om antagande av tillämpningsföreskrifter för Europols förbindelser med partner, inbegripet för utbyte av personuppgifter och sekretessbelagd information

med beaktande av rådets beslut 2009/371/RIF av den 6 april 2009 om inrättande av Europeiska polisbyrån (Europol) (1) (Europolbeslutet), särskilt artiklarna 26.1 b och 59.1 c,

med beaktande av det utkast till föreskrifter som lagts fram av styrelsen och om vilket den gemensamma tillsynsmyndigheten har lämnat ett yttrande,

I enlighet med Europolbeslutet är det rådet som med kvalificerad majoritet efter att ha hört Europaparlamentet ska anta tillämpningsföreskrifter för Europols förbindelser med partner, inbegripet för utbyte av personuppgifter och sekretessbelagd information (nedan kallade föreskrifter).

a) tredjestater: enligt artikel 23.1 a i Europolbeslutet, en stat som inte är medlemsstat i Europeiska unionen,

b) organisationer: enligt artikel 23.1 b i Europolbeslutet, organisationer såsom internationella organisationer och deras underställda offentligrättsliga organ eller andra offentligrättsliga organ som inrättats genom, eller på grundval av, en överenskommelse mellan två eller flera stater,

d) EU-organ: institutioner, organ, kontor eller byråer som inrättats genom, eller på grundval av fördraget om Europeiska unionen och fördragen om upprättandet av Europeiska gemenskaperna som avses i artikel 22.1 i Europolbeslutet,

e) personuppgifter: all information om en identifierad eller identifierbar fysisk person; en identifierbar person är en person som kan identifieras, direkt eller indirekt, särskilt genom hänvisning till ett identifikationsnummer eller till en eller flera faktorer som är specifika för hans fysiska, fysiologiska, psykiska, ekonomiska, kulturella eller sociala identitet,

f) sekretessbelagd information: all information och allt material i alla former, vars obehöriga röjande i olika hög grad skulle kunna skada Europols eller en eller flera medlemsstaters eller Europols samarbetspartners väsentliga intressen, och för vilka det krävs tillämpning av lämpliga säkerhetsåtgärder,

g) strategiskt avtal: ett avtal enligt vilket informationsutbyte tillåts, med undantag av personuppgifter,

h) operativt avtal: ett avtal enligt vilket informationsutbyte tillåts, inbegripet personuppgifter,

j) preliminär överenskommelse: en överenskommelse mellan Europol och ett EU-organ om deras samarbete, enligt vilken informationsutbyte tillåts, inbegripet personuppgifter,

k) behandling av personuppgifter eller behandling: varje åtgärd eller serie av åtgärder som vidtas med personuppgifter, vare sig det sker på automatisk väg eller inte, till exempel insamling, registrering, organisation, lagring, bearbetning eller ändring, hämtning, läsning, användning, utlämnande genom överföring, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, radering eller förstöring,

l) behöriga myndigheter: alla offentliga organ som finns i medlemsstaterna eller i tredjestater och som enligt nationell lagstiftning är ansvariga för att förebygga och bekämpa brott.

Genom dessa föreskrifter regleras Europols förbindelser med EU-organ och tredje parter, inbegripet utbyte av personuppgifter och sekretessbelagd information och anges förfaranden som är tillämpliga på förhandlingar om och ingående av samarbetsavtal.

I enlighet med artikel 22.1 i Europolbeslutet får Europol upprätta och upprätthålla samarbetsförbindelser med EU-organ i den utsträckning det är lämpligt för att utföra sina uppgifter.

Europol ska begära yttrande från styrelsen om den avser inleda förhandlingar om ett samarbetsavtal eller en preliminär överenskommelse med ett EU-organ som inte uttryckligen avses i artikel 22.1 a–f i Europolbeslutet.

Förfarande för ingående av samarbetsavtal eller preliminära överenskommelser med EU-organ

1. I enlighet med artikel 22.2 i Europolbeslutet ska Europol ingå samarbetsavtal eller preliminära överenskommelser med EU-organ för att upprätta samarbetsförbindelser. Sådana avtal eller preliminära överenskommelser får avse utbyte av operativ, strategisk eller teknisk information, även personuppgifter och sekretessbelagd information.

2. Överföring av sekretessbelagd information ska endast kunna tillåtas i den utsträckning en överenskommelse om sekretess redan föreligger mellan Europol och EU-organet. Säkerhetskommittén ska informeras om en sådan överenskommelse, som därefter ska formaliseras i samarbetsavtalet eller den preliminära överenskommelsen.

3. Sådana samarbetsavtal eller preliminära överenskommelser får ingås endast efter godkännande av styrelsen.

4. Om samarbetsavtalet eller den preliminära överenskommelsen gäller utbyte av personuppgifter ska styrelsen inhämta yttrande från den gemensamma tillsynsmyndigheten före det godkännande som avses i punkt 3.

1. I enlighet med artikel 23.1 i Europolbeslutet får Europol upprätta och upprätthålla samarbetsförbindelser med tredje parter i den utsträckning det är nödvändigt för att utföra sina uppgifter.

2. I enlighet med artikel 23.2 i Europolbeslutet ska Europol ingå avtal med tredje parter som har införts i den förteckning över tredjestater och organisationer som avses i artikel 26.1 a i Europolbeslutet. Sådana avtal får avse utbyte av operativ, strategisk eller teknisk information, inbegripet personuppgifter och sekretessbelagd information. När det gäller en överenskommelse med en tredjestat, ska sådan information överföras via en utsedd kontaktpunkt som anges i avtalet.

3. Europol får inleda förfarandet för ingående av ett avtal med en tredje part så snart den tredje parten har införts i den förteckning som avses i punkt 2.

4. När ingående av en operativ överenskommelse med en tredje part planeras måste Europol genomföra en bedömning av huruvida en tillräcklig nivå av dataskydd säkerställs av den tredje parten. Denna bedömning ska vidarebefordras till styrelsen som dessförinnan ska inhämta ett yttrande från den gemensamma tillsynsmyndigheten. Vid bedömningen ska hänsyn tas till den berörda tredje partens regelverk och administrativa praxis på dataskyddsområdet, inbegripet en eventuellt förekommande oberoende myndighet med ansvar för övervakning av dataskyddsfrågor.

1. Med beaktande av den gemensamma tillsynsmyndighetens yttrande ska styrelsen, på grundval av den bedömning som avses i artikel 5.4, besluta huruvida direktören ska inleda förhandlingar med tredje part om ingående av ett operativt avtal eller ej. Efter att dessförinnan ha erhållit ett positivt beslut från styrelsen ska direktören inleda förhandlingar med tredje part om ingående av ett sådant avtal. I händelse av ett negativt beslut får styrelsen överväga att ingå ett strategiskt avtal med den berörda tredje parten.

2. Europols överföring av sekretessbelagd information ska endast kunna tillåtas i den utsträckning en överenskommelse om sekretess redan föreligger mellan Europol och den tredje parten. Säkerhetskommittén ska informeras om en sådan överenskommelse, som därefter ska formaliseras i samarbetsavtalet.

3. Efter att ha slutfört förhandlingarna om ett avtal ska direktören lägga fram utkastet till avtal för styrelsen. När det gäller ingåendet av ett operativt avtal ska styrelsen inhämta den gemensamma tillsynsmyndighetens yttrande. Styrelsen ska godkänna avtalsutkastet innan den lägger fram det för rådet för godkännande.

När ett operativt avtal godkänns ska utkastet till avtal och yttrandet från den gemensamma tillsynsmyndigheten föreläggas rådet.

4. I enlighet med artikel 23.2 i Europolbeslutet får sådana avtal endast ingås efter godkännande av rådet efter samråd med styrelsen och, i den mån sådana avtal avser utbyte av personuppgifter, efter att genom styrelsen ha erhållit den gemensamma tillsynsmyndighetens yttrande.

Direktören ska regelbundet informera styrelsen om läget för de pågående förhandlingarna med EU-organ och tredje parter.

Före ikraftträdandet av ett avtal eller en preliminär överenskommelse med ett EU-organ eller tredje part får Europol i enlighet med artiklarna 22.3 och 23.3 i Europolbeslutet direkt ta emot och använda information, inbegripet personuppgifter och sekretessbelagd information, i den utsträckning det är nödvändigt för ett lagenligt utförande av dess uppgifter som förtecknas i artikel 5 i Europolbeslutet.

Europol får endast överföra information till ett EU-organ eller en tredje part enligt följande villkor:

Europol ska ansvara för att överföringen av uppgifter är laglig. Europol ska föra ett register över alla överföringar av uppgifter som utförs enligt dessa föreskrifter och över grunderna för överföringarna. Uppgifter får överföras endast om mottagaren gör ett åtagande om att uppgifterna kommer att användas endast för de ändamål för vilka de överfördes.

Överföring av information till EU-organ före ikraftträdandet av ett samarbetsavtal eller en preliminär överenskommelse

1. Före ikraftträdandet av ett operativt avtal eller en preliminär överenskommelse med ett EU-organ får Europol, i enlighet med artikel 22.3 i Europolbeslutet och enligt de villkor som anges i artikel 9.2 och 9.3 i dessa föreskrifter, direkt överföra information, inbegripet personuppgifter, till sådana EU-organ i den utsträckning som det är nödvändigt för ett lagenligt utförande av mottagarens uppgifter.

2. Europols överföring av sekretessbelagd information ska endast kunna tillåtas i den utsträckning en överenskommelse om sekretess redan föreligger mellan Europol och EU-organet i enlighet med artikel 4.2.

Före ikraftträdandet av ett avtal med en tredje part får Europol, i enlighet med artikel 23.4 i Europolbeslutet och enligt de villkor som föreskrivs i artikel 9.2 och 9.3 i dessa föreskrifter, direkt överföra information, med undantag av personuppgifter och sekretessbelagd information, till den tredje parten, i den utsträckning som det är nödvändigt för ett lagenligt utförande av mottagarens uppgifter.

Överföring av information till tredje parter som inte är upptagna i rådets förteckning

I enlighet med artikel 23.5 i Europolbeslutet och enligt de villkor som föreskrivs i artikel 9.2 och 9.3 i dessa föreskrifter får Europol direkt överföra information, med undantag av personuppgifter och sekretessbelagd information, till tredje parter som inte är upptagna i den förteckning som avses i artikel 26.1 a i Europolbeslutet, i den utsträckning det är absolut nödvändigt i enskilda fall för att förebygga eller bekämpa brottslighet som omfattas av Europols behörighet.

1. I enlighet med artikel 23.8 och 23.9 i Europolbeslutet och enligt de villkor som fastställs i artikel 9.2 och 9.3 i dessa föreskrifter får Europol överföra personuppgifter och sekretessbelagd information som den förfogar över till tredje parter, i den utsträckning direktören anser att överföringen av uppgifter och information är absolut nödvändig för att skydda de berörda medlemsstaternas väsentliga intressen inom ramen för Europols målsättningar eller för att förhindra en överhängande fara för brott eller terrorism.

2. Vid överföring av sekretessbelagd information ska direktören så snart som möjligt informera styrelsen och säkerhetskommittén om sitt beslut.

3. Vid överföring av personuppgifter ska direktören under alla omständigheter beakta den dataskyddsnivå som gäller för den tredje parten i fråga i syfte att göra en avvägning mellan denna dataskyddsnivå och ovannämnda intressen. Direktören ska därvid ta hänsyn till alla relevanta faktorer, såsom den fara som kan uppstå om Europol inte överför personuppgifterna i fråga. Direktören ska så snart som möjligt informera styrelsen och den gemensamma tillsynsmyndigheten om sitt beslut och om grunden för bedömningen av om den dataskyddsnivå som den berörda tredje parten erbjuder är tillräcklig.

4. Innan personuppgifter överförs i enlighet med punkt 1 ska direktören bedöma om den dataskyddsnivå som den berörda tredje parten erbjuder är tillräcklig med beaktande av samtliga omständigheter i samband med överföringen av personuppgifter, särskilt

1. Begärda personuppgifter får inte överföras om begäran inte innehåller uppgifter om ändamålet med och orsaken till begäran.

2. Överföring av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt uppgifter som rör en persons hälsa eller sexualliv ska inte vara tillåtet utom när det är strikt nödvändigt.

1. När Europol överför personuppgifter till ett EU-organ eller en tredje part måste byrån säkerställa att det mottagande EU-organet eller den mottagande tredje parten förpliktar sig att personuppgifterna ska rättas eller raderas om det framkommer att dessa personuppgifter är felaktiga, bristfälliga, inaktuella eller inte borde ha överförts. Om Europol konstaterar att personuppgifterna är felaktiga, bristfälliga, inaktuella eller inte borde ha överförts ska det mottagande EU-organet eller den mottagande tredje parten omedelbart underrättas om detta och uppmanas att underrätta Europol om att uppgifterna kommer att rättas eller raderas. Direktören ska informera styrelsen och den gemensamma tillsynsmyndigheten om Europols verksamhet på detta område.

2. I alla avtal som ingås ska det föreskrivas en skyldighet att rätta eller radera uppgifter i enlighet med förfarandet i punkt 1.

3. När Europol överför personuppgifter måste byrån säkerställa att det mottagande EU-organet eller den mottagande tredje parten förpliktar sig att radera uppgifterna om de inte längre är nödvändiga för de ändamål för vilka de överfördes.

1. Europols överföring av personuppgifter till en tredjestat och överföring inom en sådan stat ska begränsas till behöriga myndigheter, vilka uttryckligen ska anges i alla avtal som ingås.

2. Vid förhandlingar om avtal ska Europol göra sitt yttersta för att, där så är möjligt, säkerställa att en tredjestat om möjligt utser en enda behörig myndighet som ska fungera som nationell kontaktpunkt mellan Europol och de andra behöriga myndigheterna i tredjestaten.

3. När Europol överför personuppgifter måste byrån säkerställa att det mottagande EU-organet eller den mottagande tredje parten förpliktar sig att vidareöverföring av sådana uppgifter kommer att begränsas till behöriga myndigheter och ske på samma villkor som dem som gäller för den ursprungliga överföringen.

4. Om en tredjestat inte kan utse en enda behörig myndighet att fungera som nationell kontaktpunkt kan det i undantagsfall ingås avtal om direkt överföring av information från Europol till en eller flera behöriga myndigheter i den berörda tredjestaten.

1. Europol ska endast överföra personuppgifter till en behörig myndighet i en tredjestat eller överföra personuppgifter till en organisation eller ett EU-organ om myndigheten, organisationen eller organet samtycker till att inte överföra sådana uppgifter till andra EU-organ eller tredje parter utom på de villkor som fastställs i punkt 2.

2. Vidareöverföring av personuppgifter till en behörig myndighet i en tredjestat, en organisation eller ett EU-organ som Europol ingått ett operativt avtal med får endast ske

3. Ingen vidareöverföring av uppgifter som meddelas Europol av en medlemsstat ska tillåtas utan förhandsgodkännande från den berörda medlemsstatens sida. Direktören ska informera den berörda medlemsstaten om skälen för en överföring via ett EU-organ eller en tredje part i stället för genom direktöverföring av sådana uppgifter.

1. För att kunna bedöma tillförlitligheten hos den information som Europol mottar, samt hos informationskällan, ska Europol begära att EU-organet eller den tredje parten i möjligaste mån utvärderar informationen och informationskällan enligt de kriterier som fastställs i artikel 12 i rådets beslut 2009/936/RIF av den 30 november 2009 om antagande av tillämpningsföreskrifterna för Europols analysregister (2) (föreskrifter för Europols analysregister).

2. Om denna utvärdering inte lämnas ska Europol i möjligaste mån själv försöka utvärdera informationskällans tillförlitlighet på grundval av den information som byrån redan förfogar över enligt de kriterier som fastställs i artikel 12 i föreskrifterna för Europols analysregister.

3. Europol och ett EU-organ eller en tredje part kan i ett avtal i allmänna ordalag enas om utvärdering av särskild slags information och särskilda informationskällor enligt de kriterier som fastställs i artikel 12 i föreskrifterna för Europols analysregister.

1. I avtal ska det föreskrivas att EU-organet eller den tredje parten ska informera Europol när EU-organet eller tredje parten rättar eller raderar information som överförts till Europol.

2. När ett EU-organ eller en tredje part informerar Europol om rättelse eller radering av information som lämnats till Europol ska Europol rätta eller radera informationen i enlighet därmed. Europol ska inte radera information som byrån fortfarande behöver för det berörda analysregistret eller information som lagras i ett annat av Europols dataregister och som fortfarande är av intresse för Europol med hänsyn till underrättelser som är mer utförliga än de som det överförande EU-organet eller den överförande tredje parten förfogar över. Europol ska informera det berörda EU-organet eller den tredje parten om att denna information även i fortsättningen kommer att lagras.

3. Om Europol har anledning att förmoda att den lämnade informationen är oriktig eller inaktuell ska den informera det EU-organ eller den tredje part som lämnade informationen om detta och begära att EU-organet eller tredje parten informerar Europol om sin ståndpunkt i frågan. Om Europol rättar eller raderar informationen i enlighet med artikel 31.1 i Europolbeslutet, ska Europol informera det EU-organ eller den tredje part som har lämnat informationen om att dessa har rättats eller raderats.

4. Utan att det påverkar tillämpningen av artikel 31 i Europolbeslutet, får information som uppenbart har inhämtats av en tredjestat på ett sätt som utgör en uppenbar kränkning av de mänskliga rättigheterna inte behandlas.

5. I avtal ska det föreskrivas att EU-organet eller tredje parten i möjligaste mån ska informera Europol i de fall när det EU-organet eller den tredje parten har anledning att förmoda att den lämnade informationen är oriktig eller inaktuell.

Utfärdat i Bryssel den 30 november 2009.

På rådets vägnar

B. ASK

Ordförande