Règlement (UE) 2022/991 du Parlement européen et du Conseil du 8 juin 2022 modifiant le règlement (UE) 2016/794 en ce qui concerne la coopération d’Europol avec les parties privées, le traitement de données à caractère personnel par Europol à l’appui d’enquêtes pénales et le rôle d’Europol en matière de recherche et d’innovation

«4 bis Europol aide les États membres et la Commission à déterminer les principaux thèmes de recherche. Europol aide la Commission à établir et à mettre en œuvre les programmes-cadres de l’Union pour les activités de recherche et d’innovation pertinentes pour la réalisation des objectifs d’Europol. Le cas échéant, Europol peut diffuser les résultats de ses activités de recherche et d’innovation dans le cadre de sa contribution à la création de synergies entre les activités de recherche et d’innovation des organes de l’Union compétents conformément au paragraphe 1, premier alinéa, point w). Europol prend toutes les mesures nécessaires pour éviter les conflits d’intérêts. Europol ne reçoit aucun financement au titre d’un programme-cadre de l’Union donné lorsqu’elle aide la Commission à déterminer les principaux thèmes de recherche et à établir et mettre en œuvre ledit programme-cadre. Lors de la conception et de la conceptualisation des activités de recherche et d’innovation concernant des questions régies par le présent règlement, Europol peut, s’il y a lieu, consulter le Centre commun de recherche de la Commission.

4 ter Europol soutient les États membres dans le filtrage, en ce qui concerne les implications attendues pour la sécurité, de cas spécifiques d’investissements directs étrangers dans l’Union au titre du règlement (UE) 2019/452 du Parlement européen et du Conseil qui concernent des entreprises qui fournissent des technologies, y compris des logiciels, utilisées par Europol aux fins de la prévention des formes de criminalité qui relèvent des objectifs d’Europol et des enquêtes en la matière.

«5 Europol n’applique pas de mesures coercitives dans l’exercice de ses missions. Le personnel d’Europol peut apporter un appui opérationnel aux autorités compétentes des États membres au cours de la mise en œuvre des mesures d’enquête, à leur demande et conformément à leur droit national, notamment en facilitant les échanges d’informations transfrontières, en fournissant une aide criminalistique et technique et en étant présent au cours de la mise en œuvre de ces mesures d’enquête. Le personnel d’Europol n’est pas habilité à mettre, lui-même, en œuvre des mesures d’enquête.»;

«5 bis Europol respecte les libertés et droits fondamentaux consacrés dans la Charte des droits fondamentaux de l’Union européenne (ci-après dénommée “Charte”) dans l’accomplissement de ses missions.».

«1 bis Sans préjudice du paragraphe 1, lorsque le directeur exécutif considère qu’une enquête pénale devrait être ouverte au sujet d’une forme de criminalité spécifique ne concernant qu’un seul État membre mais portant atteinte à un intérêt commun qui fait l’objet d’une politique de l’Union, il peut proposer aux autorités compétentes de l’État membre concerné, par l’intermédiaire de son unité nationale, d’ouvrir, de mener ou de coordonner cette enquête pénale.»;

«2 Les unités nationales informent, sans retard injustifié, Europol en ce qui concerne toute demande présentée en vertu du paragraphe 1, ou le directeur exécutif, en ce qui concerne toute proposition formulée en vertu du paragraphe 1 bis, de la décision des autorités compétentes des États membres.»;

«4 Europol informe immédiatement Eurojust et, s’il y a lieu, le Parquet européen de toute demande présentée en vertu du paragraphe 1, de toute proposition formulée en vertu du paragraphe 1 bis et de toute décision prise par une autorité compétente d’un État membre en vertu du paragraphe 2.».

«8 Chaque État membre veille à ce que sa CRF soit habilitée, dans les limites de son mandat et de sa compétence et sous réserve des garanties procédurales nationales, à répondre aux demandes dûment justifiées qui sont présentées par Europol conformément à l’article 12 de la directive (UE) 2019/1153 en ce qui concerne les informations financières et les analyses financières, soit par l’intermédiaire de son unité nationale, soit, si cela est autorisé par cet État membre, par le biais d’un contact direct entre la CRF et Europol.».

«1 Au plus tard le 30 novembre de chaque année, le conseil d’administration adopte un document de programmation unique contenant la programmation pluriannuelle et le programme de travail annuel d’Europol, sur la base d’un projet proposé par le directeur exécutif, en tenant compte de l’avis de la Commission et, en ce qui concerne la programmation pluriannuelle, après consultation du groupe de contrôle parlementaire conjoint. Lorsque le conseil d’administration décide de ne pas tenir compte de l’avis de la Commission visé au premier alinéa, en tout ou en partie, Europol fournit une justification détaillée. Lorsque le conseil d’administration décide de ne pas tenir compte des éléments soulevés par le groupe de contrôle parlementaire conjoint conformément à l’article 51, paragraphe 2, point c), Europol fournit une justification détaillée. Après adoption du document unique de programmation, le conseil d’administration transmet celui-ci au Conseil, à la Commission et au groupe de contrôle parlementaire conjoint.»;

«4 Le conseil d’administration peut inviter toute personne dont l’avis peut être pertinent aux fins des débats à participer aux réunions en tant qu’observateur sans droit de vote. Deux représentants du groupe de contrôle parlementaire conjoint sont invités à participer à deux réunions ordinaires par an du conseil d’administration en tant qu’observateurs sans droit de vote pour discuter des questions d’intérêt politique suivantes: a) le rapport d’activité annuel consolidé visé à l’article 11, paragraphe 1, point c), de l’année précédente; b) le document de programmation unique visé à l’article 12 pour l’année suivante et le budget annuel; c) les questions et réponses écrites du groupe de contrôle parlementaire conjoint; d) les relations extérieures et les questions de partenariat. Le conseil d’administration, avec les représentants du groupe de contrôle parlementaire conjoint, peuvent déterminer d’autres questions d’intérêt politique à discuter à l’occasion des réunions visées au premier alinéa.».

«3 Le Conseil ou le groupe de contrôle parlementaire conjoint peut inviter le directeur exécutif à faire rapport sur l’exécution de ses fonctions.»;

«3 bis Si cela est nécessaire pour réaliser les objectifs des projets de recherche et d’innovation d’Europol, le traitement de données à caractère personnel à cette fin n’est effectué que dans le cadre de projets de recherche et d’innovation d’Europol pour lesquels les finalités et les objectifs sont clairement définis, et a lieu conformément à l’article 33 bis.»;

«5 Sans préjudice de l’article 8, paragraphe 4, de l’article 18, paragraphe 2, point e), de l’article 18 bis, et du traitement des données en vertu de l’article 26, paragraphe 6 quater, lorsque les infrastructures d’Europol sont utilisées pour des échanges bilatéraux de données à caractère personnel et qu’Europol n’a pas accès au contenu des données, les catégories de données à caractère personnel et les catégories de personnes concernées dont les données peuvent être collectées et traitées pour les finalités du paragraphe 2 du présent article sont énumérées à l’annexe II.»;

«5 bis Conformément à l’article 73 du règlement (UE) 2018/1725 du Parlement européen et du Conseil , Europol établit, le cas échéant et dans la mesure du possible, une distinction claire entre les données à caractère personnel qui portent sur différentes catégories de personnes concernées énumérées à l’annexe II.

«6 Europol peut traiter temporairement des données afin de déterminer si, et, dans l’affirmative, pour quelle finalité parmi celles visées au paragraphe 2, ces données sont pertinentes pour ses tâches. Le délai de traitement de ces données ne dépasse pas six mois à partir de leur réception.»;

«6 bis Préalablement au traitement des données en vertu du paragraphe 2 du présent article, lorsque cela est strictement nécessaire à la seule fin de déterminer si les données à caractère personnel respectent le paragraphe 5 du présent article, Europol peut traiter temporairement les données à caractère personnel qui ont été fournies en vertu de l’article 17, paragraphes 1 et 2, y compris en comparant ces données avec l’ensemble des données déjà traitées par Europol conformément au paragraphe 5 du présent article. Europol traite des données à caractère personnel en vertu du premier alinéa pendant une période ne dépassant pas dix-huit mois à partir du moment où Europol établit que ces données relèvent de ses objectifs, ou, dans des cas justifiés, pendant une plus longue période lorsque cela est nécessaire aux fins du présent article. Europol informe le CEPD de toute prolongation de la période de traitement. La durée maximale du traitement des données en vertu du premier alinéa est de trois ans. Ces données à caractère personnel sont séparées des autres données sur le plan fonctionnel. Lorsqu’Europol conclut que les données à caractère personnel visées au premier alinéa du présent paragraphe ne respectent pas le paragraphe 5, Europol efface ces données et en informe, s’il y a lieu, le fournisseur de ces données effacées.

6 ter Le conseil d’administration, sur proposition du directeur exécutif, après consultation du CEPD et dans le strict respect des principes visés à l’article 71 du règlement (UE) 2018/1725, précise les conditions relatives au traitement des données visées aux paragraphes 6 et 6 bis du présent article, notamment en ce qui concerne la fourniture de ces données, l’accès à celles-ci et leur utilisation, ainsi que les délais de conservation et d’effacement de ces données, qui ne dépassent pas ceux fixés aux paragraphes 6 et 6 bis du présent article.».

1 Lorsque cela est nécessaire pour soutenir une enquête pénale spécifique en cours qui relève des objectifs d’Europol, Europol peut traiter des données à caractère personnel qui ne portent pas sur les catégories de personnes concernées énumérées à l’annexe II lorsque: a) un État membre, le Parquet européen ou Eurojust fournit des données d’enquête à Europol en vertu de l’article 17, paragraphe 1, point a) ou b), et demande à Europol de soutenir cette enquête: i) au moyen d’une analyse opérationnelle en vertu de l’article 18, paragraphe 2, point c); ou ii) dans des cas exceptionnels et dûment justifiés, au moyen de recoupements en vertu de l’article 18, paragraphe 2, point a); b) Europol évalue qu’il n’est pas possible de procéder à l’analyse opérationnelle en vertu de l’article 18, paragraphe 2, point c), ou aux recoupements en vertu de l’article 18, paragraphe 2, point a), à l’appui de cette enquête sans traiter des données à caractère personnel qui ne respectent pas l’article 18, paragraphe 5. Les résultats de l’évaluation visée au premier alinéa, point b), sont enregistrés et transmis au CEPD pour information quand Europol cesse de soutenir l’enquête visée au premier alinéa.

2 Lorsque l’État membre visé au paragraphe 1, premier alinéa, point a), n’est plus autorisé à traiter les données dans le cadre de l’enquête pénale spécifique en cours visée au paragraphe 1 conformément aux exigences et garanties procédurales prévues par son droit national applicable, il informe Europol. Lorsque le Parquet européen ou Eurojust fournit des données d’enquête à Europol et qu’il n’est plus autorisé à traiter les données dans le cadre de l’enquête pénale spécifique en cours visée au paragraphe 1 conformément aux exigences et garanties procédurales applicables au titre du droit de l’Union et du droit national, il informe Europol.

3 Europol peut traiter des données d’enquête conformément à l’article 18, paragraphe 2, pendant toute la durée de son soutien à l’enquête pénale spécifique en cours pour laquelle les données d’enquête ont été fournies conformément au paragraphe 1, premier alinéa, point a), du présent article, et à la seule fin de soutenir cette enquête.

4 Europol peut conserver les données d’enquête fournies conformément au paragraphe 1, premier alinéa, point a), et les résultats de son traitement de ces données au-delà de la période de traitement fixée au paragraphe 3, à la demande du fournisseur de ces données d’enquête, à la seule fin de garantir l’exactitude, la fiabilité et la traçabilité du processus de renseignement criminel, et uniquement tant que la procédure judiciaire concernant l’enquête pénale spécifique pour laquelle ces données ont été fournies est en cours. Les fournisseurs de données d’enquête visés au paragraphe 1, premier alinéa, point a), ou, avec leur accord, un État membre dans lequel une procédure judiciaire relative à une enquête pénale connexe est en cours peuvent demander à Europol de conserver les données d’enquête et les résultats de son analyse opérationnelle de ces données au-delà de la période de traitement fixée au paragraphe 3 aux fins de garantir l’exactitude, la fiabilité et la traçabilité du processus de renseignement criminel, et uniquement tant que la procédure judiciaire concernant une enquête pénale connexe est en cours dans cet autre État membre.

5 Sans préjudice du traitement de données à caractère personnel au titre de l’article 18, paragraphe 6 bis, les données à caractère personnel qui ne portent pas sur les catégories de personnes concernées énumérées à l’annexe II sont séparées des autres données sur le plan fonctionnel et ne sont traitées que lorsque cela est nécessaire et proportionné aux fins des paragraphes 3, 4 et 6 du présent article. Le conseil d’administration, sur proposition du directeur exécutif et après consultation du CEPD, précise les conditions relatives à la fourniture et au traitement des données à caractère personnel conformément aux paragraphes 3 et 4.

6 Les paragraphes 1 à 4 du présent article s’appliquent également lorsque des données à caractère personnel sont fournies à Europol par un pays tiers visé à l’article 25, paragraphe 1, point a), b) ou c), ou à l’article 25, paragraphe 4 bis, et lorsque ce pays tiers fournit à Europol des données d’enquête afin de réaliser une analyse opérationnelle qui contribue à l’enquête pénale spécifique menée dans un ou plusieurs États membres et soutenue par Europol, à condition que le pays tiers ait obtenu les données dans le cadre d’une enquête pénale conformément aux exigences et garanties procédurales applicables au titre de son droit pénal national. Lorsqu’un pays tiers fournit des données d’enquête à Europol conformément au premier alinéa, le délégué à la protection des données peut, s’il y a lieu, en informer le CEPD. Europol vérifie que le volume de données à caractère personnel visées au premier alinéa n’est pas manifestement disproportionné par rapport à l’enquête pénale spécifique menée dans l’État membre concerné. Lorsqu’Europol conclut qu’il existe une indication selon laquelle ces données sont manifestement disproportionnées ou ont été collectées en violation manifeste des droits fondamentaux, Europol ne traite pas les données et les efface. Europol ne peut accéder aux données à caractère personnel traitées en vertu du présent paragraphe que si cela est nécessaire pour soutenir l’enquête pénale spécifique pour laquelle elles ont été fournies. Ces données à caractère personnel ne sont partagées qu’à l’intérieur de l’Union.».

1 Europol noue et entretient une relation étroite avec le Parquet européen. Dans le cadre de cette relation, Europol et le Parquet européen agissent dans le cadre de leurs compétences respectives. À cette fin, ils concluent un arrangement de travail définissant les modalités de leur coopération.

2 À la demande du Parquet européen conformément à l’article 102 du règlement (UE) 2017/1939, Europol soutient les enquêtes du Parquet européen et coopère avec ce dernier, en fournissant des informations et une aide à l’analyse, jusqu’à ce que le Parquet européen détermine s’il y a lieu d’engager des poursuites ou, dans la négative, de procéder au classement sans suite.

3 Afin de fournir des informations au Parquet européen en vertu du paragraphe 2 du présent article, Europol prend toutes les mesures appropriées pour permettre au Parquet européen de disposer d’un accès indirect sur la base d’un système concordance/non-concordance (“hit/no hit”) aux données relatives aux infractions qui relèvent des compétences du Parquet européen, fournies aux fins de l’article 18, paragraphe 2, points a), b) et c). Ce système de concordance/non-concordance (“hit/no hit”) n’informe Europol qu’en cas de concordance et sans préjudice de toute limitation notifiée en vertu de l’article 19, paragraphe 2, par les fournisseurs des informations visés à l’article 19, paragraphe 1. En cas de concordance, Europol engage la procédure permettant de partager l’information qui a généré cette concordance, conformément à la décision du fournisseur des informations visé à l’article 19, paragraphe 1, et seulement dans la mesure où les données générant la concordance sont pertinentes pour la demande présentée en vertu du paragraphe 2 du présent article.

4 Europol signale, sans retard injustifié, au Parquet européen tout comportement délictueux à l’égard duquel celui-ci pourrait exercer sa compétence conformément à l’article 22 et à l’article 25, paragraphes 2 et 3, du règlement (UE) 2017/1939 et sans préjudice de toute limitation notifiée en vertu de l’article 19, paragraphe 2, du présent règlement par le fournisseur des informations. Lorsqu’Europol effectue des signalements à l’intention du Parquet européen en vertu du premier alinéa, il en informe sans retard les États membres concernés. Lorsque les informations relatives à un comportement délictueux à l’égard duquel le Parquet européen pourrait exercer sa compétence ont été fournies à Europol par un État membre qui a notifié des limitations d’utilisation de ces informations en vertu de l’article 19, paragraphe 2, du présent règlement, Europol informe le Parquet européen de l’existence de ces limitations et en réfère à l’État membre concerné. L’État membre concerné entre directement en contact avec le Parquet européen afin de se conformer à l’article 24, paragraphes 1 et 4, du règlement (UE) 2017/1939.».

1 Europol ne transmet des données à caractère personnel à un organe de l’Union, conformément à l’article 71, paragraphe 2, du règlement (UE) 2018/1725, sous réserve de toute autre limitation en vertu du présent règlement et sans préjudice de l’article 67 du présent règlement, que si ces données sont nécessaires et proportionnées pour l’accomplissement légitime de missions de l’organe de l’Union destinataire.

2 À la suite d’une demande de transmission de données à caractère personnel d’un autre organe de l’Union, Europol vérifie la compétence de l’autre organe de l’Union. Si Europol n’est pas en mesure de confirmer que la transmission des données à caractère personnel est nécessaire conformément au paragraphe 1, Europol demande à l’organe de l’Union demandeur un complément d’informations. L’organe de l’Union demandeur veille à ce que la nécessité de la transmission des données à caractère personnel puisse être vérifiée.

3 L’organe de l’Union destinataire traite les données à caractère personnel visées aux paragraphes 1 et 2 aux seules fins pour lesquelles elles ont été transmises.».

1 Dans les situations de crise en ligne, Europol peut recevoir des données à caractère personnel directement de parties privées et les traiter conformément à l’article 18.

2 Lorsqu’Europol reçoit des données à caractère personnel d’une partie privée établie dans un pays tiers, elle ne transmet ces données et les résultats de son analyse et de la vérification de ces données qu’à un État membre, ou à un pays tiers concerné visé à l’article 25, paragraphe 1, point a), b) ou c), ou à l’article 25, paragraphe 4 bis. Europol peut transférer les résultats de son analyse et de la vérification des données visées au paragraphe 1 du présent article au pays tiers concerné en vertu de l’article 25, paragraphe 5 ou 6.

3 Europol peut transmettre ou transférer des données à caractère personnel à des parties privées au cas par cas, sous réserve de toute limitation notifiée en vertu de l’article 19, paragraphe 2 ou 3, et sans préjudice de l’article 67, lorsque la transmission ou le transfert de ces données est strictement nécessaire pour faire face à des situations de crise en ligne, et que les libertés et les droits fondamentaux des personnes concernées ne prévalent pas sur l’intérêt public qui exige que ces données à caractère personnel soient transmises ou transférées.

4 Lorsque la partie privée concernée n’est pas établie dans l’Union ou dans un pays tiers visé à l’article 25, paragraphe 1, point a), b) ou c), ou à l’article 25, paragraphe 4 bis, le transfert exige l’autorisation du directeur exécutif.

5 Europol assiste les autorités compétentes des États membres, échange des informations et coopère avec celles-ci en ce qui concerne la transmission ou le transfert de données à caractère personnel à des parties privées au titre du paragraphe 3 ou 4, en particulier afin d’éviter la duplication des efforts, de renforcer la coordination et d’éviter les interférences avec les enquêtes menées dans les différents États membres.

6 Europol peut demander aux États membres, par l’intermédiaire de leurs unités nationales, d’obtenir, conformément à leur droit national, des données à caractère personnel auprès de parties privées qui sont établies ou ont un représentant légal sur leur territoire, aux fins de partager ces données avec Europol. De telles demandes sont motivées et aussi précises que possible. Ces données à caractère personnel sont les moins sensibles possibles et strictement limitées à ce qui est nécessaire et proportionné aux fins de permettre à Europol d’aider les États membres à faire face aux situations de crise en ligne. Nonobstant la compétence des États membres concernant la diffusion des contenus pour lesquels Europol demande les données à caractère personnel, les États membres veillent à ce que leurs autorités compétentes puissent traiter les demandes visées au premier alinéa conformément à leur droit national aux fins de fournir à Europol les informations nécessaires à la réalisation de ses objectifs.

7 Europol veille à ce qu’un relevé détaillé de tous les transferts de données à caractère personnel ainsi que des motifs de ces transferts soit conservé conformément au présent règlement. Sur demande du CEPD, Europol met à la disposition du CEPD ces relevés en application de l’article 39 bis.

8 Si les données à caractère personnel reçues ou qui doivent être transférées portent atteinte aux intérêts d’un État membre, Europol informe immédiatement l’unité nationale de l’État membre concerné.

1 Europol peut recevoir des données à caractère personnel directement de parties privées et les traiter conformément à l’article 18 pour lutter contre la diffusion en ligne de matériel pédopornographique en ligne, conformément à l’article 4, paragraphe 1, point y).

2 Lorsqu’Europol reçoit des données à caractère personnel d’une partie privée établie dans un pays tiers, elle ne transmet ces données et les résultats de son analyse et de la vérification de ces données qu’à l’État membre, ou au pays tiers concerné visé à l’article 25, paragraphe 1, point a), b) ou c), ou à l’article 25, paragraphe 4 bis. Europol peut transférer les résultats de son analyse et de la vérification des données visées au premier alinéa du présent paragraphe au pays tiers concerné en vertu de l’article 25, paragraphe 5 ou 6.

3 Europol peut transmettre ou transférer des données à caractère personnel à des parties privées, au cas par cas, sous réserve de toute limitation notifiée en vertu de l’article 19, paragraphe 2 ou 3, et sans préjudice de l’article 67, lorsque la transmission ou le transfert de ces données est strictement nécessaire pour lutter contre la diffusion en ligne de matériel pédopornographique en ligne visée à l’article 4, paragraphe 1, point y), et que les libertés et les droits fondamentaux des personnes concernées prévalent sur l’intérêt public qui exige que ces données à caractère personnel soient transmises ou transférées.

4 Lorsque la partie privée concernée n’est pas établie dans l’Union ou dans un pays tiers visé à l’article 25, paragraphe 1, point a), b) ou c), ou à l’article 25, paragraphe 4 bis, le transfert requiert l’autorisation du directeur exécutif.

5 Europol assiste les autorités compétentes des États membres, échange des informations et coopère avec celles-ci en ce qui concerne la transmission ou le transfert de données à caractère personnel à des parties privées au titre du paragraphe 3 ou 4, en particulier afin d’éviter la duplication des efforts, de renforcer la coordination et d’éviter les interférences avec les enquêtes menées dans les différents États membres.

6 Europol peut demander aux États membres, par l’intermédiaire de leurs unités nationales, d’obtenir, conformément à leur droit national, des données à caractère personnel auprès de parties privées qui sont établies ou ont un représentant légal sur leur territoire aux fins de partager ces données avec Europol. De telles demandes sont motivées et aussi précises que possible. Ces données à caractère personnel sont les moins sensibles possibles et strictement limitées à ce qui est nécessaire et proportionné aux fins de permettre à Europol de lutter contre la diffusion en ligne de matériel pédopornographique en ligne, conformément à l’article 4, paragraphe 1, point y). Nonobstant la compétence des États membres concernant la diffusion des contenus pour lesquels Europol demande les données à caractère personnel, les États membres veillent à ce que leurs autorités compétentes puissent traiter les demandes visées au premier alinéa conformément à leur droit national aux fins de fournir à Europol les informations nécessaires à la réalisation de ses objectifs.

7 Europol veille à ce qu’un relevé détaillé de tous les transferts de données à caractère personnel ainsi que des motifs de ces transferts soit conservé conformément au présent règlement. Sur demande du CEPD, Europol met à la disposition du CEPD ces relevés en application de l’article 39 bis.

8 Si les données à caractère personnel reçues ou qui doivent être transférées portent atteinte aux intérêts d’un État membre, Europol informe immédiatement l’unité nationale de l’État membre concerné.».

1 Sans préjudice du présent règlement, l’article 3 et le chapitre IX du règlement (UE) 2018/1725 s’appliquent au traitement des données à caractère personnel par Europol. Le règlement (UE) 2018/1725, à l’exception du chapitre IX, s’applique au traitement de données administratives à caractère personnel par Europol.

2 Les références aux “données à caractère personnel” dans le présent règlement s’entendent comme des références aux “données opérationnelles à caractère personnel” au sens de l’article 3, point 2), du règlement (UE) 2018/1725, sauf disposition contraire du présent règlement.

3 Le conseil d’administration adopte des règles fixant les délais de conservation des données administratives à caractère personnel.».

Des mécanismes visant à garantir que des mesures de sécurité sont prises en compte au-delà des limites des systèmes d’information sont mis en place par Europol conformément à l’article 91 du règlement (UE) 2018/1725 et par les États membres conformément à l’article 29 de la directive (UE) 2016/680.».

1 Europol peut traiter des données à caractère personnel aux fins de ses projets de recherche et d’innovation, à condition que le traitement de ces données à caractère personnel: a) soit strictement nécessaire et dûment motivé pour atteindre les objectifs du projet concerné; b) en ce qui concerne des catégories particulières de données à caractère personnel, soit strictement nécessaire et s’accompagne de garanties appropriées pouvant inclure la pseudonymisation. Le traitement de données à caractère personnel par Europol dans le cadre de projets de recherche et d’innovation est guidé par les principes de transparence, d’explicabilité, d’équité et de responsabilité.

2 Sans préjudice du paragraphe 1, pour le traitement de données à caractère personnel effectué dans le cadre de projets de recherche et d’innovation d’Europol, les garanties suivantes s’appliquent: a) tout projet de recherche et d’innovation requiert l’autorisation préalable du directeur exécutif, en consultation avec le délégué à la protection des données et l’officier aux droits fondamentaux, sur la base: i) d’une description des objectifs du projet et d’une explication de la manière dont ce dernier soutient Europol ou les autorités compétentes des États membres dans l’accomplissement de leurs tâches; ii) d’une description de l’activité de traitement envisagée, expliquant les objectifs, l’ampleur et la durée du traitement, ainsi que la nécessité et la proportionnalité du traitement des données à caractère personnel, par exemple pour étudier et expérimenter des solutions technologiques innovantes et garantir l’exactitude des résultats du projet; iii) d’une description des catégories de données à caractère personnel à traiter; iv) d’une évaluation du respect des principes en matière de protection des données énoncés à l’article 71 du règlement (UE) 2018/1725, des délais pour la conservation des données à caractère personnel et des conditions d’accès à ces données; et v) d’une analyse d’impact relative à la protection des données, y compris en ce qui concerne les risques pour les droits et libertés des personnes concernées, le risque de tout biais éventuel dans les données à caractère personnel à utiliser lors de l’entraînement des algorithmes et dans les résultats du traitement, et les mesures envisagées pour faire face à ces risques ainsi que pour éviter toute atteinte aux droits fondamentaux; b) le CEPD est informé préalablement au lancement du projet; c) le conseil d’administration est consulté ou informé préalablement au lancement du projet, conformément aux lignes directrices visées à l’article 18, paragraphe 7; d) les données à caractère personnel devant être traitées dans le cadre du projet: i) sont temporairement copiées dans un environnement de traitement des données séparé, isolé et protégé au sein d’Europol à la seule fin de la réalisation de ce projet; ii) sont accessibles par les seuls membres du personnel expressément autorisés d’Europol conformément à l’article 30, paragraphe 3, du présent règlement et, sous réserve de mesures de sécurité techniques, par les membres du personnel expressément autorisés des autorités compétentes des États membres et des agences de l’Union instituées sur la base du titre V du traité sur le fonctionnement de l’Union européenne; iii) ne sont pas transmises ou transférées; iv) leur traitement ne débouche pas sur des mesures ou des décisions affectant les personnes concernées; v) sont effacées une fois que le projet est achevé ou que le délai de conservation de ces données a expiré conformément à l’article 31; e) les journaux des traitements de données à caractère personnel effectués dans le cadre du projet sont conservés pendant deux ans après la conclusion du projet, aux seules fins de vérifier l’exactitude du résultat du traitement des données et uniquement pour la durée nécessaire à cette vérification.

3 Le conseil d’administration définit dans un document contraignant le cadre général pour les projets de recherche et d’innovation. Ce document est actualisé en tant que de besoin et est mis à la disposition du CEPD à des fins de contrôle.

4 Europol conserve un document contenant une description détaillée du processus et de la justification de l’entraînement, de l’expérimentation et de la validation des algorithmes pour garantir la transparence du processus et des algorithmes, y compris leur conformité avec les garanties prévues au présent article, et pour permettre la vérification de l’exactitude des résultats basés sur l’utilisation de ces algorithmes. Sur demande, Europol met ce document à la disposition des parties intéressées, y compris les États membres et le groupe de contrôle parlementaire conjoint.

5 Si les données à traiter pour un projet de recherche et d’innovation ont été fournies par un État membre, un organe de l’Union, un pays tiers ou une organisation internationale, Europol demande le consentement dudit fournisseur de données conformément à l’article 19, paragraphe 2, sauf si le fournisseur de données a donné son accord préalable à ce traitement aux fins de projets de recherche et d’innovation, en termes généraux ou sous réserve de conditions spécifiques. Europol ne traite pas de données aux fins de projets de recherche et d’innovation sans le consentement du fournisseur de données. Ce consentement peut être retiré à tout moment.».

1 Sans préjudice de l’article 90 du règlement (UE) 2018/1725, la consultation préalable du CEPD ne s’applique pas aux activités opérationnelles individuelles spécifiques ne comportant aucun nouveau type de traitement qui présenterait des risques élevés pour les libertés et les droits des personnes concernées.

2 Europol peut engager des opérations de traitement qui font l’objet d’une consultation préalable du CEPD en vertu de l’article 90, paragraphe 1, du règlement (UE) 2018/1725, à moins que le CEPD n’ait fourni un avis écrit en vertu de l’article 90, paragraphe 4, dudit règlement dans les délais prévus dans ladite disposition, qui commencent à courir à la date de réception de la demande initiale de consultation et ne peuvent pas être suspendus.

3 Lorsque les opérations de traitement visées au paragraphe 2 du présent article revêtent une importance essentielle pour l’exécution des missions d’Europol et sont particulièrement urgentes et nécessaires pour prévenir et combattre une menace immédiate d’une forme de criminalité qui relève des objectifs d’Europol ou pour sauvegarder les intérêts vitaux de la personne concernée ou d’une autre personne, Europol peut exceptionnellement engager le traitement après le début de la consultation préalable du CEPD prévue à l’article 90, paragraphe 1, du règlement (UE) 2018/1725 et avant l’expiration du délai prévu à l’article 90, paragraphe 4, dudit règlement. Dans ce cas, Europol informe le CEPD préalablement au début des opérations de traitement. L’avis écrit du CEPD en vertu de l’article 90, paragraphe 4, du règlement (UE) 2018/1725 est pris en compte rétrospectivement et la manière dont le traitement est effectué est adaptée en conséquence. Le délégué à la protection des données est associé à l’évaluation de l’urgence de telles opérations de traitement avant l’expiration du délai prévu à l’article 90, paragraphe 4, du règlement (UE) 2018/1725 et supervise le traitement en question.

4 Le CEPD tient un registre de toutes les opérations de traitement qui lui ont été notifiées en vertu du paragraphe 1. Ce registre n’est pas rendu public.».

1 Europol tient un registre de toutes les catégories d’activités de traitement effectuées sous sa responsabilité. Ce registre contient les informations suivantes: a) les coordonnées d’Europol ainsi que le nom et les coordonnées du délégué à la protection des données; b) les finalités du traitement; c) une description des catégories de personnes concernées et des catégories de données à caractère personnel; d) les catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, y compris les destinataires dans des pays tiers ou des organisations internationales; e) le cas échéant, les transferts de données à caractère personnel vers un pays tiers, à une organisation internationale ou à une partie privée, y compris l’identification de ce destinataire; f) dans la mesure du possible, les délais prévus pour l’effacement des différentes catégories de données; g) dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles visées à l’article 91 du règlement (UE) 2018/1725; h) le cas échéant, le recours au profilage.

2 Le registre visé au paragraphe 1 se présente sous une forme écrite, y compris électronique.

3 Europol met le registre visé au paragraphe 1 à la disposition du CEPD sur demande.».

1 Conformément à l’article 88 du règlement (UE) 2018/1725, Europol établit des journaux de ses opérations de traitement. Il n’est pas possible de modifier les journaux.

2 Sans préjudice de l’article 88 du règlement (UE) 2018/1725, si une unité nationale le requiert pour une enquête spécifique liée au respect des règles en matière de protection des données, les journaux visés au paragraphe 1 sont communiqués à cette unité nationale.».

1 Le conseil d’administration désigne un membre du personnel d’Europol en tant que délégué à la protection des données, qui est désigné pour cette seule fonction.

2 Le délégué à la protection des données est choisi sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données, et de sa capacité à accomplir les missions visées à l’article 41 ter du présent règlement et dans le règlement (UE) 2018/1725.

3 Le choix du délégué à la protection des données ne doit pas donner lieu à un conflit d’intérêts entre sa fonction de délégué à la protection des données et toute autre fonction officielle qu’il pourrait exercer, en particulier dans le cadre de l’application du présent règlement.

4 Le délégué à la protection des données ne peut être relevé de ses fonctions ou pénalisé par le conseil d’administration pour l’exercice de ses missions.

5 Europol publie les coordonnées du délégué à la protection des données et les communique au CEPD.».

1 Europol veille à ce que le délégué à la protection des données soit associé, d’une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données à caractère personnel.

2 Europol aide le délégué à la protection des données à exercer les missions visées à l’article 41 ter en fournissant les ressources et le personnel nécessaires pour exercer ces missions ainsi que l’accès aux données à caractère personnel et aux opérations de traitement, et en lui permettant d’entretenir ses connaissances spécialisées. Afin de soutenir le délégué à la protection des données dans l’exercice de ses missions, un membre du personnel d’Europol peut être désigné en tant qu’adjoint au délégué à la protection des données.

3 Europol veille à ce que le délégué à la protection des données agisse en toute indépendance et ne reçoive aucune instruction en ce qui concerne l’exercice de ces missions. Le délégué à la protection des données rend compte directement au conseil d’administration.

4 Les personnes concernées peuvent prendre contact avec le délégué à la protection des données au sujet de toutes les questions relatives au traitement de leurs données à caractère personnel et à l’exercice des droits que leur confèrent le présent règlement et le règlement (UE) 2018/1725. Aucune personne ne doit subir de préjudice pour avoir porté à l’attention du délégué à la protection des données un fait dont elle allègue qu’il constitue une violation du présent règlement ou du règlement (UE) 2018/1725.

5 Le conseil d’administration adopte des dispositions d’application concernant le délégué à la protection des données. Ces dispositions d’application portent notamment sur la procédure de sélection du délégué à la protection des données, sur sa révocation, ses missions, ses fonctions et ses compétences, ainsi que sur les moyens de garantir son indépendance.

6 Le délégué à la protection des données et son personnel sont tenus à l’obligation de confidentialité conformément à l’article 67, paragraphe 1.

7 Le délégué à la protection des données est nommé pour une période de quatre ans et son mandat est renouvelable.

8 Le délégué à la protection des données est démis de ses fonctions par le conseil d’administration s’il ne remplit plus les conditions requises pour l’exercice de ses fonctions et il ne l’est qu’avec l’accord du CEPD.

9 Les noms du délégué à la protection des données et de l’adjoint au délégué à la protection des données sont communiqués au CEPD par le conseil d’administration.

10 Les dispositions applicables au délégué à la protection des données s’appliquent mutatis mutandis à l’adjoint au délégué à la protection des données.

1 Le délégué à la protection des données exerce notamment les missions ci-après, en ce qui concerne le traitement de données à caractère personnel: a) veiller en toute indépendance au respect, par Europol, des dispositions du présent règlement et du règlement (UE) 2018/1725 en matière de protection des données ainsi que des dispositions pertinentes des règles internes d’Europol relatives à la protection des données, y compris le contrôle du respect du présent règlement, du règlement (UE) 2018/1725, d’autres dispositions du droit de l’Union ou du droit national en matière de protection des données et des politiques d’Europol en matière de protection des données à caractère personnel, y compris en ce qui concerne la répartition des responsabilités, la sensibilisation et la formation du personnel participant à des opérations de traitement, et les audits s’y rapportant; b) informer et conseiller Europol et le personnel qui procède au traitement de données à caractère personnel sur les obligations qui leur incombent en vertu du présent règlement, du règlement (UE) 2018/1725 et d’autres dispositions du droit de l’Union ou du droit national en matière de protection des données; c) dispenser des conseils, sur demande, en ce qui concerne l’analyse d’impact relative à la protection des données en vertu de l’article 89 du règlement (UE) 2018/1725 et contrôler l’exécution de cette analyse d’impact relative à la protection des données; d) tenir un registre des violations de données à caractère personnel et dispenser des conseils, sur demande, en ce qui concerne la nécessité d’une notification ou d’une communication d’une violation de données à caractère personnel conformément aux articles 92 et 93 du règlement (UE) 2018/1725; e) veiller à ce qu’une trace écrite de la transmission, du transfert et de la réception des données à caractère personnel soit conservée conformément au présent règlement; f) veiller à ce que les personnes concernées soient, à leur demande, informées des droits qui leur sont conférés par le présent règlement et le règlement (UE) 2018/1725; g) coopérer avec le personnel d’Europol chargé des procédures, de la formation et du conseil en matière de traitement des données; h) répondre aux demandes du CEPD, dans son domaine de compétences, coopérer et se concerter avec le CEPD, sur demande de celui-ci ou de sa propre initiative; i) coopérer avec les autorités compétentes des États membres, en particulier avec les délégués à la protection des données des autorités compétentes des États membres et les autorités de contrôle nationales en ce qui concerne les questions relatives à la protection des données dans le domaine répressif; j) faire office de point de contact pour le CEDP pour les questions relatives au traitement, y compris la consultation préalable visée aux articles 40 et 90 du règlement (UE) 2018/1725, et mener des consultations, le cas échéant, sur tout autre sujet dans son domaine de compétences; k) élaborer un rapport annuel et le communiquer au conseil d’administration et au CEPD; l) veiller à ce que les opérations de traitement ne portent pas atteinte aux droits et libertés des personnes concernées.

2 Le délégué à la protection des données peut formuler des recommandations à l’intention du conseil d’administration visant à améliorer concrètement la protection des données et dispenser des conseils sur des questions touchant à l’application des dispositions relatives à la protection des données. De sa propre initiative ou à la demande du conseil d’administration ou de toute personne, le délégué à la protection des données peut examiner des questions et des faits qui sont directement en rapport avec ses missions et qui sont portés à sa connaissance, et faire rapport à la personne qui a demandé cet examen ou au conseil d’administration sur les résultats de cet examen.

3 Le délégué à la protection des données exerce les fonctions prévues par le règlement (UE) 2018/1725 en ce qui concerne les données administratives à caractère personnel.

4 Dans l’accomplissement de leurs missions, le délégué à la protection des données et les membres du personnel d’Europol qui l’assistent dans l’exercice de ses fonctions ont accès à toutes les données traitées par Europol ainsi qu’à tous les locaux d’Europol.

5 Si le délégué à la protection des données estime que les dispositions du présent règlement ou du règlement (UE) 2018/1725 relatives au traitement des données administratives à caractère personnel, ou les dispositions du présent règlement ou de l’article 3 et du chapitre IX du règlement (UE) 2018/1725 relatives au traitement des données à caractère personnel n’ont pas été respectées, il en informe le directeur exécutif et lui demande d’y remédier dans un délai déterminé. Si le directeur exécutif ne remédie pas au problème dans le délai imparti, le délégué à la protection des données en informe le conseil d’administration. Le conseil d’administration transmet sa réponse dans un délai déterminé convenu avec le délégué à la protection des données. Si le conseil d’administration ne remédie pas au problème dans le délai imparti, le délégué à la protection des données saisit le CEPD.

1 Le conseil d’administration désigne, sur proposition du directeur exécutif, un officier aux droits fondamentaux. L’officier aux droits fondamentaux peut être un membre du personnel existant d’Europol qui a reçu une formation spéciale sur le droit et la pratique en matière de droits fondamentaux.

2 L’officier aux droits fondamentaux est chargé des tâches suivantes: a) fournir des conseils à Europol sur toute activité de celle-ci lorsqu’il le juge nécessaire ou lorsqu’on lui en fait la demande, sans pour autant entraver ni retarder ces activités; b) surveiller le respect des droits fondamentaux par Europol; c) émettre des avis non contraignants sur les arrangements de travail; d) informer le directeur exécutif au sujet d’éventuelles violations des droits fondamentaux au cours des activités d’Europol; e) promouvoir le respect des droits fondamentaux par Europol dans l’exercice de ses missions et activités; f) effectuer toute autre tâche prévue par le présent règlement.

3 Europol veille à ce que l’officier aux droits fondamentaux ne reçoive aucune instruction en ce qui concerne l’exercice de ses tâches.

4 L’officier aux droits fondamentaux rend compte directement au directeur exécutif et prépare des rapports annuels sur ses activités, y compris sur la mesure dans laquelle les activités d’Europol respectent les droits fondamentaux. Ces rapports sont mis à la disposition du conseil d’administration.

L’ensemble du personnel d’Europol participant à des tâches opérationnelles impliquant le traitement de données à caractère personnel reçoit une formation obligatoire relative à la protection des libertés et droits fondamentaux, y compris en ce qui concerne le traitement des données à caractère personnel. Cette formation est mise au point en coopération avec l’Agence des droits fondamentaux de l’Union européenne (FRA), créée par le règlement (CE) no 168/2007 du Conseil , et l’Agence de l’Union européenne pour la formation des services répressifs (CEPOL), instituée par le règlement (UE) 2015/2219 du Parlement européen et du Conseil .

1 Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir réparation conformément à l’article 65 du règlement (UE) 2018/1725 et à l’article 56 de la directive (UE) 2016/680.

2 Le conseil d’administration est saisi de tout litige entre Europol et les États membres quant à la responsabilité ultime en matière de réparation accordée à une personne ayant subi un dommage matériel ou moral conformément au paragraphe 1 du présent article. Le conseil d’administration statue sur cette responsabilité à la majorité des deux tiers de ses membres, sans préjudice du droit de former un recours contre cette décision conformément à l’article 263 du traité sur le fonctionnement de l’Union européenne.».

1 Le groupe de contrôle parlementaire conjoint crée un forum consultatif pour l’assister, sur demande, en lui fournissant des conseils en toute indépendance dans les matières concernant les droits fondamentaux. Le groupe de contrôle parlementaire conjoint et le directeur exécutif peuvent consulter le forum consultatif au sujet de toute question liée aux droits fondamentaux.

2 Le groupe de contrôle parlementaire conjoint détermine la composition du forum consultatif, ses méthodes de travail et les modalités de transmission des informations au forum consultatif.».

1 Les règles financières applicables à Europol sont adoptées par le conseil d’administration après consultation de la Commission. Elles ne s’écartent du règlement délégué (UE) 2019/715 que si les exigences spécifiques du fonctionnement d’Europol le nécessitent et avec l’accord préalable de la Commission.

2 Europol peut octroyer des fonds liés à la réalisation de ses objectifs et à l’accomplissement de ses missions.

3 Europol peut octroyer des fonds sans appel à propositions aux États membres pour leur permettre de mener des activités relevant des objectifs et des missions d’Europol.

4 Lorsque cela est dûment justifié à des fins opérationnelles, après autorisation du conseil d’administration, le soutien financier peut couvrir l’intégralité des coûts d’investissement en équipements et en infrastructures. Les règles financières visées au paragraphe 1 peuvent préciser les critères en vertu desquels le soutien financier peut couvrir l’intégralité des coûts d’investissement visés au premier alinéa du présent paragraphe.

5 En ce qui concerne le soutien financier à apporter aux équipes communes d’enquête, Europol et Eurojust établissent conjointement les règles et les conditions selon lesquelles les demandes de soutien sont traitées.».

1 Lorsqu’un État membre, le Parquet européen ou Eurojust a fourni à Europol des données à caractère personnel qui ne portent pas sur les catégories de personnes concernées énumérées à l’annexe II avant le 28 juin 2022, Europol peut traiter ces données à caractère personnel conformément à l’article 18 bis lorsque: a) l’État membre concerné, le Parquet européen ou Eurojust informe Europol, au plus tard le 29 septembre 2022, qu’il est autorisé à traiter ces données à caractère personnel, conformément aux exigences et garanties procédurales applicables au titre du droit de l’Union ou du droit national, dans le cadre de l’enquête pénale en cours pour laquelle il a demandé le soutien d’Europol lorsqu’il a initialement fourni les données; b) l’État membre concerné, le Parquet européen ou Eurojust demande à Europol, au plus tard le 29 septembre 2022, de soutenir l’enquête pénale en cours visée au point a); et c) Europol évalue, conformément à l’article 18 bis, paragraphe 1, point b), qu’il n’est pas possible de soutenir l’enquête pénale en cours visée au point a) du présent paragraphe sans traiter des données à caractère personnel qui ne respectent pas l’article 18, paragraphe 5. L’évaluation visée au point c) du présent paragraphe est enregistrée et transmise au CEPD pour information lorsqu’Europol cesse de soutenir l’enquête pénale spécifique connexe.

2 Lorsqu’un État membre, le Parquet européen ou Eurojust ne respecte pas une ou plusieurs des exigences énoncées au paragraphe 1, points a) et b), du présent article, en ce qui concerne les données à caractère personnel qui ne portent pas sur les catégories de personnes concernées énumérées à l’annexe II qu’il a fournies à Europol avant le 28 juin 2022, ou lorsqu’un État membre, le Parquet européen ou Eurojust ne respecte pas le paragraphe 1, point c), du présent article, Europol ne traite pas ces données à caractère personnel conformément à l’article 18 bis, mais, sans préjudice de l’article 18, paragraphe 5, et de l’article 74 ter, efface ces données à caractère personnel au plus tard le 29 octobre 2022.

3 Lorsqu’un pays tiers visé à l’article 18 bis, paragraphe 6, a fourni à Europol des données à caractère personnel qui ne portent pas sur les catégories de personnes concernées énumérées à l’annexe II avant le 28 juin 2022, Europol peut traiter ces données à caractère personnel conformément à l’article 18 bis, paragraphe 6, lorsque: a) le pays tiers a fourni les données à caractère personnel à l’appui d’une enquête pénale spécifique menée dans un ou plusieurs États membres et soutenue par Europol; b) le pays tiers a obtenu les données dans le cadre d’une enquête pénale conformément aux exigences et garanties procédurales applicables au titre de son droit pénal national; c) le pays tiers informe Europol, au plus tard le 29 septembre 2022, qu’il est autorisé à traiter ces données à caractère personnel dans le cadre de l’enquête pénale dans le contexte de laquelle il a obtenu les données; d) Europol évalue, conformément à l’article 18 bis, paragraphe 1, point b), qu’il est impossible de soutenir l’enquête pénale spécifique visée au point a) du présent paragraphe sans traiter des données à caractère personnel qui ne respectent pas l’article 18, paragraphe 5, et cette évaluation est enregistrée et transmise au CEPD pour information lorsqu’Europol cesse de soutenir l’enquête pénale spécifique connexe; et e) Europol vérifie, conformément à l’article 18 bis, paragraphe 6, que le volume de données à caractère personnel n’est pas manifestement disproportionné par rapport à l’enquête pénale spécifique visée au point a) du présent paragraphe menée dans un ou plusieurs États membres et soutenue par Europol.

4 Lorsqu’un pays tiers ne respecte pas l’exigence énoncée au paragraphe 3, point c), du présent article, en ce qui concerne les données à caractère personnel qui ne portent pas sur les catégories de personnes concernées énumérées à l’annexe II qu’il a fournies à Europol avant le 28 juin 2022, ou lorsque l’une des autres exigences énoncées au paragraphe 3 du présent article n’est pas respectée, Europol ne traite pas ces données à caractère personnel conformément à l’article 18 bis, paragraphe 6, mais, sans préjudice de l’article 18, paragraphe 5, et de l’article 74 ter, efface ces données à caractère personnel au plus tard le 29 octobre 2022.

5 Lorsqu’un État membre, le Parquet européen ou Eurojust a fourni à Europol des données à caractère personnel qui ne portent pas sur les catégories de personnes concernées énumérées à l’annexe II avant le 28 juin 2022, il peut demander à Europol au plus tard le 29 septembre 2022, de conserver ces données et le résultat du traitement de ces données par Europol lorsque cela est nécessaire pour garantir l’exactitude, la fiabilité et la traçabilité du processus de renseignement criminel. Europol maintient les données à caractère personnel qui ne portent pas sur les catégories de personnes concernées énumérées à l’annexe II séparées des autres données sur le plan fonctionnel et ne traite ces données qu’aux fins de garantir l’exactitude, la fiabilité et la traçabilité du processus de renseignement criminel et uniquement tant que la procédure judiciaire concernant l’enquête pénale pour laquelle ces données ont été fournies est en cours.

6 Lorsqu’Europol a reçu des données à caractère personnel qui ne portent pas sur les catégories de personnes concernées énumérées à l’annexe II avant le 28 juin 2022, Europol ne conserve pas ces données aux fins de garantir l’exactitude, la fiabilité et la traçabilité du processus de renseignement criminel, à moins que cela ne lui soit demandé conformément au paragraphe 5. En l’absence d’une telle demande, Europol efface ces données à caractère personnel au plus tard le 29 octobre 2022.

Sans préjudice de l’article 74 bis, en ce qui concerne les données à caractère personnel qu’Europol a reçues avant le 28 juin 2022, Europol peut vérifier si ces données à caractère personnel portent sur l’une des catégories de personnes concernées énumérées à l’annexe II. À cette fin, Europol peut effectuer une analyse préliminaire de ces données à caractère personnel pendant une période ne dépassant pas dix-huit mois à compter du jour de la première réception des données ou, dans des cas justifiés et avec l’autorisation préalable du CEPD, pendant une plus longue période. La durée maximale du traitement des données visées au premier alinéa est de trois ans à compter du jour de la réception des données par Europol.».

Le présent règlement entre en vigueur le jour suivant celui de sa publication au Journal officiel de l’Union européenne.