Artykuł 18

1. Europol może przetwarzać informacje, w tym dane osobowe, w zakresie, w jakim jest to niezbędne do realizacji jego celów określonych w art. 3.

2. Dane osobowe mogą być przetwarzane wyłącznie do celów:

a) sprawdzania krzyżowego mającego na celu wskazanie powiązań lub innych odpowiednich związków między informacjami dotyczącymi:

(i) osób, w odniesieniu do których zachodzi podejrzenie, że popełniły przestępstwo, w odniesieniu do którego Europol jest właściwy, lub brały udział w takim przestępstwie, lub osób skazanych za takie przestępstwo;

(ii) osób, w przypadku których istnieją przesłanki faktyczne lub uzasadnione powody, by sądzić, że popełnią one przestępstwa, w odniesieniu do których Europol jest właściwy;

b) analiz o charakterze strategicznym lub tematycznym;

c) analiz operacyjnych;

d) ułatwiania, w tym za pośrednictwem aplikacji SIENA, wymiany informacji między państwami członkowskimi, Europolem, innymi organami Unii, państwami trzecimi, organizacjami międzynarodowymi i podmiotami prywatnymi;

e) projekty w dziedzinie badań naukowych i innowacji;

f) wspierania państw członkowskich, na ich wniosek, w zapewnianiu ogółowi społeczeństwa informacji na temat osób podejrzanych lub skazanych, które są poszukiwane na podstawie orzeczenia sądu krajowego dotyczącego przestępstwa nieobjętego celami Europolu, a także ułatwiania dostarczania państwom członkowskim i Europolowi informacji na temat tych osób przez ogół społeczeństwa.

3. Przetwarzanie do celów analiz operacyjnych, o których mowa w ust. 2 lit. c), prowadzi się z wykorzystaniem projektów analizy operacyjnej, do których mają zastosowanie następujące szczególne zabezpieczenia:

a) w odniesieniu do każdego projektu analizy operacyjnej dyrektor wykonawczy określa konkretny cel, kategorie danych osobowych oraz kategorie osób, których dane dotyczą, uczestników, okres przechowywania oraz warunki dostępu do danych, przekazywania i wykorzystywania ich i informuje o nich zarząd oraz EIOD;

b) dane osobowe można gromadzić i przetwarzać wyłącznie do celów określonego projektu analizy operacyjnej. W przypadku gdy staje się jasne, że dane osobowe mogą mieć znaczenie dla innego projektu analizy operacyjnej, dalsze przetwarzanie tych danych osobowych jest dozwolone wyłącznie w zakresie, w jakim takie dalsze przetwarzanie jest niezbędne i proporcjonalne, a dane osobowe spełniają wymogi określone w lit. a) mające zastosowanie do tego innego projektu analizy;

c) dostęp do danych odpowiedniego projektu i możliwość przetwarzania tych danych mają wyłącznie upoważnieni pracownicy.

3a. Jeżeli jest to niezbędne do realizacji celów projektów Europolu w dziedzinie badań naukowych i innowacji, przetwarzanie danych osobowych na te potrzeby, prowadzi się wyłącznie w kontekście projektów Europolu w dziedzinie badań naukowych i innowacji o jasno określonych założeniach i celach oraz jest ono zgodne z art. 33a.

4. Przetwarzanie, o którym mowa w ust. 2 i 3, prowadzi się zgodnie z zabezpieczeniami służącymi ochronie danych przewidzianymi w niniejszym rozporządzeniu. Europol w należyty sposób dokumentuje te operacje przetwarzania. Dokumentację udostępnia się na żądanie inspektorowi ochrony danych i EIOD w celu weryfikacji zgodności z prawem tych operacji przetwarzania danych.

5. Bez uszczerbku dla art. 8 ust. 4, art. 18 ust. 2 lit. e), art. 18a oraz dla przetwarzania danych zgodnie z art. 26 ust. 6c, jeżeli infrastruktura Europolu jest wykorzystywana do dwustronnej wymiany danych osobowych i Europol nie ma dostępu do treści danych, w załączniku II wymieniono kategorie danych osobowych i kategorie osób, których dane dotyczą, których dane można zbierać i przetwarzać na potrzeby każdego z celów ust. 2 niniejszego artykułu.

5a. Zgodnie z art. 73 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 (

14

) w stosownych przypadkach i w miarę możliwości Europol dokonuje wyraźnego rozróżnienia między danymi osobowymi, które odnoszą się do poszczególnych kategorii osób, których dane dotyczą, wymienionych w załączniku II.

6. Europol może tymczasowo przetwarzać dane na potrzeby stwierdzenia, czy dane takie są istotne dla realizacji jego zadań, a jeśli są istotne, to dla którego z celów wymienionych w ust. 2. Termin przetwarzania takich danych na potrzeby niniejszego ustępu nie przekracza sześć miesięcy od dnia otrzymania tych danych.

6a. Przed przetwarzaniem danych zgodnie z ust. 2 niniejszego artykułu, jeżeli jest to absolutnie niezbędne w wyłącznym celu stwierdzenia, czy dane osobowe są zgodne z ust. 5 niniejszego artykułu, Europol może tymczasowo przetwarzać dane osobowe otrzymane na podstawie art. 17 ust. 1 i 2, w tym poprzez porównanie tych danych ze wszystkimi danymi, które Europol już przetwarza zgodnie z ust. 5 niniejszego artykułu.

Europol przetwarza dane osobowe na podstawie pierwszego akapitu przez okres do 18 miesięcy od momentu, gdy Europol zapewnia, że te dane objęte są zakresem jego celów lub – w uzasadnionych przypadkach – przez dłuższy okres, jeżeli jest to niezbędne do celów niniejszego artykułu. Europol informuje EIOD o każdym przedłużeniu okresu przetwarzania. Maksymalny okres przetwarzania danych zgodnie z akapitem pierwszym wynosi trzy lata. Takie dane osobowe są przechowywane w sposób funkcjonalnie oddzielny od innych danych.

Jeżeli Europol stwierdzi, że dane osobowe, o których mowa w akapicie pierwszym niniejszego ustępu, nie są zgodne z ust. 5, usuwa te dane i w stosownych przypadkach informuje o tym odpowiednio podmiot dostarczający te usunięte dane.

6b. Zarząd, działając na wniosek dyrektora wykonawczego i po zasięgnięciu opinii EIOD i z należytym uwzględnieniem zasad, o których mowa w art. 71 rozporządzenia (UE) 2018/1725, doprecyzowuje warunki przetwarzania takich danych, o których mowa w ust. 6 i 6a niniejszego artykułu, w szczególności w odniesieniu do dostarczania danych, dostępu do danych i wykorzystania tych danych, a także do terminów przechowywania i usuwania takich danych, które nie mogą przekraczać odpowiednich terminów określonych w ust. 6 i 6a niniejszego artykułu.

7. Zarząd po zasięgnięciu opinii EIOD przyjmuje w odpowiednich przypadkach wytyczne doprecyzowujące procedury przetwarzania informacji do celów wymienionych w ust. 2 zgodnie za art. 11 ust. 1 lit. q).