Artykuł 26

1. W zakresie, w jakim jest to niezbędne do wykonywania swych zadań, Europol może przetwarzać dane osobowe uzyskane od podmiotów prywatnych, pod warunkiem że otrzymano je za pośrednictwem:

a) jednostki krajowej zgodnie z prawem krajowym;

b) punktu kontaktowego w państwie trzecim lub organizacji międzynarodowej, z którymi Europol zawarł przed dniem 1 maja 2017 r. umowę o współpracy umożliwiającą wymianę danych osobowych zgodnie z art. 23 decyzji 2009/371/WSiSW; lub

c) organu państwa trzeciego lub organizacji międzynarodowej, o której mowa w art. 25 ust. 1 lit. a), b) lub c) lub w art. 25 ust. 4a.

2. W przypadku gdy Europol otrzymuje dane osobowe bezpośrednio od podmiotów prywatnych, może przetwarzać te dane osobowe zgodnie z art. 18 w celu zidentyfikowania zainteresowanych jednostek krajowych, o których mowa w ust. 1 lit. a) niniejszego artykułu. Europol niezwłocznie przekazuje dalej dane osobowe oraz wszelkie istotne wyniki niezbędnego przetwarzania tych danych zainteresowanej jednostce krajowej do celów natychmiastowego ustalenia jurysdykcji. Europol może przekazać dalej – zgodnie z art. 25 – dane osobowe oraz istotne wyniki niezbędnego przetwarzania tych danych punktom kontaktowym i zainteresowanym organom, o których mowa w ust. 1 lit. b) i c) niniejszego artykułu, do celów ustalenia jurysdykcji. Jeśli Europol nie może zidentyfikować żadnych zainteresowanych jednostek krajowych lub przekazał już dalej odpowiednie dane osobowe wszystkim zidentyfikowanym odpowiednim zainteresowanym jednostkom krajowym i nie jest możliwa identyfikacja kolejnych zainteresowanych jednostek krajowych, Europol usuwa takie dane, chyba że zainteresowana jednostka krajowa, zainteresowany punkt kontaktowy lub zainteresowany organ ponownie przedłożą Europolowi te dane osobowe zgodnie z art. 19 ust. 1 w terminie czterech miesięcy od dokonania przesłania lub przekazania.

Kryteria dotyczące tego, czy jednostka krajowa państwa członkowskiego, w którym dany podmiot prywatny ma siedzibę stanowi zainteresowaną jednostkę krajową, określa się w wytycznych, o których mowa w art. 18 ust. 7.

2a. Współpraca Europolu z podmiotami prywatnymi nie może powielać ani zakłócać działań jednostek analityki finansowej państw członkowskich i nie dotyczy informacji, które mają być dostarczane jednostkom analityki finansowej do celów dyrektywy (UE) 2015/849.

3. Po przekazaniu danych osobowych zgodnie z ust. 5 lit. c) niniejszego artykułu, Europol może w związku z tym przekazaniem otrzymywać dane osobowe bezpośrednio od podmiotu prywatnego, który deklaruje, że jest uprawniony do ich przekazywania zgodnie z mającymi zastosowanie przepisami, w celu przetwarzania takich danych dla potrzeb realizacji zadania określonego w art. 4 ust. 1 lit. m).

4. Jeżeli Europol otrzyma dane osobowe od podmiotu prywatnego ustanowionego w państwie trzecim, Europol przekazuje te dane oraz wyniki swojej analizy i weryfikacji tych danych jedynie państwu członkowskiemu lub danemu państwu trzeciemu, o których mowa w art. 25 ust. 1 lit. a), b) lub c) lub w art. 25 ust. 4a.

Bez uszczerbku dla akapitu pierwszego niniejszego ustępu, Europol może przesłać wyniki, o których mowa w akapicie pierwszym niniejszego ustępu danemu państwu trzeciemu zgodnie z art. 25 ust. 5 lub 6.

5. Europol nie przesyła ani nie przekazuje danych osobowych podmiotom prywatnym, z wyjątkiem następujących sytuacji i pod warunkiem że takie przesłanie lub przekazanie jest absolutnie niezbędne i proporcjonalne, do określenia na podstawie indywidulanego przypadku:

a) przesłanie lub przekazanie leży bez wątpienia w interesie osoby, której dane dotyczą;

b) przesłanie lub przekazanie jest absolutnie niezbędne do zapobieżenia przestępstwu, które zostałoby popełnione w najbliższej przyszłości, w tym przestępstwu terrorystycznemu, objętemu zakresem celów Europolu;

c) przesłanie lub przekazanie danych osobowych, które są publicznie dostępne, jest absolutnie niezbędne do wykonania zadania, o którym mowa w art. 4 ust. 1 lit. m), i spełnione są następujące warunki:

(i) przesłanie lub przekazanie dotyczy konkretnego i indywidualnego przypadku;

(ii) prawa podstawowe i wolności osób, których dane dotyczą, nie są nadrzędne wobec interesu publicznego, który wymaga przesłania lub przekazania tych danych osobowych w danym przypadku; lub

d) przesłanie lub przekazanie jest absolutnie niezbędne, aby Europol mógł powiadomić ten podmiot prywatny, że otrzymane informacje nie są wystarczające, by umożliwić Europolowi identyfikację zainteresowanych jednostek krajowych, i spełnione są następujące warunki:

(i) przesłanie lub przekazanie następuje po otrzymaniu danych osobowych bezpośrednio od podmiotu prywatnego zgodnie z ust. 2;

(ii) brakujące informacje, do których Europol może się odnieść w swoim zgłoszeniu, są wyraźnie powiązane z informacjami przekazanymi wcześniej przez podmiot prywatny;

(iii) brakujące informacje, do których Europol może się odnieść w swoim zgłoszeniu, ściśle ograniczają się do tego, co jest niezbędne, aby Europol mógł zidentyfikować zainteresowane jednostki krajowe.

Przesłanie lub przekazanie, o którym mowa w akapicie pierwszym niniejszego ustępu, podlega wszelkim ograniczeniom wskazanym na podstawie art. 19 ust. 2 lub 3 i pozostaje bez uszczerbku dla art. 67.

6. W odniesieniu do ust. 5 lit. a), b) i d) niniejszego artykułu, w przypadku gdy dany podmiot prywatny nie ma siedziby na terytorium Unii ani w państwie trzecim, o którym mowa w art. 25 ust. 1 lit a), b) lub c) lub w art. 25 ust. 4a, dyrektor wykonawczy zatwierdza przekazanie wyłącznie wówczas, gdy przekazanie:

a) jest niezbędne do ochrony żywotnych interesów danej osoby, której dane dotyczą, lub innej osoby;

b) jest niezbędne do zabezpieczenia uzasadnionych interesów danej osoby, której dane dotyczą;

c) ma zasadnicze znaczenie dla zapobieżenia bezpośredniemu i poważnemu zagrożeniu dla bezpieczeństwa publicznego państwa członkowskiego lub państwa trzeciego;

d) jest niezbędne w indywidualnych przypadkach do zapobiegnięcia konkretnemu przestępstwu kryminalnemu objętemu zakresem celów Europolu, prowadzenia postępowania przygotowawczego w jego sprawie, wykrycia go lub jego ścigania; lub

e) jest niezbędne w indywidualnych przypadkach do ustalenia, dochodzenia lub obrony roszczeń prawnych w związku z zapobiegnięciem określonemu przestępstwu objętemu zakresem celów Europolu, prowadzeniem postępowania przygotowawczego w jego sprawie, wykryciem go lub jego ściganiem.

Danych osobowych nie przekazuje się, jeżeli dyrektor wykonawczy stwierdzi, że podstawowe prawa i wolności danej osoby, której dane dotyczą, są nadrzędne wobec interesu publicznego, który wymaga przekazania, o którym mowa w akapicie pierwszym lit. d) i e) niniejszego ustępu.

6a. Bez uszczerbku dla ust. 5 lit. a), c) i d) niniejszego artykułu i innych aktów prawnych Unii, przekazania ani przesyłanie danych osobowych na podstawie ust. 5 i 6 nie mogą mieć charakteru systematycznego, masowego ani strukturalnego.

6b. Europol może występować do państw członkowskich – za pośrednictwem ich jednostek krajowych, zgodnie z ich prawem krajowym, z wnioskiem o uzyskanie danych osobowych od podmiotów prywatnych, które mają siedzibę lub przedstawiciela prawnego na terytorium tych państw, w celu przekazania takich danych Europolowi. Takie wnioski muszą zawierać uzasadnienie i być w jak największym stopniu precyzyjne. Takie dane osobowe muszą być możliwie jak najmniej wrażliwe i ograniczać się ściśle do tego, co jest niezbędne i proporcjonalne w celu umożliwienia identyfikacji przez Europol zainteresowanych jednostek krajowych.

Niezależnie od jurysdykcji państw członkowskich w odniesieniu do konkretnego przestępstwa, państwa członkowskie zapewniają swoim właściwym organom możliwość przetwarzania wniosków, o których mowa w akapicie pierwszym na podstawie ich prawa krajowego na potrzeby przekazania Europolowi informacji niezbędnych mu do identyfikacji zainteresowanych jednostek krajowych.

6c. Infrastrukturę Europolu można wykorzystywać do celów wymiany informacji między właściwymi organami państw członkowskich i podmiotami prywatnymi zgodnie z odpowiednim prawem krajowym. Wymiany te mogą również obejmować przestępstwa nieobjęte zakresem celów Europolu.

W przypadku gdy państwa członkowskie korzystają z infrastruktury Europolu na potrzeby wymiany danych osobowych dotyczących przestępstw objętych zakresem celów Europolu, mogą one udzielić Europolowi dostępu do tych danych.

W przypadku gdy państwa członkowskie korzystają z infrastruktury Europolu na potrzeby wymiany danych osobowych dotyczących przestępstw nieobjętych zakresem celów Europolu, Europol nie ma dostępu do tych danych i jest uznawany za „podmiot przetwarzający” zgodnie z art. 87 rozporządzenia (UE) 2018/1725.

Europol ocenia istnienie zagrożeń dla bezpieczeństwa wynikających z udostępnienia jego infrastruktury podmiotom prywatnym i, w razie konieczności, wdraża odpowiednie środki zapobiegawcze i środki zmniejszające zagrożenia.

7. Europol zapewnia, by szczegółowa ewidencja wszystkich operacji przekazania danych osobowych wraz z ich podstawami prowadzona była zgodnie z niniejszym rozporządzeniem oraz by była ona przekazywana EIOD na jego wniosek zgodnie z art. 40.

8. Jeżeli otrzymane dane osobowe lub dane osobowe, które mają zostać przekazane, mają wpływ na interesy państwa członkowskiego, Europol informuje niezwłocznie jednostkę krajową tego państwa członkowskiego.

11. Europol przygotowuje roczne sprawozdanie dla zarządu dotyczące danych osobowych wymienionych z podmiotami prywatnymi na mocy art. 26, 26a i 26b, na podstawie ilościowych i jakościowych kryteriów oceny ustanowionych przez zarząd.

Roczne sprawozdanie obejmuje konkretne przykłady spraw wskazujących dlaczego wnioski Europolu zgodnie z ust. 6b niniejszego artykułu były niezbędne do realizacji jego celów i wykonywania jego zadań.

Roczne sprawozdanie uwzględnia obowiązki zachowania dyskrecji i poufności, a przykłady są zanonimizowane w odniesieniu do danych osobowych.

Sprawozdanie roczne przesyła się Parlamentowi Europejskiemu, Radzie, Komisji i parlamentom narodowym.