EDPS underrettet om alle foranstaltninger, som de træffer vedrørende Europol.
4.   Enhver person har ret til at anmode den nationale tilsynsmyndighed om at kontrollere lovligheden af enhver videregivelse eller meddelelse til Europol af oplysninger om ham eller hende selv, uanset form, samt af den pågældende medlemsstats adgang til disse oplysninger. Denne ret udøves i overensstemmelse med national ret i den medlemsstat, hvor anmodningen indgives.
Artikel 43
EDPS's tilsyn
1.   EDPS er ansvarlig for at føre tilsyn med og sikre anvendelsen af denne forordnings bestemmelser om beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder med hensyn til Europols behandling af personoplysninger og for at rådgive Europol og de registrerede om alle forhold vedrørende behandling af personoplysninger. Med henblik herpå skal vedkommende udføre opgaverne i stk. 2 og udøve de beføjelser, der er fastsat i stk. 3, i tæt samarbejde med de nationale tilsynsmyndigheder i overensstemmelse med artikel 44.
2.   EDPS har følgende opgaver:
a)
at modtage og undersøge klager og underrette den registrerede om sagens afgørelse inden en rimelig frist
b)
på eget initiativ eller på grundlag af en klage at iværksætte undersøgelser og underrette den registrerede om sagens afgørelse inden en rimelig frist
c)
at føre tilsyn med og sikre anvendelsen af denne forordning og alle andre EU-retsakter vedrørende beskyttelse af fysiske personer med hensyn til Europols behandling af personoplysninger
d)
at rådgive Europol, enten på eget initiativ eller i forbindelse med en høring, om ethvert spørgsmål vedrørende behandlingen af personoplysninger, navnlig inden Europol udarbejder interne regler for beskyttelse af grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger
e)
at føre et register over nye typer behandlingsoperationer, der anmeldes til vedkommende i henhold til artikel 39, stk. 1, og registreres i henhold til artikel 39, stk. 4
f)
at foretage forudgående høring om behandling, der anmeldes til vedkommende.
3.   EDPS kan i henhold til denne forordning:
a)
rådgive de registrerede om udøvelsen af deres rettigheder
b)
forelægge en sag for Europol i tilfælde af en påstået overtrædelse af bestemmelserne om behandling af personoplysninger og om nødvendigt fremsætte forslag til at råde bod på overtrædelsen og forbedre beskyttelsen af de registrerede
c)
træffe afgørelse om, at anmodninger om udøvelse af bestemte rettigheder i forbindelse med oplysninger skal efterkommes, når der er givet afslag på anmodningerne i strid med artikel 36 og 37
d)
rette en advarsel eller en påtale til Europol
e)
pålægge Europol at berigtige, begrænse, slette eller tilintetgøre personoplysninger, der er blevet behandlet i strid med bestemmelserne om behandling af personoplysninger, samt at underrette tredjemand, til hvem sådanne oplysninger er videregivet, om sådanne foranstaltninger
f)
pålægge Europol et midlertidigt eller definitivt forbud mod behandlingsoperationer, der er i strid med bestemmelserne om behandling af personoplysninger
g)
forelægge en sag for Europol og om nødvendigt for Europa-Parlamentet, Rådet og Kommissionen
h)
indbringe en sag for Den Europæiske Unions Domstol på de i TEUF fastsatte betingelser
i)
intervenere i sager ved Den Europæiske Unions Domstol.
4.   EDPS har beføjelse til at:
a)
få adgang til alle personoplysninger og til alle informationer, der er nødvendige for vedkommendes undersøgelser, fra Europol
b)
få adgang til alle lokaler, hvor Europol udøver sine aktiviteter, hvis der er rimelig grund til at antage, at der dér udøves en aktivitet, som er omfattet af denne forordning.
5.   EDPS udarbejder en årsrapport om Europols tilsynsaktiviteter efter høring af de nationale tilsynsmyndigheder. Denne rapport indarbejdes i den årsberetning fra EDPS, der er omhandlet i artikel 48 i forordning (EF) nr. 45/2001.
Rapporten skal indeholde statistiske oplysninger om klager, undersøgelser og efterforskning i overensstemmelse med stk. 2 samt om videregivelser af personoplysninger til tredjelande og internationale organisationer, tilfælde af forudgående høring og anvendelse af beføjelserne fastsat i stk. 3.
6.   EDPS, tjenestemændene og de øvrige ansatte i EDPS's sekretariat har tavshedspligt, jf. artikel 67, stk. 1.
Artikel 44
Samarbejde mellem EDPS og de nationale tilsynsmyndigheder
1.   EDPS handler i nært samarbejde med de nationale tilsynsmyndigheder i spørgsmål, der kræver national inddragelse, navnlig hvis EDPS eller en national tilsynsmyndighed finder væsentlige uoverensstemmelser mellem medlemsstaternes praksis eller potentielt ulovlig videregivelse ved brug af Europols kanaler til udveksling af oplysninger, eller i forbindelse med spørgsmål, der er rejst af en eller flere nationale tilsynsmyndigheder vedrørende gennemførelsen og fortolkningen af denne forordning.
2.   EDPS benytter sig, hvis det er relevant, af de nationale tilsynsmyndigheders ekspertise og erfaring i forbindelse med udførelsen af sine opgaver som omhandlet i artikel 43, stk. 2. Når de nationale tilsynsmyndigheders medlemmer og ansatte foretager fælles inspektioner sammen med EDPS, skal de under behørig hensyntagen til nærhedsprincippet og proportionalitetsprincippet have tilsvarende beføjelser som dem, der er fastsat i artikel 43, stk. 4, og være underkastet en tilsvarende forpligtelse som den, der er fastsat i artikel 43, stk. 6. EDPS og de nationale tilsynsmyndigheder skal inden for rammerne af deres respektive beføjelser udveksle relevant information og bistå hinanden med revisioner og inspektioner.
3.   EDPS holder de nationale tilsynsmyndigheder fuldt underrettede om alle spørgsmål, der direkte berører eller på anden vis har relevans for dem. Efter anmodning fra en eller flere nationale tilsynsmyndigheder underretter EDPS dem om specifikke spørgsmål.
4.   I tilfælde, der vedrører oplysninger, som stammer fra en eller flere medlemsstater, herunder de tilfælde, der er nævnt i artikel 47, stk. 2, hører EDPS de berørte nationale tilsynsmyndigheder. EDPS træffer ikke afgørelse om, hvilke yderligere foranstaltninger der skal træffes, før disse nationale tilsynsmyndigheder har underrettet EDPS om deres holdning, hvilket skal ske inden for en af ham/hende fastsat frist, som skal være på mindst en måned og højst tre måneder. EDPS tager det størst mulige hensyn til de berørte nationale tilsynsmyndigheders respektive holdninger. Såfremt EDPS ikke agter at følge en national myndigheds holdning, underetter vedkommende den pågældende myndighed herom, giver en begrundelse og forelægger sagen for samarbejdsrådet, nedsat ved artikel 45, stk. 1, til drøftelse.
I sager, som EDPS anser for at være særdeles presserende, kan vedkommende beslutte at træffe øjeblikkelige foranstaltninger. I sådanne tilfælde underretter EDPS straks de berørte nationale tilsynsmyndigheder og begrunder situationens presserende karakter samt de foranstaltninger, som vedkommende har truffet.
Artikel 45
Samarbejdsråd
1.   Der nedsættes herved et samarbejdsråd med en rådgivende funktion. Det sammensættes af en repræsentant for en national tilsynsmyndighed i hver medlemsstat og EDPS.
2.   Samarbejdsrådet handler uafhængigt, når det udfører sine opgaver i henhold til stk. 3, og hverken søger eller modtager instrukser fra nogen.
3.   Samarbejdsrådet har følgende opgaver:
a)
drøfte Europols generelle politik og strategi for tilsyn med databeskyttelsen og lovligheden af medlemsstaternes videregivelse, indhentning samt meddelelse til Europol af personoplysninger
b)
undersøge vanskeligheder ved fortolkning eller anvendelse af denne forordning
c)
undersøge generelle problemer med udøvelsen af uafhængigt tilsyn eller med de registreredes udøvelse af deres rettigheder
d)
drøfte og udarbejde harmoniserede forslag til fælles løsninger på spørgsmålene i artikel 44, stk. 1
e)
drøfte de sager, EDPS forelægger i henhold til artikel 44, stk. 4
f)
drøfte de sager, der forelægges af en national tilsynsmyndighed, og
g)
fremme bevidsthed om databeskyttelsesrettigheder.
4.   Samarbejdsrådet kan udarbejde udtalelser, retningslinjer, henstillinger og bedste praksis. EDPS og de nationale tilsynsmyndigheder tager, uden at dette berører deres uafhængighed, inden for rammerne af deres respektive beføjelser det størst mulige hensyn til disse.
5.   Samarbejdsrådet mødes, når det er nødvendigt, og mindst to gange om året. EDPS afholder udgifterne og varetager støttefunktionerne i forbindelse med dets møder.
6.   Samarbejdsrådets forretningsorden vedtages på dets første møde med simpelt flertal blandt dets medlemmer. De øvrige arbejdsmetoder udvikles i fællesskab efter behov.
Artikel 46
Administrative personoplysninger
Forordning (EF) nr. 45/2001 finder anvendelse på alle administrative personoplysninger i Europols besiddelse.
KAPITEL VII
RETSMIDLER OG ANSVAR
Artikel 47
Klageadgang til EDPS
1.   Alle registrerede har ret til at indgive klage til EDPS, hvis de mener, at Europols behandling af personoplysninger om dem selv er i strid med denne forordning.
2.   Når en klage vedrører en afgørelse som omhandlet i artikel 36 eller 37, hører EDPS de nationale tilsynsmyndigheder i den medlemsstat, der meddelte oplysningerne, eller den direkte berørte medlemsstat. Ved vedtagelsen af sin afgørelse, der også kan bestå i et afslag på at meddele oplysninger, tager EDPS hensyn til udtalelsen fra den nationale tilsynsmyndighed.
3.   Når klagen vedrører behandlingen af oplysninger, som en medlemsstat har meddelt Europol, sikrer EDPS og den nationale tilsynsmyndighed i den medlemsstat, der meddelte oplysningerne, hver især inden for rammerne af deres respektive beføjelser, at de nødvendige undersøgelser af lovligheden af behandlingen af oplysningerne er foretaget på korrekt vis.
4.   Når klagen vedrører behandling af oplysninger, som EU-organer, tredjelande eller internationale organisationer har meddelt Europol, eller oplysninger, som Europol har indhentet fra offentligt tilgængelige kilder, eller som er resultatet af Europols egne analyser, sikrer EDPS, at Europol på korrekt vis har foretaget de nødvendige undersøgelser af lovligheden af behandlingen af oplysningerne.
Artikel 48
Retsmidler over for EDPS
Afgørelser truffet af EDPS kan indbringes for Den Europæiske Unions Domstol.
Artikel 49
Almindelige bestemmelser om ansvar og ret til erstatning
1.   Europols ansvar i kontraktforhold er underlagt den ret, der finder anvendelse på den pågældende kontrakt.
2.   Den Europæiske Unions Domstol har kompetence til at træffe afgørelse i henhold til en voldgiftsbestemmelse i kontrakter, som Europol har indgået.
3.   For så vidt angår ansvar uden for kontraktforhold skal Europol i overensstemmelse med de almindelige retsgrundsætninger, der er fælles for medlemsstaternes retssystemer, erstatte skader forvoldt af Europols tjenestegrene eller af dets ansatte under udførelsen af deres hverv, jf. dog artikel 49.
4.   Den Europæiske Unions Domstol har kompetence til at afgøre tvister vedrørende erstatning for de i stk. 3 omhandlede skader.
5.   Europols ansattes personlige ansvar over for Europol er underlagt de bestemmelser i personalevedtægten eller i ansættelsesvilkårene for de øvrige ansatte, der gælder for dem.
Artikel 50
Ansvar for forkert behandling af personoplysninger og ret til erstatning
1.   Enhver, der har lidt skade som følge af ulovlig behandling af oplysninger, har ret til erstatning for den forvoldte skade enten fra Europol i henhold til artikel 340 i TEUF eller fra den medlemsstat, hvor den begivenhed, der gav anledning til skaden, indtraf, i henhold til medlemsstatens nationale ret. Skadelidte kan indbringe en sag mod Europol for Den Europæiske Unions Domstol eller mod medlemsstaten for den kompetente retsinstans i den pågældende medlemsstat.
2.   Tvister mellem Europol og medlemsstaterne om det endelige ansvar for erstatning, der tilkendes en skadelidt i henhold til stk. 1, forelægges for bestyrelsen, der træffer afgørelse med to tredjedeles flertal blandt bestyrelsesmedlemmerne, idet dette dog ikke griber ind i retten til prøvelse af den pågældende afgørelse i henhold til artikel 263 i TEUF.
KAPITEL VIII
FÆLLESPARLAMENTARISK KONTROL
Artikel 51
Fællesparlamentarisk kontrol
1.   I henhold til artikel 88 i TEUF udøver Europa-Parlamentet sammen med de nationale parlamenter kontrollen af Europols aktiviteter. Sammen udgør de en specialiseret Gruppe for Fælles Parlamentarisk Kontrol, der er oprettet i fællesskab af de nationale parlamenter og Europa-Parlamentets kompetente udvalg. Europa-Parlamentet og de nationale parlamenter fastlægger i fællesskab denne gruppes struktur og forretningsorden i overensstemmelse med artikel 9 i protokol nr. 1.
2.   Gruppen for Fælles Parlamentarisk Kontrol varetager en polisk overvågning af Europols aktiviteter med hensyn til opfyldelsen af dens funktion, herunder indvirkningen af disse aktiviteter på fysiske personers grundlæggende rettigheder og frihedsrettigheder.
Med henblik på første afsnit fastsættes følgende:
a)
bestyrelsesformanden, den administrerende direktør eller deres stedfortrædere giver møde i Gruppen for Fælles Parlamentarisk Kontrol på dennes anmodning for at drøfte spørgsmål vedrørende de aktiviteter, der nævnes i første afsnit, herunder de budgetmæssige aspekter af sådanne aktiviteter, Europols strukturelle opbygning og eventuel oprettelse af nye enheder og specialiserede centre under iagttagelse af tavshedspligten. Gruppen kan efter omstændighederne beslutte at indbyde andre relevante personer til sine møder
b)
EDPS giver møde i Gruppen for Fælles Parlamentarisk Kontrol på dennes anmodning og mindst en gang om året for at drøfte generelle spørgsmål vedrørende beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder, og navnlig beskyttelse af personoplysninger, for så vidt angår Europols aktiviteter, under iagttagelse af tavshedspligten
c)
Gruppen for Fælles Parlamentarisk Kontrol høres i forbindelse med Europols flerårige programmering, jf. artikel 12, stk. 1.
3.   Europol sender følgende dokumenter til Gruppen for Fælles Parlamentarisk Kontrol til orientering under iagttagelse af tavshedspligten:
a)
trusselsvurderinger, strategiske analyser og generelle situationsrapporter vedrørende Europols målsætninger samt resultaterne af undersøgelser og evalueringer, som Europol har bestilt
b)
administrative ordninger, der er indgået i medfør af artikel 25, stk. 1
c)
dokumentet, der indeholder Europols flerårige programmering og årlige arbejdsprogram, som omhandlet i artikel 12, stk. 1
d)
den konsoliderede årsberetning om Europols aktiviteter som omhandlet i artikel 11, stk. 1, litra c)
e)
evalueringsrapporten udarbejdet af Kommissionen som omhandlet i artikel 68, stk. 1.
4.   Gruppen for Fælles Parlamentarisk Kontrol kan anmode om andre relevante dokumenter, der er nødvendige for udførelsen af dens opgaver vedrørende den politiske overvågning af Europols aktiviteter, med forbehold af Europa-Parlamentets og Rådets forordning (EF) nr. 1049/2001 
(
23
)
, og uden at dette berører artikel 52 og 67 i denne forordning.
5.   Gruppen for Fælles Parlamentarisk Kontrol kan udfærdige sammenfattende konklusioner om den politiske overvågning af Europols aktiviteter og forelægge disse konklusioner for Europa-Parlamentet og de nationale parlamenter. Europa-Parlamentet sender dem til Rådet, Kommissionen og Europol til orientering.
Artikel 52
Europa-Parlamentets adgang til informationer, der behandles af eller gennem Europol
1.   Når Europa-Parlamentet for at kunne føre parlamentarisk kontrol med Europols aktiviteter i henhold til artikel 51 efter egen anmodning gives adgang til følsomme ikkeklassificerede informationer, der behandles af eller gennem Europol, skal dette ske i overensstemmelse med de regler, der er omhandlet i artikel 67, stk. 1.
2.   Europa-Parlamentets adgang til EU's klassificerede informationer, der behandles af eller gennem Europol, skal være i overensstemmelse med den interinstitutionelle aftale af 12. marts 2014 mellem Europa-Parlamentet og Rådet om fremsendelse til Europa-Parlamentet og dettes behandling af Rådets klassificerede informationer på andre områder end dem, der er omfattet af den fælles udenrigs- og sikkerhedspolitik 
(
24
)
, og gives under iagttagelse af de bestemmelser, der er omhandlet i denne forordnings artikel 67, stk. 2.
3.   De nødvendige nærmere bestemmelser om Europa-Parlamentets adgang til informationerne i stk. 1 og 2 fastsættes i samarbejdsordninger mellem Europol og Europa-Parlamentet.
KAPITEL IX
PERSONALE
Artikel 53
Generelle bestemmelser
1.   Personalevedtægten, ansættelsesvilkårene for de øvrige ansatte og de regler, som EU-institutionerne i fællesskab har vedtaget for anvendelsen af personalevedtægten og af ansættelsesvilkårene for de øvrige ansatte, gælder for Europols personale med undtagelse af personale, som den 1. maj 2017 er ansat i henhold til en kontrakt, der er indgået af Europol som oprettet ved Europolkonventionen, jf. dog artikel 73, stk. 4, i denne forordning. Sådanne kontrakter er fortsat reguleret af Rådets retsakt af 3. december 1998.
2.   Europols personale består af midlertidigt ansatte og/eller kontraktansatte. Bestyrelsen underrettes hvert år om tidsubegrænsede kontrakter, der er indgået af den administrerende direktør. Bestyrelsen træffer afgørelse om, hvilke af de midlertidige stillinger i stillingsfortegnelsen, der kun kan besættes med ansatte fra medlemsstaternes kompetente myndigheder. Personale, der ansættes i sådanne stillinger, skal være midlertidigt ansatte og kan kun ansættes i tidsbegrænsede kontrakter, der kan fornyes én gang for en bestemt periode.
Artikel 54
Den administrerende direktør
1.   Den administrerende direktør ansættes i en stilling som midlertidigt ansat i Europol i henhold til artikel 2, litra a), i ansættelsesvilkårene for de øvrige ansatte.
2.   Den administrerende direktør udnævnes af Rådet på grundlag af en slutliste over kandidater, der udarbejdes af bestyrelsen efter en åben og gennemsigtig udvælgelsesprocedure.
Slutlisten udarbejdes af en udvælgelseskomité, som nedsættes af bestyrelsen, og som består af medlemmer, der er udpeget af medlemsstaterne, og en repræsentant fra Kommissionen.
I forbindelse med indgåelsen af en kontrakt med den administrerende direktør repræsenteres Europol af bestyrelsesformanden.
Før udnævnelsen kan den kandidat, som Rådet har valgt, opfordres til at møde for det kompetente udvalg i Europa-Parlamentet, som derefter skal afgive en ikkebindende udtalelse.
3.   Den administrerende direktør udnævnes for fire år. Ved udgangen af denne periode foretager Kommissionen i samråd med bestyrelsen en vurdering, der tager hensyn til:
a)
en evaluering af den administrerende direktørs præstation, og
b)
Europols fremtidige opgaver og udfordringer.
4.   Rådet kan forlænge den administrerende direktørs ansættelsesperiode én gang efter forslag fra bestyrelsen, der tager hensyn til den i stk. 3 omhandlede vurdering, og højst for en periode på fire år.
5.   Bestyrelsen underretter Europa-Parlamentet, hvis den har til hensigt at foreslå Rådet, at den administrerende direktørs ansættelsesperiode forlænges. Inden for en måned forud for en sådan forlængelse kan den administrerende direktør opfordres til at møde for det kompetente udvalg i Europa-Parlamentet.
6.   En administrerende direktør, hvis ansættelsesperiode er blevet forlænget, må ikke deltage i en anden udvælgelsesprocedure til samme stilling efter udløbet af den samlede periode.
7.   Den administrerende direktør kan kun afskediges som følge af en afgørelse truffet af Rådet på forslag af bestyrelsen. Europa-Parlamentet underrettes om denne afgørelse.
8.   Afgørelser for så vidt angår forslag, der skal forelægges Rådet, om udnævnelsen af den administrerende direktør, forlængelse af dennes ansættelsesperiode eller afskedigelse af denne, træffes af bestyrelsen med et flertal på to tredjedele af de stemmeberettigede bestyrelsesmedlemmer.
Artikel 55
Vicedirektører
1.   Tre vicedirektører bistår den administrerende direktør. Den administrerende direktør fastlægger deres opgaver.
2.   Artikel 54 finder anvendelse på vicedirektørerne. Den administrerende direktør skal høres, inden de udnævnes, inden enhver forlængelse af deres ansættelsesperiode, eller inden de afskediges.
Artikel 56
Udstationerede nationale eksperter
1.   Europol kan gøre brug af udstationerede nationale eksperter.
2.   Bestyrelsen vedtager en afgørelse, der fastsætter bestemmelser om udstationering af nationale eksperter til Europol.
KAPITEL X
FINANSIELLE BESTEMMELSER
Artikel 57
Budget
1.   Der udarbejdes overslag over alle Europols indtægter og udgifter for hvert regnskabsår, som skal svare til kalenderåret, og de opføres i Europols budget.
2.   Indtægter og udgifter på Europols budget skal balancere.
3.   Uanset andre ressourcer skal Europols indtægter omfatte et bidrag fra Unionen, der opføres på Unionens almindelige budget.
4.   Europol kan opnå EU-finansiering i form af delegationsaftaler eller ad hoc-tilskud i henhold til de finansielle bestemmelser, der er omhandlet i artikel 61, og til bestemmelserne i de relevante instrumenter til gennemførelse af Unionens politikker.
5.   Europols udgifter skal omfatte vederlag til personale, administrations- og infrastrukturudgifter samt driftsudgifter.
6.   Budgetforpligtelser for foranstaltninger vedrørende store projekter, der strækker sig over mere end et regnskabsår, kan opdeles i flere årlige trancher.
Artikel 58
Opstilling af budgettet
1.   Hvert år opstiller den administrerende direktør et udkast til overslag over Europols indtægter og udgifter for det følgende regnskabsår, herunder en stillingsfortegnelse, og sender det til bestyrelsen.
2.   Bestyrelsen vedtager på grundlag af udkastet til overslag et foreløbigt udkast til overslag over Europols indtægter og udgifter for det følgende regnskabsår og sender det til Kommissionen senest den 31. januar hvert år.
3.   Bestyrelsen sender det endelige udkast til overslag over Europols indtægter og udgifter, der skal omfatte et udkast til stillingsfortegnelse, til Europa-Parlamentet, Rådet og Kommissionen senest den 31. marts hvert år.
4.   Kommissionen sender overslaget til Europa-Parlamentet og Rådet sammen med forslaget til Unionens almindelige budget.
5.   På grundlag af overslaget opfører Kommissionen de beløb, som den anser for nødvendige på baggrund af stillingsfortegnelsen, og det bidrag, der skal ydes over det almindelige budget, i forslaget til Unionens almindelige budget, som forelægges for Europa-Parlamentet og Rådet i henhold til artikel 313 og 314 i TEUF.
6.   Europa-Parlamentet og Rådet godkender bevillingerne til bidraget fra Unionen til Europol.
7.   Europa-Parlamentet og Rådet godkender Europols stillingsfortegnelse.
8.   Europols budget vedtages af bestyrelsen. Budgettet bliver endeligt efter den endelige vedtagelse af Unionens almindelige budget. Om nødvendigt tilpasses det i overensstemmelse hermed.
9.   I forbindelse med ethvert byggeprojekt, der sandsynligvis vil få betydelige konsekvenser for Europols budget, finder delegeret forordning (EU) nr. 1271/2013 anvendelse.
Artikel 59
Gennemførelsen af budgettet
1.   Den administrerende direktør gennemfører Europols budget.
2.   Den administrerende direktør sender hvert år Europa-Parlamentet og Rådet alle relevante oplysninger om resultaterne af eventuelle evalueringsprocedurer.
Artikel 60
Regnskabsaflæggelse og decharge
1.   Europols regnskabsfører sender det foreløbige årsregnskab for regnskabsåret (år n) til Kommissionens regnskabsfører og Revisionsretten senest den 1. marts i det følgende regnskabsår (år n + 1).
2.   Europol sender en beretning om budgetforvaltningen og den økonomiske forvaltning for år n til Europa-Parlamentet, Rådet og Revisionsretten senest den 31. marts i år n + 1.
3.   Kommissionens regnskabsfører sender Europols foreløbige årsregnskab for år n konsolideret med Kommissionens årsregnskab til Revisionsretten senest den 31. marts i år n + 1.
4.   Ved modtagelsen af Revisionsrettens bemærkninger til Europols foreløbige årsregnskab for år n i henhold til artikel 148 i Europa-Parlamentets og Rådets forordning (EU, Euratom) nr. 966/2012 
(
25
)
 udarbejder Europols regnskabsfører Europols endelige årsregnskab for dette år. Den administrerende direktør forelægger det til udtalelse for bestyrelsen.
5.   Bestyrelsen afgiver udtalelse om Europols endelige årsregnskab for år n.
6.   Europols regnskabsfører sender senest den 1. juli i år n + 1 det endelige årsregnskab for år n ledsaget af bestyrelsens udtalelse omhandlet i stk. 5 til Europa-Parlamentet, Rådet, Kommissionen, Revisionsretten og de nationale parlamenter.
7.   Det endelige regnskab for år n offentliggøres i 
Den Europæiske Unions Tidende
 senest den 15. november i år n + 1.
8.   Den administrerende direktør sender senest den 30. september i år n + 1 Revisionsretten et svar på dennes bemærkninger i dens årsberetning. Vedkommende sender ligeledes dette svar til bestyrelsen.
9.   Hvis Europa-Parlamentet anmoder derom, forelægger den administrerende direktør det alle de oplysninger, der er nødvendige for, at dechargeproceduren vedrørende år n kan forløbe tilfredsstillende, jf. artikel 109, stk. 3, i delegeret forordning (EU) nr. 1271/2013.
10.   Efter henstilling fra Rådet, der træffer afgørelse med kvalificeret flertal, meddeler Europa-Parlamentet inden den 15. maj i år n + 2 den administrerende direktør decharge for gennemførelsen af budgettet for år n.
Artikel 61
Finansielle bestemmelser
1.   De finansielle bestemmelser for Europol vedtages af bestyrelsen efter høring af Kommissionen. De kan kun afvige fra delegeret forordning (EU) nr. 1271/2013, hvis det specifikt er nødvendigt af hensyn til Europols drift, og Kommissionen på forhånd har givet sit samtykke.
2.   Europol kan yde tilskud til udførelsen af opgaver som omhandlet i artikel 4.
3.   Europol kan yde tilskud uden indkaldelse af forslag til medlemsstaterne til udførelse af deres grænseoverskridende operationer og efterforskninger på tværs af landegrænser og til levering af uddannelse vedrørende de opgaver, der er omhandlet i artikel 4, stk. 1, litra h) og i).
4.   Med hensyn til den finansielle støtte, der skal gives til de fælles efterforskningsholds aktiviteter, fastsætter Europol og Eurojust i fællesskab de regler og betingelser, som skal finde anvendelse ved behandling af ansøgninger om en sådan støtte.
KAPITEL XI
DIVERSE BESTEMMELSER
Artikel 62
Retlig status
1.   Europol er et EU-agentur. Det har status som juridisk person.
2.   Europol har i hver medlemsstat den mest vidtgående rets- og handleevne, som den nationale ret tillægger juridiske personer. Europol kan herunder erhverve og afhænde løsøre og fast ejendom og kan optræde som part i retssager.
3.   I overensstemmelse med protokol nr. 6 om fastlæggelse af hjemstedet for Den Europæiske Unions institutioner og for visse af Unionens organer, kontorer, agenturer og tjenester, der er knyttet som bilag til TEU og TEUF (»Protokol nr. 6«), har Europol hjemsted i Haag.
Artikel 63
Privilegier og immuniteter
1.   Protokol nr. 7 vedrørende Den Europæiske Unions Privilegier og Immuniteter, der er knyttet som bilag til TEU og TEUF, gælder for Europol og dets personale.
2.   Privilegier og immuniteter for forbindelsesofficerer og deres familiemedlemmer skal fastsættes i en aftale mellem Kongeriget Nederlandene og de øvrige medlemsstater. Aftalen skal indrømme de privilegier og immuniteter, der er nødvendige for, at forbindelsesofficererne kan udføre deres opgaver tilfredsstillende.
Artikel 64
Sprogordning
1.   Bestemmelserne i forordning nr. 1 
(
26
)
 finder anvendelse på Europol.
2.   Bestyrelsen træffer afgørelse om Europols interne sprogordning med et flertal på to tredjedele af sine medlemmer.
3.   De oversættelsesopgaver, der er nødvendige af hensyn til Europols virke, skal udføres af Oversættelsescentret for Den Europæiske Unions Organer.
Artikel 65
Gennemsigtighed
1.   Forordning (EF) nr. 1049/2001 finder anvendelse på de dokumenter, som beror hos Europol.
2.   Bestyrelsen vedtager gennemførelsesbestemmelser til forordning (EF) nr. 1049/2001 for så vidt angår Europols dokumenter senest den 14. december 2016.
3.   Afgørelser, som Europol træffer i henhold til artikel 8 i forordning (EF) nr. 1049/2001, kan påklages til Den Europæiske Ombudsmand eller indbringes for Den Europæiske Unions Domstol, i overensstemmelse med henholdsvis artikel 228 og 263 i TEUF.
4.   Europol offentliggør på sit websted en liste over bestyrelsesmedlemmerne og sammenfatninger af resultaterne af bestyrelsesmøderne. Under hensyntagen til Europols tavshedspligt og Europols operationelle karakter kan offentliggørelsen af disse sammenfatninger midlertidigt eller permanent udelades eller begrænses, hvis en sådan offentliggørelse risikerer at bringe udførelsen af Europols opgaver i fare.
Artikel 66
Bekæmpelse af svig
1.   For at lette arbejdet med bekæmpelse af svig, bestikkelse og enhver anden ulovlig aktivitet i henhold til forordning (EU, Euratom) nr. 883/2013 skal Europol senest den 30. oktober 2017 tiltræde den interinstitutionelle aftale af 25. maj 1999 mellem Europa-Parlamentet, Rådet for Den Europæiske Union og Kommissionen for De Europæiske Fællesskaber om de interne undersøgelser, der foretages af Det Europæiske Kontor for Bekæmpelse af Svig (OLAF) 
(
27
)
, og vedtage egnede bestemmelser, som skal gælde for alle Europols medarbejdere, på grundlag af modellen i bilaget til aftalen.
2.   Revisionsretten har beføjelse til gennem bilagskontrol og kontrol på stedet at kontrollere alle tilskudsmodtagere, kontrahenter og underkontrahenter, der har modtaget EU-midler gennem Europol.
3.   OLAF kan udføre undersøgelser, herunder kontrol og inspektion på stedet, for at klarlægge, om der er begået svig, bestikkelse eller andre ulovlige aktiviteter, der berører Unionens finansielle interesser, i forbindelse med et tilskud eller en kontrakt, der er tildelt af Europol. Sådanne undersøgelser skal udføres i overensstemmelse med bestemmelserne og efter procedurerne i forordning (EU, Euratom) nr. 883/2013 og i Rådets forordning (Euratom, EF) nr. 2185/96 
(
28
)
.
4.   Samarbejdsordninger med EU-organer, myndigheder i tredjelande, internationale organisationer og private parter, kontrakter, aftaler om tilskud og afgørelser om ydelse af tilskud skal indeholde bestemmelser, som udtrykkeligt giver Revisionsretten og OLAF beføjelse til at foretage den kontrol og de undersøgelser, der er omhandlet i stk. 2 og 3, i overensstemmelse med deres respektive beføjelser, uden at dette berører stk. 1, 2 og 3.
Artikel 67
Regler om beskyttelse af følsomme ikkeklassificerede og klassificerede informationer
1.   Europol fastsætter regler om tavshedspligt og beskyttelse af følsomme ikkeklassificerede informationer.
2.   Europol fastsætter regler om beskyttelse af EU's klassificerede informationer, som skal være i overensstemmelse med afgørelse 2013/488/EU for at sikre et tilsvarende beskyttelsesniveau for sådanne informationer.
Artikel 68
Evaluering og revision
1.   Senest den 1. maj 2022 og herefter hvert femte år sikrer Kommissionen, at en evaluering, der vurderer navnlig virkningen, effektiviteten og produktiviteten af Europol og af dets arbejdsmetoder, gennemføres. I evalueringen kan der særligt tages stilling til, om der er behov for at ændre Europols struktur, drift, indsatsområde og opgaver, og de finansielle konsekvenser af en sådan eventuel ændring.
2.   Kommissionen forelægger evalueringsrapporten for bestyrelsen. Bestyrelsen fremsætter sine bemærkninger til evalueringsrapporten inden for tre måneder efter modtagelsesdatoen. Kommissionen forelægger derefter den endelige evalueringsrapport sammen med Kommissionens konklusioner og bestyrelsens bemærkninger vedlagt som bilag dertil for Europa-Parlamentet, Rådet, de nationale parlamenter og bestyrelsen. Evalueringsrapportens hovedkonklusioner offentliggøres, hvis det er relevant.
Artikel 69
Administrative undersøgelser
Europols virke er underlagt Den Europæiske Ombudsmands undersøgelser i overensstemmelse med artikel 228 i TEUF.
Artikel 70
Hovedsæder
De nødvendige bestemmelser vedrørende de lokaler, der skal stilles til rådighed for Europol i Kongeriget Nederlandene, og de faciliteter, der skal stilles til rådighed af Kongeriget Nederlandene, samt de særlige regler, der dér skal finde anvendelse på den administrerende direktør, bestyrelsesmedlemmerne, Europols personale og deres familiemedlemmer i Nederlandene, skal fastsættes i en hjemstedsaftale mellem Europol og Kongeriget Nederlandene i overensstemmelse med protokol nr. 6.
KAPITEL XII
OVERGANGSBESTEMMELSER
Artikel 71
Retssuccession
1.   Europol som oprettet ved denne forordning er retssuccessoren for Europol som oprettet ved afgørelse 2009/371/RIA for så vidt angår alle aftaler, som det har indgået, alle forpligtelser, der påhviler det, og al ejendom, som det har erhvervet.
2.   Denne forordning berører ikke retskraften af aftaler indgået af Europol som oprettet ved afgørelse 2009/371/RIA inden den 13. juni 2016 eller af aftaler indgået af Europol som oprettet ved Europolkonventionen inden den 1. januar 2010.
Artikel 72
Overgangsordning vedrørende bestyrelsen
1.   Medlemmerne af Styrelsesrådet som nedsat i medfør af artikel 37 i afgørelse 2009/371/RIA fratræder deres hverv den 1. maj 2017.
2.   I perioden fra den 13. juni 2016 til den 1. maj 2017 skal Styrelsesrådet, der er nedsat i medfør af artikel 37 i afgørelse 2009/371/RIA:
a)
udføre bestyrelsens opgaver i overensstemmelse med artikel 11 i denne forordning
b)
forberede vedtagelsen af reglerne for anvendelsen af forordning (EF) nr. 1049/2001, hvad angår Europol-dokumenter som nævnt i artikel 65, stk. 2, i nærværende forordning, og af reglerne omhandlet i artikel 67 i nærværende forordning
c)
forberede alle nødvendige instrumenter til gennemførelse af denne forordning, navnlig eventuelle foranstaltninger vedrørende kapitel IV, og
d)
gennemgå de interne regler og foranstaltninger, som det har vedtaget på grundlag af afgørelse 2009/371/RIA, så bestyrelsen, der nedsættes i henhold til denne forordnings artikel 10, kan træffe afgørelse i medfør af denne forordnings artikel 76.
3.   Kommissionen træffer snarest efter den 13. juni 2016 de nødvendige foranstaltninger for at sikre, at bestyrelsen, der nedsættes i henhold til artikel 10, påbegynder sit arbejde den 1. maj 2017.
4.   Senest den 14. december 2016 meddeler medlemsstaterne Kommissionen navnene på de personer, de har udpeget til medlemmer af og suppleanter til bestyrelsen i henhold til artikel 10.
5.   Bestyrelsen, der nedsættes i henhold til denne forordnings artikel 10, afholder sit første møde den 1. maj 2017. Under mødet træffer den om fornødent afgørelser som omhandlet i artikel 76.
Artikel 73
Overgangsordninger vedrørende den administrerende direktør, vicedirektørerne og personale
1.   Europols direktør, der er udnævnt i henhold til artikel 38 i afgørelse 2009/371/RIA, tillægges for den resterende del af sin ansættelsesperiode den administrerende direktørs ansvarsområder i henhold til denne forordnings artikel 16. De øvrige vilkår i vedkommendes kontrakt fortsætter uændret. Hvis ansættelsesperioden udløber mellem den 13. juni 2016 og den 1. maj 2017, forlænges den automatisk til den 1. maj 2018.
2.   Kan eller ønsker direktøren, der er udnævnt på grundlag af artikel 38 i afgørelse 2009/371/RIA, ikke at efterkomme stk. 1 i denne artikel, udpeger bestyrelsen en fungerende administrerende direktør til at udføre de opgaver, der påhviler den administrerende direktør, for en periode, der ikke må overstige 18 måneder, i afventning af udnævnelsen i henhold til artikel 54, stk. 2, i denne forordning.
3.   Stk. 1 og 2 i denne artikel finder tilsvarende anvendelse på vicedirektørerne, der er udnævnt i henhold til artikel 38 i afgørelse 2009/371/RIA.
4.   I overensstemmelse med ansættelsesvilkårene for de øvrige ansatte skal den myndighed, der er nævnt i artikel 6, stk. 1, deri, tilbyde ansættelse på ubestemt tid som midlertidigt ansat eller kontraktansat til enhver person, som den 1. maj 2017 er lokalt ansat ifølge en kontrakt på ubestemt tid, der er indgået af Europol som oprettet ved Europolkonventionen. Ansættelsestilbuddet skal baseres på de opgaver, som den pågældende skal løse som midlertidigt ansat eller kontraktansat. Den pågældende kontrakt skal have virkning senest den 1. maj 2018. Et medlem af personalet, der ikke accepterer det i dette stykke omhandlede tilbud, kan bevare sit kontraktforhold med Europol i overensstemmelse med artikel 53, stk. 1.
Artikel 74
Overgangsbestemmelser for budgettet
Dechargeproceduren med hensyn til de budgetter, der er godkendt på grundlag af artikel 42 i afgørelse 2009/371/RIA, gennemføres i overensstemmelse med reglerne i artikel 43 deri.
KAPITEL XIII
AFSLUTTENDE BESTEMMELSER
Artikel 75
Erstatning og ophævelse
1.   Afgørelse 2009/371/RIA, 2009/934/RIA, 2009/935/RIA, 2009/936/RIA og 2009/968/RIA erstattes herved for så vidt angår de medlemsstater, der er bundet af denne forordning, med virkning fra den 1. maj 2017.
Afgørelse 2009/371/RIA, 2009/934/RIA, 2009/935/RIA, 2009/936/RIA og 2009/968/RIA ophæves derfor med virkning fra den 1. maj 2017.
2.   For så vidt angår de medlemsstater, der er bundet af denne forordning, gælder henvisninger til de i stk. 1 nævnte afgørelser som henvisninger til denne forordning.
Artikel 76
Fortsat gyldighed af de interne regler, som Styrelsesrådet har vedtaget
De interne regler og foranstaltninger, som Styrelsesrådet har vedtaget på grundlag af afgørelse 2009/371/RIA, forbliver i kraft efter den 1. maj 2017, medmindre bestyrelsen træffer anden afgørelse i forbindelse med anvendelsen af denne forordning.
Artikel 77
Ikrafttræden og anvendelse
1.   Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i 
Den Europæiske Unions Tidende
.
2.   Den anvendes fra den 1. maj 2017.
Artikel 71, 72 og 73 anvendes dog fra den 13. juni 2016.
Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i medlemsstaterne i overensstemmelse med traktaterne.
Udfærdiget i Strasbourg, den 11. maj 2016.
På Europa-Parlamentets vegne
M. SCHULZ
Formand
På Rådets vegne
J.A. HENNIS-PLASSCHAERT
Formand
(
1
)
  Europa-Parlamentets holdning af 25.2.2014 (endnu ikke offentliggjort i EUT) og Rådets førstebehandlingsholdning af 10.3.2016 (endnu ikke offentliggjort i EUT). Europa-Parlamentets holdning af 11.5.2016 (endnu ikke offentliggjort i EUT).
(
2
)
  Rådets afgørelse 2009/371/RIA af 6. april 2009 om oprettelse af Den Europæiske Politienhed (Europol) (
EUT L 121 af 15.5.2009, s. 37
).
(
3
)
  
            
EFT C 316 af 27.11.1995, s. 1
.
(
4
)
  
            
EUT C 115 af 4.5.2010, s. 1
.
(
5
)
  Rådets afgørelse 2009/934/RIA af 30. november 2009 om vedtagelse af gennemførelsesbestemmelserne vedrørende Europols forbindelser med partnere, herunder udveksling af personoplysninger og klassificerede informationer (
EUT L 325 af 11.12.2009, s. 6
).
(
6
)
  Rådets afgørelse 2009/935/RIA af 30. november 2009 om fastsættelse af listen over de tredjelande og organisationer, hvormed Europol skal indgå aftaler (
EUT L 325 af 11.12.2009, s. 12
).
(
7
)
  Rådets afgørelse 2009/936/RIA af 30. november 2009 om vedtagelse af gennemførelsesbestemmelser for Europols analysedatabase (
EUT L 325 af 11.12.2009, s. 14
).
(
8
)
  Rådets afgørelse 2009/968/RIA af 30. november 2009 om vedtagelse af bestemmelser om fortrolighed vedrørende Europols informationer (
EUT L 332 af 17.12.2009, s. 17
).
(
9
)
  Rådets forordning (EU) nr. 1053/2013 af 7. oktober 2013 om indførelse af en evaluerings- og overvågningsmekanisme til kontrol af anvendelsen af Schengenreglerne og om ophævelse af Eksekutivkomitéens afgørelse af 16. september 1998 om nedsættelse af et stående udvalg for evaluering og anvendelse af Schengenreglerne (
EUT L 295 af 6.11.2013, s. 27
).
(
10
)
  Rådets forordning (Euratom, EKSF, EØF) nr. 549/69 af 25. marts 1969 om fastsættelse af de grupper af De Europæiske Fællesskabers tjenestemænd og øvrige ansatte, på hvilke bestemmelserne i artikel 12, artikel 13, stk. 2, og artikel 14 i protokollen vedrørende Fællesskabernes privilegier og immuniteter skal finde anvendelse (
EFT L 74 af 27.3.1969, s. 1
).
(
11
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 af 18. december 2000 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger (
EFT L 8 af 12.1.2001, s. 1
).
(
12
)
  Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (
EUT L 119 af 4.5.2016, s. 89
).
(
13
)
  Europarådets ministerudvalgs anbefaling R(87) 15 til medlemsstaterne af 17.9.1987 om politiets brug af personoplysninger.
(
14
)
  
            
EFT L 56 af 4.3.1968, s. 1
.
(
15
)
  Kommissionens delegerede forordning (EU) nr. 1271/2013 af 30. september 2013 om rammefinansforordningen for de organer, der er omhandlet i artikel 208 i Europa-Parlamentets og Rådets forordning (EU, Euratom) nr. 966/2012 (
EUT L 328 af 7.12.2013, s. 42
).
(
16
)
  Kommissionens delegerede forordning (EU) nr. 1268/2012 af 29. oktober 2012 om gennemførelsesbestemmelser til Europa-Parlamentets og Rådets forordning (EU, Euratom) nr. 966/2012 om de finansielle regler vedrørende Unionens almindelige budget (
EUT L 362 af 31.12.2012, s. 1
).
(
17
)
  Europa-Parlamentets og Rådets forordning (EU, Euratom) nr. 883/2013 af 11. september 2013 om undersøgelser, der foretages af Det Europæiske Kontor for Bekæmpelse af Svig (OLAF) og om ophævelse af Europa-Parlamentets og Rådets forordning (EF) nr. 1073/1999 og Rådets forordning (Euratom) nr. 1074/1999 (
EUT L 248 af 18.9.2013, s. 1
).
(
18
)
  Rådets afgørelse 2013/488/EU af 23. september 2013 om reglerne for sikkerhedsbeskyttelse af EU's klassificerede informationer (
EUT L 274 af 15.10.2013, s. 1
).
(
19
)
  Rådets retsakt af 3. december 1998 om vedtagelse af vedtægten for Europols personale (
EFT C 26 af 30.1.1999, s. 23
).
(
20
)
  Rådets afgørelse 2005/511/RIA af 12. juli 2005 om beskyttelse af euroen mod falskmøntneri ved udpegelse af Europol til centralkontor for bekæmpelse af euro-falskmøntneri (
EUT L 185 af 16.7.2005, s. 35
).
(
21
)
  Europa-Parlamentets og Rådets direktiv 2005/60/EF af 26. oktober 2005 om forebyggende foranstaltninger mod anvendelse af det finansielle system til hvidvaskning af penge og finansiering af terrorisme (
EUT L 309 af 25.11.2005, s. 15
).
(
22
)
  Rådets rammeafgørelse 2002/584/RIA af 13. juni 2002 om den europæiske arrestordre og om procedurerne for overgivelse mellem medlemsstaterne (
EFT L 190 af 18.7.2002, s. 1
).
(
23
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 1049/2001 af 30. maj 2001 om aktindsigt i Europa-Parlamentets, Rådets og Kommissionens dokumenter (
EFT L 145 af 31.5.2001, s. 43
).
(
24
)
  
            
EUT C 95 af 1.4.2014, s. 1
.
(
25
)
  Europa-Parlamentets og Rådets forordning (EU, Euratom) nr. 966/2012 af 25. oktober 2012 om de finansielle regler vedrørende Unionens almindelige budget og om ophævelse af Rådets forordning (EF, Euratom) nr. 1605/2002 (
EUT L 298 af 26.10.2012, s. 1
).
(
26
)
  Forordning nr. 1 om den ordning, der skal gælde for Det Europæiske Økonomiske Fællesskab på det sproglige område (
EFT 17 af 6.10.1958, s. 385/58
).
(
27
)
  
            
EFT L 136 af 31.5.1999, s. 15
.
(
28
)
  Rådets forordning (Euratom, EF) nr. 2185/96 af 11. november 1996 om Kommissionens kontrol og inspektion på stedet med henblik på beskyttelse af De Europæiske Fællesskabers finansielle interesser mod svig og andre uregelmæssigheder (
EFT L 292 af 15.11.1996, s. 2
).
BILAG I
LISTE OVER FORMER FOR KRIMINALITET, DER ER OMHANDLET I ARTIKEL 3, STK. 1
—
terrorisme
—
organiseret kriminalitet
—
narkotikahandel
—
hvidvaskning af penge
—
kriminalitet i forbindelse med nukleare og radioaktive materialer
—
menneskesmugling
—
menneskehandel
—
kriminalitet i forbindelse med motorkøretøjer
—
manddrab og grov legemsbeskadigelse
—
ulovlig handel med menneskevæv og -organer
—
bortførelse, frihedsberøvelse og gidseltagning
—
racisme og fremmedhad
—
røveri og tyveri af særlig grov beskaffenhed
—
ulovlig handel med kulturgoder, herunder antikviteter og kunstgenstande
—
underslæb og bedrageri
—
kriminalitet, der skader Unionens finansielle interesser
—
insiderhandel og kursmanipulation på finansmarkederne
—
afkrævning af beskyttelsespenge og pengeafpresning
—
efterligninger og fremstilling af piratudgaver af produkter
—
forfalskning af officielle dokumenter og ulovlig handel med disse
—
falskmøntneri, forfalskning af betalingsmidler
—
IT-kriminalitet
—
bestikkelse
—
ulovlig handel med våben, ammunition og eksplosive stoffer
—
ulovlig handel med truede dyrearter
—
ulovlig handel med truede plantearter og træsorter
—
miljøkriminalitet, herunder forurening fra skibe
—
ulovlig handel med hormonpræparater og andre vækstfremmende stoffer
—
seksuelt misbrug og seksuel udnyttelse, herunder materiale, der viser misbrug af børn, og hvervning af børn til seksuelle formål
—
folkedrab, forbrydelser mod menneskeheden og krigsforbrydelser.
BILAG II
A.   Kategorier af personoplysninger, der kan indsamles og behandles med henblik på krydstjek, og kategorier af registrerede, hvis oplysninger kan indsamles og behandles til dette formål, jf. artikel 18, stk. 2, litra a)
1.
Personoplysninger, der indsamles og behandles med henblik på krydstjek, skal vedrøre:
a)
personer, der i overensstemmelse med den pågældende medlemsstats nationale ret mistænkes for at have begået eller have deltaget i en strafbar handling, der henhører under Europols kompetence, eller som er dømt for en sådan strafbar handling
b)
personer, om hvem der i henhold til den pågældende medlemsstats nationale ret er konkrete indicier for eller rimelig grund til at antage, at de vil begå strafbare handlinger, som henhører under Europols kompetence.
2.
Oplysninger om de personer, der er omhandlet i punkt 1, må kun omfatte følgende kategorier af personoplysninger:
a)
efternavn, fødenavn, fornavne og eventuelt kaldenavn eller påtaget navn
b)
fødselsdato og fødested
c)
nationalitet
d)
køn
e)
den berørte persons bopæl, erhverv og opholdssted
f)
socialsikringsnummer, kørekort, identifikationsdokumenter og pasoplysninger og
g)
om nødvendigt, andre kendetegn, som kan tjene til at identificere personen, herunder eventuelle specifikke objektive fysiske kendetegn, der ikke ændrer sig, som f.eks. fingeraftryksoplysninger og DNA-profil (fastlagt på grundlag af den ikkekodende del af DNA).
3.
Ud over de i punkt 2 omhandlede oplysninger kan følgende kategorier af personoplysninger om de personer, der er nævnt i punkt 1, indsamles og behandles:
a)
strafbare handlinger, formodede strafbare handlinger samt oplysninger om, hvornår, hvor og hvordan de blev begået eller formodes begået
b)
midler, som er blevet anvendt eller måske vil blive anvendt til at begå sådanne strafbare handlinger, herunder oplysninger om juridiske personer
c)
de sagsbehandlende tjenestesteder og deres journalnumre
d)
mistanke om medlemskab af en kriminel organisation
e)
afsagte domme, hvis de vedrører strafbare handlinger, der henhører under Europols kompetence
f)
den part, der har registreret oplysningerne.
Disse oplysninger kan også meddeles Europol, selv om de endnu ikke indeholder navnene på personerne.
4.
Yderligere oplysninger, som Europol eller nationale enheder er i besiddelse af om de personer, der er omhandlet i punkt 1, kan efter anmodning videregives til enhver national enhed eller til Europol. De nationale enheders videregivelse af oplysninger skal ske i overensstemmelse med national ret.
5.
Hvis sagen mod den pågældende person indstilles endeligt, eller hvis vedkommende frikendes endeligt, skal oplysningerne vedrørende den sag, som afgørelsen herom vedrører, slettes.
B.   Kategorier af personoplysninger, der kan indsamles og behandles med henblik på analyser af strategisk eller tematisk art, med henblik på operationelle analyser eller med henblik på at lette udveksling af oplysninger, og kategorier af registrerede, hvis oplysninger kan indsamles og behandles til disse formål, jf. artikel 18, stk. 2, litra b), c) og d)
1.
Personoplysninger, der indsamles og behandles med henblik på analyser af strategisk eller tematisk art, med henblik på operationelle analyser eller med henblik på at lette udveksling af oplysninger mellem medlemsstaterne, Europol, andre EU-organer, tredjelande og internationale organisationer, skal vedrøre:
a)
personer, der i henhold til den pågældende medlemsstats nationale ret mistænkes for at have begået eller have deltaget i en strafbar handling, der henhører under Europols kompetence, eller som er dømt for en sådan strafbar handling
b)
personer, om hvem der i henhold til den pågældende medlemsstats nationale ret er konkrete indicier for eller rimelig grund til at antage, at de vil begå strafbare handlinger, som henhører under Europols kompetence
c)
personer, der kunne blive indkaldt som vidner i forbindelse med efterforskning af de pågældende strafbare handlinger eller i efterfølgende straffesager
d)
personer, der har været ofre for en af de pågældende strafbare handlinger, eller med hensyn til hvem visse omstændigheder giver grund til at antage, at de kunne være ofre for en sådan strafbar handling
e)
kontakt- og ledsagepersoner, og
f)
personer, som kan give oplysninger om de pågældende strafbare handlinger.
2.
Følgende kategorier af personoplysninger, herunder også tilknyttede administrative oplysninger, kan behandles i forbindelse med de kategorier af personer, der er omhandlet i punkt 1, litra a) og b):
a)
personlige oplysninger:
i)
nuværende og tidligere efternavne
ii)
nuværende og tidligere fornavne
iii)
fødenavn
iv)
faderens navn (hvis nødvendigt for identificering)
v)
moderens navn (hvis nødvendigt for identificering)
vi)
køn
vii)
fødselsdato
viii)
fødested
ix)
statsborgerskab
x)
civilstand
xi)
kaldenavn (alias)
xii)
øgenavn
xiii)
påtaget eller falsk navn
xiv)
nuværende og tidligere opholdssted og/eller bopæl
b)
fysiske kendetegn:
i)
signalement
ii)
særlige kendetegn (modermærker/ar/tatoveringer mv.)
c)
midler til identificering:
i)
identitetsdokumenter/kørekort
ii)
nationalt ID-kortnummer/pasnummer
iii)
nationalt personnummer/socialsikringsnummer, hvis de findes
iv)
billeder og anden information om udseendet
v)
kriminaltekniske oplysninger til identificering, såsom fingeraftryk, DNA-profil (fastlagt på grundlag af den ikkekodende del af DNA), stemmeprofil, blodtype, tandstatus
d)
erhverv og kvalifikationer:
i)
nuværende beskæftigelse og erhverv
ii)
tidligere beskæftigelse og erhverv
iii)
uddannelse (skole, universitet, erhvervsuddannelse)
iv)
kvalifikationsbeviser
v)
kompetencer og anden specialviden (sprog/andet)
e)
oplysninger om økonomiske og finansielle forhold:
i)
økonomiske forhold (bankkonti og koder, kreditkort mv.)
ii)
likvide midler
iii)
besiddelse af kapitalandele, andre aktiver
iv)
oplysninger om fast ejendom
v)
forbindelser til virksomheder
vi)
kontakter til banker og kreditinstitutter
vii)
skattemæssige forhold
viii)
andre oplysninger om den pågældendes forvaltning af sine økonomiske forhold
f)
oplysninger om adfærd:
i)
livsstil (som f.eks. at leve over evne) og vaner
ii)
færden
iii)
frekventerede steder
iv)
våben og andre farlige genstande
v)
farlighed
vi)
andre specifikke risici såsom sandsynligheden for flugtforsøg, brug af dobbeltagenter, forbindelser til retshåndhævende personale
vii)
karaktertræk og profiler forbundet med kriminel adfærd
viii)
narkotikamisbrug
g)
kontakt- og ledsagepersoner, herunder forbindelsernes art og karakter
h)
anvendte kommunikationsmidler, såsom telefon (fastnet eller mobil), telefax, personsøger, elektronisk post, postadresser, internetforbindelse(r)
i)
anvendte transportmidler såsom motorkøretøjer, både, fly, herunder også oplysninger til identificering af disse transportmidler (registreringsnumre)
j)
oplysninger om kriminel adfærd:
i)
tidligere domfældelser
ii)
formodet indblanding i kriminelle handlinger
iii)
modus operandi
iv)
midler, der har været eller kan bruges til at forberede og/eller begå strafbare handlinger
v)
tilhørsforhold til en kriminel gruppe eller organisation og placering inden for gruppen eller organisationen
vi)
rolle i den kriminelle organisation
vii)
det geografiske område for de kriminelle handlinger
viii)
materiale indsamlet under efterforskning, såsom videooptagelser og fotos
k)
henvisning til andre databaser, som indeholder oplysninger om den pågældende person:
i)
Europol
ii)
politi- eller toldmyndigheder
iii)
andre retshåndhævende myndigheder
iv)
internationale organisationer
v)
offentlige enheder
vi)
private enheder
l)
oplysninger om juridiske personer med relevans for oplysningerne i litra e) og j):
i)
den juridiske persons navn
ii)
sted
iii)
dato og sted for oprettelsen
iv)
administrativt registreringsnummer
v)
retlig form
vi)
kapital
vii)
aktivitetsområde
viii)
nationale og internationale datterselskaber
ix)
direktører
x)
bankforbindelser.
3.
»Kontakt- og ledsagepersoner«, jf. punkt 1, litra e), er personer, gennem hvilke der er tilstrækkelig grund til at antage, at det er muligt at få oplysninger, der vedrører de i punkt 1, litra a) og b), omhandlede personer, og som er relevante for analysen, forudsat at de ikke hører ind under en af de i punkt 1, litra a), b), c), d) eller f), omhandlede personkategorier. »Kontaktpersoner« er personer, der har sporadisk kontakt med de i punkt 1, litra a) og b), omhandlede personer. »Ledsagepersoner« er personer, der har regelmæssig kontakt med de i punkt 1, litra a) og b), omhandlede personer.
For så vidt angår kontakt- og ledsagepersoner er det tilladt at opbevare de i punkt 2 omhandlede oplysninger i fornødent omfang, forudsat at der er grund til at antage, at disse oplysninger er nødvendige for analysen af sådanne personers forhold til personer omhandlet i punkt 1, litra a) og b). I den forbindelse skal følgende overholdes:
a)
et sådant forhold skal afklares hurtigst muligt
b)
de i punkt 2 omhandlede oplysninger slettes omgående, hvis antagelsen om, at et sådant forhold eksisterer, viser sig at være ubegrundet
c)
det tilladt at opbevare alle de i punkt 2 omhandlede oplysninger, hvis kontakt- eller ledsagepersoner er mistænkt for at have begået en strafbar handling, der falder inden for rammerne af Europols målsætninger, eller er blevet dømt for at begå en sådan strafbar handling, eller hvis der i henhold til den berørte medlemsstats nationale ret er konkrete indicier for eller rimelig grund til at antage, at de vil begå en sådan strafbar handling
d)
de i punkt 2 omhandlede oplysninger om kontaktpersoner og kontaktpersoners ledsagepersoner samt om kontaktpersoner og ledsagepersoners ledsagepersoner må ikke opbevares, bortset fra oplysninger om arten og karakteren af kontakten eller forbindelsen med de i punkt 1, litra a) og b), omhandlede personer
e)
hvis det ikke er muligt at nå til nogen afklaring efter ovenstående litraer, tages der hensyn hertil, når der træffes en beslutning, om det er nødvendigt at opbevare oplysningerne med henblik på videre analyse, og i så fald i hvilket omfang.
4.
For så vidt angår en person, der som omhandlet i punkt 1, litra d), har været offer for en af de pågældende strafbare handlinger, eller med hensyn til hvem der i forhold til visse omstændigheder er grund til at antage, at vedkommende kunne være offer for en sådan strafbar handling, kan oplysningerne i punkt 2, litra a)-litra c), nr. iii), samt følgende kategorier af oplysninger opbevares:
a)
oplysninger til identificering af offeret
b)
årsagen til personens rolle som offer eller potentielt offer
c)
skade (fysisk/økonomisk/mental/andet)
d)
angivelse af, om der skal sikres anonymitet
e)
angivelse af, om der er mulighed for deltagelse i retsmøder
f)
oplysninger om strafbare handlinger meddelt af eller gennem de personer, der er omhandlet i punkt 1, litra d), herunder nødvendige oplysninger om deres forbindelse med andre personer, med henblik på identifikation af de i punkt 1, litra a) og b), omhandlede personer.
Andre af de i punkt 2 omhandlede oplysninger kan opbevares i fornødent omfang, forudsat at der er grund til at antage, at de er nødvendige for analysen af sådanne personers rolle som ofre eller potentielle ofre.
Oplysninger, der ikke er nødvendige for den videre analyse, skal slettes.
5.
For så vidt angår personer, der som omhandlet i punkt 1, litra c), kunne blive indkaldt som vidner i forbindelse med efterforskning af de pågældende strafbare handlinger eller i efterfølgende straffesager, kan oplysningerne i punkt 2, litra a)-litra c), nr. iii), samt følgende kategorier af oplysninger opbevares:
a)
oplysninger om strafbare handlinger meddelt af sådanne personer, herunder også om deres forbindelse med andre personer, der er registreret i analysedatabasen
b)
angivelse af, om der skal sikres anonymitet
c)
angivelse af, om der skal sikres beskyttelse, og hvem der skal yde den
d)
ny identitet
e)
angivelse af, om der er mulighed for deltagelse i retsmøder.
Andre af de i punkt 2 omhandlede oplysninger kan opbevares i fornødent omfang, forudsat at der er grund til at antage, at de er nødvendige for analysen af sådanne personers rolle som vidner.
Oplysninger, der ikke er nødvendige for den videre analyse, skal slettes.
6.
For så vidt angår personer, der som omhandlet i punkt 1, litra f), kan give oplysninger om de pågældende strafbare handlinger, kan oplysningerne i punkt 2, litra a)-litra c), nr. iii), samt følgende kategorier af oplysninger opbevares:
a)
kodede personoplysninger
b)
arten af de givne oplysninger
c)
angivelse af, om der skal sikres anonymitet
d)
angivelse af, om der skal sikres beskyttelse, og hvem der skal yde den
e)
ny identitet
f)
angivelse af, om der er mulighed for deltagelse i et retsmøde
g)
negative erfaringer
h)
belønning (økonomisk/begunstigelser).
Andre af de i punkt 2 omhandlede oplysninger kan opbevares i fornødent omfang, forudsat at der er grund til at antage, at de er nødvendige for analysen af sådanne personers rolle som meddelere.
Oplysninger, der ikke er nødvendige for den videre analyse, skal slettes.
7.
Hvis det på et tidspunkt under analysen på grundlag af underbyggede og samstemmende oplysninger bliver klart, at en person bør omfattes af en personkategori, der er opstillet i dette bilag, der er forskellig fra den kategori, som vedkommende først blev placeret i, må Europol kun behandle de oplysninger om denne person, som det er tilladt at behandle i forbindelse med denne nye kategori, og alle andre oplysninger skal slettes.
Hvis det på grundlag af ovennævnte oplysninger bliver klart, at en person bør placeres i to eller flere af de kategorier, der er opstillet i dette bilag, kan Europol behandle alle de oplysninger, som det er tilladt at behandle i forbindelse med disse kategorier.

Summary:
Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol)
RESUMÉ AF:
Forordning (EU) 2016/794 om Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol)
HVAD ER FORMÅLET MED FORORDNINGEN?
Den fastlægger reglerne for 
Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde
 (Europol), herunder et system, hvormed 
Europa-Parlamentet
 i samarbejde med de nationale parlamenter kan varetage politisk overvågning af Europols aktiviteter.
Den tilpasser Europols eksterne relationer til bestemmelserne i 
Lissabontraktaten
.
Ændringsforordning (EU) 
2022/991
 styrker Europols mandat til at bekæmpe grov kriminalitet og terrorisme og til at håndtere nye sikkerhedstrusler.
HOVEDPUNKTER
Mål
Europols målsætning er at støtte og styrke:
retshåndhævende myndigheders indsats
 i 
Den Europæiske Unions
 (EU) 
medlemsstater
indbyrdes samarbejde
 blandt medlemsstaterne om at forebygge og bekæmpe terrorisme, grov kriminalitet, der berører to eller flere medlemsstater, samt former for kriminalitet, der berører en fælles interesse, som er omfattet af en EU-politik.
Opgaver
Forordningen fastsætter en række specifikke opgaver for at opfylde disse mål, herunder at:
indsamle, opbevare, behandle, analysere og udveksle oplysninger
, herunder kriminalefterretninger
give medlemsstaterne besked
 om alle oplysninger og indbyrdes forbindelser mellem strafbare handlinger, der vedrører dem, via Europols 
nationale enheder
koordinere, organisere og gennemføre efterforskninger og operationelle foranstaltninger
 for at støtte og styrke medlemsstaternes myndigheders indsats
udarbejde 
trusselsvurderinger
, strategiske og operationelle analyser og rapporter om den generelle situation
deltage i 
fælles efterforskningshold
udvikle 
EU-centre med særlig ekspertise
 til bekæmpelse af visse former for kriminalitet, for eksempel 
Det Europæiske Center for Bekæmpelse af Cyberkriminalitet
støtte medlemsstaterne i at bekæmpe de former for kriminalitet, som lettes, fremmes eller begås ved hjælp af internettet.
Kontrol
Europols beføjelser ledsages af databeskyttelsesgarantier samt demokratiske tilsyns- og kontrolmekanismer for at sikre, at agenturets aktiviteter og opgaver udføres under fuld overholdelse af de grundlæggende rettigheder og frihedsrettigheder, som er nedfældet i 
chartret om grundlæggende rettigheder
.
Den 
Europæiske Tilsynsførende for Databeskyttelse
 (EDPS) fører tilsyn med Europols behandling af personoplysninger, og der vil være en klar procedure for behandling af anmodninger fra borgerne i henhold til 
EU-retten
.
Europols arbejde overvåges af 
Gruppen for Fælles Parlamentarisk Kontrol
, som har medlemmer fra både Europa-Parlamentet og nationale parlamenter.
Ændringsforordning (EU) 2022/991
Ændringsforordningen:
styrker Europols operationelle kapacitet til at samarbejde med private parter (
regler om udveksling af personoplysninger med private parter og analyse af disse oplysninger
)
gør det muligt for Europol at 
dele personoplysninger med visse private parter
 for at forhindre udbredelse af:
onlineindhold i forbindelse med terrorisme eller voldelig ekstremitet i krisesituationer
onlinemateriale om seksuelt misbrug af børn
fastsætter regler for 
analyse af store mængder data
 (datasæt, der er for store eller komplekse til at kunne blive behandlet med traditionel software til databehandling) i overensstemmelse med Europols operationelle behov og i overensstemmelse med 
grundlæggende rettigheder
, herunder et nyt retsgrundlag, som sikrer, at Europol kan 
behandle store mængder data
 til støtte for en 
igangværende strafferetlig efterforskning
styrker EDPS’ 
eksterne tilsyn
 med Europol og Europols 
interne tilsyn
 fra 
databeskyttelsesfunktionen
, og den indfører den nye rolle som 
ansvarlig for grundlæggende rettigheder
giver Europol 
nye beføjelser
 til at:
foreslå indledning af en 
strafferetlig efterforskning
 i en medlemsstat for strafbare handlinger, som berører en fælles interesse, der er omfattet af en EU-politik, 
uden
 krav om en grænseoverskridende dimension af den pågældende strafbare handling — den pågældende medlemsstat er dog ikke forpligtet til at underrette Europol, hvis den beslutter ikke at handle på forslaget
foreslå, at medlemsstaterne indberetter 
oplysninger i 
Schengeninformationssystemet
styrker 
samarbejdet med 
Den Europæiske Anklagemyndighed
 (EPPO) ved at indføre et system, der gør det muligt for EPPO at have indirekte adgang til oplysninger fra Europol vedrørende lovovertrædelser inden for EPPO’s mandat
indfører regler på 
forsknings- og innovationsområdet
 for anvendelsen af nye teknologier, udforskning af nye tilgange og udvikling af fælles teknologiske løsninger, herunder med hensyn til udvikling, uddannelse, afprøvning og validering af algoritmer
indarbejder de relevante regler i forordningen med hensyn til den 
databeskyttelsesramme, der gælder for Europol
, fra forordning (EU) 
2018/1725
 (se 
resumé
) om beskyttelse af fysiske personer i forbindelse med behandling af operationelle personoplysninger
øger 
parlamentarisk tilsyn og kontrol
, med deltagelse, som observatører, af to medlemmer af Gruppen for Fælles Parlamentarisk Kontrol i 
Europols bestyrelses
 møder for at drøfte ikke-operationelle spørgsmål, og styrker Europols rapporteringsforpligtelser
giver Europol mulighed for at overføre personoplysninger til 
ikke-EU-lande
 i specifikke og behørigt begrundede situationer, og hvor der findes passende sikkerhedsforanstaltninger.
Anmodning fra EDPS i september 2022
I september 2022 anmodede EDPS 
Den Europæiske Unions Domstol
 om at annullere artikel 74a og 74b i Europolforordningen (forordning (EU) 2016/794, som nyligt ændret ved forordning (EU) 2022/991), der tydeliggør, at de nye regler, der er fastsat af medlovgiverne vedrørende behandling af store mængder data, gælder for alle oplysninger, som Europol lovligt var i besiddelse af, da ændringsforordningen trådte i kraft (dvs. den 
28. juni 2022
).
Disse artikler forbliver gyldige, indtil Domstolen har truffet afgørelse.
Ophævelse
Forordningen ophæver og erstatter den tidligere Europol-afgørelse, afgørelse 
2009/371/RIA
.
HVORNÅR GÆLDER FORORDNINGEN FRA?
Den trådte i kraft den 
1. maj 2017
, med undtagelse af visse bestemmelser, som trådte i kraft den 
13. juni 2016
:
juridiske aftaler og kontrakter indgået i henhold til afgørelse 2009/371 — artikel 71
overgangsordninger vedrørende bestyrelsen — artikel 72 og
overgangsordninger vedrørende personalet — artikel 73.
Ændringer, der blev indført med ændringsforordning (EU) 2022/991, trådte i kraft den 
28. juni 2022
.
BAGGRUND
For yderligere oplysninger henvises til:
Om Europol
 (Europol).
HOVEDDOKUMENT
Europa-Parlamentets og Rådets forordning (EU) 
2016/794
 af 
11. maj 2016
 om Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) og om erstatning og ophævelse af Rådets afgørelse 2009/371/RIA, 2009/934/RIA, 2009/935/RIA, 2009/936/RIA og 2009/968/RIA (EUT L 135 af 
24.5.2016
, 
s. 53-114
).
Efterfølgende ændringer til forordning (EU) 2016/794 er blevet indarbejdet i grundteksten. Denne 
konsoliderede udgave
 har ingen retsvirkning.
TILHØRENDE DOKUMENTER
Europa-Parlamentets og Rådets forordning (EU) 
2018/1725
 af 
23. oktober 2018
 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) 
nr. 45/2001
 og afgørelse 
nr. 1247/2002/EF
 (EUT L 295 af 
21.11.2018
, 
s. 39-98
).
Rådets forordning (EU) 
2017/1939
 af 
12. oktober 2017
 om gennemførelse af et forstærket samarbejde om oprettelse af Den Europæiske Anklagemyndighed (»EPPO«) (EUT L 283 af 
31.10.2017
, 
s. 1-71
).
Se den 
konsoliderede udgave
.
Rådets rammeafgørelse 
2002/465/RIA
 af 
13. juni 2002
 om fælles efterforskningshold (EFT L 162 af 
20.6.2002
, 
s. 1-3
).
seneste ajourføring 
18.1.2023