Artykuł 25

1. Z zastrzeżeniem wszelkich ograniczeń wskazanych na podstawie art. 19 ust. 2 lub 3 i bez uszczerbku dla art. 67 Europol może przekazywać dane osobowe właściwym organom państwa trzeciego lub organizacji międzynarodowej, pod warunkiem że takie przekazanie jest niezbędne do wykonywania zadań Europolu, w oparciu o jedną z następujących podstaw:

a) decyzję Komisji przyjętą na podstawie art. 36 dyrektywy (UE) 2016/680 uznającą, że dane państwo trzecie, terytorium lub jeden lub więcej określonych sektorów w tym państwie trzecim, lub dana organizacja międzynarodowa zapewniają odpowiedni poziom ochrony (zwaną dalej „decyzją stwierdzającą odpowiedni stopień ochrony”);

b) umowę międzynarodową zawartą między Unią a danym państwem trzecim lub daną organizacją międzynarodową na podstawie art. 218 TFUE przyznającą odpowiednie zabezpieczenia w odniesieniu do ochrony prywatności oraz podstawowych praw i wolności osób fizycznych;

c) umowę o współpracy umożliwiającą wymianę danych osobowych zawartą przed dniem 1 maja 2017 r. między Europolem a danym państwem trzecim lub daną organizacją międzynarodową zgodnie z art. 23 decyzji 2009/371/WSiSW.

Europol może dokonać uzgodnień administracyjnych w celu wykonania takich umów lub decyzji stwierdzających odpowiedni stopień ochrony.

2. Dyrektor wykonawczy informuje zarząd o wymianie danych osobowych na podstawie decyzji stwierdzających odpowiedni stopień ochrony zgodnie z ust. 1 lit. a).

4. Do dnia 14 czerwca 2021 r. Komisja dokonuje oceny postanowień zawartych w umowach o współpracy, o których mowa w ust. 1 lit. c), w szczególności postanowień dotyczących ochrony danych. Komisja informuje Parlament Europejski i Radę o rezultacie tej oceny i w stosownych przypadkach może przedłożyć Radzie zalecenie w sprawie decyzji upoważniającej do rozpoczęcia negocjacji w celu zawarcia umów międzynarodowych, o których mowa w ust. 1 lit. b).

4a. Przy braku decyzji stwierdzającej odpowiedni stopień ochrony zarząd może upoważnić Europol do przekazania danych osobowych właściwemu organowi państwa trzeciego lub organizacji międzynarodowej, w przypadku gdy:

a) przewidziano odpowiednie zabezpieczenia w zakresie ochrony danych osobowych w prawnie wiążącym instrumencie; lub

b) Europol ocenił wszystkie okoliczności towarzyszące przekazaniu danych osobowych i stwierdził, że istnieją odpowiednie zabezpieczenia w zakresie ochrony danych osobowych.

5. Na zasadzie odstępstwa od ust. 1 dyrektor wykonawczy, w należycie uzasadnionych przypadkach, rozpatrując przypadki indywidualnie, wyraża zgodę na przekazanie lub kategorię przekazań danych osobowych właściwemu organowi państwa trzeciego lub organizacji międzynarodowej, jeżeli przekazanie lub kategoria przekazań:

a) jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby;

b) jest niezbędna do zabezpieczenia uzasadnionych interesów osoby, której dane dotyczą;

c) ma zasadnicze znaczenie dla zapobieżenia bezpośredniemu i poważnemu zagrożeniu dla bezpieczeństwa publicznego państwa członkowskiego lub państwa trzeciego;

d) jest niezbędne w indywidualnych przypadkach do zapobiegania przestępstwom, prowadzenia postępowań przygotowawczych w ich sprawie, wykrywania ich i ścigania albo wykonywania kar; lub

e) jest niezbędne w indywidualnych przypadkach do ustalenia, dochodzenia lub obrony roszczeń w związku z zapobieganiem określonemu przestępstwu, prowadzeniem postępowania przygotowawczego w jego sprawie, wykryciem go lub ściganiem albo wykonaniem konkretnej kary.

Danych osobowych nie przekazuje się, jeżeli dyrektor wykonawczy stwierdzi, że podstawowe prawa i wolności osoby, której dane dotyczą, są nadrzędne wobec interesu publicznego przemawiającego za przekazaniem, o którym mowa w lit. d) i e).

Odstępstw na podstawie niniejszego ustępu nie stosuje się do systematycznego, masowego lub strukturalnego przekazywania danych.

6. Na zasadzie odstępstwa od ust. 1 zarząd w porozumieniu z EIOD może wyrazić zgodę, na okres nieprzekraczający jednego roku, z możliwością odnowienia, na zestaw przekazań zgodnie z ust. 5 lit. a)–e), uwzględniając istnienie odpowiednich zabezpieczeń w odniesieniu do ochrony prywatności oraz podstawowych praw i wolności osób fizycznych. Taka zgoda musi być należycie uzasadniona i udokumentowana.

7. Dyrektor wykonawczy informuje niezwłocznie zarząd i EIOD o przypadkach, w których zastosował ust. 5.

8. Europol informuje EIOD o kategoriach przekazań, o których mowa w ust. 4a lit. b). Jeżeli przekazanie odbywa się zgodnie z ust. 4a lub 5, jest ono udokumentowane, a dokumentacja zostaje udostępniona EIOD na jego wniosek. Dokumentacja obejmuje zapis daty i godziny przekazania oraz informacje o właściwym organie, o którym mowa w niniejszym artykule, o uzasadnieniu przekazania oraz o przekazanych danych osobowych.