Este texto es exclusivamente un instrumento de documentación y no surte efecto jurídico. Las instituciones de la UE no asumen responsabilidad alguna por su contenido. Las versiones auténticas de los actos pertinentes, incluidos sus preámbulos, son las publicadas en el Diario Oficial de la Unión Europea, que pueden consultarse a través de EUR-Lex. Los textos oficiales son accesibles directamente mediante los enlaces integrados en este documento

relativo a la Agencia de la Unión Europea para la Cooperación Policial (Europol) y por el que se sustituyen y derogan las Decisiones 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI y 2009/968/JAI del Consejo

Se crea la Agencia de la Unión Europea para la Cooperación Policial (Europol) con objeto de apoyar la cooperación entre las autoridades policiales de la Unión.

La Europol creada por el presente Reglamento sustituye y sucede a la Europol creada por la Decisión 2009/371/JAI.

Europol apoyará y reforzará la actuación de las autoridades competentes de los Estados miembros y su cooperación mutua en la prevención y la lucha contra la delincuencia grave que afecte a dos o más Estados miembros, el terrorismo y las formas de delincuencia que afecten a un interés común protegido por una política de la Unión, incluidos en la lista del anexo I.

Además de lo indicado en el apartado 1, los objetivos de Europol abarcarán también los delitos conexos. Se considerarán delitos conexos:

los delitos cometidos con objeto de procurarse los medios para perpetrar actos en los que Europol sea competente;

los delitos cometidos para facilitar o perpetrar actos en los que Europol sea competente;

los delitos cometidos para asegurar la impunidad de quienes cometen estos actos en los que Europol sea competente.

Para alcanzar los objetivos establecidos en el artículo 3, Europol desempeñará las siguientes funciones:

recoger, conservar, tratar, analizar e intercambiar información, incluida inteligencia criminal;

notificar a los Estados miembros a través de las unidades nacionales designadas al amparo del artículo 7, apartado 2, sin demora, cualquier información y las conexiones entre actos delictivos que les afecten;

coordinar, organizar y ejecutar cualesquiera actuaciones de investigación y operativas para respaldar y reforzar las actuaciones que lleven a cabo las autoridades competentes de los Estados miembros:

conjuntamente con las autoridades competentes de los Estados miembros, o

ii)

en el contexto de equipos conjuntos de investigación, de conformidad con el artículo 5 y, en su caso, en conexión con Eurojust;

participar en equipos conjuntos de investigación, así como proponer su creación de conformidad con el artículo 5;

facilitar información y apoyo analítico a los Estados miembros en relación con los grandes acontecimientos internacionales;

elaborar evaluaciones de las amenazas, análisis estratégicos y operativos e informes generales de situación;

desarrollar, compartir y promover conocimientos especializados sobre métodos de prevención de la delincuencia, procedimientos de investigación y métodos técnicos y criminalísticos, y prestar asesoramiento a los Estados miembros;

respaldar las actividades de intercambio de información, las operaciones y las investigaciones así como a los equipos conjuntos de investigación, inclusive mediante un apoyo operativo, técnico y financiero;

▼M1

h bis)

prestar apoyo administrativo y financiero a las unidades especiales de intervención de los Estados miembros a que se refiere la Decisión 2008/617/JAI del Consejo ( 4 );

▼B

facilitar formación especializada y ayudar a los Estados miembros a organizar la formación, incluso mediante el suministro de apoyo financiero, dentro del ámbito de sus objetivos y con arreglo a los recursos presupuestarios y de personal a su disposición, en coordinación con la Agencia de la Unión Europea para la Formación Policial (CEPOL);

▼M1

cooperar con los organismos de la Unión establecidos sobre la base del título V del TFUE, con la OLAF y la Agencia de la Unión Europea para la Ciberseguridad (ENISA) creada por el Reglamento (UE) 2019/881 del Parlamento Europeo y del Consejo ( 5 ), en particular, mediante el intercambio de información y la prestación de apoyo analítico en ámbitos incluidos dentro de sus respectivas competencias;

▼B

facilitar información y ayuda a las estructuras de gestión de crisis de la UE y a las misiones establecidas en virtud del TUE en el ámbito de los objetivos de Europol enunciados en el artículo 3;

crear centros de asesoramiento especializados de la Unión para combatir determinados tipos de delitos enunciados en el ámbito de aplicación de los objetivos de Europol, en particular, el Centro Europeo de Lucha contra la Ciberdelincuencia;

▼M1

respaldar las acciones de los Estados miembros para prevenir y combatir las formas de delincuencia enumeradas en el anexo I que hayan sido facilitadas, fomentadas o cometidas a través de internet, incluyendo las siguientes actuaciones:

ayudar a las autoridades competentes de los Estados miembros, a petición de estas, a responder a ciberataques de presunto origen delictivo,

ii)

cooperar con las autoridades competentes de los Estados miembros en relación con las órdenes de retirada, de conformidad con el artículo 14 del Reglamento (UE) 2021/784, y

iii)

notificar contenidos en línea a los proveedores de servicios en línea de que se trate para que examinen de manera voluntaria la compatibilidad de esos contenidos con sus propias condiciones contractuales;

▼M1

apoyar a los Estados miembros en la identificación de las personas cuyas actividades delictivas se incluyen en las formas de delincuencia enumeradas en el anexo I y que constituyen un alto riesgo para la seguridad;

facilitar investigaciones conjuntas, coordinadas y prioritarias en relación con las personas a que se refiere la letra r);

apoyar a los Estados miembros en el tratamiento de los datos sobre personas implicadas en terrorismo o en formas de delincuencia grave facilitados a Europol por terceros países u organizaciones internacionales y proponer la posible introducción por parte de los Estados miembros, a su discreción y a reserva de su propia comprobación y análisis de dichos datos, de las descripciones de información en interés de la Unión relativas a nacionales de terceros países (en lo sucesivo, «descripciones de información») en el Sistema de Información de Schengen (SIS), de conformidad con el Reglamento (UE) 2018/1862 del Parlamento Europeo y del Consejo ( 6 );

apoyar la aplicación del mecanismo de evaluación y seguimiento para verificar la aplicación del acervo de Schengen que establece el Reglamento (UE) n.o 1053/2013, dentro del ámbito de los objetivos de Europol, proporcionando conocimientos especializados y análisis, cuando sea pertinente;

hacer un seguimiento proactivo de las actividades de investigación e innovación que sean pertinentes para el logro de los objetivos de Europol y contribuir a tales actividades mediante un apoyo a las actividades conexas de los Estados miembros y mediante la ejecución de sus propias actividades de investigación e innovación, incluidos los proyectos de desarrollo, entrenamiento, prueba y validación de algoritmos para el desarrollo de herramientas específicas para su uso por las autoridades policiales, y difundir los resultados de dichas actividades entre los Estados miembros de conformidad con el artículo 67;

contribuir a crear sinergias entre las actividades de investigación e innovación de los organismos de la Unión, que sean pertinentes para el logro de los objetivos de Europol, también por medio del Centro de Innovación de la UE para la Seguridad Interior, y en estrecha colaboración con los Estados miembros;

apoyar, previa solicitud de los Estados miembros, las acciones de estos para hacer frente a situaciones de crisis en línea, en particular, proporcionando a las entidades privadas la información necesaria para identificar los contenidos en línea pertinentes;

respaldar las acciones de los Estados miembros para hacer frente a la difusión en línea de material en línea de abusos sexuales a menores;

cooperar, de conformidad con el artículo 12 de la Directiva (UE) 2019/1153 del Parlamento Europeo y del Consejo ( 7 ), con las unidades de inteligencia financiera (UIF) establecidas con arreglo a la Directiva (UE) 2015/849 del Parlamento Europeo y del Consejo ( 8 ), por medio de la correspondiente unidad nacional de Europol o, si así lo permite el Estado miembro de que se trate, mediante un contacto directo con las UIF, en particular, intercambiando información y proporcionando análisis a los Estados miembros para apoyar las investigaciones transfronterizas de las actividades de blanqueo de capitales de organizaciones delictivas transnacionales y las de financiación del terrorismo.

Se establecerá un mecanismo de información periódica para que los Estados miembros informen a los demás Estados miembros y a Europol, en un plazo de doce meses desde que Europol haya propuesto la posible introducción de una descripción de información a que se refiere la letra t) del párrafo primero, sobre el resultado de la comprobación y análisis de los datos y sobre si se ha introducido en el SIS alguna descripción.

Los Estados miembros informarán a Europol de cualquier descripción de información introducida en el SIS y de cualquier respuesta positiva en relación con dicha descripción de información, y podrán informar, por medio de Europol, sobre las respuestas positivas relacionadas con dicha descripción de información al tercer país u organización internacional que haya facilitado los datos que hayan dado lugar a la introducción de la descripción de información, de conformidad con el procedimiento establecido en el Reglamento (UE) 2018/1862.

Europol suministrará análisis estratégicos y evaluaciones de las amenazas para ayudar al Consejo y a la Comisión a fijar las prioridades estratégicas y operativas de la Unión en la lucha contra la delincuencia. ►M1 Europol prestará asistencia igualmente en la ejecución operativa de esas prioridades, en particular, en el marco de la plataforma multidisciplinar europea contra las amenazas delictivas (EMPACT), también facilitando y ofreciendo apoyo administrativo, logístico, financiero y operativo a las actividades operativas y estratégicas dirigidas por los Estados miembros. ◄

Europol facilitará análisis estratégicos y evaluaciones de amenazas para asistir en la utilización eficiente y efectiva de los recursos disponibles a nivel nacional y de la Unión para las actividades operativas y en apoyo de tales actividades. ►M1 Europol también proporcionará análisis de evaluación de amenazas basados en la información que obre en su poder sobre fenómenos y tendencias delictivas para apoyar a la Comisión y a los Estados miembros en la realización de las evaluaciones de riesgos. ◄

Europol actuará como oficina central para la lucha contra la falsificación del euro con arreglo a la Decisión 2005/511/JAI del Consejo ( 9 ). Europol fomentará igualmente la coordinación de las medidas adoptadas para luchar contra la falsificación del euro por las autoridades competentes de los Estados miembros o en el contexto de equipos conjuntos de investigación, en su caso en contacto con los organismos de la Unión y las autoridades de países terceros.

4 bis.

Europol asistirá a los Estados miembros y a la Comisión en la identificación de los temas clave de investigación.

Europol asistirá a la Comisión en la elaboración y ejecución de los programas marco de la Unión para las actividades de investigación e innovación que sean pertinentes para lograr los objetivos de Europol.

Cuando sea conveniente, Europol podrá difundir los resultados de sus actividades de investigación e innovación como parte de su contribución a la creación de sinergias entre las actividades de investigación e innovación de los correspondientes organismos de la Unión, de conformidad con el apartado 1, párrafo primero, letra w).

Europol adoptará todas las medidas necesarias para evitar conflictos de intereses. Europol no podrá recibir financiación de un determinado programa marco de la Unión cuando asista a la Comisión en la identificación de los temas clave de investigación y en la elaboración y ejecución de dicho programa.

A la hora de diseñar y conceptualizar las actividades de investigación e innovación relativas a las materias objeto del presente Reglamento, Europol podrá, en su caso, consultar al Centro Común de Investigación de la Comisión.

4 ter.

Europol apoyará a los Estados miembros en el control de casos específicos de inversiones extranjeras directas en la Unión, en lo que respecta a las implicaciones previstas para la seguridad en virtud del Reglamento (UE) 2019/452 del Parlamento Europeo y del Consejo ( 10 ) que afecten a empresas que suministren tecnologías, incluidos programas informáticos, utilizadas por Europol para la prevención e investigación de delitos que se incluyan en los objetivos de Europol.

Europol no aplicará medidas coercitivas en el desempeño de sus funciones.

El personal de Europol podrá prestar apoyo operativo a las autoridades competentes de los Estados miembros durante la ejecución de las medidas de investigación, a petición de estas y de conformidad con su Derecho nacional, en particular, facilitando el intercambio transfronterizo de información, proporcionando apoyo criminalístico y técnico, y estando presente durante la ejecución de dichas medidas. El personal de Europol no estará facultado por sí mismo para ejecutar medidas de investigación.

5 bis.

En el ejercicio de sus funciones, Europol respetará los derechos y libertades fundamentales consagrados en la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»).

El personal de Europol podrá participar en las actividades de los equipos conjuntos de investigación que se ocupen de delitos enunciados en los objetivos de Europol. El acuerdo por el que se establece un equipo conjunto de investigación determinará las condiciones de la participación del personal de Europol en el equipo, e incluirá información sobre las normas de responsabilidad.

El personal de Europol podrá, dentro de los límites de la legislación de los Estados miembros en los que opere un equipo conjunto de investigación, prestar asistencia en todas las actividades e intercambios de información con todos los miembros del equipo conjunto de investigación.

El personal de Europol que participe en el equipo conjunto de investigación podrá, de conformidad con el presente Reglamento, proporcionar a todos los miembros del equipo la información necesaria procesada por Europol para los fines establecidos en el artículo 18, apartado 2. Europol deberá informar simultáneamente al respecto a las unidades nacionales de los Estados miembros representadas en el equipo, así como también a los Estados miembros que proporcionaron la información.

La información que obtenga el personal de Europol mientras forme parte de un equipo conjunto de investigación podrá, con el acuerdo y bajo la responsabilidad del Estado miembro que le haya proporcionado dicha información, ser tratada por Europol para los fines establecidos en el artículo 18, apartado 2, con arreglo a las condiciones establecidas en el presente Reglamento.

Cuando Europol tenga motivos para creer que la existencia de un equipo conjunto de investigación aportaría valor añadido a una investigación, podrá proponer su creación a los Estados miembros afectados y tomar medidas para ayudarles en el proceso de creación del equipo conjunto de investigación.

En aquellos casos específicos en que Europol considere que debe abrirse una investigación penal sobre un delito comprendido en el ámbito de sus objetivos solicitará a las autoridades competentes de los Estados miembros interesados, a través de sus unidades nacionales, que inicien, realicen o coordinen dicha investigación penal.

1 bis.

Sin perjuicio de lo dispuesto en el apartado 1, cuando el director ejecutivo considere que debe abrirse una investigación penal sobre un delito específico que afecte solo a un Estado miembro pero lesione un interés común protegido por una política de la Unión, podrá proponer a las autoridades competentes del Estado miembro afectado, a través de su unidad nacional, que inicien, realicen o coordinen dicha investigación penal.

Las unidades nacionales informarán sin demora indebida a Europol, en relación con cualquier solicitud formulada con arreglo al apartado 1, o al director ejecutivo, en relación con cualquier propuesta realizada con arreglo al apartado 1 bis, de la decisión de las autoridades competentes de los Estados miembros.

Si las autoridades competentes de un Estado miembro decidieran no acceder a una solicitud cursada por Europol con arreglo al apartado 1, informarán a Europol de los motivos de su decisión sin demoras indebidas, preferiblemente en el plazo de un mes a partir de la recepción de la solicitud. No obstante, no será necesario motivar la decisión si ello:

es contrario a los intereses fundamentales de seguridad del Estado miembro de que se trate, o

pone en peligro el desarrollo de las investigaciones en curso o la seguridad de las personas.

Europol informará de inmediato a Eurojust y, cuando proceda, a la Fiscalía Europea, de cualquier solicitud formulada con arreglo al apartado 1 o cualquier propuesta realizada con arreglo al apartado 1 bis, y de cualquier decisión de una autoridad competente de un Estado miembro con arreglo al apartado 2.

Los Estados miembros y Europol cooperarán entre sí para cumplir sus respectivas tareas establecidas en el presente Reglamento.

Cada Estado miembro creará o designará una unidad nacional que será el organismo de enlace entre Europol y las autoridades competentes designadas de los Estados miembros. Cada Estado miembro designará a un agente como jefe de la unidad nacional.

Cada Estado miembro velará por que su unidad nacional sea competente conforme a su Derecho nacional para desempeñar las tareas asignadas a las unidades nacionales en el presente Reglamento, y en particular que tengan acceso a los datos policiales nacionales y otros datos pertinentes necesarios para la cooperación con Europol.

Cada Estado miembro determinará la organización y el personal de su unidad nacional de acuerdo con su Derecho nacional.

De conformidad con el apartado 2, la unidad nacional será el único órgano de enlace entre Europol y las autoridades competentes de los Estados miembros. No obstante, a reserva de las condiciones que determinen los Estados miembros, incluida la participación previa de la unidad nacional, los Estados miembros podrán autorizar contactos directos entre sus autoridades competentes y Europol. La unidad nacional recibirá al mismo tiempo de Europol toda la información intercambiada en el curso de los contactos directos entre Europol y las autoridades competentes, salvo en caso de que indique que no necesita recibirla.

Los Estados miembros, a través de su unidad nacional o, a tenor de lo dispuesto en el apartado 5, una autoridad competente:

suministrarán a Europol la información necesaria para que pueda cumplir sus objetivos, incluida información relativa a formas de delincuencia cuya prevención o combate considere prioritario la Unión;

garantizarán una comunicación y cooperación eficaces con Europol de todas las autoridades competentes pertinentes;

propiciarán el conocimiento de las actividades de Europol;

de conformidad con el artículo 38, apartado 5, letra a), garantizarán el cumplimiento del Derecho nacional al proporcionar información a Europol.

Sin perjuicio del ejercicio por parte de los Estados miembros de sus responsabilidades con respecto al mantenimiento del orden público y la salvaguardia de la seguridad interior, los Estados miembros no tendrán la obligación de transmitir, en un caso concreto, información con arreglo al apartado 6, letra a), si:

fuese contrario a los intereses fundamentales de seguridad del Estado miembro de que se trate;

comprometiese el resultado de una investigación en curso o la seguridad de una persona, o

revelase información referida a organizaciones o actividades específicas de inteligencia en materia de seguridad nacional.

No obstante, los Estados miembros transmitirán la información tan pronto como deje de estar incluida en el ámbito de aplicación de las letras a), b) o c) del primer párrafo.

Los Estados miembros velarán por que sus UIF estén facultadas para responder, dentro de los límites de sus mandatos y competencias y respetando las garantías procesales nacionales, a las solicitudes debidamente justificadas que formule Europol de conformidad con el artículo 12 de la Directiva (UE) 2019/1153 relativas a información financiera y análisis financieros, bien por medio de su unidad nacional o bien, si así lo permite el correspondiente Estado miembro, mediante contactos directos entre la UIF y Europol.

Los jefes de las unidades nacionales se reunirán periódicamente, en particular para debatir y resolver los problemas que se planteen en el contexto de su cooperación operativa con Europol.

10.

Los gastos de comunicación de las unidades nacionales con Europol correrán a cargo de los Estados miembros y, con excepción de los gastos de conexión, no serán imputados a Europol.

11.

Europol elaborará un informe anual sobre la información facilitada por cada Estado miembro con arreglo al apartado 6, letra a), basado en los criterios de evaluación cuantitativos y cualitativos establecidos por el Consejo de Administración. El informe anual se remitirá al Parlamento Europeo, al Consejo, a la Comisión y a los parlamentos nacionales.

Cada unidad nacional designará al menos un funcionario de enlace ante Europol. Salvo disposición en contrario del presente Reglamento, los funcionarios de enlace estarán sujetos al Derecho nacional del Estado miembro que los haya designado.

Los funcionarios de enlace constituirán las oficinas nacionales de enlace en Europol y las unidades nacionales les encargarán la defensa de sus intereses en esta última de acuerdo con el Derecho nacional del Estado miembro que los haya designado y ajustándose a las disposiciones relativas a la administración de Europol.

Los funcionarios de enlace prestarán asistencia en el intercambio de información entre Europol y sus Estados miembros.

Los funcionarios de enlace prestarán asistencia, de conformidad con su Derecho nacional, en el intercambio de información entre sus Estados miembros y los funcionarios de enlace de otros Estados miembros, países terceros y organizaciones internacionales. La infraestructura de Europol podrá utilizarse, con arreglo al Derecho nacional, para que estos intercambios bilaterales se apliquen también a delitos no comprendidos en el ámbito de los objetivos de Europol. Todos estos intercambios de información se realizarán de conformidad con el Derecho nacional y de la Unión aplicable.

El Consejo de Administración determinará los derechos y obligaciones de los funcionarios de enlace en relación con Europol. Los funcionarios de enlace gozarán de los privilegios e inmunidades necesarios para el desempeño de sus funciones de conformidad con el artículo 63, apartado 2.

Europol velará por que los funcionarios de enlace estén plenamente informados y participen en todas sus actividades en la medida en que sea necesario para el desempeño de sus funciones.

Europol correrá con los gastos derivados de la puesta a disposición de los Estados miembros de los locales necesarios en el edificio de Europol y de la asistencia adecuada a los funcionarios de enlace para el ejercicio de sus funciones. Todos los demás gastos derivados de la designación de funcionarios de enlace correrán a cargo del Estado miembro que los haya designado, incluidos los costes de equipos para los funcionarios de enlace, salvo decisión en otro sentido del Parlamento Europeo y del Consejo basada en una recomendación del Consejo de Administración.

El Consejo de Administración estará compuesto por un representante de cada Estado miembro y un representante de la Comisión. Todos ellos tendrán derecho a voto.

Se nombrará a los miembros del Consejo de Administración atendiendo a sus conocimientos en materia de cooperación policial.

Cada uno de los miembros del Consejo de Administración contará con un suplente al que se nombrará atendiendo a los criterios establecidos en el apartado 2. El miembro suplente representará al miembro titular en ausencia de este.

Se tendrá también en cuenta el principio de una representación por sexos equilibrada en el Consejo de Administración.

Sin perjuicio del derecho de los Estados miembros y de la Comisión a terminar el mandato de sus miembros titulares y suplentes, su duración será de cuatro años. El mandato será prorrogable.

El Consejo de Administración:

▼M1

adoptará cada año el documento único de programación a que se refiere el artículo 32 del Reglamento Delegado (UE) 2019/715 de la Comisión ( 11 ), por mayoría de dos tercios de sus miembros y de conformidad con el artículo 12 del presente Reglamento;

▼B

adoptará, por mayoría de dos tercios de sus miembros, el presupuesto anual de Europol y ejercerá otras funciones relacionadas con el presupuesto de Europol con arreglo al capítulo X;

adoptará un informe anual de actividades consolidado sobre las actividades de Europol y lo remitirá, a más tardar el 1 de julio del año siguiente, al Parlamento Europeo, al Consejo, a la Comisión, al Tribunal de Cuentas y a los parlamentos nacionales. El informe anual de actividades consolidado se hará público;

adoptará las normas financieras aplicables a Europol, de conformidad con el artículo 61;

adoptará una estrategia interna de lucha contra el fraude proporcional a los riesgos de fraude, teniendo en cuenta los costes y beneficios de las medidas que vayan a aplicarse;

adoptará normas sobre la prevención y la gestión de los conflictos de intereses de sus miembros, incluso en relación con su declaración de intereses;

de conformidad con el apartado 2, ejercerá, con respecto al personal de Europol, las competencias atribuidas por el Estatuto a la autoridad facultada para proceder a los nombramientos y por el régimen aplicable a los otros agentes a la autoridad facultada para celebrar contratos de empleo («competencias de la autoridad facultada para proceder a los nombramientos»);

adoptará normas de desarrollo adecuadas para dar efecto al Estatuto de los funcionarios y al régimen aplicable a los otros agentes de conformidad con el artículo 110 del Estatuto de los funcionarios;

adoptará normas internas relativas al procedimiento de selección del director ejecutivo, incluidas las normas sobre la composición del comité de selección que garanticen su independencia e imparcialidad;

propondrá al Consejo una lista de candidatos preseleccionados para el puesto de director ejecutivo y directores ejecutivos adjuntos y, cuando proceda, propondrá al Consejo la prórroga de su mandato o la destitución de sus cargos de conformidad con los artículos 54 y 55;

establecerá indicadores de rendimiento y supervisará la actuación del director ejecutivo, incluida la aplicación de las decisiones del Consejo de Administración;

nombrará un responsable de protección de datos que actuará con independencia funcional en el ejercicio de sus funciones;

nombrará a un contable, sujeto al Estatuto de los funcionarios y al régimen aplicable a los otros agentes, que será funcionalmente independiente en el ejercicio de sus funciones;

establecerá en su caso una estructura de auditoría interna;

asegurará un seguimiento adecuado de las conclusiones y recomendaciones resultantes de los informes de auditoría y evaluaciones internas o externas, así como de las investigaciones de la OLAF y el SEPD;

establecerá los criterios de evaluación para el informe anual con arreglo al artículo 7, apartado 11;

adoptará unas directrices que especifiquen más detalladamente los procedimientos para el tratamiento de la información por parte de Europol, de conformidad con el artículo 18 y tras haber consultado al SEPD;

decidirá sobre la celebración de acuerdos de trabajo y administrativos con arreglo al artículo 23, apartado 4, y al artículo 25, apartado 1, respectivamente;

decidirá, teniendo en cuenta tanto los requisitos operativos como los financieros, en relación con la creación de las estructuras internas de Europol, incluidos los centros de la Unión de asesoramiento especializado a que hace referencia el artículo 4, apartado 1, letra l), a propuesta del director ejecutivo;

adoptará su reglamento interno, incluidas las disposiciones relativas a las tareas y al funcionamiento de su secretaría;

adoptará otras normas internas cuando convenga;

▼M1

designará al agente de derechos fundamentales a que se refiere el artículo 41 quater;

especificará los criterios sobre cuya base Europol podrá formular propuestas para la posible introducción de descripciones de información en el SIS.

▼B

Si el Consejo de Administración lo considera necesario para la realización de las funciones de Europol, podrá sugerir al Consejo que llame la atención de la Comisión en cuanto a la necesidad de una decisión de adecuación, según se contempla en el artículo 25, apartado 1, letra a), o de una recomendación de decisión por la que se autorice la apertura de negociaciones con vistas a la conclusión de un acuerdo internacional como se contempla en el artículo 25, apartado 1, letra b).

El Consejo de Administración adoptará, de conformidad con el artículo 110 del Estatuto de los funcionarios, una decisión, basada en el artículo 2, apartado 1, del Estatuto y en el artículo 6 del régimen aplicable a los otros agentes, por la que se deleguen las competencias de la autoridad facultada para proceder a los nombramientos en el director ejecutivo y se establezcan las condiciones en que puede suspenderse esta delegación de poderes. El director ejecutivo estará autorizado a subdelegar tales competencias.

Cuando circunstancias excepcionales así lo requieran, el Consejo de Administración podrá, mediante decisión, suspender temporalmente la delegación de las competencias, y cualquier subdelegación de las mismas, de la autoridad facultada para proceder a los nombramientos en el director ejecutivo y ejercerlas él mismo o delegarlas en uno de sus miembros o en un miembro del personal que no sea el director ejecutivo.

El Consejo de Administración adoptará a más tardar el 30 de noviembre de cada año un documento único de programación que incluya la programación plurianual de Europol y el programa de trabajo anual, sobre la base de un proyecto presentado por el director ejecutivo, teniendo en cuenta el dictamen de la Comisión y, en lo que respecta a la programación plurianual, previa consulta al Grupo de Control Parlamentario Conjunto (GCPC).

Cuando el Consejo de Administración decida no tener en cuenta el dictamen de la Comisión mencionado en el párrafo primero, en su totalidad o en parte, Europol proporcionará una justificación exhaustiva.

Cuando el Consejo de Administración decida no tener en cuenta ninguna de las cuestiones planteadas por el GCPC de conformidad con el artículo 51, apartado 2, letra c), Europol proporcionará una justificación exhaustiva.

Una vez se haya adoptado el documento único de programación, el Consejo de Administración lo remitirá al Consejo, a la Comisión y al GCPC.

►M1 La programación plurianual fijará la programación estratégica general, incluidos los objetivos, los resultados esperados y los indicadores de rendimiento. También establecerá la planificación de los recursos, incluidos el presupuesto plurianual y la plantilla de personal. Incluirá la estrategia sobre las relaciones con terceros países u organizaciones internacionales y las actividades de investigación e innovación previstas por Europol. ◄

La programación plurianual se ejecutará a través de programas de trabajo anuales y se actualizará, en su caso, en función de los resultados de evaluaciones internas y externas. Las conclusiones de estas evaluaciones se reflejarán también, en su caso, en el programa de trabajo anual para el año siguiente.

El programa de trabajo anual comprenderá los objetivos detallados y los resultados esperados, incluidos indicadores de rendimiento. Contendrá asimismo una descripción de las acciones que vayan a financiarse y una indicación de los recursos humanos y financieros asignados a cada acción, de conformidad con los principios de presupuestación y de gestión por actividades. El programa de trabajo anual será coherente con la programación plurianual. Indicará claramente qué tareas se han añadido, modificado o suprimido en relación con el ejercicio presupuestario anterior.

Si tras la adopción del programa de trabajo anual se encomienda a Europol una nueva tarea, el Consejo de Administración lo modificará.

Cualquier modificación sustancial del programa de trabajo anual se adoptará con arreglo al mismo procedimiento que el aplicable a la adopción del programa de trabajo anual inicial. El Consejo de Administración podrá delegar en el director ejecutivo la competencia de adoptar modificaciones no sustanciales del programa de trabajo anual.

El Consejo de Administración elegirá a un presidente y a un vicepresidente de entre el grupo de tres Estados miembros que haya preparado conjuntamente el programa de 18 meses del Consejo. Estos ejercerán sus funciones durante el período de 18 meses correspondiente a dicho programa del Consejo. No obstante, si el presidente o el vicepresidente dejan de ser miembros del Consejo de Administración en algún momento durante su mandato, este caducará automáticamente en la misma fecha.

El presidente y el vicepresidente serán elegidos por mayoría de dos tercios de los miembros del Consejo de Administración.

Cuando el presidente no pueda ejercer sus funciones, será sustituido automáticamente por el vicepresidente.

El presidente convocará las reuniones del Consejo de Administración.

El director ejecutivo participará en las deliberaciones del Consejo de Administración.

El Consejo de Administración se reunirá al menos dos veces al año en sesión ordinaria. Además, se reunirá a iniciativa del presidente, o a petición de la Comisión o de un tercio de sus miembros, como mínimo.

El Consejo de Administración podrá invitar a sus reuniones, en calidad de observador sin derecho a voto, a cualquier persona cuya opinión pueda ser de interés para la discusión.

Se invitará a dos representantes del GCPC a asistir a dos reuniones ordinarias del Consejo de Administración al año, en calidad de observadores sin derecho a voto para discutir las siguientes cuestiones de interés político:

El Consejo de Administración, junto con los representantes del GCPC, podrá determinar otras cuestiones de interés político que deban discutirse en las reuniones mencionadas en el párrafo primero.

Los miembros y los miembros suplentes del Consejo de Administración podrán ser asistidos en las reuniones por asesores o expertos, con arreglo a su reglamento interno.

Europol se hará cargo de la secretaría del Consejo de Administración.

Sin perjuicio de lo dispuesto en el artículo 11, apartado 1, letras a) y b), en el artículo 13, apartado 2, en el artículo 50, apartado 2, en el artículo 54, apartado 8, y en el artículo 64, el Consejo de Administración adoptará sus decisiones por mayoría de sus miembros.

Cada miembro dispondrá de un voto. En ausencia de uno de ellos, su suplente podrá ejercer su derecho a voto.

El director ejecutivo no tomará parte en las votaciones.

El reglamento interno del Consejo de Administración establecerá de manera más pormenorizada el régimen de votación, en particular las condiciones en las que un miembro puede actuar por cuenta de otro, y, en su caso, las normas relativas al quórum.

El director ejecutivo se encargará de la gestión de Europol. Deberá rendir cuentas ante el Consejo de Administración.

Sin perjuicio de las competencias de la Comisión o del Consejo de Administración, el director ejecutivo será independiente en el ejercicio de sus funciones y no solicitará ni aceptará instrucciones de ningún gobierno ni de ningún otro organismo.

Tanto el Consejo como el GCPC podrán convocar al director ejecutivo para que informe sobre el ejercicio de sus funciones.

El director ejecutivo será el representante legal de Europol.

El director ejecutivo será responsable de la ejecución de las tareas que competen a Europol en virtud del presente Reglamento, en particular, de lo siguiente:

la administración cotidiana de Europol;

presentar al Consejo de Administración propuestas en relación con el establecimiento de las estructuras internas de Europol;

la aplicación de las decisiones adoptadas por el Consejo de Administración;

▼M1

la preparación del proyecto de documento único de programación a que se refiere el artículo 12 y su presentación al Consejo de Administración, previa consulta a la Comisión y al GCPC;

▼B

la ejecución de la programación plurianual y de los programas de trabajo anual y la presentación de informes al Consejo de Administración sobre su ejecución;

la elaboración de proyectos de normas de desarrollo adecuadas para aplicar al Estatuto de los funcionarios y al régimen aplicable a los otros agentes de conformidad con el artículo 110 del Estatuto de los funcionarios;

la preparación del proyecto de informe anual consolidado sobre las actividades de Europol y su presentación al Consejo de Administración para su adopción;

la preparación de un plan de acción sobre la base de las conclusiones de los informes de auditoría y evaluaciones internas o externas, así como informes de investigación y recomendaciones a raíz de las investigaciones llevadas a cabo por la OLAF y el SEPD, y la presentación de informes de evolución dos veces al año a la Comisión y regularmente al Consejo de Administración;

la protección de los intereses financieros de la Unión mediante la aplicación de medidas preventivas contra el fraude, la corrupción y cualesquiera otra actividad ilegales y, sin perjuicio de las competencias de investigación de la OLAF, mediante la realización de controles efectivos y, si se detectan irregularidades, mediante la recuperación de los importes indebidamente abonados, y, en su caso, mediante sanciones administrativas y financieras efectivas, proporcionales y disuasorias;

la preparación de un proyecto de estrategia interna de lucha contra el fraude de Europol y su presentación al Consejo de Administración para su adopción;

la preparación de un proyecto de normas internas para la prevención y gestión de los conflictos de intereses en lo que respecta al Consejo de Administración y la presentación de esas propuestas de normas al Consejo de Administración para su adopción;

la preparación del proyecto de normas financieras aplicables a Europol;

la preparación del proyecto de estado de previsiones de ingresos y gastos de Europol y la ejecución de su presupuesto;

el apoyo al presidente del Consejo de Administración en la preparación de las reuniones del Consejo de Administración;

la información periódica al Consejo de Administración sobre la aplicación de las prioridades estratégicas y operativas de la Unión en la lucha contra la delincuencia;

▼M1

o bis)

la información al Consejo de Administración sobre los memorandos de entendimiento firmados con entidades privadas;

▼B

el desempeño de otras tareas con arreglo al presente Reglamento.

Europol solamente podrá tratar la información que le haya sido facilitada por:

los Estados miembros, de conformidad con su Derecho nacional y con el artículo 7;

organismos de la Unión, países terceros y organizaciones internacionales, de conformidad con el capítulo V;

por entidades privadas y particulares de conformidad con el capítulo V.

Europol podrá extraer y tratar directamente información, incluidos datos personales, procedentes de fuentes públicamente disponibles, en particular internet y datos públicos.

En la medida en que Europol, en virtud de instrumentos jurídicos de la Unión, nacionales o internacionales, hubiese obtenido el derecho de consultar por vía informática los datos de la Unión, de sistemas de información nacionales o internacionales, podrá extraer y tratar información, incluidos datos personales, por dichos medios si ello es necesario para el desempeño de sus tareas. El acceso a dicha información y su utilización por parte de Europol se regirá por las disposiciones aplicables de dichos instrumentos jurídicos nacionales, internacionales o de la Unión, siempre que prevean normas más estrictas en materia de acceso y utilización que las establecidas por el presente Reglamento. El acceso a dichos sistemas de información solo se concederá al personal debidamente autorizado de Europol, y solo en la medida en que sea necesario y proporcionado para el desempeño de sus tareas.

En la medida en que sea necesario para la consecución de sus objetivos, enunciados en el artículo 3, Europol puede tratar información, incluidos los datos personales.

Los datos personales podrán tratarse únicamente a fin de efectuar:

controles cruzados destinados a identificar conexiones u otras relaciones pertinentes entre datos relacionados con:

las personas que sean sospechosas de haber cometido o de haber participado en un delito penal que sea competencia de Europol o que hayan sido condenadas por tal delito,

ii)

personas respecto de las cuales existan indicios concretos o motivos razonables para pensar que cometerán delitos penales que son competencia de Europol;

análisis estratégicos o temáticos;

análisis operativos;

▼M1

intercambios más ágiles de información entre los Estados miembros, Europol, otros organismos de la Unión, terceros países, organizaciones internacionales y entidades privadas;

▼M1

proyectos de investigación e innovación;

actividades destinadas a apoyar a los Estados miembros, previa solicitud de estos, a la hora de informar al público sobre los sospechosos o las personas condenadas en búsqueda sobre la base de una resolución judicial nacional relativa a un delito que se incluya en los objetivos de Europol, y a facilitar que el público proporcione información sobre dichas personas a los Estados miembros y a Europol.

▼B

El tratamiento, a efectos de análisis operativos como los mencionados en el apartado 2, letra c), se realizará mediante proyectos de análisis operativos a los que se aplicarán las siguientes garantías específicas:

para cada proyecto de análisis operativo, el director ejecutivo definirá el objetivo específico, las categorías de datos personales y las categorías de interesados, los participantes, la duración de la conservación y condiciones de acceso, transferencia y uso de los datos en cuestión, e informará de ello al Consejo de Administración y al SEPD;

los datos personales podrán recopilarse y tratarse solo a efectos del proyecto específico de análisis operativo. Cuando resulte evidente que los datos personales puedan ser pertinentes para otro proyecto de análisis operativo, solo se permitirá el tratamiento ulterior de dichos datos personales en la medida en que dicho tratamiento ulterior resulte necesario y proporcionado y los datos personales sean compatibles con las disposiciones establecidas en la letra a) que se apliquen al otro proyecto de análisis;

solo el personal autorizado podrá acceder a los datos del proyecto correspondiente y tratarlos.

3 bis.

De ser necesario para lograr los objetivos de los proyectos de investigación e innovación de Europol, el tratamiento de datos personales con dicho fin se llevará a cabo únicamente en el contexto de proyectos de investigación e innovación de Europol con unos fines y objetivos claramente definidos y de conformidad con el artículo 33 bis.

El tratamiento, según se menciona en los apartados 2 y 3, se llevará a cabo de acuerdo con las garantías de protección de datos establecidas en el presente Reglamento. Europol documentará debidamente estas operaciones de tratamiento. Previa solicitud, la documentación se pondrá a disposición del responsable de protección de datos y del SEPD a efectos de la verificación de la licitud de la operación de tratamiento.

Sin perjuicio de lo dispuesto en el artículo 8, apartado 4, el artículo 18, apartado 2, letra e), el artículo 18 bis, y del tratamiento de datos en virtud del artículo 26, apartado 6 quater, cuando la infraestructura de Europol se emplee para intercambios bilaterales de datos personales y Europol no disponga de acceso al contenido de los datos, las categorías de datos personales y las categorías de interesados cuyos datos pueden ser recogidos y tratados a efectos del apartado 2 del presente artículo se enumeran en el anexo II.

5 bis.

De conformidad con el artículo 73 del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo ( 12 ), cuando corresponda, y en la medida de lo posible, Europol hará una distinción clara entre los datos personales que atañen a las diferentes categorías de interesados enumeradas en el anexo II.

Europol podrá tratar datos de forma temporal con el fin de determinar si tales datos son pertinentes para el desempeño de sus funciones y, en caso de que lo sean, para qué fines de los mencionados en el apartado 2. El plazo para el tratamiento de dichos datos no superará los seis meses a partir de la recepción de los datos.

6 bis.

Antes del tratamiento de datos en aplicación del apartado 2 del presente artículo, cuando resulte estrictamente necesario con el único fin de determinar si los datos personales se ajustan a lo dispuesto en el apartado 5 del presente artículo, Europol podrá tratar temporalmente los datos personales que se le hayan facilitado en virtud del artículo 17, apartados 1 y 2, incluido el cotejo de esos datos con todos los datos que Europol ya trate de conformidad con el apartado 5 del presente artículo.

Europol tratará datos personales en virtud del párrafo primero durante un período máximo de dieciocho meses a partir del momento en que Europol determine que esos datos se incluyen en sus objetivos o, en casos justificados, durante un período más largo, cuando sea necesario a efectos del presente artículo. Europol informará al SEPD de toda ampliación del período de tratamiento. El período máximo de tratamiento de datos en virtud del párrafo primero será de tres años. Dichos datos personales se conservarán de tal modo que exista una separación funcional de otros datos.

Cuando Europol llegue a la conclusión de que los datos personales a los que se refiere el párrafo primero del presente apartado no se ajustan a lo dispuesto en el apartado 5, los suprimirá e informará de ello, en su caso, al proveedor de los datos suprimidos.

6 ter.

El Consejo de Administración, a propuesta del director ejecutivo, tras haber consultado al SEPD y teniendo debidamente en cuenta los principios mencionados en el artículo 71 del Reglamento (UE) 2018/1725, especificará las condiciones relativas al tratamiento de los datos a los que se refieren los apartados 6 y 6 bis del presente artículo, en particular, en lo que respecta al suministro, el acceso y el uso de esos datos, así como a los plazos de conservación y supresión de tales datos, que no superarán los indicados en los apartados 6 y 6 bis del presente artículo.

El Consejo de Administración, tras haber consultado al SEPD adoptará, según proceda, directrices que concreten más detalladamente los procedimientos de tratamiento de la información a los efectos enumerados en el apartado 2, de conformidad con lo dispuesto en el artículo 11, apartado 1, letra q).

Cuando sea necesario para apoyar una investigación penal específica en curso que entre en el ámbito de los objetivos de Europol, Europol podrá tratar los datos personales que no atañan a las categorías de interesados enumeradas en el anexo II en el caso de que:

un Estado miembro, la Fiscalía Europea o Eurojust facilite datos de investigación a Europol en aplicación del artículo 17, apartado 1, letras a) o b), y solicite a Europol apoyo en esa investigación:

mediante un análisis operativo en virtud del artículo 18, apartado 2, letra c), o

ii)

en casos excepcionales y debidamente justificados, mediante controles cruzados en virtud del artículo 18, apartado 2, letra a);

Europol valore que no es posible llevar a cabo el análisis operativo en virtud del artículo 18, apartado 2, letra c), o los controles cruzados en virtud del artículo 18, apartado 2, letra a), en apoyo de dicha investigación sin tratar datos personales que no se ajusten a lo dispuesto en el artículo 18, apartado 5.

Los resultados de la valoración a la que se refiere la letra b) del párrafo primero se registrarán y remitirán al SEPD a título informativo, cuando Europol deje de apoyar la investigación mencionada en el párrafo primero.

Cuando el Estado miembro a que se refiere el apartado 1, párrafo primero, letra a), deje de estar autorizado para tratar los datos en la investigación penal específica en curso a la que se refiere el apartado 1, de conformidad con los requisitos y garantías procesales establecidos en virtud del Derecho nacional aplicable, informará a Europol.

Cuando la Fiscalía Europea o Eurojust facilite datos de investigación a Europol y deje de estar autorizada para tratar los datos de la investigación penal específica en curso a la que se refiere el apartado 1, de conformidad con los requisitos y garantías procesales aplicables en virtud del Derecho de la Unión y del Derecho nacional, informará a Europol.

Europol podrá tratar los datos de investigación de conformidad con el artículo 18, apartado 2, durante todo el tiempo en que apoye la investigación penal específica en curso para la que se hayan facilitado los datos de investigación de conformidad con el apartado 1, párrafo primero, letra a), del presente artículo, y únicamente con el fin de apoyar dicha investigación.

Europol podrá conservar los datos de investigación facilitados de conformidad con el apartado 1, párrafo primero, letra a), y el resultado del tratamiento de dichos datos una vez transcurrido el período de tratamiento indicado en el apartado 3, a petición del proveedor de dichos datos de investigación, con el fin de garantizar la veracidad, fiabilidad y trazabilidad del proceso de inteligencia criminal, y únicamente durante el tiempo en que se esté tramitando el procedimiento judicial relacionado con la investigación penal específica para la que se hayan facilitado dichos datos.

Los proveedores de los datos de investigación a que se refiere el apartado 1, párrafo primero, letra a), o, con su acuerdo, un Estado miembro en el que esté tramitándose un procedimiento judicial relacionado con una investigación penal conexa, podrá solicitar a Europol que conserve los datos de investigación y el resultado de su análisis operativo de dichos datos una vez transcurrido el período de tratamiento indicado en el apartado 3 con el fin de garantizar la veracidad, fiabilidad y trazabilidad del proceso de inteligencia criminal, y únicamente durante el tiempo en que se esté tramitando en dicho otro Estado miembro un procedimiento judicial relacionado con una investigación penal conexa.

Sin perjuicio del tratamiento de datos personales con arreglo al artículo 18, apartado 6 bis, los datos personales que no atañan a las categorías de interesados enumeradas en el anexo II se conservarán de tal modo que exista una separación funcional de otros datos y solo se tratarán cuando ello sea necesario y proporcionado para los fines de los apartados 3, 4 y 6 del presente artículo.

El Consejo de Administración, a propuesta del director ejecutivo y previa consulta al SEPD, especificará las condiciones relativas al suministro y al tratamiento de datos personales de conformidad con los apartados 3 y 4.

Los apartados 1 a 4 del presente artículo también se aplicarán cuando un tercer país según el artículo 25, apartado 1, letras a), b) o c), o el artículo 25, apartado 4 bis, facilite datos personales a Europol y dicho tercer país le facilite datos de investigación para análisis operativos que contribuyan a la investigación penal específica en uno o varios Estados miembros a los que Europol apoye, siempre que el tercer país obtuviera los datos en el contexto de una investigación penal de conformidad con los requisitos y garantías procesales aplicables en virtud de su Derecho penal nacional.

Cuando un tercer país facilite datos de investigación a Europol de conformidad con el párrafo primero, el responsable de protección de datos podrá notificarlo al SEPD, cuando proceda.

Europol comprobará que la cantidad de datos personales a los que se refiere el párrafo primero no sea manifiestamente desproporcionada en relación con la investigación penal específica en el Estado miembro de que se trate. Cuando Europol llegue a la conclusión de que existen indicios de que tales datos son manifiestamente desproporcionados o han sido obtenidos vulnerando claramente los derechos fundamentales, Europol no tratará los datos y los suprimirá.

Europol podrá consultar los datos personales tratados con arreglo al presente apartado solo cuando sea necesario para apoyar la investigación penal específica para la que hayan sido facilitados. Dichos datos personales se compartirán únicamente dentro de la Unión.

Determinación de los fines y de las restricciones del tratamiento de la información por Europol

El Estado miembro, organismo de la Unión, tercer país u organización internacional que facilite información a Europol determinará el fin o los fines para los que deba tratarse dicha información de conformidad con el artículo 18.

Cuando el proveedor de información a que se refiere el párrafo primero no haya cumplido lo dispuesto en dicho párrafo, Europol, de acuerdo con el proveedor de información en cuestión, tratará la información con el fin de determinar la pertinencia de dicha información, así como el fin o los fines de su ulterior tratamiento.

Europol tratará la información con un fin distinto a aquel para el que fue facilitada solo si así lo autoriza el proveedor de la información.

La información facilitada a efectos del artículo 18, apartado 2, letras a) a d), también podrá ser tratada por Europol a efectos del artículo 18, apartado 2, letra e), de conformidad con el artículo 33 bis.

Los Estados miembros, organismos de la Unión, terceros países y organizaciones internacionales podrán indicar, en el momento de facilitar la información a Europol, cualquier restricción a su acceso o el uso que se deba hacer de ella, en términos generales o específicos, también por lo que respecta a su transferencia, transmisión, cancelación o destrucción. Cuando la necesidad de tales restricciones se manifieste después de haber facilitado la información, informarán de ello a Europol. Europol cumplirá con esas restricciones.

En casos debidamente justificados, Europol podrá imponer restricciones de acceso o utilización por parte de los Estados miembros, organismos de la Unión, países terceros y organizaciones internacionales de la información extraída de fuentes públicas.

Acceso de los Estados miembros y del personal de Europol a la información conservada por Europol

Los Estados miembros, de conformidad con su legislación nacional y el artículo 7, apartado 5, tendrán acceso a, y podrán consultar, toda la información facilitada a los fines del artículo 18, apartado 2, letras a) y b). Todo ello sin perjuicio del derecho de los Estados miembros, organismos de la Unión, países terceros y organizaciones internaciones a indicar cualquier restricción de conformidad con el artículo 19, apartado 2.

Los Estados miembros, de conformidad con su legislación nacional y el artículo 7, apartado 5, dispondrán de acceso indirecto, sobre la base de un sistema de respuesta positiva o negativa, a la información facilitada para los fines del artículo 18, apartado 2, letra c). Todo ello sin perjuicio de las restricciones indicadas por los Estados miembros, organismos de la Unión, países terceros u organizaciones internacionales que facilitaron los datos, de conformidad con el artículo 19, apartado 2.

2 bis.

En el marco de la realización de los proyectos de análisis operativos a que se refiere el artículo 18, apartado 3, y siempre que se cumplan las normas y garantías para el tratamiento de datos personales establecidas en el presente Reglamento, los Estados miembros podrán determinar la información que Europol debe poner directamente a disposición de otros Estados miembros seleccionados a efectos de un análisis operativo conjunto en investigaciones específicas, sin perjuicio de las posibles restricciones indicadas con arreglo al artículo 19, apartado 2, y de conformidad con los procedimientos que se establezcan en las directrices mencionadas en el artículo 18, apartado 7.

De conformidad con el Derecho nacional, los Estados miembros tendrán acceso a la información mencionada en los apartados 1, 2 y 2 bis y la tratarán ulteriormente solo a efectos de la prevención, detección, investigación y enjuiciamiento de:

▼B

formas de delincuencia para las que Europol sea competente, y

otras formas de delincuencia grave, según se recoge en la Decisión Marco 2002/584/JAI del Consejo ( 13 ).

El personal de Europol debidamente habilitado al efecto por el director ejecutivo tendrá acceso a la información tratada por Europol en la medida necesaria para el ejercicio de sus funciones y sin perjuicio de lo dispuesto en el artículo 67.

Europol entablará y mantendrá una estrecha relación con la Fiscalía Europea. En el marco de dicha relación, Europol y la Fiscalía Europea actuarán dentro de sus respectivos mandatos y competencias. Para ello, celebrarán un acuerdo de trabajo que establezca las modalidades de su cooperación.

A solicitud de la Fiscalía Europea de conformidad con el artículo 102 del Reglamento (UE) 2017/1939, Europol apoyará las investigaciones de la Fiscalía Europea y cooperará con ella, facilitando información y apoyo analítico, hasta que la Fiscalía Europea determine si debe ejercer la acción penal o archivar el asunto.

A fin de facilitar información a la Fiscalía Europea con arreglo al apartado 2 del presente artículo, Europol adoptará todas las medidas adecuadas para permitir que la Fiscalía Europea tenga acceso indirecto, sobre la base de un sistema de respuesta positiva o negativa, a los datos relacionados con las infracciones que sean competencia de la Fiscalía Europea, facilitados a efectos del artículo 18, apartado 2, letras a), b) y c). Ese sistema de respuesta positiva o negativa dará notificación a Europol solamente en caso de respuesta positiva y sin perjuicio de las posibles restricciones indicadas con arreglo al artículo 19, apartado 2, por los proveedores de información mencionados en el artículo 19, apartado 1.

En caso de respuesta positiva, Europol abrirá el procedimiento para que pueda compartirse la información que generó la respuesta positiva, de conformidad con la decisión del proveedor de la información a la que se refiere el artículo 19, apartado 1, y solo en la medida en que los datos que hayan generado la respuesta positiva resulten pertinentes para la solicitud presentada con arreglo al apartado 2 del presente artículo.

Europol informará sin demora indebida a la Fiscalía Europea de cualquier conducta delictiva respecto de la cual la Fiscalía Europea pueda ejercer su competencia de conformidad con el artículo 22 y el artículo 25, apartados 2 y 3, del Reglamento (UE) 2017/1939 y sin perjuicio de las posibles restricciones indicadas con arreglo al artículo 19, apartado 2, del presente Reglamento por el proveedor de la información.

Cuando Europol informe a la Fiscalía Europea con arreglo al párrafo primero, lo notificará sin demora a los Estados miembros afectados.

Cuando alguna información relativa a la conducta delictiva respecto de la cual la Fiscalía Europea puede ejercer su competencia haya sido facilitada a Europol por un Estado miembro que haya indicado restricciones al uso de dicha información con arreglo al artículo 19, apartado 2, del presente Reglamento, Europol notificará a la Fiscalía Europea la existencia de dichas restricciones y remitirá el asunto al Estado miembro afectado. El Estado miembro afectado colaborará directamente con la Fiscalía Europea a fin de cumplir lo dispuesto en el artículo 24, apartados 1 y 4, del Reglamento (UE) 2017/1939.

Europol tomará todas las medidas oportunas para permitir que Eurojust y la OLAF, dentro de sus mandatos respectivos, tengan acceso indirecto, sobre la base de un sistema de respuesta positiva o negativa, a la información facilitada para los fines del artículo 18, apartado 2, letras a), b) y c), sin perjuicio de las restricciones indicadas por los Estados miembros, organismos de la Unión, países terceros u organizaciones internacionales que facilitaron la información en cuestión, de conformidad con el artículo 19, apartado 2.

En caso de respuesta positiva, Europol abrirá el procedimiento para que pueda compartirse la información que generó la respuesta positiva, de conformidad con la decisión del proveedor de la información a Europol, y solo en la medida en que los datos que hayan generado la respuesta positiva resulten necesarios para la realización de las tereas de Eurojust o de la OLAF.

Europol y Eurojust podrán celebrar un acuerdo de trabajo que garantice, recíprocamente y en el marco de sus respectivos mandatos, la posibilidad de acceso a, y búsqueda de, toda la información facilitada a los fines especificados en el artículo 18, apartado 2, letra a), y la posibilidad de consultar dicha información, sin perjuicio del derecho de los Estados miembros, organismos de la Unión, países terceros y organizaciones internacionales a indicar restricciones al acceso y la utilización de dichos datos, de conformidad con las garantías de protección de datos establecidas en el presente Reglamento.

Las búsquedas de información de conformidad con los apartados 1 y 2 solo se podrán llevar a cabo con el fin de determinar si la información disponible en Eurojust o en la OLAF, concuerda con la información tratada en Europol.

Europol solo permitirá que se realicen consultas con arreglo a los apartados 1 y 2 tras haber obtenido de Eurojust información sobre qué miembros nacionales, suplentes y asistentes, así como miembros de su personal y de la OLAF, información sobre qué miembros de su personal, han sido autorizados para realizar tales búsquedas.

Si durante las actividades de tratamiento de información de Europol en relación con una investigación concreta, Europol o un Estado miembro determinaran la necesidad de coordinación, cooperación o apoyo de conformidad con el mandato de Eurojust o de la OLAF, Europol les notificará este extremo y abrirá el procedimiento para compartir información, de conformidad con la decisión del Estado miembro que facilitó la información. En tal caso, Eurojust o la OLAF consultarán a Europol.

Eurojust, incluido el Colegio, los miembros nacionales, los suplentes y los asistentes, así como los miembros de su personal, y la OLAF deberán respetar cualquier restricción de acceso o utilización, en términos generales o específicos, indicada por los Estados miembros, organismos de la Unión, países terceros y organizaciones internacionales de conformidad con el artículo 19, apartado 2.

Europol, Eurojust y la OLAF se informarán entre sí en caso de que, tras consultarse recíprocamente los datos de conformidad con el apartado 2 o como consecuencia de una respuesta positiva de conformidad con el apartado 1, haya indicios de que los datos pueden ser incorrectos o entrar en conflicto con otros datos.

Si durante el tratamiento de la información en relación con una investigación penal específica o un proyecto específico, Europol detecta información pertinente acerca de una posible actividad ilegal que afecte a los intereses financieros de la Unión, Europol facilitará sin demora a la OLAF dicha información, sin perjuicio de las posibles restricciones indicadas con arreglo al artículo 19, apartado 2, por el Estado miembro que facilitó la información.

Cuando Europol facilite a la OLAF información con arreglo al párrafo primero, lo notificará sin demora a los Estados miembros afectados.

Europol, de conformidad con el artículo 4, apartado 1, letra b), notificará sin demora a un Estado miembro toda información que le concierna. Si tal información está sujeta a restricciones de acceso con arreglo al artículo 19, apartado 2, que prohíban compartirla, Europol consultará al proveedor de la información que impuso la limitación de acceso y solicitará su autorización para que se comparta.

En tal caso la información no podrá compartirse sin autorización expresa del proveedor de la misma.

Con independencia de cualquier restricción de acceso, Europol notificará a un Estado miembro toda la información que le concierna si ello es absolutamente necesario para prevenir una amenaza inminente para la vida.

En tal caso, Europol notificará al mismo tiempo al proveedor de la información de que se va a compartir dicha información y justificará su análisis de la situación.

En la medida en que sea necesario para el desempeño de sus tareas, Europol podrá establecer y mantener relaciones de cooperación con los organismos de la Unión de conformidad con los objetivos de dichos organismos, las autoridades de países terceros, organizaciones internacionales y entidades privadas.

Siempre que se cumplan las restricciones derivadas del artículo 19, apartado 2, y sin perjuicio del artículo 67, Europol podrá intercambiar directamente todo tipo de información, con la excepción de los datos personales, con las entidades contempladas en el apartado 1 del presente artículo, en la medida en que ese intercambio sea pertinente para el desempeño de sus tareas.

El director ejecutivo informará al Consejo de Administración sobre cualesquiera relaciones de cooperación regulares que Europol se proponga establecer y mantener de conformidad con los apartados 1 y 2 y sobre la evolución de dichas relaciones una vez establecidas.

Para la consecución de los fines contemplados en los apartados 1 y 2, Europol podrá celebrar acuerdos de trabajo con las entidades mencionadas en el apartado 1. Dichos acuerdos de trabajo no permitirán el intercambio de datos personales y no vincularán a la Unión ni a sus Estados miembros.

Europol podrá recibir y tratar datos personales procedentes de las entidades contempladas en el apartado 1 en la medida en que sea necesario y proporcionado para el desempeño legítimo de sus tareas, y a reserva de lo dispuesto en el presente capítulo.

Sin perjuicio de lo dispuesto en el artículo 30, apartado 5, Europol solo transferirá datos personales a los organismos de la Unión, países terceros y organizaciones internacionales si fuera necesario para la prevención y la lucha contra los delitos comprendidos en el ámbito de los objetivos de Europol y de conformidad con el presente Reglamento y si el destinatario se compromete a que los datos se traten solo para los fines para los que se han transmitido. Si los datos que se hayan de transferir hubieran sido facilitados por un Estado miembro, Europol deberá obtener el consentimiento de ese Estado miembro, a menos que el Estado miembro haya concedido su autorización previa para tales transferencias ulteriores, ya sea en términos generales o con arreglo a condiciones específicas. Dicho consentimiento podrá retirarse en cualquier momento.

Las transferencias ulteriores de datos personales en poder de Europol por parte de Estados miembros, organismos de la Unión, terceros países, organizaciones internacionales o entidades privadas estarán prohibidas, a menos que Europol haya dado su autorización expresa previa.

Europol garantizará la anotación detallada de todas las transferencias de datos personales así como las motivaciones de dichas transferencias, de conformidad con el presente Reglamento.

No se tratará ninguna información obtenida en violación manifiesta de los derechos humanos.

Europol únicamente transmitirá datos personales a un organismo de la Unión de conformidad con el artículo 71, apartado 2, del Reglamento (UE) 2018/1725, siempre que se respeten las posibles restricciones en virtud del presente Reglamento y sin perjuicio de lo dispuesto en el artículo 67 del presente Reglamento, si dichos datos son necesarios y proporcionados para el legítimo desempeño de las funciones del organismo de la Unión destinatario.

Cuando otro organismo de la Unión haya solicitado la transmisión de datos personales, Europol verificará la competencia de ese otro organismo. Cuando Europol no pueda confirmar que la transmisión de datos personales es necesaria de conformidad con el apartado 1, pedirá al organismo de la Unión solicitante que aporte información complementaria.

El organismo de la Unión solicitante garantizará que pueda valorarse la necesidad de la transmisión de los datos personales.

El organismo de la Unión destinatario tratará los datos personales mencionados en los apartados 1 y 2 únicamente para los fines para los que hayan sido transmitidos.

Transferencia de datos personales a países terceros y organizaciones internacionales

Siempre que se respeten las posibles restricciones indicadas con arreglo al artículo 19, apartados 2 o 3, y sin perjuicio de lo dispuesto en el artículo 67, Europol podrá transferir datos personales a las autoridades competentes de un tercer país o a una organización internacional, a condición de que dicha transferencia sea necesaria para el desempeño de las funciones de Europol, sobre la base de alguno de los actos siguientes:

una decisión de la Comisión adoptada de conformidad con el artículo 36 de la Directiva (UE) 2016/680, en la que se decida que el tercer país, un territorio o uno o varios sectores específicos en ese tercer país, o la organización internacional de que se trate garantizan un nivel de protección adecuado («decisión de adecuación»),

▼B

un acuerdo internacional celebrado entre la Unión y ese país tercero u organización internacional con arreglo al artículo 218 del TFUE que ofrezca garantías adecuadas con respecto a la protección de la intimidad y los derechos y libertades fundamentales de las personas físicas, o

un acuerdo de cooperación que permita el intercambio de datos personales celebrado antes del 1 de mayo de 2017 entre Europol y ese país tercero u organización internacional con arreglo al artículo 23 de la Decisión 2009/371/JAI.

Europol podrá celebrar acuerdos administrativos para aplicar dichos acuerdos o decisiones de adecuación.

El director ejecutivo informará al Consejo de Administración acerca del intercambio de datos personales basándose en decisiones de adecuación, conforme al apartado 1, letra a).

Antes del 14 de junio de 2021, la Comisión evaluará las disposiciones contenidas en los acuerdos de cooperación mencionados en el apartado 1, letra c), en particular sobre la protección de datos. La Comisión informará al Parlamento Europeo y al Consejo sobre el resultado de esta evaluación y, si procede, podrá someter al Consejo una recomendación de decisión por la que se autorice el inicio de negociaciones para la celebración de acuerdos internacionales según se menciona en el apartado 1, letra b).

4 bis.

A falta de decisión de adecuación, el Consejo de Administración podrá autorizar a Europol a transferir datos personales a una autoridad competente de un tercer país o a una organización internacional cuando:

se hayan aportado garantías adecuadas con respecto a la protección de datos personales, en un instrumento jurídicamente vinculante, o

Europol haya valorado todas las circunstancias que concurren en la transferencia de los datos personales y haya llegado a la conclusión de que existen garantías adecuadas con respecto a la protección de datos personales.

►M1 No obstante lo dispuesto en el apartado 1, el director ejecutivo podrá autorizar, en casos debidamente justificados, la transferencia o una categoría de transferencias de datos personales a una autoridad competente de un tercer país o a una organización internacional en función del caso concreto, si la transferencia o la categoría de transferencias es: ◄

necesaria para proteger los intereses vitales del interesado o de otra persona, o

▼M1

necesaria para salvaguardar intereses legítimos del interesado,

▼B

esencial para prevenir una amenaza inminente y grave para la seguridad pública de un Estado miembro o de un país tercero, o

necesaria en casos concretos a efectos de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, o

necesaria en casos concretos para el reconocimiento, el ejercicio o la defensa de un derecho en un procedimiento judicial relativo a la prevención, investigación, detección o enjuiciamiento de una infracción penal o la ejecución de una sanción penal específica.

Los datos personales no se transferirán si el director ejecutivo determina que los derechos y libertades fundamentales del interesado en cuestión priman sobre el interés público en la transferencia a que se refieren las letras d) y e).

No se aplicarán excepciones a las transferencias sistemáticas, masivas o estructurales.

No obstante lo dispuesto en el apartado 1, el Consejo de Administración podrá, de acuerdo con el Supervisor Europeo de Protección de Datos, autorizar una serie de transferencias de conformidad con el apartado 5, letras a) a e), teniendo en cuenta la existencia de garantías adecuadas con respecto a la protección de la intimidad y los derechos y libertades fundamentales de las personas físicas, por un período no superior a un año, prorrogable. Dicha autorización estará debidamente justificada y documentada.

El director ejecutivo informará lo antes posible al Consejo de Administración y al SEPD de los casos en que haya aplicado el apartado 5.

Europol informará al SEPD sobre las categorías de transferencias contempladas en el apartado 4 bis, letra b). Cuando una transferencia se efectúe de conformidad con los apartados 4 bis o 5, se documentará y la documentación se pondrá a disposición del SEPD previa petición. La documentación incluirá un registro de la fecha y hora de la transferencia, así como información sobre la autoridad competente a la que se refiere el presente artículo, sobre la justificación de la transferencia y sobre los datos personales transferidos.

En la medida en que sea necesario para el desempeño de sus tareas, Europol podrá tratar datos personales procedentes de entidades privadas siempre que hayan sido recibidos a través de:

una unidad nacional de conformidad con el Derecho nacional;

el punto de contacto de un país tercero o una organización internacional con la que Europol haya concluido, antes del 1 de mayo de 2017, un acuerdo de cooperación que permita el intercambio de datos personales de conformidad con el artículo 23 de la Decisión 2009/371/JAI, o

▼M1

una autoridad de un tercer país o una organización internacional a que se refiere el artículo 25, apartado 1, letra a), b) o c), o el artículo 25, apartado 4 bis.

Cuando Europol reciba datos personales directamente de entidades privadas, podrá tratar dichos datos personales de conformidad con el artículo 18, con el fin de determinar las unidades nacionales afectadas, a las que se refiere el apartado 1, letra a), del presente artículo. Europol transmitirá inmediatamente a las unidades nacionales afectadas los datos personales y todos los resultados pertinentes del tratamiento necesario de dichos datos para determinar el territorio competente. Europol podrá transmitir los datos personales y los resultados pertinentes del tratamiento necesario de dichos datos para determinar el territorio competente, de conformidad con el artículo 25, a los puntos de contacto y a las autoridades afectadas a que se refiere el apartado 1, letras b) y c), del presente artículo. En caso de que Europol no pueda determinar las unidades nacionales afectadas o ya haya transmitido los datos personales pertinentes a todas las unidades nacionales afectadas determinadas y no sea posible determinar otras unidades nacionales afectadas, cancelará los datos, a menos que la unidad nacional, el punto de contacto o la autoridad afectada vuelva a facilitar los datos personales a Europol de conformidad con el artículo 19, apartado 1, en un plazo de cuatro meses a partir de la fecha en que tenga lugar la transmisión o la transferencia.

Los criterios para determinar si la unidad nacional del Estado miembro en el que esté establecida la entidad privada pertinente constituye una unidad nacional afectada se establecerán en las directrices a que se refiere el artículo 18, apartado 7.

2 bis.

La cooperación de Europol con entidades privadas no deberá suponer una duplicidad en las actividades de las UIF de los Estados miembros ni interferir con ellas, y no concernirá a información que deba facilitarse a las UIF a efectos de la Directiva (UE) 2015/849.

De resultas de la transferencia de datos personales conforme al apartado 5, letra c), del presente artículo, Europol podrá, en relación con esta, recibir directamente de entidades privadas datos personales que la entidad privada de que se trate declare que se le permite transmitir legalmente de conformidad con la legislación aplicable para tratar esos datos a fin de llevar a cabo el cometido indicado en el artículo 4, apartado 1, letra m).

Cuando Europol reciba datos personales procedentes de una entidad privada establecida en un tercer país, Europol solo transmitirá dichos datos y el resultado del análisis y comprobación de dichos datos a un Estado miembro o a un tercer país afectado según se contempla en el artículo 25, apartado 1, letras a), b) o c) o el artículo 25, apartado 4 bis.

Sin perjuicio de lo dispuesto en el párrafo primero del presente apartado, Europol podrá transferir los resultados a los que se refiere el párrafo primero del presente apartado al tercer país de que se trate con arreglo al artículo 25, apartados 5 o 6.

Europol no podrá transmitir ni transferir datos personales a entidades privadas excepto en los casos siguientes y siempre que dicha transmisión o transferencia sea estrictamente necesaria y proporcionada, en función de cada caso concreto:

la transmisión o la transferencia revista indudablemente un interés para el interesado;

la transmisión o la transferencia sea estrictamente necesaria para prevenir la perpetración inminente de un delito que se incluya en los objetivos de Europol, incluido el terrorismo;

la transmisión o la transferencia de datos personales que estén públicamente disponibles sea estrictamente necesaria para desempeñar la función a que se refiere el artículo 4, apartado 1, letra m), y se cumplan las siguientes condiciones:

que la transmisión o la transferencia se refiera a un caso concreto y específico,

ii)

que los derechos y libertades fundamentales de los interesados no primen sobre el interés público que exija que esos datos personales se transmitan o transfieran en el caso de que se trate, o

la transmisión o la transferencia sea estrictamente necesaria para que Europol notifique a la entidad privada que la información recibida es insuficiente para permitir a Europol determinar las unidades nacionales afectadas, y se cumplan las siguientes condiciones:

que la transmisión o la transferencia se produzca tras la recepción de datos personales directamente de una entidad privada de conformidad con el apartado 2,

ii)

que la información que falte, a la que Europol puede referirse en su notificación, tenga un vínculo claro con la información previamente compartida por dicha entidad privada,

iii)

que la información que falte, a la que Europol puede referirse en su notificación, se limite estrictamente a lo necesario para que Europol determine las unidades nacionales afectadas.

La transmisión o transferencia mencionada en el párrafo primero del presente apartado estará supeditada a las posibles restricciones indicadas con arreglo al artículo 19, apartados 2 o 3, y se entenderá sin perjuicio de lo dispuesto en el artículo 67.

En relación con el apartado 5, letras a), b) y d), del presente artículo, si la entidad privada de que se trate no está establecida en la Unión o en un tercer país según se contempla en el artículo 25, apartado 1, letras a), b) o c), o el artículo 25, apartado 4 bis, el director ejecutivo solo podrá autorizar la transferencia si es:

necesaria para proteger los intereses vitales del interesado o de otra persona;

necesaria para salvaguardar intereses legítimos del interesado;

esencial para prevenir una amenaza inminente y grave para la seguridad pública de un Estado miembro o de un tercer país;

necesaria en casos concretos a efectos de prevención, investigación, detección o enjuiciamiento de un delito específico que se incluya en los objetivos de Europol, o

Los datos personales no podrán ser transferidos si el director ejecutivo determina que los derechos y libertades fundamentales del interesado priman sobre el interés público que requiere la transferencia a que se refiere el párrafo primero, letras d) y e), del presente apartado.

6 bis.

Sin perjuicio de lo dispuesto en el apartado 5, letras a), c) y d), del presente artículo y en otros actos jurídicos de la Unión, las transferencias o transmisiones de datos personales con arreglo a los apartados 5 y 6 no serán sistemáticas, masivas ni estructurales.

6 ter.

Europol podrá solicitar a los Estados miembros, a través de las unidades nacionales, que obtengan, de conformidad con el Derecho nacional, datos personales procedentes de entidades privadas que estén establecidas o tengan un representante legal en su territorio, con el fin de compartir dichos datos con Europol. Estas solicitudes deberán estar motivadas y ser lo más precisas posible. Dichos datos personales tendrán el carácter menos sensible posible y se limitarán estrictamente a lo que sea necesario y proporcionado para que Europol pueda determinar las unidades nacionales afectadas.

No obstante la competencia de los Estados miembros sobre un delito específico, los Estados miembros garantizarán que sus autoridades competentes puedan tramitar las solicitudes a las que se refiere el párrafo primero de conformidad con su Derecho nacional con el fin de facilitar a Europol la información necesaria para determinar las unidades nacionales afectadas.

6 quater.

La infraestructura de Europol podrá utilizarse para intercambios entre las autoridades competentes de los Estados miembros y las entidades privadas de conformidad con el Derecho nacional respectivo. Dichos intercambios también podrán tratar sobre delitos que no se incluyan en los objetivos de Europol.

Cuando los Estados miembros utilicen la infraestructura de Europol para el intercambio de datos personales sobre delitos que se incluyan en los objetivos de Europol, podrán otorgar a Europol acceso a dichos datos.

Cuando los Estados miembros utilicen la infraestructura de Europol para el intercambio de datos personales sobre delitos que no se incluyan en los objetivos de Europol, Europol no podrá tener acceso a dichos datos y se le considerará un encargado del tratamiento de conformidad con el artículo 87 del Reglamento (UE) 2018/1725.

Europol evaluará los riesgos para la seguridad que plantee permitir la utilización de su infraestructura por parte de entidades privadas, y, en caso necesario, aplicará las medidas preventivas y de atenuación adecuadas.

Europol garantizará el registro detallado de todas las transferencias de datos personales así como las motivaciones para dichas transferencias, de conformidad con el presente Reglamento, y comunicará las correspondientes anotaciones al SEPD a petición de este con arreglo a lo dispuesto en el artículo 40.

Si los datos personales recibidos o por transferir afectan a los intereses de un Estado miembro, Europol informará inmediatamente a la unidad nacional del Estado miembro de que se trate.

11.

Europol preparará un informe anual para el Consejo de Administración sobre los datos personales intercambiados con entidades privadas en virtud de los artículos 26, 26 bis y 26 ter, a partir de criterios de evaluación cuantitativos y cualitativos establecidos por el Consejo de Administración.

El informe anual incluirá ejemplos concretos que demuestren la necesidad de las solicitudes de Europol de conformidad con el apartado 6 ter del presente artículo para cumplir sus objetivos y desempeñar sus funciones.

El informe anual tendrá en cuenta las obligaciones de discreción y confidencialidad, y los ejemplos se anonimizarán en lo que respecta a los datos personales.

El informe anual se remitirá al Parlamento Europeo, al Consejo, a la Comisión y a los Parlamentos nacionales.

Intercambio de datos personales con entidades privadas en situaciones de crisis en línea

En situaciones de crisis en línea, Europol podrá recibir datos personales directamente de entidades privadas y tratar dichos datos personales de conformidad con el artículo 18.

Cuando Europol reciba datos personales procedentes de una entidad privada establecida en un tercer país, transmitirá dichos datos y los resultados de su análisis y comprobación de dichos datos solamente a un Estado miembro, o a un tercer país afectado según se contempla en el artículo 25, apartado 1, letras a), b) o c), o en el artículo 25, apartado 4 bis.

Europol podrá transferir los resultados de su análisis y comprobación de los datos a los que se refiere el apartado 1 del presente artículo al tercer país afectado en virtud del artículo 25, apartados 5 o 6.

Europol podrá transmitir o transferir datos personales a entidades privadas, en función del caso concreto, respetando las posibles restricciones indicadas con arreglo al artículo 19, apartados 2 o 3, y sin perjuicio de lo dispuesto en el artículo 67, cuando la transmisión o la transferencia de dichos datos sea estrictamente necesaria para hacer frente a situaciones de crisis en línea, y los derechos y libertades fundamentales de los interesados afectados no primen sobre el interés público que requiera que esos datos personales se transmitan o transfieran.

Cuando la entidad privada de que se trate no esté establecida en la Unión o en un tercer país según se contempla en el artículo 25, apartado 1, letras a), b) o c), o en el artículo 25, apartado 4 bis, la transferencia requerirá la autorización del director ejecutivo.

Europol prestará asistencia, intercambiará información y cooperará con las autoridades competentes de los Estados miembros en relación con las transmisiones y las transferencias de datos personales a entidades privadas con arreglo a los apartados 3 o 4, en particular, para evitar que se dupliquen esfuerzos, para reforzar la coordinación y evitar interferencias con investigaciones en distintos Estados miembros.

Europol podrá solicitar a los Estados miembros, a través de las unidades nacionales, que obtengan, de conformidad con el Derecho nacional, datos personales procedentes de entidades privadas que estén establecidas o tengan un representante legal en su territorio, con el fin de compartir dichos datos con Europol. Esta solicitud deberá estar motivada y ser lo más precisa posible. Dichos datos personales tendrán el carácter menos sensible posible y se limitarán estrictamente a lo que sea necesario y proporcionado con la finalidad de permitir que Europol apoye a los Estados miembros para hacer frente a las situaciones de crisis en línea.

No obstante la competencia de los Estados miembros en materia de difusión del contenido sobre el que Europol solicite datos personales, los Estados miembros garantizarán que sus autoridades competentes puedan tramitar las solicitudes a las que se refiere el párrafo primero de conformidad con el Derecho nacional, con el fin de facilitar a Europol la información necesaria para lograr sus objetivos.

Europol garantizará que se lleve un registro detallado de todas las transferencias de datos personales y de los motivos para dichas transferencias, de conformidad con el presente Reglamento. A petición del SEPD, Europol pondrá tal registro a su disposición en virtud del artículo 39 bis.

Si los datos personales recibidos o por transferir afectan a los intereses de un Estado miembro, Europol informará inmediatamente a la unidad nacional del Estado miembro de que se trate.

Intercambio de datos personales con entidades privadas para combatir la difusión en línea de material en línea de abusos sexuales a menores

Europol podrá recibir datos personales directamente de entidades privadas y tratar dichos datos personales de conformidad con el artículo 18 para combatir la difusión en línea de material en línea de abusos sexuales a menores, a que se refiere el artículo 4, apartado 1, letra y).

Europol podrá transferir los resultados de su análisis y comprobación de los datos mencionados en el párrafo primero del presente apartado al tercer país afectado con arreglo al artículo 25, apartados 5 o 6.

Europol podrá transmitir o transferir datos personales a entidades privadas, en función del caso concreto, siempre que se respeten las posibles restricciones indicadas con arreglo al artículo 19, apartados 2 o 3, y sin perjuicio del artículo 67, cuando la transmisión o la transferencia de dichos datos sea estrictamente necesaria para combatir la difusión en línea de material en línea de abusos sexuales a menores a que se refiere el artículo 4, apartado 1, letra y), y los derechos y libertades fundamentales de los interesados afectados no primen sobre el interés público que requiera que esos datos personales se transmitan o transfieran.

Europol prestará asistencia, intercambiará información y cooperará con las autoridades competentes de los Estados miembros en relación con las transmisiones y las transferencias de datos personales a entidades privadas con arreglo a los apartados 3 o 4, en particular, para evitar que se dupliquen esfuerzos, reforzar la coordinación y evitar interferencias con investigaciones en distintos Estados miembros.

No obstante la competencia de los Estados miembros en materia de difusión del contenido sobre el que Europol solicite datos personales, los Estados miembros garantizarán que las autoridades competentes de los Estados miembros puedan tramitar las solicitudes a las que se refiere el párrafo primero de conformidad con el Derecho nacional con el fin de facilitar a Europol la información necesaria para lograr sus objetivos.

Si los datos personales recibidos o por transferir afectan a los intereses de un Estado miembro, Europol informará inmediatamente a la unidad nacional del Estado miembro de que se trate.

En la medida en que lo necesite para el desempeño de sus funciones, Europol podrá recibir y tratar información procedente de particulares.

Europol solo podrá tratar los datos personales procedentes de particulares si han sido recibidos a través de:

Cuando Europol reciba información, incluidos datos personales, procedente de un particular residente en un tercer país que no sea aquel a que se refiere el artículo 25, apartado 1, letras a) o b), o el artículo 25, apartado 4 bis, solo podrá remitir dicha información a un Estado miembro o a ese tercer país.

Si los datos personales recibidos afectan a los intereses de un Estado miembro, Europol informará inmediatamente a la unidad nacional del Estado miembro de que se trate.

Europol no podrá ponerse en contacto con particulares con el fin de recabar información.

Sin perjuicio de lo dispuesto en los artículos 36 y 37, Europol no podrá transferir datos personales a particulares.

Sin perjuicio de lo dispuesto en el presente Reglamento, el artículo 3 y el capítulo IX del Reglamento (UE) 2018/1725 se aplicarán al tratamiento de datos personales por Europol.

El Reglamento (UE) 2018/1725, a excepción del capítulo IX, se aplicará al tratamiento de datos personales administrativos por Europol.

Las referencias a «datos personales» en el presente Reglamento se entenderán como referencias a «datos personales operativos» tal como se definen en el artículo 3, punto 2, del Reglamento (UE) 2018/1725, salvo que se disponga otra cosa en el presente Reglamento.

El Consejo de Administración adoptará normas para determinar los plazos de conservación de los datos personales administrativos.

La fiabilidad de la fuente de la información procedente de un Estado miembro será valorada en la medida de lo posible por el Estado miembro que haya facilitado los datos, utilizando los siguientes códigos de evaluación de fuentes:

A): cuando no quepa duda sobre la autenticidad, veracidad y competencia de la fuente o si la información es facilitada por una fuente que haya resultado ser fiable en todos los casos;

B): cuando la información sea facilitada por una fuente que haya resultado ser fiable en la mayoría de los casos;

C): cuando la información sea facilitada por una fuente que haya resultado ser poco fiable en la mayoría de los casos;

X): cuando no pueda determinarse la fiabilidad de la fuente.

La exactitud de la información procedente de un Estado miembro será valorada en la medida de lo posible por el Estado miembro que haya facilitado los datos utilizando los siguientes códigos de evaluación de fuentes:

1): información sobre cuya exactitud no exista duda alguna;

2): información conocida personalmente por la fuente, pero no conocida personalmente por el funcionario que la transmite;

3): información no conocida personalmente por la fuente, pero corroborada por otra información ya registrada;

4): información no conocida personalmente por la fuente y que no puede ser corroborada.

Cuando Europol, basándose en información que ya posea, llegue a la conclusión de que es preciso corregir la valoración a que se refieren los apartados 1 o 2, informará al Estado miembro de que se trate y procurará acordar con este una modificación de la valoración. Europol no podrá modificar la valoración sin mediar dicho acuerdo.

Cuando Europol reciba de un Estado miembro información no acompañada de una valoración realizada de conformidad con los apartados 1 y 2, procurará valorar la fiabilidad de la fuente o la exactitud de la información, basándose para ello en la información que ya obre en su poder. La valoración de la información y de los datos específicos se hará de acuerdo con el Estado miembro que los haya facilitado. Un Estado miembro podrá igualmente llegar a un acuerdo en términos generales con Europol sobre la valoración de determinados tipos y fuentes de datos. En caso de no llegarse a un acuerdo en un caso concreto o de no existir un acuerdo en términos generales, Europol valorará la información o los datos y les atribuirá los códigos X) y 4), contemplados respectivamente en el apartado 1 y en el apartado 2, respectivamente.

El presente artículo se aplicará mutatis mutandis cuando Europol reciba datos o información de un organismo de la Unión, país tercero, organización internacional o entidad privada.

La información procedente de fuentes públicamente disponibles será valorada por Europol utilizando los códigos de evaluación contemplados en los apartados 1 y 2.

Cuando la información sea resultado de un análisis realizado por Europol en el desempeño de sus tareas, Europol la valorará de conformidad con el presente artículo y de acuerdo con los Estados miembros que participen en el análisis.

Tratamiento de categorías especiales de datos personales y de categorías diferentes de interesados

El tratamiento de datos personales de las víctimas de delitos, los testigos u otras personas que pudieran facilitar información sobre delitos, y de los menores de dieciocho años estará permitido si es estrictamente necesario y proporcionado para la prevención o la lucha contra los delitos enunciados en los objetivos de Europol.

►M1 El tratamiento de datos personales, ya sea por medios automatizados o de otro tipo, que revelen el origen racial o étnico, las opiniones políticas, las creencias religiosas o filosóficas, o la filiación sindical y el tratamiento de los datos genéticos, los datos biométricos destinados a identificar de manera unívoca a una persona física, o los datos relativos a la salud o a la vida sexual o a la orientación sexual de personas físicas estará permitido solo cuando sea estrictamente necesario y proporcionado para fines de proyectos de investigación e innovación en virtud del artículo 33 bis y con fines operativos, dentro de los objetivos de Europol, y únicamente para prevenir o combatir los delitos que se incluyan en los objetivos de Europol. Tal tratamiento estará sujeto asimismo a unas garantías adecuadas establecidas en el presente Reglamento con respecto a los derechos y libertades del interesado y, a excepción de los datos biométricos tratados a efectos de identificar de manera unívoca a una persona física, se permitirá únicamente si esos datos complementan otros datos personales tratados por Europol. ◄ Estará prohibido seleccionar un grupo particular de personas únicamente sobre la base de los datos personales citados.

2 bis.

El responsable de la protección de datos será informado sin demora indebida en el caso de que se traten datos personales en virtud del presente artículo.

Solo Europol tendrá acceso directo a los datos personales a que se refieren los apartados 1 y 2. El director ejecutivo autorizará debidamente dicho acceso a un número limitado de miembros del personal de Europol cuando sea necesario para que desempeñen sus tareas.

No obstante lo dispuesto en el párrafo primero, cuando resulte necesario autorizar al personal de las autoridades competentes de los Estados miembros o de los organismos de la Unión establecidos sobre la base del título V del TFUE un acceso directo a datos personales para desempeñar sus tareas, en los casos previstos en el artículo 20, apartados 1 y 2 bis, del presente Reglamento, o para proyectos de investigación e innovación de conformidad con el artículo 33 bis, apartado 2, letra d), del presente Reglamento, el director ejecutivo autorizará debidamente tal acceso a un número limitado de miembros de dicho personal.

Los datos personales a que se refieren los apartados 1 y 2 no se transmitirán a los Estados miembros u organismos de la Unión ni se transferirán a terceros países u organizaciones internacionales, a menos que tal transmisión o transferencia sea obligatoria en virtud del Derecho de la Unión o sea estrictamente necesaria y proporcionada en casos concretos de delitos que se incluyan en los objetivos de Europol y de conformidad con el capítulo V.

Cada año, Europol facilitará al SEPD un resumen estadístico de todos los datos personales contemplados en el apartado 2 tratados por sus servicios.

Los datos personales tratados por Europol solo serán conservados por Europol durante el tiempo que sea necesario y proporcionado para la finalidad para la que se tratan.

Europol reexaminará, en todo caso, la necesidad de prolongar el período de conservación a más tardar tres años después del comienzo del tratamiento inicial de los datos personales. Europol podrá decidir prolongar el período de conservación de los datos personales hasta el reexamen siguiente, que tendrá lugar transcurrido un nuevo período de tres años, si sigue siendo necesario para el desempeño de sus tareas. Las razones para prolongar el período de conservación deberán justificarse y registrarse. De no tomarse una decisión sobre la prolongación de la conservación de los datos personales, estos se cancelarán automáticamente al cabo de tres años.

Si se conservaran durante un período superior a cinco años datos personales contemplados en el artículo 30, apartados 1 y 2, el SEPD deberá ser debidamente informado al respecto.

Cuando un Estado miembro, un organismo de la Unión, un país tercero o una organización internacional hayan indicado cualquier restricción en cuanto a la cancelación o destrucción anteriores de datos personales en el momento de la transferencia de conformidad con el artículo 19, apartado 2, Europol cancelará los datos personales con arreglo a dichas restricciones. En caso de que se considere necesario prolongar el período de conservación de los datos para el desempeño de las tareas de Europol, sobre la base de una información más completa que la que obre en poder del proveedor de los datos, Europol solicitará al proveedor de los datos autorización para seguir conservando los datos y presentará una justificación de tal solicitud.

Cuando un Estado miembro, un organismo de la Unión, un país tercero o una organización internacional cancele de sus propios ficheros datos personales facilitados a Europol, informará de ello a Europol. Europol cancelará los datos, a menos que se considere necesario prolongar el período de conservación de los datos para el desempeño de sus tareas, sobre la base de una información más completa que la que obre en poder del proveedor de los datos. Europol informará al proveedor de los datos de la prolongación de la conservación de tales datos y la justificará.

No se procederá a la cancelación de datos personales si:

ello pudiera perjudicar los intereses de un interesado que requiera protección. En tales casos, los datos solo podrán utilizarse con el consentimiento expreso y por escrito del interesado;

el interesado impugnara su exactitud, durante un plazo que permita a los Estados miembros o a Europol, en su caso, verificar la exactitud de los datos;

fuera preciso conservarlos a efectos probatorios o para el reconocimiento, el ejercicio o la defensa de un derecho legal, o

el interesado se opusiera a su cancelación y solicitara, en su lugar, la restricción de su utilización.

Europol y los Estados miembros establecerán, de conformidad, respectivamente, con el artículo 91 del Reglamento (UE) 2018/1725 y con el artículo 29 de la Directiva (UE) 2016/680, mecanismos para garantizar que se abordan las medidas de seguridad, más allá de los límites de los sistemas de información.

Europol podrá tratar datos personales para fines de sus proyectos de investigación e innovación a condición de que el tratamiento de dichos datos personales:

sea absolutamente necesario y esté debidamente justificado para lograr los objetivos del proyecto de que se trate;

por lo que se refiere a categorías especiales de datos personales, sea estrictamente necesario y esté sujeto a unas garantías adecuadas, entre las que se puede incluir la seudonimización.

El tratamiento de datos personales por Europol en el contexto de los proyectos de investigación e innovación se guiará por los principios de transparencia, explicabilidad, equidad y rendición de cuentas.

Sin perjuicio de lo dispuesto en el apartado 1, para el tratamiento de datos personales realizado en el contexto de los proyectos de investigación e innovación de Europol, se aplicarán las siguientes garantías:

todo proyecto de investigación e innovación requerirá la autorización previa del director ejecutivo, en consulta con el responsable de la protección de datos y el agente de derechos fundamentales, sobre la base de:

una descripción de los objetivos del proyecto y una explicación de cómo el proyecto ayuda a Europol o a las autoridades competentes de los Estados miembros en sus funciones,

ii)

una descripción de la actividad de tratamiento prevista, en la que se expongan los objetivos, el alcance y la duración del tratamiento, así como la necesidad y la proporcionalidad del tratamiento de datos personales, por ejemplo, para explorar y probar soluciones tecnológicas innovadoras y garantizar la exactitud de los resultados del proyecto,

iii)

una descripción de las categorías de datos personales que vayan a tratarse,

iv)

una valoración de la observancia de los principios de la protección de datos establecidos en el artículo 72 del Reglamento (UE) 2018/1725, los plazos de conservación y las condiciones de acceso a los datos personales, y

una evaluación de impacto sobre la protección de datos, en la que se incluyan los riesgos para los derechos y libertades de los interesados, el riesgo de cualquier sesgo en los datos personales que vayan a utilizarse para el entrenamiento de los algoritmos y en el resultado del tratamiento, y las medidas previstas para hacer frente a dichos riesgos, así como para evitar las vulneraciones de derechos fundamentales;

se informará al SEPD antes del inicio del proyecto;

se consultará o informará al Consejo de Administración antes del inicio del proyecto, de conformidad con las directrices a que se refiere el artículo 18, apartado 7;

los datos personales que vayan a tratarse en el contexto del proyecto:

se copiarán temporalmente en un entorno de tratamiento de datos separado, aislado y protegido dentro de Europol con el único fin de llevar a cabo dicho proyecto,

ii)

serán accesibles solo para el personal específicamente autorizado de Europol de conformidad con el artículo 30, apartado 3, del presente Reglamento, y, siempre que se disponga de medidas técnicas de seguridad, para el personal específicamente autorizado de las autoridades competentes de los Estados miembros y los organismos de la Unión establecidos sobre la base del título V del TFUE,

iii)

no serán transmitidos o transferidos,

iv)

no darán lugar a medidas o decisiones que afecten a los interesados como resultado del tratamiento,

se cancelarán una vez concluido el proyecto o vencido el plazo de conservación de conformidad con el artículo 31;

los registros del tratamiento de datos personales en el contexto del proyecto se conservarán hasta dos años después de la conclusión del proyecto, únicamente con el fin de comprobar la exactitud de los resultados del tratamiento de datos y solo durante el tiempo necesario para ello.

El Consejo de Administración establecerá en un documento vinculante el alcance general de los proyectos de investigación e innovación. Dicho documento se actualizará cuando proceda y se pondrá a disposición del SEPD para que este pueda desempeñar su función de supervisión.

Europol conservará un documento con una descripción detallada del proceso y de la justificación del entrenamiento, la prueba y la validación de algoritmos para garantizar la transparencia del proceso y de los algoritmos, incluido el cumplimiento de las garantías establecidas en el presente artículo, y para permitir la comprobación de la exactitud de los resultados sobre la base de la utilización de dichos algoritmos. Previa solicitud, Europol pondrá dicho documento a disposición de las partes interesadas, incluidos los Estados miembros y el GCPC.

Si los datos que vayan a tratarse para fines de un proyecto de investigación e innovación hubieran sido facilitados por un Estado miembro, un organismo de la Unión, un tercer país o una organización internacional, Europol solicitará el consentimiento de dicho proveedor de datos de conformidad con el artículo 19, apartado 2, a menos que el proveedor de datos haya concedido autorización previa para dicho tratamiento para fines de proyectos de investigación e innovación, ya sea en términos generales o con condiciones específicas.

Europol no tratará datos para proyectos de investigación e innovación sin el consentimiento del proveedor de los datos. Dicho consentimiento podrá retirarse en cualquier momento.

Sin perjuicio de lo dispuesto en el artículo 92 del Reglamento (UE) 2018/1725, en caso de violación de datos personales, Europol notificará sin demora indebida dicha violación a las autoridades competentes de los Estados miembros afectados, de conformidad con el artículo 7, apartado 5, del presente Reglamento, así como al proveedor de los datos de que se trate, a menos que sea improbable que la violación de datos personales entrañe un riesgo para los derechos y libertades de las personas físicas.

La notificación contemplada en el apartado 1 deberá, al menos:

describir la naturaleza de la violación de datos personales, en particular, cuando sea posible y oportuno, las categorías y el número de interesados afectados, y las categorías y el número de registros de datos de que se trate;

describir las posibles consecuencias de la violación de datos personales;

describir las medidas propuestas o adoptadas por Europol para poner remedio a la violación de datos personales, y

cuando convenga, recomendar medidas tendentes a atenuar los posibles efectos negativos de la violación de datos personales.

Sin perjuicio de lo dispuesto en el artículo 93 del Reglamento (UE) 2018/1725, en caso de que Europol no disponga de los datos de contacto del interesado, pedirá al proveedor de datos que comunique la violación de datos personales al interesado e informe a Europol de la decisión tomada. Los Estados miembros que faciliten datos personales comunicarán la violación de datos personales al interesado con arreglo al Derecho nacional.

Cualquier interesado que desee ejercer el derecho de acceso a que se refiere el artículo 80 del Reglamento (UE) 2018/1725 a los datos personales que le atañan podrá formular la correspondiente solicitud a la autoridad designada a tal efecto en el Estado miembro de su elección o ante Europol. Cuando la solicitud se presente a dicha autoridad, esta remitirá la solicitud a Europol sin demora indebida y en el plazo de un mes a partir de su recepción.

Europol confirmará el recibo de la solicitud en virtud del apartado 3. Europol deberá responder a la solicitud sin retrasos indebidos, y en cualquier caso en el plazo de tres meses desde la recepción por Europol de la solicitud de la autoridad nacional.

Europol consultará sobre la decisión que deba tomarse a las autoridades competentes de los Estados miembros, con arreglo a las condiciones establecidas en el artículo 7, apartado 5, y al proveedor de los datos en cuestión. La decisión sobre el acceso a los datos personales estará supeditada a una estrecha cooperación entre Europol y los Estados miembros y el proveedor de datos directamente afectado por el acceso del interesado a dichos datos. En caso de que un Estado miembro o el proveedor de datos se oponga a la respuesta propuesta por Europol, notificará a Europol los motivos de su oposición de conformidad con el apartado 6 del presente artículo. Europol tendrá lo más posible en cuenta cualquier objeción de este tipo. Europol notificará posteriormente el contenido de su decisión a las autoridades competentes afectadas, con arreglo a las condiciones establecidas en el artículo 7, apartado 5, y al proveedor de datos.

Cualquier interesado que desee ejercer el derecho de rectificación o supresión de datos personales o limitación del tratamiento de los datos personales que le atañan, a que se refiere el artículo 82 del Reglamento (UE) 2018/1725, podrá formular la correspondiente solicitud, a través de la autoridad designada a tal efecto en el Estado miembro de su elección o a Europol. Cuando la solicitud se presente a dicha autoridad, esta remitirá la solicitud a Europol sin demora indebida y en el plazo de un mes a partir de su recepción.

Sin perjuicio de lo dispuesto en el artículo 82, apartado 3, del Reglamento (UE) 2018/1725, Europol restringirá el tratamiento de datos personales, en lugar de cancelar los datos personales, en caso de que hubiera motivos razonables para suponer que la cancelación podría perjudicar intereses legítimos del interesado.

Los datos restringidos solo se tratarán con el fin de proteger los derechos del interesado, cuando sea necesario para proteger los intereses vitales del interesado o de otra persona, o para los fines establecidos en el artículo 82, apartado 3, del Reglamento (UE) 2018/1725.

Cuando los datos personales a que se refieren los apartados 1 y 3 en poder de Europol le hubieran sido facilitados por terceros países, organizaciones internacionales u organismos de la Unión, hubieran sido facilitados directamente por entidades privadas, extraídos por Europol de fuentes públicas o fueran el resultado de los propios análisis de Europol, esta deberá rectificar o cancelar dichos datos o restringir su tratamiento e informar, en su caso, a los proveedores de los datos.

Cuando los datos personales a que se refieren los apartados 1 y 3 en poder de Europol le hubieran sido facilitados por Estados miembros, los Estados miembros de que se trate deberán rectificar o cancelar dichos datos o restringir su tratamiento en cooperación con Europol, dentro de sus respectivas competencias.

Si datos personales incorrectos se hubieran transferido por cualquier otro medio apropiado, o si los errores en los datos facilitados por los Estados miembros se debieran a una transferencia defectuosa, o se hubieran transmitido incumpliendo las disposiciones del presente Reglamento o Europol hubiera introducido, integrado o conservado los datos de manera incorrecta o incumpliendo las disposiciones del presente Reglamento, Europol deberá rectificarlos o cancelarlos en colaboración con el proveedor de los datos afectado.

En los casos contemplados en los apartados 4, 5 y 6, se informará inmediatamente a todos los destinatarios de dichos datos. De conformidad con las normas que les sean aplicables, los destinatarios procederán a rectificar, cancelar o restringir tales datos en sus sistemas.

Europol tratará los datos personales de manera que pueda determinarse su fuente de conformidad con el artículo 17.

La responsabilidad por la exactitud de los datos personales a que se refiere el artículo 71, apartado 1, letra d), del Reglamento (UE) 2018/1725 recaerá en:

▼B

el Estado miembro y en el organismo de la Unión que facilitaron los datos personales a Europol;

Europol en lo que respecta a los datos personales facilitados por países terceros u organizaciones internacionales o directamente por entidades privadas, por los datos personales extraídos por Europol de fuentes públicas o que resulten de los propios análisis de Europol y por los datos personales almacenados por Europol de conformidad con el artículo 31, apartado 5.

Si Europol tuviera conocimiento de que los datos personales facilitados de conformidad con el artículo 17, apartado 1, letras a) y b), contienen errores de hecho o han sido almacenados ilícitamente, informará de ello al proveedor de dichos datos.

Europol será responsable del cumplimiento del Reglamento (UE) 2018/1725 por lo que respecta a los datos personales administrativos, y del cumplimiento del presente Reglamento y del artículo 3 y el capítulo IX del Reglamento (UE) 2018/1725 por lo que respecta a los datos personales.

La responsabilidad por la legalidad de la transferencia de los datos recaerá en:

el Estado miembro que facilitó los datos personales a Europol;

Europol en el caso de los datos personales facilitados por él a los Estados miembros, países terceros u organizaciones internacionales.

En caso de transferencia entre Europol y un organismo de la Unión, la responsabilidad por la legalidad de la transferencia recaerá en Europol.

Sin perjuicio del párrafo primero, cuando los datos hubieran sido transferidos por Europol a petición del destinatario, tanto Europol como el destinatario serán responsables de la legalidad de la transferencia.

Europol será responsable de todas las operaciones de tratamiento de datos efectuadas por sus servicios, con excepción del intercambio bilateral de datos mediante la infraestructura de Europol entre Estados miembros, organismos de la Unión, países terceros y organizaciones internacionales a las que Europol no tenga acceso. Dicho intercambio bilateral se llevará a cabo bajo la responsabilidad de las entidades interesadas y de conformidad con su legislación. ►M1 La seguridad de dicho intercambio se garantizará con arreglo al artículo 91 del Reglamento (UE) 2018/1725. ◄

Sin perjuicio de lo dispuesto en el artículo 90 del Reglamento (UE) 2018/1725, la consulta previa al SEPD no se aplicará a actividades operativas específicas que no incluyan ningún tipo nuevo de tratamiento que implique un riesgo elevado para los derechos y libertades de los interesados.

Europol podrá iniciar operaciones de tratamiento que estén sujetas a consulta previa del SEPD en virtud del artículo 90, apartado 1, del Reglamento (UE) 2018/1725, a menos que el SEPD haya proporcionado asesoramiento por escrito en virtud del artículo 90, apartado 4, de dicho Reglamento en los plazos previstos en dicha disposición, que se iniciarán en la fecha de recepción de la solicitud inicial de consulta y no podrán suspenderse.

Cuando las operaciones de tratamiento a que se refiere el apartado 2 del presente artículo tengan una importancia sustancial para desempeñar las funciones de Europol y sean especialmente urgentes y necesarias para prevenir y combatir una amenaza inmediata de un delito que se incluya en los objetivos de Europol o para proteger los intereses vitales del interesado o de otra persona, Europol podrá iniciar excepcionalmente el tratamiento después de la consulta previa del SEPD prevista en el artículo 90, apartado 1, del Reglamento (UE) 2018/1725 y antes de que expire el plazo previsto en el artículo 90, apartado 4, de dicho Reglamento. En tal caso, Europol informará al SEPD antes del inicio de las operaciones de tratamiento.

El asesoramiento por escrito del SEPD en virtud del artículo 90, apartado 4, del Reglamento (UE) 2018/1725 se tendrá en cuenta de manera retroactiva, y la forma en que se lleve a cabo el tratamiento se adaptará en consecuencia.

El responsable de protección de datos participará en la valoración de la urgencia de dichas operaciones de tratamiento antes de que expire el plazo previsto en el artículo 90, apartado 4, del Reglamento (UE) 2018/1725 y supervisará el tratamiento en cuestión.

El SEPD llevará un registro de todas las operaciones de tratamiento que se le hayan notificado en virtud del apartado 1. Dicho registro no será público.

Europol llevará un registro de todas las categorías de actividades de tratamiento bajo su responsabilidad. Dicho registro contendrá la siguiente información:

los datos de contacto de Europol y el nombre y los datos de contacto del responsable de protección de datos;

los fines del tratamiento;

una descripción de las categorías de interesados y de las categorías de datos personales;

las categorías de destinatarios a los que se hayan comunicado o vayan a comunicarse los datos personales, incluidos los destinatarios en terceros países u organizaciones internacionales;

cuando proceda, las transferencias de datos personales a un tercer país, a una organización internacional o a una entidad privada, incluido el nombre de dicho destinatario;

cuando sea posible, los plazos previstos para la cancelación de las diferentes categorías de datos;

cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad a que se refiere el artículo 91 del Reglamento (UE) 2018/1725;

en su caso, el recurso a la elaboración de perfiles.

El registro a que se refiere el apartado 1 se efectuará por escrito, incluido el formato electrónico.

Europol pondrá a disposición del SEPD, previa solicitud, el registro a que se refiere el apartado 1.

De conformidad con el artículo 88 del Reglamento (UE) 2018/1725, Europol conservará registros de sus operaciones de tratamiento. No será posible modificarlos.

Sin perjuicio de lo dispuesto en el artículo 88 del Reglamento (UE) 2018/1725, si lo requiere una unidad nacional para una investigación específica relacionada con el cumplimiento de las normas de protección de datos, los registros de operaciones a que se refiere el apartado 1 se comunicarán a dicha unidad nacional.

El Consejo de Administración nombrará a un miembro del personal de Europol como responsable de protección de datos, que será designado para ese único cargo.

El responsable de protección de datos será seleccionado atendiendo a sus cualidades profesionales y, en particular, sus conocimientos especializados de la normativa y las prácticas en materia de protección de datos, así como a su capacidad para desempeñar las funciones a que se refiere el artículo 41 ter del presente Reglamento y el Reglamento (UE) 2018/1725.

La selección del responsable de protección de datos no podrá derivar en un conflicto de intereses entre su función de responsable de protección de datos y cualesquiera otras obligaciones oficiales que pueda tener, en particular, en relación con la aplicación del presente Reglamento.

El responsable de protección de datos no podrá ser destituido ni sancionado por el Consejo de Administración por razón del ejercicio de sus funciones.

Europol publicará los datos de contacto del responsable de protección de datos y los comunicará al SEPD.

Europol garantizará que el responsable de protección de datos participe de forma adecuada y en tiempo oportuno en todas las cuestiones relativas a la protección de datos personales.

Europol respaldará al responsable de protección de datos en el desempeño de las funciones mencionadas en el artículo 41 ter, facilitando los recursos y el personal necesarios para el desempeño de dichas funciones y facilitando el acceso a los datos personales y a las operaciones de tratamiento, y para mantener sus conocimientos especializados.

Con el fin de respaldar al responsable de protección de datos en el desempeño de sus funciones, se podrá designar a un miembro del personal de Europol como responsable adjunto de protección de datos.

Europol garantizará que el responsable de protección de datos actúe de modo independiente y que no reciba ninguna instrucción en lo que respecta al desempeño de sus funciones.

El responsable de protección de datos informará directamente al Consejo de Administración.

Los interesados podrán ponerse en contacto con el responsable de protección de datos por lo que respecta a todas las cuestiones relativas al tratamiento de sus datos personales y al ejercicio de sus derechos al amparo del presente Reglamento y del Reglamento (UE) 2018/1725.

Nadie deberá sufrir perjuicio alguno por informar al responsable de protección de datos de una presunta infracción del presente Reglamento o del Reglamento (UE) 2018/1725.

El Consejo de Administración adoptará normas de desarrollo referentes al responsable de protección de datos. Tales normas se referirán, en concreto, al procedimiento de selección para el cargo de responsable de protección de datos y a su destitución, a las funciones, obligaciones y competencias del responsable de protección de datos y a las garantías de su independencia.

El responsable de protección de datos y su personal estarán obligados a mantener la confidencialidad de conformidad con el artículo 67, apartado 1.

El responsable de protección de datos será nombrado para un mandato de cuatro años y podrá optar a un nuevo nombramiento.

En caso de que deje de cumplir las condiciones requeridas para el ejercicio de sus funciones, el responsable de protección de datos será destituido de su cargo por el Consejo de Administración solo previo consentimiento del SEPD.

El responsable de protección de datos y el responsable adjunto de protección de datos serán adscritos al SEPD por el Consejo de Administración.

10.

Las disposiciones aplicables al responsable de protección de datos se aplicarán mutatis mutandis al responsable adjunto de protección de datos.

El responsable de protección de datos desempeñará, en particular, las siguientes funciones en relación con el tratamiento de datos personales:

garantizar de manera independiente el cumplimiento por parte de Europol de las disposiciones sobre protección de datos del presente Reglamento y del Reglamento (UE) 2018/1725, así como de las disposiciones pertinentes en materia de protección de datos de las normas internas de Europol, incluido el seguimiento del cumplimiento del presente Reglamento, del Reglamento (UE) 2018/1725, de otras disposiciones de la Unión o nacionales en materia de protección de datos y de las políticas de Europol en esta materia, incluida la asignación de responsabilidades, la concienciación y la formación del personal que participe en las operaciones de tratamiento, y las auditorías correspondientes;

informar a Europol y a aquellos miembros del personal que se ocupen del tratamiento de datos personales de las obligaciones que les incumben en virtud del presente Reglamento, del Reglamento (UE) 2018/1725 y de otras disposiciones de la Unión o nacionales en materia de datos personales y asesorarles en la materia;

prestar el asesoramiento que se le solicite acerca de la evaluación de impacto relativa a la protección de datos con arreglo al artículo 89 del Reglamento (UE) 2018/1725 y hacer el seguimiento de la eficacia de la evaluación de impacto relativa a la protección de datos;

llevar un registro de las violaciones de datos personales y prestar el asesoramiento que se le solicite acerca de la necesidad de notificar o comunicar una violación de datos personales con arreglo a los artículos 92 y 93 del Reglamento (UE) 2018/1725;

velar por que se lleve un registro de la transmisión, la transferencia y la recepción de datos personales de conformidad con el presente Reglamento;

velar por que los interesados que lo soliciten sean informados de sus derechos en virtud del presente Reglamento y del Reglamento (UE) 2018/1725;

cooperar con el personal de Europol responsable de los procedimientos, la formación y el asesoramiento en materia de tratamiento de datos;

responder a las solicitudes del SEPD, en el ámbito de sus competencias, cooperar y consultar con el SEPD, a petición de este o por iniciativa propia;

cooperar con las autoridades competentes de los Estados miembros, en particular, con los responsables de protección de datos de las autoridades competentes de los Estados miembros y las autoridades nacionales de control en materia de protección de datos en el ámbito policial;

actuar como punto de contacto del SEPD para las cuestiones relacionadas con el tratamiento, incluida la consulta previa con arreglo a los artículos 40 y 90 del Reglamento (UE) 2018/1725, y realizar consultas, en su caso, sobre cualquier otra cuestión de su ámbito de competencias;

elaborar un informe anual y transmitirlo al Consejo de Administración y al SEPD;

velar por que las operaciones de tratamiento no tengan efectos adversos en los derechos y las libertades de los interesados.

El responsable de protección de datos podrá formular recomendaciones al Consejo de Administración para la mejora práctica de la protección de datos y asesorar sobre cuestiones relativas a la aplicación de las disposiciones en materia de protección de datos.

El responsable de protección de datos podrá investigar, de oficio o a instancias del Consejo de Administración o de cualquier persona física, las cuestiones y los incidentes directamente relacionados con sus funciones que lleguen a su conocimiento e informar a la persona que solicitó la investigación o al Consejo de Administración sobre los resultados de dicha investigación.

El responsable de protección de datos ejercerá las funciones que dispone el Reglamento (UE) 2018/1725 en lo que atañe a los datos personales administrativos.

En el ejercicio de sus funciones, el responsable de protección de datos y los miembros del personal de Europol que le asistan en el ejercicio de sus funciones tendrán acceso a todos los datos tratados por Europol y a todos los locales de Europol.

Si el responsable de protección de datos considerara que no se han cumplido las disposiciones del presente Reglamento o del Reglamento (UE) 2018/1725 relativas al tratamiento de los datos personales administrativos, o las disposiciones del presente Reglamento o del artículo 3 y el capítulo IX del Reglamento (UE) 2018/1725 relativas al tratamiento de los datos personales, informará de ello al director ejecutivo y le pedirá que subsane el incumplimiento en un plazo determinado.

Si el director ejecutivo no subsanara el incumplimiento en el plazo fijado, el responsable de protección de datos informará al Consejo de Administración. El Consejo de Administración responderá en un plazo determinado acordado con el responsable de protección de datos. Si el Consejo de Administración no subsanara el incumplimiento en el plazo fijado, el responsable de protección de datos remitirá el asunto al SEPD.

El Consejo de Administración designará, a propuesta del director ejecutivo, a un agente de derechos fundamentales. Este podrá ser un miembro del personal en plantilla de Europol que haya recibido formación especial jurídica y práctica en materia de derechos fundamentales.

El agente de derechos fundamentales desempeñará las siguientes funciones:

asesorar a Europol, si lo considera necesario o previa solicitud, en relación con cualquier actividad de Europol sin impedir ni retrasar las actividades de que se trate;

hacer el seguimiento del cumplimiento de los derechos fundamentales por parte de Europol;

elaborar dictámenes no vinculantes sobre los acuerdos de trabajo;

informar al director ejecutivo de posibles vulneraciones de los derechos fundamentales durante las actividades de Europol;

promover el respeto de los derechos fundamentales por parte de Europol en el desempeño de sus funciones y actividades;

cualquier otra tarea prevista en el presente Reglamento.

Europol garantizará que el agente de derechos fundamentales no reciba ninguna instrucción en lo que respecta al desempeño de sus funciones.

El agente de derechos fundamentales informará directamente al director ejecutivo y preparará informes anuales sobre sus actividades, también sobre la medida en que las actividades de Europol respetan los derechos fundamentales. Dichos informes serán puestos a disposición del Consejo de Administración.

Todo miembro del personal de Europol que participe en tareas operativas que conlleven el tratamiento de datos personales recibirá una formación obligatoria en materia de protección de los derechos y libertades fundamentales, incluida la relativa al tratamiento de datos personales. Dicha formación se impartirá en cooperación con la Agencia de los Derechos Fundamentales de la Unión Europea (FRA), creada por el Reglamento (CE) n.o 168/2007 del Consejo ( 14 ), y la Agencia de la Unión Europea para la Formación Policial (CEPOL), creada por el Reglamento (UE) 2015/2219 del Parlamento Europeo y del Consejo ( 15 ).

A efectos del ejercicio de su función supervisora, las autoridades nacionales de control a que se refiere el artículo 41 de la Directiva (UE) 2016/680 tendrán acceso, en la unidad nacional o en los locales de los funcionarios de enlace, a los datos facilitados por su Estado miembro a Europol, de conformidad con los procedimientos nacionales aplicables, y a los registros de operaciones mencionados en el artículo 40 del presente Reglamento.

Las autoridades nacionales de control tendrán acceso a las oficinas y los documentos de sus respectivos funcionarios de enlace en Europol.

Las autoridades nacionales de control controlarán, de conformidad con los procedimientos nacionales aplicables, las actividades de las unidades nacionales y de los funcionarios de enlace, en la medida en que dichas actividades sean pertinentes para la protección de los datos personales. Mantendrán asimismo informado al SEPD de las acciones que puedan emprender con respecto a Europol.

Cualquier persona tendrá derecho a solicitar a la autoridad nacional de control que verifique la legalidad de la transferencia o la comunicación a Europol de datos que le conciernan, en cualquier forma, y el acceso a los datos por parte del Estado miembro de que se trate. Ese derecho se ejercerá con arreglo a la legislación nacional del Estado miembro en el que se presente la solicitud.

►M1 El SEPD tendrá la responsabilidad de vigilar y garantizar la aplicación de las disposiciones del presente Reglamento y del Reglamento (UE) 2018/1725 relativas a la protección de los derechos y libertades fundamentales de las personas físicas en relación con el tratamiento de datos personales por Europol, y de asesorar a Europol y a los interesados sobre cualquier cuestión relativa al tratamiento de los datos personales. ◄ A tal fin, deberá cumplir los cometidos que le incumben según el apartado 2, y ejercerá las competencias que le son conferidas en virtud del apartado 3 cooperando estrechamente al mismo tiempo con las autoridades nacionales de control de conformidad con el artículo 44.

El SEPD tendrá los siguientes cometidos:

atender e investigar las quejas e informar al interesado, en un plazo razonable, del curso dado a las mismas;

efectuar pesquisas por iniciativa propia o a raíz de una queja e informar a los interesados de los resultados en un plazo razonable;

vigilar y garantizar la aplicación del presente Reglamento y de cualquier otro acto de la Unión relativo a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales por Europol;

asesorar a Europol, por propia iniciativa o en respuesta a una consulta, sobre todas las cuestiones relacionadas con el tratamiento de los datos personales, en particular antes de la elaboración de normas internas sobre la protección de los derechos y libertades fundamentales en relación con el tratamiento de los datos personales;

llevar un registro de los nuevos tipos de operaciones de tratamiento que se le hayan notificado en virtud del artículo 39, apartado 1, y que hayan sido registradas de conformidad con el artículo 39, apartado 4;

efectuar una consulta previa sobre los tratamientos que se le hayan notificado.

El SEPD podrá, en virtud del presente Reglamento:

asesorar a los interesados en el ejercicio de sus derechos;

remitir el asunto a Europol en caso de presunta violación de las disposiciones que rigen el tratamiento de datos personales y, en su caso, formular propuestas encaminadas a subsanar esa violación y mejorar la protección de los interesados;

ordenar que se atiendan las solicitudes para ejercer determinados derechos en relación con los datos cuando se hayan denegado tales solicitudes en violación de lo dispuesto en los artículos 36 y 37;

dirigir una advertencia o una amonestación a Europol;

ordenar a Europol que efectúe la rectificación, restricción, cancelación o destrucción de datos personales que hayan sido tratados en violación de las disposiciones que rigen el tratamiento de datos personales y notificar de dichas medidas a los terceros a quienes se hayan divulgado dichos datos;

prohibir temporal o definitivamente las operaciones de tratamiento por parte de Europol que violen las disposiciones que rigen el tratamiento de datos personales;

remitir el asunto a Europol y, en caso de necesidad, al Parlamento Europeo, al Consejo y a la Comisión;

remitir el asunto al Tribunal de Justicia de la Unión Europea en las condiciones previstas en el TFUE;

intervenir en los procesos ante el Tribunal de Justicia de la Unión Europea;

▼M1

ordenar al responsable del tratamiento o al encargado del tratamiento que las operaciones de tratamiento cumplan el presente Reglamento, en su caso, de una determinada manera y dentro de un plazo señalado;

ordenar la suspensión de los flujos de datos hacia un destinatario en un Estado miembro o en un tercer país o hacia una organización internacional;

imponer una multa administrativa en caso de incumplimiento por parte de Europol de alguna de las medidas contempladas en las letras c), e), f), j) y k) del presente apartado, en función de las circunstancias de cada caso concreto.

▼B

El SEPD será competente para:

obtener de Europol acceso a todos los datos personales y a toda la información necesaria para sus pesquisas;

obtener acceso a todos los locales en los que Europol lleva a cabo sus actividades, cuando hubiera motivos razonables para suponer que en ellos se lleva a cabo una actividad cubierta por el presente Reglamento.

El SEPD preparará un informe anual sobre sus actividades de supervisión relativas a Europol. Dicho informe formará parte del informe anual del SEPD contemplado en el artículo 60 del Reglamento (UE) 2018/1725.

El SEPD invitará a las autoridades nacionales de control a formular observaciones sobre dicha parte del informe anual antes de que se adopte el informe anual. El SEPD prestará suma atención a dichas observaciones y hará referencia a ellas en el informe anual.

La parte del informe anual a que se refiere el párrafo segundo incluirá información estadística sobre quejas, pesquisas e investigaciones, así como sobre las transferencias de datos personales a terceros países y organizaciones internacionales, los casos de consulta previa al SEPD y el ejercicio de las competencias establecidas en el apartado 3 del presente artículo.

El SEPD, sus funcionarios y el resto del personal de la Secretaría del SEPD estarán sujetos a la obligación de confidencialidad de conformidad con el artículo 67, apartado 1.

El SEPD actuará en estrecha cooperación con las autoridades nacionales de control en cuestiones que requieran una intervención nacional, en particular si el SEPD o una autoridad nacional de control detectan discrepancias importantes entre las prácticas de los Estados miembros o transferencias potencialmente ilícitas en la utilización de los canales de Europol para el intercambio de información, o en el contexto de cuestiones planteadas por una o varias autoridades nacionales de control sobre la aplicación y la interpretación del presente Reglamento.

En los casos a que se refiere el apartado 1, se garantizará un control coordinado de conformidad con el artículo 62 del Reglamento (UE) 2018/1725. El SEPD recurrirá a los conocimientos y la experiencia de las autoridades nacionales de control para el desempeño de las funciones contempladas en el artículo 43, apartado 2, del presente Reglamento.

Teniendo debidamente en cuenta los principios de subsidiariedad y de proporcionalidad, los miembros y el personal de las autoridades nacionales de control tendrán competencias equivalentes a las contempladas en el artículo 43, apartado 4, del presente Reglamento y tendrán una obligación equivalente a la dispuesta en el artículo 43, apartado 6, del presente Reglamento, cuando realicen inspecciones conjuntas con el SEPD.

El SEPD mantendrá plenamente informadas a las autoridades nacionales de control de todas las cuestiones que les afecten directamente o que les conciernen de otra manera. A petición de una o varias autoridades nacionales de control, el SEPD les informará sobre cuestiones específicas.

En casos relativos a datos procedentes de uno o más Estados miembros, en particular en los casos mencionados en el artículo 47, apartado 2, el SEPD deberá consultar a las autoridades nacionales de control de que se trate. El SEPD no tomará una decisión sobre la adopción de ulteriores medidas antes de que dichas autoridades nacionales de control le informen de la opinión de estas en un plazo por él especificado, que no será inferior a un mes ni superior a tres meses a partir del momento en que el SEPD consulte a las autoridades nacionales de control de que se trate. El SEPD tendrá en cuenta al máximo la opinión de las autoridades nacionales de control de que se trate. Cuando el SEPD no tenga intención de seguir la opinión de dichas autoridades, les informará de ello, aducirá una justificación y remitirá el asunto al Comité Europeo de Protección de Datos.

Cualquier interesado que considere que el tratamiento por parte de Europol de datos personales que guarden relación con él no respeta el presente Reglamento o el Reglamento (UE) 2018/1725 tendrá derecho a presentar una queja ante el SEPD.

►M1 Cuando una queja se refiera a una decisión contemplada en los artículos 36 o 37 del presente Reglamento o en los artículos 81 u 82 del Reglamento (UE) 2018/1725, el SEPD consultará a las autoridades nacionales de control del Estado miembro del que procedan los datos o del Estado miembro directamente afectado. ◄ La decisión del SEPD, que podría consistir en la negativa a comunicar información alguna, tendrá en cuenta el dictamen de la autoridad nacional de control.

Cuando una queja se refiera al tratamiento de datos facilitados por un Estado miembro a Europol, el SEPD y la autoridad nacional de control del Estado miembro que haya facilitado los datos se cerciorarán, cada uno en el ámbito de sus respectivas competencias, de que se han efectuado correctamente las comprobaciones necesarias sobre la legalidad del tratamiento de datos.

Cuando una queja se refiera al tratamiento de datos facilitados a Europol por organismos de la Unión, países terceros u organizaciones internacionales, o de datos extraídos por Europol de fuentes públicamente disponibles o que resulten de los propios análisis de Europol, el SEPD se cerciorará de que Europol ha efectuado correctamente las comprobaciones necesarias sobre la legalidad del tratamiento de datos.

El SEPD informará al interesado sobre el curso y el resultado de la queja, así como sobre la posibilidad de tutela judicial en virtud del artículo 48.

Las decisiones del SEPD podrán recurrirse ante el Tribunal de Justicia de la Unión Europea.

La responsabilidad contractual de Europol se regirá por el Derecho aplicable al contrato de que se trate.

El Tribunal de Justicia de la Unión Europea será competente para pronunciarse en virtud de cualquier cláusula compromisoria en un contrato celebrado por Europol.

Sin perjuicio de lo dispuesto en el artículo 49, en el caso de responsabilidad extracontractual, Europol, de conformidad con los principios generales comunes a los Derechos de los Estados miembros, indemnizará los daños causados por sus servicios o por su personal en el ejercicio de sus funciones.

El Tribunal de Justicia de la Unión Europea será competente en los litigios respecto a la indemnización por los daños a que se refiere el apartado 3.

La responsabilidad individual del personal de Europol ante Europol se regirá por lo dispuesto en el Estatuto de los funcionarios o el régimen aplicable a los otros agentes.

Toda persona que haya sufrido daños y perjuicios materiales o inmateriales como consecuencia de una infracción del presente Reglamento tendrá derecho a recibir una indemnización de conformidad con el artículo 65 del Reglamento (UE) 2018/1725 y el artículo 56 de la Directiva (UE) 2016/680.

Cualquier litigio entre Europol y los Estados miembros en relación con la responsabilidad última por la indemnización concedida a una persona que haya sufrido daños y perjuicios materiales o inmateriales de conformidad con el apartado 1 del presente artículo se remitirá al Consejo de Administración. El Consejo de Administración decidirá sobre dicha responsabilidad por mayoría de dos tercios de sus miembros, sin perjuicio del derecho a impugnar dicha decisión de conformidad con el artículo 263 del TFUE.

Con arreglo al artículo 88 del TFUE, el control de las actividades de Europol corresponderá al Parlamento Europeo junto con los parlamentos nacionales. Juntos constituirán un Grupo de Control Parlamentario Conjunto (GCPC) creado conjuntamente por los parlamentos nacionales y la comisión competente del Parlamento Europeo. El Parlamento Europeo y los parlamentos nacionales determinarán conjuntamente la organización y el reglamento interno del GCPC con arreglo al artículo 9 del Protocolo n.o 1.

El GCPC efectuará una supervisión política de las actividades de Europol en el cumplimiento de su misión, incluso en relación con las consecuencias de dichas actividades sobre los derechos y las libertades fundamentales de las personas físicas.

Europol transmitirá los siguientes documentos, a efectos informativos, al GCPC, teniendo en cuenta las obligaciones de discreción y confidencialidad:

valoraciones de las amenazas, análisis estratégicos e informes generales de situación relacionados con los objetivos de Europol, así como los resultados de los estudios y evaluaciones encargados por Europol;

los acuerdos administrativos adoptados de conformidad con el artículo 25, apartado 1;

el documento que contenga la programación plurianual y el programa de trabajo anual de Europol mencionados en el artículo 12, apartado 1;

▼M1

el informe anual de actividades consolidado sobre las actividades de Europol, mencionado en el artículo 11, apartado 1, letra c), incluida la información pertinente sobre las actividades de Europol y los resultados obtenidos en el tratamiento de grandes conjuntos de datos, sin revelar detalles operativos y sin perjuicio de las investigaciones en curso;

▼B

el informe de evaluación elaborado por la Comisión mencionado en el artículo 68, apartado 1;

▼M1

información anual de conformidad con el artículo 26, apartado 11, sobre los datos personales intercambiados con entidades privadas en virtud de los artículos 26, 26 bis y 26 ter, incluida una evaluación de la eficacia de la cooperación, ejemplos concretos en los que se demuestre por qué esas solicitudes eran necesarias y proporcionadas, para que Europol pueda lograr sus objetivos y desempeñar sus funciones, y, en lo que respecta a los intercambios de datos personales en virtud del artículo 26 ter, el número de niños identificados como resultado de dichos intercambios en la medida en que Europol disponga de esta información;

información anual sobre el número de casos en los que Europol haya tenido que tratar datos personales que no atañan a las categorías de interesados enumeradas en el anexo II con el fin de apoyar a los Estados miembros en una investigación penal específica en curso de conformidad con el artículo 18 bis, así como información sobre la duración y los resultados del tratamiento, que incluya ejemplos de casos en los que se demuestre por qué ese tratamiento de datos era necesario y proporcionado;

información anual sobre las transferencias de datos personales a terceros países y organizaciones internacionales en virtud del artículo 25, apartados 1 y 4 bis, desglosadas por base jurídica, y sobre el número de casos en los que el director ejecutivo haya autorizado, en virtud del artículo 25, apartado 5, la transferencia o las categorías de transferencias de datos personales relacionadas con una investigación penal específica en curso a terceros países u organizaciones internacionales, incluida la información sobre los países de que se trate y la duración de la autorización;

información anual sobre el número de casos en los que Europol haya propuesto la posible introducción de descripciones de información de conformidad con el artículo 4, apartado 1, letra t), que incluya ejemplos concretos de casos en los que se demuestre por qué se había propuesto la introducción de dichas descripciones;

información anual sobre el número de proyectos de investigación e innovación emprendidos, que incluya información sobre los fines de dichos proyectos, las categorías de datos personales tratados, las garantías adicionales utilizadas, incluida la minimización de datos, las necesidades policiales que dichos proyectos pretenden abordar y el resultado de estos;

información anual sobre el número de casos en los que Europol haya recurrido al tratamiento temporal de conformidad con el artículo 18, apartado 6 bis y, en su caso, el número de casos en que se haya ampliado el período de tratamiento;

información anual sobre el número y los tipos de casos en los que se hayan tratado categorías especiales de datos personales, en virtud del artículo 30, apartado 2.

Los ejemplos a que se refieren las letras f) e i) se anonimizarán en lo que respecta a los datos personales.

Los ejemplos a que se refiere la letra g) se anonimizarán en lo que respecta a los datos personales, sin revelar detalles operativos y sin perjuicio de las investigaciones en curso.

▼B

El GCPC podrá pedir otros documentos pertinentes necesarios para el cumplimiento de sus funciones relativas a la supervisión política de las actividades de Europol, con arreglo a lo dispuesto en el Reglamento (CE) n.o 1049/2001 del Parlamento Europeo y del Consejo ( 16 ) y sin perjuicio de los artículos 52 y 67 del presente Reglamento.

El GCPC podrá elaborar unas conclusiones resumidas sobre el seguimiento político de las actividades de Europol, incluidas recomendaciones específicas no vinculantes dirigidas a Europol, y presentarlas al Parlamento Europeo y a los Parlamentos nacionales. El Parlamento Europeo remitirá dichas conclusiones, a efectos informativos, al Consejo, la Comisión y Europol.

Acceso del Parlamento Europeo a información tratada por Europol o por su mediación

A fin de permitirle el ejercicio del control parlamentario de las actividades de Europol de conformidad con el artículo 51, el acceso del Parlamento Europeo, previa solicitud del mismo, a información sensible no clasificada tratada por mediación de Europol o por el propio Europol deberá cumplir las normas a las que se refiere el artículo 67, apartado 1.

El acceso del Parlamento Europeo a información clasificada de la UE tratada por Europol o por su mediación deberá respetar el Acuerdo interinstitucional de 12 de marzo de 2014 entre el Parlamento Europeo y el Consejo sobre la transmisión al Parlamento Europeo y la gestión por el mismo de la información clasificada en posesión del Consejo sobre asuntos distintos de los pertenecientes al ámbito de la política exterior y de seguridad común ( 17 ) y deberá cumplir las normas a las que se refiere el artículo 67, apartado 2, del presente Reglamento.

Los pormenores necesarios relativos al acceso del Parlamento Europeo a la información contemplada en los apartados 1 y 2 se regirán por acuerdos de colaboración celebrados entre Europol y el Parlamento Europeo.

El GCPC creará un foro consultivo que le asista, previa petición, mediante un asesoramiento independiente en materia de derechos fundamentales.

El GCPC y el director ejecutivo podrán consultar al foro consultivo acerca de cualquier asunto relacionado con los derechos fundamentales.

El GCPC determinará la composición del foro consultivo, sus métodos de trabajo y el modo en que la información se haya de transmitir al foro consultivo.

El Estatuto de los funcionarios, el régimen aplicable a los otros agentes y las normas adoptadas de común acuerdo entre las instituciones de la Unión para la aplicación de dicho Estatuto y dicho régimen se aplicarán al personal de Europol, con excepción del personal que el 1 de mayo de 2017 esté sujeto a contratos celebrados por Europol de conformidad con el Convenio Europol sin perjuicio de lo dispuesto en el artículo 73, apartado 4, del presente Reglamento. Dichos contratos seguirán rigiéndose por el Acto del Consejo de 3 de diciembre de 1998.

El personal de Europol estará formado por agentes temporales o agentes contractuales. El Consejo de Administración será informado anualmente de los contratos de duración indeterminada celebrados por el director ejecutivo. El Consejo de Administración decidirá cuáles de los puestos temporales previstos en la plantilla de personal podrán dotarse únicamente con personal procedente de las autoridades competentes de los Estados miembros. Estos puestos se dotarán con agentes temporales, con quienes únicamente podrán celebrarse contratos de duración determinada renovables una sola vez por un plazo determinado.

El director ejecutivo será contratado como agente temporal de Europol en virtud del artículo 2, letra a), del régimen aplicable a los otros agentes.

El director ejecutivo será nombrado por el Consejo a partir de una lista de candidatos preseleccionados propuesta por el Consejo de Administración, en el marco de un procedimiento de selección abierto y transparente.

Un comité de selección creado por el Consejo de Administración e integrado por miembros designados por los Estados miembros y un representante de la Comisión elaborará la lista de candidatos preseleccionados.

A efectos de la celebración del contrato con el director ejecutivo, Europol estará representada por el presidente del Consejo de Administración.

Antes del nombramiento, podrá invitarse al candidato seleccionado por el Consejo a que comparezca ante la comisión competente del Parlamento Europeo, que a continuación emitirá su dictamen no vinculante.

El mandato del director ejecutivo tendrá una duración de cuatro años. Al final de ese período, la Comisión, en asociación con el Consejo de Administración, llevará a cabo:

una valoración teniendo en cuenta una evaluación de la actuación del director ejecutivo, y

las futuras tareas y retos de Europol.

El Consejo, a propuesta del Consejo de Administración, que tendrá en cuenta la valoración contemplada en el apartado 3, podrá prorrogar el mandato del director ejecutivo solo una vez y por un período máximo de cuatro años.

El Consejo de Administración informará al Parlamento Europeo si tiene la intención de proponer al Consejo que prorrogue el mandato del director ejecutivo. En el mes que precede a dicha prórroga, podrá invitarse al director ejecutivo a que comparezca ante la comisión competente del Parlamento Europeo.

Un director ejecutivo cuyo mandato haya sido prorrogado no participará en otro procedimiento de selección para el mismo puesto una vez finalizado el período total del mandato considerado.

El director ejecutivo solo podrá ser destituido previa decisión del Consejo a propuesta del Consejo de Administración. Se informará al Parlamento Europeo de esa decisión.

El Consejo de Administración adoptará las decisiones respecto de las propuestas que se hagan al Consejo sobre el nombramiento, la prórroga del mandato y la destitución del director ejecutivo por mayoría de dos tercios de sus miembros con derecho a voto.

El director ejecutivo estará asistido por tres directores ejecutivos adjuntos. El director ejecutivo definirá sus tareas.

El artículo 54 se aplicará a los directores ejecutivos adjuntos. El director ejecutivo deberá ser consultado con anterioridad a su nombramiento, cualquier ampliación de su mandato o su destitución.

Europol podrá recurrir a expertos nacionales en comisión de servicios.

El Consejo de Administración adoptará una decisión relativa al establecimiento de normas sobre la comisión de servicios de expertos nacionales en Europol.

En cada ejercicio presupuestario, que coincidirá con el año civil, se elaborarán previsiones de todos los ingresos y gastos de Europol que se consignarán en el presupuesto de Europol.

El presupuesto de Europol deberá estar equilibrado en cuanto a ingresos y gastos.

Sin perjuicio de otros recursos, los ingresos de Europol incluirán una contribución de la Unión consignada en el presupuesto general de la Unión.

Europol podrá beneficiarse de financiación de la Unión en forma de convenios de delegación o subvenciones ad hoc de conformidad con sus normas financieras a que se refiere el artículo 61 y las disposiciones de los instrumentos pertinentes de apoyo a las políticas de la Unión.

Los gastos de Europol incluirán los gastos de retribución del personal, los gastos administrativos y de infraestructura, y los gastos operativos.

Los compromisos presupuestarios para acciones relacionadas con proyectos a gran escala que sobrepasen un ejercicio presupuestario podrán desglosarse en tramos anuales.

Cada año, el director ejecutivo elaborará un proyecto de estado de previsiones de ingresos y gastos de Europol para el ejercicio presupuestario siguiente, que incluirá la plantilla de personal, y lo remitirá al Consejo de Administración.

Sobre la base de ese proyecto de estado de previsiones, el Consejo de Administración adoptará un proyecto provisional de previsiones de ingresos y gastos de Europol para el ejercicio presupuestario siguiente y lo enviará a la Comisión a más tardar el 31 de enero de cada año.

El Consejo de Administración remitirá el proyecto definitivo de previsiones de ingresos y gastos de Europol, que incluirá un proyecto de plantilla de personal, al Parlamento Europeo, al Consejo y a la Comisión, a más tardar el 31 de marzo de cada año.

La Comisión remitirá el estado de previsiones al Parlamento Europeo y al Consejo junto con el proyecto de presupuesto general de la Unión.

Sobre la base del estado de previsiones, la Comisión inscribirá en el proyecto de presupuesto general de la Unión las previsiones que considere necesarias en lo que respecta a la plantilla de personal y el importe de la contribución que se imputará al presupuesto general, que presentará al Parlamento Europeo y al Consejo de conformidad con los artículos 313 y 314 del TFUE.

El Parlamento Europeo y el Consejo autorizarán los créditos de la contribución destinada a Europol.

El Parlamento Europeo y el Consejo aprobarán la plantilla de personal de Europol.

El presupuesto de Europol será adoptado por el Consejo de Administración. Será definitivo tras la adopción definitiva del presupuesto general de la Unión. Si fuese necesario, se adaptará en consecuencia.

El Reglamento Delegado (UE) 2019/715 se aplicará a cualquier proyecto inmobiliario que pueda tener repercusiones significativas en el presupuesto de Europol.

El director ejecutivo será responsable de la ejecución del presupuesto de Europol.

El director ejecutivo remitirá anualmente al Parlamento Europeo y al Consejo toda la información pertinente sobre los resultados de cualquiera de los procedimientos de evaluación.

El contable de Europol enviará las cuentas provisionales del ejercicio contable (año N) al contable de la Comisión y al Tribunal de Cuentas antes del 1 de marzo del siguiente ejercicio presupuestario (año N + 1).

Europol enviará un informe sobre la gestión presupuestaria y financiera del año N al Parlamento Europeo, al Consejo y al Tribunal de Cuentas a más tardar el 31 de marzo del año N + 1.

El contable de la Comisión enviará las cuentas provisionales consolidadas de Europol del año N, junto con las cuentas de la Comisión, al Tribunal de Cuentas, a más tardar el 31 de marzo del año N + 1.

Una vez recibidas las observaciones del Tribunal de Cuentas sobre las cuentas provisionales de Europol del año N con arreglo al artículo 246 del Reglamento (UE, Euratom) n.o 2018/1046 del Parlamento Europeo y del Consejo ( 18 ), el contable de Europol elaborará las cuentas definitivas de Europol de ese año. El director ejecutivo presentará dichas cuentas definitivas al Consejo de Administración para que este emita dictamen al respecto.

El Consejo de Administración emitirá un dictamen sobre las cuentas definitivas de Europol del año N.

El contable de Europol enviará, a más tardar el 1 de julio del año N + 1, las cuentas definitivas del año N al Parlamento Europeo, al Consejo, a la Comisión, al Tribunal de Cuentas y a los parlamentos nacionales, junto con el dictamen del Consejo de Administración a que se refiere el apartado 5.

Las cuentas definitivas del año N se publicarán en el Diario Oficial de la Unión Europea a más tardar el 15 de noviembre del año N + 1.

El director ejecutivo enviará al Tribunal de Cuentas una respuesta a las observaciones formuladas en su informe anual a más tardar el 30 de septiembre del año N + 1. Enviará asimismo la respuesta al Consejo de Administración.

A petición del Parlamento Europeo, el director ejecutivo le presentará toda la información necesaria para el correcto desarrollo del procedimiento de aprobación de la gestión presupuestaria del ejercicio N, de conformidad con el artículo 106, apartado 3, del Reglamento Delegado (UE) 2019/715.

10.

El Parlamento Europeo, previa recomendación del Consejo por mayoría cualificada, aprobará, antes del 15 de mayo del ejercicio N + 2, la gestión del director ejecutivo con respecto a la ejecución del presupuesto del ejercicio presupuestario del año N.

El Consejo de Administración aprobará las normas financieras aplicables a Europol, previa consulta a la Comisión. Estas normas no se apartarán del Reglamento Delegado (UE) 2019/715 salvo que sea específicamente necesario para el funcionamiento de Europol y previo acuerdo de la Comisión.

Europol podrá conceder subvenciones relacionadas con la consecución de sus objetivos y el desempeño de sus funciones.

Europol podrá conceder subvenciones sin necesidad de ninguna convocatoria de propuestas a los Estados miembros para la realización de actividades que se incluyan en los objetivos y funciones de Europol.

Cuando esté debidamente justificado por fines operativos, tras la autorización del Consejo de Administración, la ayuda financiera podrá sufragar la totalidad de los costes de inversión en equipos e infraestructuras.

Las normas financieras a que se refiere el apartado 1 podrán especificar los criterios con arreglo a los cuales la ayuda financiera podrá sufragar la totalidad de los costes de inversión a que se refiere el párrafo primero del presente apartado.

En lo que se refiere al apoyo presupuestario a las actividades de los equipos conjuntos de investigación, Europol y Eurojust establecerán conjuntamente las normas y condiciones de tramitación de las solicitudes de apoyo.

Europol será una agencia de la Unión. Tendrá personalidad jurídica.

En cada uno de los Estados miembros, Europol gozará de la más amplia capacidad jurídica reconocida a las personas jurídicas por el Derecho nacional. En concreto, podrá adquirir y enajenar bienes muebles e inmuebles y ser parte en procesos judiciales.

De conformidad con el Protocolo n.o 6 sobre la fijación de las sedes de las instituciones y de determinados órganos, organismos y servicios de la Unión Europea, anejo al TUE y al TFUE («Protocolo n.o 6»), Europol tendrá su sede en La Haya.

Será aplicable a Europol y a su personal el Protocolo n.o 7 sobre los privilegios y las inmunidades de la Unión Europea anejo al TUE y al TFUE.

Los privilegios e inmunidades de los funcionarios de enlace y de los miembros de sus familias estarán sujetos a un acuerdo entre el Reino de los Países Bajos y los demás Estados miembros. Dicho acuerdo deberá prever los privilegios e inmunidades que sean necesarios para el buen desempeño de las tareas de los funcionarios de enlace.

Se aplicarán a Europol las disposiciones establecidas en el Reglamento n.o 1 ( 19 ).

El Consejo de Administración decidirá por mayoría de dos tercios de sus miembros el régimen lingüístico interno de Europol.

El Centro de Traducción de los Órganos de la Unión Europea prestará los servicios de traducción necesarios para el funcionamiento de Europol.

El Reglamento (CE) n.o 1049/2001 se aplicará a los documentos que obren en poder de Europol.

A más tardar el 14 de diciembre de 2016, el Consejo de Administración adoptará las normas de aplicación del Reglamento (CE) n.o 1049/2001 con respecto a los documentos de Europol.

Las decisiones adoptadas por Europol en virtud del artículo 8 del Reglamento (CE) n.o 1049/2001 podrán dar lugar a la presentación de una queja al Defensor del Pueblo Europeo o a la interposición de un recurso ante el Tribunal de Justicia de la Unión Europea de conformidad con, respectivamente, los artículos 228 y 263 del TFUE.

Europol publicará en su página web la lista de los miembros del Consejo de Administración y los resúmenes de los resultados de las reuniones del Consejo de Administración. La publicación de esos resúmenes se omitirá o restringirá de forma temporal o permanente si pudiera poner en peligro el desempeño de las tareas de Europol, teniendo en cuenta sus obligaciones de discreción y confidencialidad y la naturaleza operativa de Europol.

Con el fin de facilitar la lucha contra el fraude, la corrupción y otras actividades ilegales en virtud del Reglamento (UE, Euratom) n.o 883/2013, Europol se adherirá, a más tardar el 30 de octubre de 2017, al Acuerdo Interinstitucional de 25 de mayo de 1999 entre el Parlamento Europeo, el Consejo de la Unión Europea y la Comisión de las Comunidades Europeas, relativo a las investigaciones internas efectuadas por la Oficina Europea de Lucha contra el Fraude (OLAF) ( 20 ) y adoptará las disposiciones oportunas aplicables a todos los empleados de Europol utilizando el modelo que figura en el anexo de dicho Acuerdo.

El Tribunal de Cuentas Europeo estará facultado para auditar, sobre la base de documentos y sobre el terreno, a todos los beneficiarios de subvenciones, contratistas y subcontratistas que hayan recibido de Europol fondos de la Unión.

La OLAF podrá realizar investigaciones, incluidos controles e inspecciones sobre el terreno, con vistas a establecer si ha habido fraude, corrupción o cualquier otra actividad ilícita que afecte a los intereses financieros de la Unión en relación con una subvención o un contrato otorgados por Europol. Dichas investigaciones se llevarán a cabo de conformidad con las disposiciones y procedimientos establecidos en el Reglamento (UE, Euratom) n.o 883/2013 y en el Reglamento (Euratom, CE) n.o 2185/96 del Consejo ( 21 ).

Sin perjuicio de lo dispuesto en los apartados 1, 2 y 3, los acuerdos de colaboración con órganos de la Unión, autoridades de países terceros, organizaciones internacionales y entidades privadas, contratos, convenios de subvención y decisiones de subvención de Europol incluirán disposiciones por las que se faculte expresamente al Tribunal de Cuentas y a la OLAF para llevar a cabo las auditorías e investigaciones a que se refieren los apartados 2 y 3, de conformidad con sus respectivas competencias.

Normas en materia de protección de la información sensible no clasificada y clasificada

Europol establecerá normas sobre las obligaciones de discreción y confidencialidad y sobre la protección de la información sensible no clasificada.

Europol establecerá normas sobre la protección de la información clasificada de la UE que deberán ser compatibles con la Decisión 2013/488/UE, a fin de garantizar un nivel equivalente de protección de dicha información.

A más tardar el 29 de junio de 2027, y posteriormente cada cinco años, la Comisión efectuará una evaluación para valorar, en particular, el impacto, la eficacia y la eficiencia de Europol y de sus prácticas de trabajo. Dicha evaluación podrá abordar, en particular, la posible necesidad de modificar la estructura, el funcionamiento, el ámbito de actuación y las funciones de Europol, y las repercusiones financieras de cualquier modificación de este tipo.

La Comisión someterá el informe de evaluación al Consejo de Administración. El Consejo de Administración aportará sus observaciones sobre el informe de evaluación en un plazo de tres meses desde la fecha de recepción. La Comisión remitirá el informe final de evaluación junto con sus conclusiones, así como las observaciones del Consejo de Administración en un anexo, al Parlamento Europeo, al Consejo, a los parlamentos nacionales y al Consejo de Administración. Cuando proceda, los resultados principales del informe de evaluación se harán públicos.

A más tardar el 29 de junio de 2025, la Comisión presentará un informe al Parlamento Europeo y al Consejo en el que se evalúen los efectos operativos del cumplimiento de las funciones previstas en el presente Reglamento, en particular, el artículo 4, apartado 1, letra t), el artículo 18, apartado 2, letra e), el artículo 18, apartado 6 bis, y los artículos 18 bis, 26, 26 bis y 26 ter, en relación con los objetivos de Europol. El informe evaluará los efectos de dichas funciones en los derechos y libertades fundamentales establecidos en la Carta. También proporcionará un análisis de costes y beneficios de la ampliación de las funciones de Europol.

Las actividades de Europol estarán sujetas a investigaciones del Defensor del Pueblo Europeo de conformidad con el artículo 228 del TFUE.

Las disposiciones necesarias relativas a la localización de Europol en el Reino de los Países Bajos y las instalaciones que debe poner a disposición el Reino de los Países Bajos, así como las normas específicas allí aplicables al director ejecutivo, a los miembros del Consejo de Administración, al personal de Europol y a los miembros de sus familias se fijarán en un acuerdo de sede concluido entre Europol y el Reino de los Países Bajos de conformidad con el Protocolo n.o 6.

La Europol creada por el presente Reglamento será la sucesora legal de todos los contratos celebrados, los pasivos contraídos y los bienes adquiridos por la Europol creada por la Decisión 2009/371/JAI.

El presente Reglamento no afecta a la validez jurídica de los acuerdos celebrados por la Europol creada por la Decisión 2009/371/JAI antes del 13 de junio de 2016 o de los acuerdos celebrados por la Europol creada por el Convenio Europol antes del 1 de enero de 2010.

La duración del mandato de los miembros del Consejo de Administración, establecido sobre la base del artículo 37 de la Decisión 2009/371/JAI del Consejo, finalizará el 1 de mayo de 2017.

En el período comprendido entre el 13 de junio de 2016 y el 1 de mayo de 2017, el Consejo de Administración establecido sobre la base del artículo 37 de la Decisión 2009/371/JAI:

ejercerá las funciones del Consejo de Administración de conformidad con el artículo 11 del presente Reglamento;

preparará la adopción de las normas relativas a la aplicación del Reglamento (CE) n.o 1049/2001 con respecto a los documentos de Europol a que se refiere el artículo 65, apartado 2, del presente Reglamento, y de las normas a que se refiere el artículo 67 del presente Reglamento;

preparará los instrumentos necesarios para la aplicación del presente Reglamento, en particular, las medidas relacionadas con el capítulo IV, y

reexaminará las normas y medidas internas adoptadas sobre la base de la Decisión 2009/371/JAI, de modo que el Consejo de Administración establecido con arreglo al artículo 10 del presente Reglamento pueda adoptar una decisión con arreglo al artículo 76 del presente Reglamento.

La Comisión tomará sin demora a partir del 13 de junio de 2016 las medidas necesarias para garantizar que el Consejo de Administración establecido en virtud del artículo 10 pueda comenzar sus trabajos el 1 de mayo de 2017.

A más tardar el 14 de diciembre de 2016, los Estados miembros notificarán a la Comisión los nombres de las personas que hayan nombrado como miembro y miembro suplente del Consejo de Administración, de conformidad con el artículo 10.

El Consejo de Administración establecido con arreglo al artículo 10 celebrará su primera reunión el 1 de mayo de 2017. Con tal ocasión adoptarán, en caso de necesidad, decisiones conforme a lo dispuesto en el artículo 76.

Disposiciones transitorias relativas al director ejecutivo, a los directores adjuntos y al personal

El director de Europol nombrado sobre la base del artículo 38 de la Decisión 2009/371/JAI asumirá, durante el tiempo restante de su mandato, las funciones de director ejecutivo con arreglo a lo dispuesto en el artículo 16 del presente Reglamento. Las demás condiciones de su contrato se mantendrán inalteradas. Si su mandato expirara entre el 13 de junio de 2016 y el 1 de mayo de 2017, se prorrogará automáticamente hasta el 1 de mayo de 2018.

En caso de que el director nombrado conforme a lo dispuesto en el artículo 38 de la Decisión 2009/371/JAI no pueda o no quiera actuar de conformidad con el apartado 1 del presente artículo, el Consejo de Administración designará un director ejecutivo interino para ejercer las funciones de director ejecutivo por un período máximo de dieciocho meses, a la espera del nombramiento previsto en el artículo 54, apartado 2, del presente Reglamento.

Los apartados 1 y 2 del presente artículo se aplicarán a los directores adjuntos nombrados en virtud del artículo 38 de la Decisión 2009/371/JAI.

Conforme al régimen aplicable a otros agentes, la autoridad a que se refiere el párrafo primero del artículo 6 del mismo ofrecerá un contrato de agente temporal o contractual de duración indeterminada a toda persona que a 1 de mayo de 2017 esté contratada con un contrato de duración indeterminada como agente local celebrado por la Europol creada por el Convenio Europol. La oferta de empleo se basará en las funciones que haya de desempeñar el agente temporal o contractual. El contrato surtirá efecto a más tardar el 1 de mayo de 2018. Todo agente que no acepte la oferta contemplada en el presente apartado podrá mantener su relación contractual con Europol de conformidad con el artículo 53, apartado 1.

El procedimiento para la aprobación de la gestión de los presupuestos, aprobado con arreglo al artículo 42 de la Decisión 2009/371/JAI, se llevará a cabo de conformidad con las normas establecidas por su artículo 43.

Disposiciones transitorias relativas al tratamiento de datos personales en apoyo de una investigación penal específica en curso

Cuando un Estado miembro, la Fiscalía Europea o Eurojust hayan facilitado datos personales que no atañan a las categorías de interesados enumeradas en el anexo II a Europol antes del 28 de junio de 2022, Europol podrá tratar dichos datos personales de conformidad con el artículo 18 bis, cuando:

el Estado miembro afectado, la Fiscalía Europea o Eurojust informen a Europol a más tardar el 29 de septiembre de 2022 de que está autorizado a tratar dichos datos personales, de conformidad con los requisitos y garantías procesales aplicables en virtud del Derecho de la Unión o nacional, en la investigación penal en curso para la que hubiera solicitado el apoyo de Europol cuando proporcionó inicialmente los datos;

el Estado miembro afectado, la Fiscalía Europea o Eurojust soliciten a Europol, a más tardar el 29 de septiembre de 2022, que apoye la investigación penal en curso a que se refiere la letra a), y

Europol valore que, de conformidad con el artículo 18 bis, apartado 1, letra b), no es posible apoyar la investigación penal en curso a que se refiere la letra a) del presente apartado sin tratar datos personales que no cumplan con lo dispuesto en el artículo 18, apartado 5.

La valoración mencionada en la letra c) del presente apartado se registrará y remitirá al SEPD a efectos informativos cuando Europol deje de apoyar la investigación penal específica conexa.

Cuando un Estado miembro, la Fiscalía Europea o Eurojust no cumpla alguno o varios de los requisitos establecidos en el apartado 1, letras a) y b), del presente artículo por lo que respecta a los datos personales que no atañan a las categorías de interesados enumeradas en el anexo II que haya facilitado a Europol antes del 28 de junio de 2022, o cuando un Estado miembro, la Fiscalía Europea o Eurojust no cumpla el apartado 1, letra c), del presente artículo, Europol no tratará dichos datos personales de conformidad con el artículo 18 bis, sino que los suprimirá, sin perjuicio de lo dispuesto en el artículo 18, apartado 5, y en el artículo 74 ter, a más tardar el 29 de octubre de 2022.

Cuando un tercer país a que se refiere el artículo 18 bis, apartado 6, haya facilitado datos personales que no atañan a las categorías de interesados enumeradas en el anexo II a Europol antes del 28 de junio de 2022, Europol podrá tratar dichos datos personales de conformidad con el artículo 18 bis, apartado 6, cuando:

el tercer país haya facilitado los datos personales en apoyo de una investigación penal específica en uno o más Estados miembros a los que Europol apoye;

el tercer país haya obtenido los datos en el contexto de una investigación penal de conformidad con los requisitos y garantías procesales aplicables en virtud de su Derecho penal nacional;

el tercer país informe a Europol, a más tardar el 29 de septiembre de 2022, de que está autorizado a tratar dichos datos personales en la investigación penal en el contexto de la cual haya obtenido los datos;

Europol valore que, de conformidad con el artículo 18 bis, apartado 1, letra b), no es posible apoyar la investigación penal específica a que se refiere la letra a) del presente apartado sin tratar datos personales que no cumplan con lo dispuesto en el artículo 18, apartado 5, y dicha valoración se registre y remita al SEPD a efectos informativos cuando Europol deje de apoyar la investigación penal específica conexa; y

Europol compruebe, de conformidad con el artículo 18 bis, apartado 6, que la cantidad de datos personales no es manifiestamente desproporcionada en relación con la investigación penal específica a que se refiere la letra a) del presente apartado en uno o más Estados miembros a los que Europol apoya.

Cuando un tercer país no cumpla el requisito establecido en el apartado 3, letra c), del presente artículo respecto de los datos personales que no atañan a las categorías de interesados enumeradas en el anexo II que haya facilitado a Europol antes del 28 de junio de 2022, o cuando no se cumplan los demás requisitos establecidos en el apartado 3 del presente artículo, Europol no tratará dichos datos personales de conformidad con el artículo 18 bis, apartado 6, sino que los suprimirá, sin perjuicio de lo dispuesto en el artículo 18, apartado 5, y en el artículo 74 ter, a más tardar el 29 de octubre de 2022.

Cuando un Estado miembro, la Fiscalía Europea o Eurojust haya facilitado datos personales que no atañan a las categorías de interesados enumeradas en el anexo II a Europol antes del 28 de junio de 2022, podrá solicitar a Europol a más tardar el 29 de septiembre de 2022, que conserve dichos datos y el resultado del tratamiento de dichos datos por parte de Europol cuando sea necesario para garantizar la veracidad, fiabilidad y trazabilidad del proceso de inteligencia criminal. Europol conservará los datos personales que no atañan a las categorías de interesados enumeradas en el anexo II de tal modo que exista una separación funcional de otros datos y solo tratará dichos datos con el fin de garantizar la veracidad, fiabilidad y trazabilidad del proceso de inteligencia criminal, y únicamente durante el tiempo en que se esté tramitando el procedimiento judicial relacionado con la investigación penal para la que se hayan facilitado dichos datos.

Cuando Europol haya recibido datos personales que no atañan a las categorías de interesados enumeradas en el anexo II antes del 28 de junio de 2022, Europol no conservará dichos datos con el fin de garantizar la veracidad, fiabilidad y trazabilidad del proceso de inteligencia criminal, a menos que así se solicite de conformidad con el apartado 5. A falta de tal solicitud, Europol suprimirá dichos datos personales a más tardar el 29 de octubre de 2022.

Disposiciones transitorias relativas al tratamiento de datos personales en poder de Europol

Sin perjuicio de lo dispuesto en el artículo 74 bis, respecto de los datos personales recibidos por Europol antes del 28 de junio de 2022, Europol podrá comprobar si dichos datos personales atañen a alguna de las categorías de interesados establecidas en el anexo II. Con este fin, Europol podrá llevar a cabo un análisis preliminar de dichos datos personales durante un período máximo de dieciocho meses a partir de la fecha en que se recibieran por primera vez o, en casos justificados y con la autorización previa del SEPD, durante un período más largo.

El período máximo de tratamiento de los datos a que se refiere el párrafo primero será de tres años a partir del día de la recepción de los datos por Europol.

Las Decisiones 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI, y 2009/968/JAI son sustituidas en lo que respecta a los Estados miembros obligados por el presente Reglamento con efecto a partir del 1 de mayo de 2017.

Por tanto, se derogan las Decisiones 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI, y 2009/968/JAI, con efecto a partir del 1 de mayo de 2017.

En lo que respecta a los Estados miembros obligados por el presente Reglamento, las referencias a las Decisiones a que se refiere el apartado 1 se entenderán hechas al presente Reglamento.

Mantenimiento de la vigencia de las normas internas adoptadas por el Consejo de Administración

Las normas internas y las medidas adoptadas por el Consejo de Administración sobre la base de la Decisión 2009/371/JAI permanecerán en vigor después del 1 de mayo de 2017, salvo decisión en contrario del Consejo de Administración en aplicación del presente Reglamento.

El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

Será aplicable a partir del 1 de mayo de 2017.

No obstante, los artículos 71, 72 y 73 se aplicarán a partir del 13 de junio de 2016.

El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en los Estados miembros de conformidad con los Tratados.

LISTA DE FORMAS DE DELINCUENCIA A LAS QUE HACE REFERENCIA EL ARTÍCULO 3, APARTADO 1

A. Categorías de datos personales y categorías de interesados cuyos datos pueden ser recogidos y tratados a efectos de la verificación cruzada a que se refiere el artículo 18, apartado 2, letra a)

Dichos datos podrán facilitarse a Europol incluso cuando aún no contengan referencias a personas.

B. Categorías de datos personales y categorías de interesados cuyos datos pueden ser recogidos y tratados a efectos de análisis estratégicos o temáticos, de análisis operativos o de facilitación del intercambio de información, según lo dispuesto en el artículo 18, apartado 2, letras b), c) y d)

Por lo que se refiere a las personas de contacto y los asociados, podrán conservarse, en caso necesario, los datos a que se refiere el punto 2, siempre que haya motivos para pensar que tales datos son necesarios para analizar la relación de dichas personas con las personas a que se refiere el punto 1, letras a) y b). En este contexto, deberá observarse lo siguiente:

Podrán conservarse, en su caso, otros datos a que se refiere el punto 2, siempre que haya motivos para presumir que son necesarios para analizar la condición de víctima o de posible víctima de una persona.

Podrán conservarse, en su caso, otros datos a que se refiere el punto 2, siempre que haya motivos para presumir que son necesarios para analizar el papel de dichas personas como testigos.

Podrán conservarse, en su caso, otros datos a que se refiere el punto 2, siempre que haya motivos para presumir que son necesarios para analizar el papel de dichas personas como informantes.

Si de tales indicios se desprendiera claramente que dicha persona debería clasificarse en dos o más categorías diferentes, definidas en el presente anexo, Europol podrá tratar todos los datos autorizados en estas categorías.

( 1 ) Reglamento (UE) 2017/1939 del Consejo, de 12 de octubre de 2017, por el que se establece una cooperación reforzada para la creación de la Fiscalía Europea (DO L 283 de 31.10.2017, p. 1).

( 2 ) Reglamento (UE) 2021/784 del Parlamento Europeo y del Consejo, de 29 de abril de 2021, sobre la lucha contra la difusión de contenidos terroristas en línea (DO L 172 de 17.5.2021, p. 79).

( 3 ) Directiva 2011/93/UE del Parlamento Europeo y del Consejo, de 13 de diciembre de 2011, relativa a la lucha contra los abusos sexuales y la explotación sexual de los menores y la pornografía infantil y por la que se sustituye la Decisión Marco 2004/68/JAI del Consejo (DO L 335 de 17.12.2011, p. 1).

( 4 ) Decisión 2008/617/JAI del Consejo, de 23 de junio de 2008, sobre la mejora de la cooperación entre las unidades especiales de intervención de los Estados miembros de la Unión Europea en situaciones de crisis (DO L 210 de 6.8.2008, p. 73).

( 5 ) Reglamento (UE) 2019/881 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, relativo a ENISA (Agencia de la Unión Europea para la Ciberseguridad) y a la certificación de la ciberseguridad de las tecnologías de la información y la comunicación y por el que se deroga el Reglamento (UE) n.o 526/2013 («Reglamento sobre la Ciberseguridad») (DO L 151 de 7.6.2019, p. 15).

( 6 ) Reglamento (UE) 2018/1862 del Parlamento Europeo y del Consejo, de 28 de noviembre de 2018, relativo al establecimiento, funcionamiento y utilización del Sistema de Información de Schengen (SIS) en el ámbito de la cooperación policial y de la cooperación judicial en materia penal, por el que se modifica y deroga la Decisión 2007/533/JAI del Consejo, y se derogan el Reglamento (CE) n.o 1986/2006 del Parlamento Europeo y del Consejo y la Decisión 2010/261/UE de la Comisión (DO L 312 de 7.12.2018, p. 56).

( 7 ) Directiva (UE) 2019/1153 del Parlamento Europeo y del Consejo, de 20 de junio de 2019, por la que se establecen normas destinadas a facilitar el uso de información financiera y de otro tipo para la prevención, detección, investigación o enjuiciamiento de infracciones penales y por la que se deroga la Decisión 2000/642/JAI del Consejo (DO L 186 de 11.7.2019, p. 122).

( 8 ) Directiva (UE) 2015/849 del Parlamento Europeo y del Consejo, de 20 de mayo de 2015, relativa a la prevención de la utilización del sistema financiero para el blanqueo de capitales o la financiación del terrorismo, y por la que se modifica el Reglamento (UE) n.o 648/2012 del Parlamento Europeo y del Consejo, y se derogan la Directiva 2005/60/CE del Parlamento Europeo y del Consejo y la Directiva 2006/70/CE de la Comisión (DO L 141 de 5.6.2015, p. 73).

( 9 ) Decisión 2005/511/JAI del Consejo, de 12 de julio de 2005, relativa a la protección del euro contra la falsificación mediante la designación de Europol como organismo central para la lucha contra la falsificación del euro (DO L 185 de 16.7.2005, p. 35).

( 10 ) Reglamento (UE) 2019/452 del Parlamento Europeo y del Consejo, de 19 de marzo de 2019, para el control de las inversiones extranjeras directas en la Unión (DO L 79 I de 21.3.2019, p. 1).

( 11 ) Reglamento Delegado (UE) 2019/715 de la Comisión, de 18 de diciembre de 2018, relativo al Reglamento Financiero marco de los organismos creados en virtud del TFUE y el Tratado Euratom y a los que se refiere el artículo 70 del Reglamento (UE, Euratom) 2018/1046 del Parlamento Europeo y del Consejo (DO L 122 de 10.5.2019, p. 1).

( 12 ) Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (DO L 295 de 21.11.2018, p. 39).

( 13 ) Decisión Marco 2002/584/JAI del Consejo, de 13 de junio de 2002, relativa a la orden de detención europea y a los procedimientos de entrega entre Estados miembros (DO L 190 de 18.7.2002, p. 1).

( 14 ) Reglamento (CE) n.o 168/2007 del Consejo, de 15 de febrero de 2007, por el que se crea una Agencia de los Derechos Fundamentales de la Unión Europea (DO L 53 de 22.2.2007, p. 1).

( 15 ) Reglamento (UE) 2015/2219 del Parlamento Europeo y del Consejo, de 25 de noviembre de 2015, sobre la Agencia de la Unión Europea para la formación policial (CEPOL) y por el que se sustituye y deroga la Decisión 2005/681/JAI del Consejo (DO L 319 de 4.12.2015, p. 1).

( 16 ) Reglamento (CE) n.o 1049/2001 del Parlamento Europeo y del Consejo, de 30 de mayo de 2001, relativo al acceso del público a los documentos del Parlamento Europeo, del Consejo y de la Comisión (DO L 145 de 31.5.2001, p. 43).

( 18 ) Reglamento (UE, Euratom) 2018/1046 del Parlamento Europeo y del Consejo, de 18 de julio de 2018, sobre las normas financieras aplicables al presupuesto general de la Unión, por el que se modifican los Reglamentos (UE) n.o 1296/2013, (UE) n.o 1301/2013, (UE) n.o 1303/2013, (UE) n.o 1304/2013, (UE) n.o 1309/2013, (UE) n.o 1316/2013, (UE) n.o 223/2014 y (UE) n.o 283/2014 y la Decisión n.o 541/2014/UE y por el que se deroga el Reglamento (UE, Euratom) n.o 966/2012 (DO L 193 de 30.7.2018, p. 1).

( 19 ) Reglamento n.o 1 por el que se fija el régimen lingüístico de la Comunidad Económica Europea (DO 17 de 6.10.1958, p. 385/58).

( 21 ) Reglamento (Euratom, CE) n.o 2185/96 del Consejo, de 11 de noviembre de 1996, relativo a los controles y verificaciones in situ que realiza la Comisión para la protección de los intereses financieros de las Comunidades Europeas contra los fraudes e irregularidades (DO L 292 de 15.11.1996, p. 2).

		Diario Oficial
		n°	página	fecha
►M1	REGLAMENTO (UE) 2022/991 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 8 de junio de 2022	L 169	1	27.6.2022