a także mając na uwadze, co następuje:(1) Europol został utworzony na mocy decyzji Rady 2009/371/WSiSW 2 jako jednostka Unii finansowana z budżetu ogólnego Unii, mająca na celu wspieranie i wzmacnianie działań i wzajemnej współpracy właściwych organów państw członkowskich w zakresie zapobiegania przestępczości zorganizowanej, terroryzmowi i innym formom poważnej przestępczości - dotykającym co najmniej dwa państwa członkowskie - oraz w zakresie zwalczania tych zjawisk. Decyzja 2009/371/WSiSW zastąpiła Konwencję sporządzoną na podstawie artykułu K.3 Traktatu o Unii Europejskiej w sprawie ustanowienia Europejskiego Urzędu Policji (zwaną dalej "Konwencją o Europolu") 3 .
(2) Art. 88 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE) stanowi, że Europol działa na mocy rozporządzenia przyjmowanego zgodnie ze zwykłą procedurą ustawodawczą. Ponadto artykuł ten nakłada wymóg ustanowienia procedur kontroli działań Europolu przez Parlament Europejski, w której uczestniczą parlamenty narodowe, zgodnie z art. 12 lit. c) Traktatu o Unii Europejskiej (TUE) i art. 9 Protokołu nr 1 w sprawie roli parlamentów narodowych w Unii Europejskiej, załączonego do TUE i TFUE (zwanego dalej "Protokołem nr 1"), w celu wzmocnienia legitymacji demokratycznej i odpowiedzialności Europolu względem obywateli Unii. W związku z tym decyzję 2009/371/WSiSW należy zastąpić rozporządzeniem ustanawiającym między innymi przepisy dotyczące kontroli parlamentarnej.
(3) Zgodnie z "Programem sztokholmskim - otwarta i bezpieczna Europa dla dobra i ochrony obywateli" 4 Europol powinien rozwijać się, tak by stać się centrum wymiany informacji między organami ścigania państw członkowskich, dostawcą usług i platformą dla organów ścigania. Z oceny funkcjonowania Europolu wynika, że dla osiągnięcia tego celu konieczne jest dalsze zwiększenie jego skuteczności operacyjnej.
(4) Duże sieci przestępcze i terrorystyczne stanowią poważne zagrożenie dla bezpieczeństwa wewnętrznego Unii oraz dla bezpieczeństwa i życia jej obywateli. Dostępne oceny zagrożenia wskazują, że działania grup przestępczych stają się w coraz większym stopniu wielowymiarowe i transgraniczne. W związku z tym krajowe ograny ścigania muszą ściślej współpracować ze swoimi odpowiednikami w innych państwach członkowskich. W tej sytuacji konieczne jest przygotowanie Europolu do lepszego wspierania państw członkowskich w zapobieganiu przestępczości, analizach i prowadzeniu postępowań przygotowawczych w wymiarze ogólnounijnym. Pogląd ten potwierdza także ocena decyzji 2009/371/WSiSW.
(5) Celem niniejszego rozporządzenia jest zmiana i rozszerzenie przepisów decyzji 2009/371/WSiSW, a także decyzji Rady 2009/934/WSiSW 5 , 2009/935/WSiSW 6 , 2009/936/WSiSW 7 i 2009/968/WSiSW 8 wykonujących decyzję 2009/371/WSiSW. Biorąc pod uwagę znaczną liczbę i istotny charakter zmian, które należy wprowadzić, wspomniane decyzje powinny przez wzgląd na jasność zostać zastąpione w całości w odniesieniu do państw członkowskich związanych niniejszym rozporządzeniem. Europol ustanowiony na mocy niniejszego rozporządzenia powinien zastąpić Europol ustanowiony na mocy decyzji 2009/371/WSiSW i przejąć jego funkcje, a wspomnianą decyzję należy w związku z tym uchylić.
(6) Z uwagi na fakt, że poważna przestępczość często wykracza poza granice wewnętrzne, Europol powinien wspierać i wzmacniać działania państw członkowskich oraz ich współpracę w zakresie zapobiegania i zwalczania poważnej przestępczości dotykającej co najmniej dwa państwa członkowskie. Ponieważ terroryzm stanowi jedno z najpoważniejszych zagrożeń dla bezpieczeństwa Unii, Europol powinien pomagać państwom członkowskim w stawianiu czoła wspólnym wyzwaniom w tym względzie. Jako unijny organ ścigania Europol powinien również wspierać i wzmacniać działania i współpracę w zakresie zwalczania form przestępczości naruszających interesy Unii. Spośród różnych form przestępczości, w odniesieniu do których Europol jest właściwy do podejmowania działań, jednym z głównych celów Europolu będzie nadal walka z przestępczością zorganizowaną, gdyż ze względu na skalę, znaczenie i skutki przestępczość taka wymaga także wspólnego podejścia państw członkowskich. Europol powinien również oferować wsparcie w zakresie zapobiegania przestępstwom powiązanym, służącym uzyskaniu środków na popełnienie czynów, w odniesieniu do których Europol jest właściwy, ułatwieniu lub umożliwieniu popełnienia takich czynów lub mającym na celu uniknięcie kary za te czyny, a także w zakresie zwalczania tych przestępstw.
(7) Europol powinien dostarczać analizy strategiczne i oceny zagrożenia, aby pomóc Radzie i Komisji w określaniu priorytetów strategicznych i operacyjnych Unii w zakresie zwalczania przestępczości oraz we wprowadzaniu w życie tych priorytetów pod kątem operacyjnym. Na wniosek Komisji złożony zgodnie z art. 8 rozporządzenia Rady (UE) nr 1053/2013 9 Europol powinien również przeprowadzać analizy ryzyka, w tym dotyczące przestępczości zorganizowanej, w zakresie, w jakim ryzyko to może narazić na szwank stosowanie przez państwa członkowskie dorobku Schengen. Ponadto na wniosek Rady lub Komisji Europol powinien w stosownych przypadkach dostarczać analizy strategiczne i oceny zagrożenia, aby wnieść wkład w ocenę państw kandydujących do przystąpienia do Unii.
(8) Ataki na systemy informatyczne dotykające organy Unii lub co najmniej dwa państwa członkowskie są w Unii coraz bardziej niebezpieczne, w szczególności ze względu na tempo i skutki tych ataków oraz trudności z identyfikacją ich źródeł. Rozpatrując wniosek Europolu o wszczęcie postępowania przygotowawczego dotyczącego podejrzenia popełnienia przestępstwa poważnego ataku na systemy informatyczne organów Unii lub co najmniej dwóch państw członkowskich, państwa członkowskie powinny niezwłocznie udzielić Europolowi odpowiedzi, mając na uwadze, że szybka reakcja jest jednym z kluczowych warunków skutecznej walki z przestępczością komputerową.
(9) Przez wzgląd na znaczenie, jakie ma współpraca międzyagencyjna, Europol i Eurojust powinny zapewnić dokonanie niezbędnych uzgodnień służących optymalizacji ich współpracy operacyjnej, z należytym uwzględnieniem ich odpowiednich zadań i zakresów działania, a także z uwzględnieniem interesów państw członkowskich. W szczególności Europol i Eurojust powinny informować się wzajemnie o działaniach pociągających za sobą finansowanie wspólnych zespołów dochodzeniowo-śledczych.
(10) Ustanawiając wspólny zespół dochodzeniowo-śledczy, należy określić w odpowiedniej umowie warunki uczestnictwa w tym zespole pracowników Europolu. Europol powinien prowadzić ewidencję uczestnictwa we wspólnych zespołach dochodzeniowo-śledczych zwalczających działalność przestępczą objętą jego celami.
(11) Europol powinien mieć możliwość występowania do państw członkowskich z wnioskiem o wszczęcie, prowadzenie lub koordynowanie postępowań przygotowawczych w konkretnych sprawach, w których współpraca transgraniczna stanowiłaby wartość dodaną. Europol powinien informować Eurojust o takich wnioskach.
(12) Europol powinien być centrum wymiany informacji w Unii. Informacje zbierane, przechowywane, przetwarzane, analizowane i wymieniane przez Europol obejmują dane o charakterze operacyjnym, czyli informacje o przestępstwach lub działaniach przestępczych objętych celami Europolu, i służą ustaleniu, czy konkretne czyny przestępcze zostały popełnione lub czy jest możliwe, że zostaną popełnione w przyszłości.
(13) Aby zapewnić skuteczność Europolu jako centrum wymiany informacji, należy określić jasne zobowiązania państw członkowskich do dostarczania Europolowi danych niezbędnych do osiągnięcia stawianych mu celów. Przy wypełnianiu tych zobowiązań państwa członkowskie powinny zwrócić szczególną uwagę na dostarczanie danych mających znaczenie dla walki z przestępstwami, których zwalczanie uznaje się za priorytety strategiczne i operacyjne w ramach stosownych instrumentów polityki Unii, w szczególności priorytety określone przez Radę w ramach cyklu polityki unijnej dotyczącej poważnej i zorganizowanej przestępczości międzynarodowej. Państwa członkowskie powinny również starać się przekazywać Europolowi kopie dwustronnej i wielostronnej wymiany informacji z innymi państwami członkowskimi na temat przestępstw objętych celami Europolu. Dostarczając Europolowi niezbędne informacje, państwa członkowskie powinny także uwzględnić informacje o domniemanych cyberatakach dotykających organy Unii mieszczące się na ich terytorium. Jednocześnie Europol powinien zwiększyć swoje wsparcie dla państw członkowskich, aby poprawić wzajemną współpracę i dzielenie się informacjami. Europol powinien składać Parlamentowi Europejskiemu, Radzie, Komisji i parlamentom narodowym sprawozdania roczne dotyczące informacji dostarczanych przez poszczególne państwa członkowskie.
(14) W celu zapewnienia skutecznej współpracy między Europolem a państwami członkowskimi w każdym państwie członkowskim powinna zostać utworzona jednostka krajowa (zwana dalej "jednostką krajową"). Powinna ona być łącznikiem między właściwymi organami krajowymi a Europolem, i w ten sposób odgrywać rolę koordynującą współpracę państw członkowskich z Europolem, a co za tym idzie przyczyniać się do zapewnienia, by poszczególne państwa członkowskie reagowały na wnioski Europolu w jednolity sposób. W celu zapewnienia stałej i skutecznej wymiany informacji między Europolem a jednostkami krajowymi oraz w celu ułatwienia ich współpracy, każda jednostka krajowa powinna wyznaczyć co najmniej jednego oficera łącznikowego przy Europolu.
(15) Z uwagi na zdecentralizowaną strukturę niektórych państw członkowskich oraz potrzebę zapewnienia szybkiej wymiany informacji, Europol powinien mieć możliwość prowadzenia bezpośredniej współpracy z właściwymi organami w państwach członkowskich z zastrzeżeniem warunków określonych przez państwa członkowskie i przy zapewnieniu informowania jednostek krajowych na ich wniosek.
(16) Należy zachęcać do tworzenia wspólnych zespołów dochodzeniowo-śledczych, a pracownicy Europolu powinni móc w nich uczestniczyć. Aby zapewnić, by takie uczestnictwo było możliwe w każdym państwie członkowskim, rozporządzenie Rady (Euratom, EWWiS, EWG) nr 549/69 10 przewiduje, że pracownicy Europolu uczestniczący we wspólnych zespołach dochodzeniowo-śledczych nie korzystają z immunitetów.
(17) Konieczna jest również poprawa zarządzania Europolem poprzez dążenie do zwiększenia wydajności i usprawnienia procedur.
(18) Komisja i państwa członkowskie powinny być reprezentowane w zarządzie Europolu (zwanym dalej "zarządem") w celu skutecznego nadzorowania jego pracy. Przy powoływaniu członków i zastępców członków zarządu należy brać pod uwagę ich stosowne umiejętności kierownicze, administracyjne i budżetowe oraz ich wiedzę na temat współpracy organów ścigania. W przypadku nieobecności członka zastępcy członków powinni działać jako członkowie.
(19) Wszystkie strony reprezentowane w zarządzie powinny starać się ograniczyć rotację swoich przedstawicieli, aby zapewnić ciągłość prac zarządu. Wszystkie strony powinny dążyć do osiągnięcia równowagi pod względem reprezentacji mężczyzn i kobiet w zarządzie.
(20) Zarząd powinien mieć możliwość zapraszania obserwatorów bez prawa do głosowania, których opinia może być istotna dla dyskusji, w tym przedstawiciela wyznaczonego przez grupę ds. wspólnej kontroli parlamentarnej (GWKP).
(21) Zarządowi należy przyznać niezbędne uprawnienia, w szczególności uprawnienia do uchwalania budżetu, kontroli jego wykonywania, przyjmowania odpowiednich przepisów finansowych i dokumentów z zakresu planowania, a także przyjmowania przepisów, których celem jest zapobieganie konfliktom interesów i zarządzanie nimi, w odniesieniu do jego członków, ustanawiania przejrzystych zasad działania w zakresie podejmowania decyzji przez dyrektora wykonawczego Europolu oraz przyjmowania rocznego sprawozdania z działalności. Zarząd powinien wykonywać uprawnienia organu powołującego w odniesieniu do personelu agencji, w tym dyrektora wykonawczego.
(22) W celu zapewnienia sprawnego bieżącego funkcjonowania Europolu dyrektor wykonawczy powinien być jego przedstawicielem prawnym i zarządcą, działającym w sposób niezależny w wykonywaniu swoich obowiązków oraz zapewniającym wykonywanie przez Europol zadań przewidzianych w niniejszym rozporządzeniu. W szczególności dyrektor wykonawczy powinien być odpowiedzialny za przygotowanie dokumentów budżetowych i dokumentów z zakresu planowania przedkładanych do decyzji zarządu oraz za wdrożenie programu wieloletniego i rocznych programów prac Europolu oraz innych dokumentów z zakresu planowania.
(23) Dla potrzeb zapobiegania i zwalczania przestępczości objętej celami Europolu Europol powinien mieć jak najpełniejsze i najbardziej aktualne informacje. Europol powinien mieć zatem możliwość przetwarzania danych - dostarczanych mu przez państwa członkowskie, organy Unii, państwa trzecie, organizacje międzynarodowe oraz, z zastrzeżeniem spełnienia rygorystycznych warunków określonych w niniejszym rozporządzeniu, podmioty prywatne, a także danych pochodzących z ogólnodostępnych źródeł, aby lepiej zrozumieć zjawiska przestępcze i tendencje przestępczości, móc gromadzić informacje na temat sieci przestępczych i wykrywać powiązania między różnymi przestępstwami.
(24) Aby zwiększyć skuteczność Europolu w zakresie dostarczania dokładnych analiz przestępczości właściwym organom państw członkowskich, powinien on wykorzystywać nowe technologie do przetwarzania danych. Europol powinien mieć możliwość szybkiego wykrywania powiązań między prowadzonymi postępowaniami przygotowawczymi i między podobnymi sposobami działania różnych grup przestępczych, sprawdzania wyników kontroli krzyżowej danych oraz uzyskiwania jasnego obrazu tendencji, jednocześnie gwarantując wysoki poziom ochrony danych osobowych w odniesieniu do osób fizycznych. W związku z tym bazy danych Europolu powinny być zorganizowane w taki sposób, by pozwolić Europolowi na wybór najbardziej efektywnej struktury informatycznej. Europol powinien także mieć możliwość działania jako dostawca usług, w szczególności przez zapewnianie bezpiecznej sieci wymiany danych, takiej jak aplikacja sieci bezpiecznej wymiany informacji (SIENA), w celu ułatwienia wymiany informacji między państwami członkowskimi, Europolem, innymi organami Unii, państwami trzecimi i organizacjami międzynarodowymi. Aby zapewnić wysoki poziom ochrony danych, należy określić cel operacji przetwarzania i prawa dostępu, a także szczególne dodatkowe zabezpieczenia. W szczególności w odniesieniu do przetwarzania danych osobowych należy stosować zasadę konieczności i zasadę proporcjonalności.
(25) Europol powinien zapewnić, by wszystkim danym osobowym przetwarzanym z myślą o analizach operacyjnych przypisany został konkretny cel. Niemniej jednak, aby Europol mógł realizować swoje zadania, powinien mieć możliwość przetwarzania wszystkich otrzymanych danych osobowych w celu wskazywania powiązań między wielorakimi obszarami przestępczości i postępowaniami przygotowawczymi i nie powinien być ograniczony do wskazywania powiązań w obrębie tylko jednego obszaru przestępczości.
(26) Aby respektowane były własność danych i ochrona danych osobowych, należy umożliwić państwom członkowskim, organom Unii, państwom trzecim i organizacjom międzynarodowym określanie celu lub celów, dla których Europol mógłby przetwarzać dostarczane przez nie dane, oraz ograniczanie praw dostępu. Zasada związania z celem jest jedną z podstawowych zasad przetwarzania danych osobowych; w szczególności przyczynia się ona do przejrzystości, pewności prawa oraz przewidywalności i jest szczególnie ważna w obszarze współpracy organów ścigania, gdzie osoby, których dane dotyczą, przeważnie nie mają świadomości, że ich dane osobowe są zbierane i przetwarzane, a wykorzystywanie danych osobowych może bardzo istotnie wpływać na życie i wolność poszczególnych osób.
(27) Aby zapewnić, by dostęp do danych miały tylko osoby, które potrzebują dostępu w celu wykonywania swoich zadań, w niniejszym rozporządzeniu należy ustanowić szczegółowe przepisy dotyczące różnych stopni prawa dostępu do danych przetwarzanych przez Europol. Takie przepisy powinny pozostać bez uszczerbku dla ograniczeń w dostępie nałożonych przez podmioty dostarczające dane, ponieważ należy przestrzegać zasady własności danych. Aby zwiększyć skuteczność zapobiegania i zwalczania przestępczości objętej celami Europolu, Europol powinien powiadamiać państwa członkowskie o informacjach, które ich dotyczą.
(28) Aby poprawić współpracę operacyjną między agencjami, a w szczególności ustalić powiązania między danymi już będącymi w posiadaniu różnych agencji, Europol powinien zapewnić Eurojustowi i Europejskiemu Urzędowi ds. Zwalczania Nadużyć Finansowych (OLAF) dostęp w oparciu o system trafieniowy (figuruje/nie figuruje) do danych dostępnych w Europolu. Europol i Eurojust powinny mieć możliwość zawarcia uzgodnienia roboczego zapewniającego - na zasadzie wzajemności i w ramach ich odpowiednich zakresów działania - dostęp do i możliwość wyszukiwania wszelkich informacji, które zostały dostarczone, na potrzeby sprawdzania krzyżowego, zgodnie ze szczególnymi zabezpieczeniami oraz gwarancjami ochrony danych przewidzianymi w niniejszym rozporządzaniu. Każdy dostęp do danych dostępnych w Europolu powinien być ograniczony - za pomocą środków technicznych - do informacji objętych odpowiednimi zakresami działania tych organów Unii.
(29) W zakresie niezbędnym do realizacji swoich zadań Europol powinien utrzymywać współpracę z innymi organami Unii, organami państw trzecich, organizacjami międzynarodowymi oraz podmiotami prywatnymi.
(30) Aby zapewnić mu skuteczność operacyjną, Europol powinien mieć możliwość wymiany wszystkich odpowiednich informacji, z wyjątkiem danych osobowych, z innymi organami Unii, organami państw trzecich i organizacjami międzynarodowymi w zakresie niezbędnym do wykonywania swoich zadań. Ponieważ spółki, przedsiębiorstwa, stowarzyszenia przedsiębiorców, organizacje pozarządowe i inne podmioty prywatne dysponują wiedzą fachową i posiadają informacje mające bezpośrednie znaczenie dla zapobiegania poważnej przestępczości i terroryzmowi oraz ich zwalczania, Europol powinien mieć również możliwość wymiany takich informacji z podmiotami prywatnymi. W celu zapobiegania cyberprzestępczości, w odniesieniu do incydentów zagrażających bezpieczeństwu sieci i informacji, oraz zwalczania jej, na podstawie mającego zastosowanie aktu ustawodawczego Unii określającego środki zapewniające wspólny wysoki poziom bezpieczeństwa sieci i informacji w obrębie Unii, Europol powinien prowadzić współpracę i wymianę informacji, z wyjątkiem danych osobowych, z krajowymi organami właściwymi w zakresie bezpieczeństwa sieci i systemów informacyjnych.
(31) Europol powinien mieć możliwość wymiany odpowiednich danych osobowych z innymi organami Unii w zakresie niezbędnym do realizacji zadań Europolu lub tych organów.
(32) Powiązania poważnej przestępczości i terroryzmu często sięgają poza terytorium Unii. W związku z tym w zakresie niezbędnym do realizacji swoich zadań Europol powinien mieć możliwość wymiany danych osobowych z organami państw trzecich i organizacjami międzynarodowymi takimi jak Międzynarodowa Organizacja Policji Kryminalnej (Interpol).
(33) Wszystkie państwa członkowskie należą do Interpolu. Aby realizować swoje cele i zadania, Interpol otrzymuje, przechowuje i przekazuje dane w celu wsparcia właściwych organów ścigania w zapobieganiu i zwalczaniu przestępczości międzynarodowej. W związku z tym należy wzmocnić współpracę między Europolem a Interpolem poprzez promowanie sprawnej wymiany danych osobowych przy jednoczesnym zapewnieniu poszanowania podstawowych praw i wolności w odniesieniu do automatycznego przetwarzania danych osobowych. W przypadku przekazywania danych osobowych z Europolu do Interpolu powinno mieć zastosowanie niniejsze rozporządzenie, w szczególności przepisy dotyczące międzynarodowego przekazywania danych.
(34) Z myślą o zagwarantowaniu przestrzegania zasady związania z celem ważne jest zapewnienie, by Europol mógł przekazywać dane osobowe organom Unii, państwom trzecim i organizacjom międzynarodowym tylko wtedy, gdy jest to niezbędne do zapobiegania i zwalczania przestępczości objętej celami Europolu. W tym celu należy zapewnić, by w przypadku przekazywania danych osobowych odbiorca zobowiązał się do tego, by dane były przez niego wykorzystywane lub przekazywane wtórnie właściwemu organowi państwa trzeciego wyłącznie w celu, w jakim zostały pierwotnie przekazane. Dalsze wtórne przekazywanie danych powinno odbywać się w sposób zgodny z niniejszym rozporządzeniem.
(35) Europol powinien mieć możliwość przekazywania danych osobowych organowi państwa trzeciego lub organizacji międzynarodowej na podstawie decyzji Komisji stwierdzającej, że dane państwo lub organizacja międzynarodowa zapewniają odpowiedni poziom ochrony danych (zwanej dalej "decyzją stwierdzającą odpowiedni stopień ochrony"), lub - w przypadku braku decyzji stwierdzającej odpowiedni stopień ochrony - na podstawie umowy międzynarodowej zawartej przez Unię zgodnie z art. 218 TFUE lub umowy o współpracy umożliwiającej wymianę danych osobowych, zawartej między Europolem a tym państwem trzecim przed wejściem w życie niniejszego rozporządzenia. W myśl art. 9 Protokołu nr 36 w sprawie postanowień przejściowych załączonego do TUE i TFUE skutki prawne takich umów należy utrzymać do czasu uchylenia, unieważnienia lub zmiany tych umów w zastosowaniu Traktatów. W stosownych przypadkach i zgodnie z rozporządzeniem nr Parlamentu Europejskiego i Rady (WE) nr 45/2001 11 Komisja powinna mieć możliwość, przed rozpoczęciem negocjacji w sprawie umowy międzynarodowej i podczas trwania takich negocjacji, zasięgnięcia opinii Europejskiego Inspektora Ochrony Danych (EIOD). W przypadku gdy zarząd stwierdzi, że ze względów operacyjnych istnieje potrzeba współpracy z państwem trzecim lub organizacją międzynarodową, powinien mieć możliwość zaproponowania Radzie, by zwróciła uwagę Komisji na potrzebę wydania decyzji stwierdzającej odpowiedni stopień ochrony lub na potrzebę wydania zalecenia w sprawie otwarcia negocjacji dotyczących umowy międzynarodowej, określonej powyżej.
(36) Jeżeli podstawą do przekazywania danych osobowych nie może być decyzja stwierdzająca odpowiedni stopień ochrony, umowa międzynarodowa zawarta przez Unię ani obowiązująca umowa o współpracy, zarząd w porozumieniu z EIOD powinien mieć prawo wyrażania zgody na zestaw transferów danych, gdy wymagają tego szczególne okoliczności i o ile zapewnione są odpowiednie zabezpieczenia. W wyjątkowych sytuacjach dyrektor wykonawczy powinien być uprawniony do wyrażania w indywidualnych przypadkach zgody na przekazanie danych, jeżeli takie przekazanie jest niezbędne, przy zachowaniu ściśle określonych warunków.
(37) Europol powinien mieć możliwość przetwarzania danych osobowych pochodzących od podmiotów prywatnych i osób prywatnych, tylko jeżeli zostały mu one przekazane przez: jednostkę krajową zgodnie z jej prawem krajowym; przez punkt kontaktowy w państwie trzecim lub w organizacji międzynarodowej, z którymi nawiązano współpracę za pośrednictwem umowy o współpracy umożliwiającej wymianę danych osobowych, zawartej zgodnie z art. 23 decyzji 2009/371/WSiSW przed wejściem w życie niniejszego rozporządzenia; przez organ państwa trzeciego lub organizację międzynarodową, w odniesieniu do których wydano decyzję stwierdzającą odpowiedni stopień ochrony lub z którą Unia zawarła umowę międzynarodową na podstawie art. 218 TFUE. Jednakże w przypadkach gdy Europol otrzymuje dane osobowe bezpośrednio od podmiotów prywatnych oraz gdy nie można zidentyfikować odpowiedniej jednostki krajowej, odpowiedniego punktu kontaktowego lub odpowiedniego organu, Europol powinien mieć możliwość przetwarzania tych danych osobowych wyłącznie w celu zidentyfikowania wspomnianych jednostek, przy czym należy je usunąć, o ile jednostki te nie przedłożą tych danych osobowych ponownie w terminie czterech miesięcy od daty dokonania przekazania. Europol powinien zapewnić za pomocą środków technicznych, by w tym okresie takie dane nie były dostępne do przetwarzania w innym celu.
(38) Mając na uwadze wyjątkowe i szczególne zagrożenie, jakim dla bezpieczeństwa wewnętrznego Unii są terroryzm i inne formy poważnej przestępczości - w szczególności gdy są ułatwiane, propagowane lub popełniane z wykorzystaniem internetu - działania, które Europol powinien podejmować na podstawie niniejszego rozporządzenia, wynikające z wdrażania przez Europol konkluzji Rady z dnia 12 marca 2015 r. i z apelu wystosowanego na posiedzeniu Rady Europejskiej w dniu 23 kwietnia 2015 r. zwłaszcza w odniesieniu do tych obszarów priorytetowych - a w szczególności odpowiednia praktyka bezpośredniej wymiany danych osobowych z podmiotami prywatnymi - powinny zostać ocenione przez Komisję do dnia 1 maja 2019 r.
(39) Wszelkie informacje, które ewidentnie zostały uzyskane z oczywistym naruszeniem praw człowieka, nie powinny być przetwarzane.
(40) Aby zapewnić wysoki poziom ochrony osób w związku z przetwarzaniem danych osobowych, zasady ochrony danych w Europolu powinny zostać wzmocnione i opierać się na zasadach stanowiących podstawę rozporządzenia (WE) nr 45/2001. Ponieważ w deklaracji nr 21 w sprawie ochrony danych osobowych w dziedzinie współpracy wymiarów sprawiedliwości w sprawach karnych i współpracy policyjne załączonej do TFUE i TUE uznaje się specyficzny charakter przetwarzania danych osobowych w kontekście ścigania przestępstw, przepisy obowiązujące Europol w zakresie ochrony danych powinny być autonomiczne, a jednocześnie spójne z innymi stosownymi aktami dotyczącymi ochrony danych mającymi zastosowanie w obszarze współpracy policyjnej w Unii. Akty te obejmują w szczególności dyrektywę Parlamentu Europejskiego i Rady (UE) 2016/680 12 oraz Konwencję Rady Europy o ochronie osób w związku z automatycznym przetwarzaniem danych osobowych oraz jej rekomendację nr R(87) 15 13 .
(41) Wszelkie przetwarzanie danych osobowych przez Europol powinno być zgodne z prawem i rzetelne względem osób, których dane dotyczą. Zasada rzetelnego przetwarzania wymaga przejrzystości przetwarzania oraz zapewnienia, by osoby, których dane dotyczą, mogły korzystać z praw przysługujących im na mocy niniejszego rozporządzenia. Powinna jednak istnieć możliwość odmowy im dostępu do ich danych osobowych lub ograniczenia go, w przypadku gdy - przy należytym uwzględnieniu interesów osób, których dane dotyczą - taka odmowa lub ograniczenie stanowią niezbędny środek, który umożliwia Europolowi właściwe wykonywanie jego zadań, pozwala chronić bezpieczeństwo i porządek publiczny lub zapobiegać przestępstwom, zagwarantować, by nie zostało zagrożone krajowe postępowanie przygotowawcze, lub chronić prawa i wolności osób trzecich. W celu zwiększenia przejrzystości Europol powinien podawać do wiadomości publicznej dokument, który przedstawia w zrozumiały sposób mające zastosowanie przepisy dotyczące przetwarzania danych osobowych oraz dostępne środki umożliwiające osobom, których dane dotyczą, korzystanie z przysługujących im praw. Ponadto Europol powinien publikować na swojej stronie internetowej wykaz decyzji stwierdzających odpowiedni stopień ochrony, umów oraz uzgodnień administracyjnych odnoszących się do przekazywania danych osobowych państwom trzecim i organizacjom międzynarodowym. Ponadto z myślą o zwiększeniu przejrzystości Europolu względem obywateli Unii i poprawie rozliczalności Europol powinien publikować na swojej stronie internetowej wykaz członków zarządu oraz w stosownych przypadkach podsumowania wyników posiedzeń zarządu, z poszanowaniem wymogów dotyczących ochrony danych.
(42) W miarę możliwości należy klasyfikować dane osobowe pod względem stopnia ich prawdziwości i wiarygodności. Fakty należy rozróżniać od osobistych osądów w celu zapewnienia zarówno ochrony osób fizycznych, jak i jakości oraz wiarygodności informacji przetwarzanych przez Europol. W przypadku informacji pochodzących z ogólnodostępnych źródeł, zwłaszcza źródeł internetowych, Europol powinien w najszerszym możliwym zakresie ze szczególną starannością ocenić prawdziwość takich informacji i wiarygodność ich źródeł w celu sprostania ryzyku związanemu z internetem w zakresie ochrony danych osobowych i prywatności.
(43) W obszarze współpracy organów ścigania przetwarzane są dane osobowe odnoszące się do różnych kategorii osób, których dane dotyczą. Europol powinien jak najwyraźniej rozróżniać dane osobowe różnych kategorii osób, których dane dotyczą. W szczególności chronione powinny być dane osobowe takich osób, jak ofiary, świadkowie, osoby posiadające odpowiednie informacje oraz dane osobowe nieletnich. Europol powinien przetwarzać dane wrażliwe wyłącznie wtedy, gdy takie dane uzupełniają inne dane osobowe już przetwarzane przez Europol.
(44) W świetle praw podstawowych dotyczących ochrony danych osobowych Europol nie powinien przechowywać danych osobowych dłużej niż jest to niezbędne do wykonywania jego zadań. Potrzeba dalszego przechowywania takich danych powinna zostać zweryfikowana nie później niż w terminie trzech lat od ich pierwotnego przetworzenia.
(45) W celu zagwarantowania bezpieczeństwa danych osobowych Europol i państwa członkowskie powinny wdrożyć niezbędne środki techniczne i organizacyjne.
(46) Każda osoba, której dane dotyczą, powinna mieć prawo dostępu do danych osobowych, które jej dotyczą, prawo do sprostowania nieprawidłowych danych, które jej dotyczą, oraz usuwania takich danych lub ograniczania dostępu do nich, jeżeli dane te nie są już potrzebne. Koszty związane z korzystaniem z prawa dostępu do danych osobowych nie powinny nigdy stanowić bariery uniemożliwiającej skuteczne korzystanie z tego prawa. Prawa osoby, której dane dotyczą, i ich wykonanie nie powinny mieć wpływu na obowiązki nałożone na Europol i powinny podlegać ograniczeniom określonym w niniejszym rozporządzeniu.
(47) Niniejsze rozporządzenie musi wprowadzać jasny podział odpowiedzialności w zakresie ochrony praw i wolności osób, których dane dotyczą. W szczególności państwa członkowskie powinny być odpowiedzialne za prawdziwość i aktualizację danych przekazanych przez nie do Europolu oraz zgodność takiego przekazania danych z prawem. Europol powinien być odpowiedzialny za prawdziwość i aktualizację danych dostarczanych przez inne podmioty dostarczające dane lub danych pochodzących z własnych analiz Europolu. Europol powinien zapewniać, by dane były przetwarzane rzetelnie i zgodnie z prawem oraz by były zbierane i przetwarzane w konkretnym celu. Europol powinien również zapewniać, by dane były prawidłowe, odpowiednie, proporcjonalne w stosunku do celu, dla którego są przetwarzane, przechowywane przez czas nie dłuższy niż jest to niezbędne do tego celu, a także by były przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych oraz poufność przetwarzania danych.
(48) W celu weryfikacji zgodności przetwarzania danych z prawem, samodzielnego monitorowania i zapewnienia odpowiedniej integralności i bezpieczeństwa danych Europol powinien prowadzić ewidencję zbierania, modyfikowania, dostępu, ujawniania, łączenia lub usuwania danych osobowych. Europol powinien być zobowiązany do współpracy z EIOD oraz do udostępniania mu na żądanie rejestrów lub dokumentacji, tak by można je było wykorzystywać do monitorowania operacji przetwarzania.
(49) Europol powinien wyznaczyć inspektora ochrony danych, który będzie go wspierał w monitorowaniu zgodności z niniejszym rozporządzeniem. Inspektor ochrony danych powinien mieć warunki do wykonywania swoich obowiązków i zadań w sposób niezależny i skuteczny oraz powinien zostać wyposażony w niezbędne do tego zasoby.
(50) Do ochrony osób fizycznych w związku z przetwarzaniem danych osobowych niezbędne są niezależne, przejrzyste, rozliczalne i skuteczne struktury nadzoru, o którym to wymogu mowa w art. 8 ust. 3 Karty praw podstawowych Unii Europejskiej. Organy krajowe odpowiedzialne za nadzór nad przetwarzaniem danych osobowych powinny monitorować zgodność z prawem danych osobowych dostarczanych Europolowi przez państwa członkowskie. EIOD, pełniąc swoje funkcje w sposób całkowicie niezależny, powinien monitorować zgodność z prawem przetwarzania danych przez Europol. W tym względzie ważnym zabezpieczeniem w odniesieniu do nowych rodzajów operacji przetwarzania jest mechanizm uprzednich konsultacji. Nie powinno to mieć zastosowania do konkretnych indywidualnych działań operacyjnych, takich jak projekty analizy operacyjnej, lecz do wykorzystywania nowych systemów informatycznych w celu przetwarzania danych osobowych oraz do wszelkich istotnych zmian w nich wprowadzanych.
(51) Ważne jest zapewnienie wzmocnionego i skutecznego nadzoru nad Europolem i zagwarantowanie, by EIOD, przyjmując odpowiedzialność za nadzór nad Europolem w zakresie ochrony danych, miał możliwość korzystania z właściwej wiedzy fachowej dotyczącej ochrony danych w dziedzinie ścigania przestępstw. EIOD oraz krajowe organy nadzorcze powinny ściśle ze sobą współpracować w konkretnych kwestiach wymagających zaangażowania na szczeblu krajowym oraz w celu zapewnienia spójnego stosowania niniejszego rozporządzenia w całej Unii.
(52) W celu ułatwienia współpracy między EIOD a krajowymi organami nadzorczymi, lecz bez uszczerbku dla niezależności EIOD i jego odpowiedzialności za nadzór nad Europolem w zakresie ochrony danych, należy organizować regularne spotkania EIOD z tymi organami w ramach rady współpracy, która jako organ doradczy powinna wydawać opinie, wytyczne, zalecenia i formułować wzorcowe rozwiązania w odniesieniu do różnych kwestii wymagających zaangażowania na szczeblu krajowym.
(53) Ponieważ Europol przetwarza również nieoperacyjne dane osobowe, które nie są związane z postępowaniami przygotowawczymi takie jak dane osobowe personelu Europolu, dostawców usług lub gości, przetwarzanie takich danych powinno podlegać rozporządzeniu (WE) nr 45/2001.
(54) EIOD powinien rozpatrywać i badać skargi składane przez osoby, których dane dotyczą. Postępowanie wyjaśniające wszczęte w związku ze skargą powinno być prowadzone - z zastrzeżeniem kontroli sądowej -w zakresie odpowiednim do danej sprawy. Krajowy organ nadzorczy powinien w rozsądnym terminie poinformować osobę, której dane dotyczą, o postępach i wyniku postępowania dotyczącego skargi.
(55) Każda osoba fizyczna powinna mieć prawo do sądowego środka odwoławczego od dotyczących jej decyzji EIOD.
(56) Europol powinien podlegać ogólnym zasadom dotyczącym odpowiedzialności umownej i pozaumownej mającym zastosowanie do instytucji, agencji i organów Unii, z wyjątkiem zasad dotyczących odpowiedzialności za niezgodne z prawem przetwarzanie danych.
(57) Dla osoby fizycznej, której dotyczy dana sprawa, może nie być jasne, czy szkody poniesione w wyniku niezgodnego z prawem przetwarzania danych są następstwem działań Europolu czy też państwa członkowskiego. W związku z tym Europol i państwo członkowskie, w którym miało miejsce zdarzenie będące powodem szkody, powinny być odpowiedzialne solidarnie.
(58) Przy poszanowaniu roli, jaką Parlament Europejski odgrywa wraz z parlamentami narodowymi w kontroli działań Europolu, niezbędne jest zapewnienie, by Europol był w pełni rozliczalną i przejrzystą organizacją wewnętrzną. W tym celu w świetle art. 88 TFUE należy ustanowić procedury kontroli działań Europolu przez Parlament Europejski, w której uczestniczą parlamenty narodowe. Takie procedury powinny podlegać art. 12 lit. c) TUE i art. 9 Protokołu nr 1 przewidującym, że Parlament Europejski i parlamenty narodowe mają wspólnie określić sposób organizacji i wspierania skutecznej i systematycznej współpracy międzyparlamentarnej w ramach Unii. Procedury, które mają zostać przyjęte w celu kontroli działań Europolu, powinny w sposób należyty uwzględniać potrzeby zapewnienia, by Parlament Europejski i parlamenty narodowe traktowane były na równi, oraz potrzeby zachowania poufności informacji operacyjnych. Sposób, w jaki parlamenty narodowe sprawują kontrolę nad swoimi rządami w odniesieniu do działań Unii, należy jednak do szczególnej organizacji i praktyki konstytucyjnej każdego państwa członkowskiego.
(59) Do pracowników Europolu powinny mieć zastosowanie Regulamin pracowniczy urzędników Wspólnot Europejskich (zwany dalej "regulaminem pracowniczym") i warunki zatrudnienia innych pracowników Wspólnot Europejskich (zwane dalej "warunkami zatrudnienia innych pracowników") ustanowione rozporządzeniem Rady (EWG, Euratom, EWWiS) nr 259/68 14 . Europol powinien mieć możliwość zatrudniania personelu z właściwych organów państw członkowskich, jako pracowników tymczasowych, których okres zatrudnienia powinien być ograniczony w celu zachowania zasady rotacji, ponieważ następujące później ponowne włączenie takich członków personelu w pracę ich właściwego organu ułatwia ścisłą współpracę między Europolem a właściwymi organami państw członkowskich. Państwa członkowskie powinny podjąć wszelkie niezbędne środki, aby zapewnić personelowi zatrudnionemu w Europolu jako pracownicy tymczasowi możliwość powrotu - po zakończeniu służby w Europolu - do służby publicznej, której są członkami.
(60) Zważywszy na charakter zadań Europolu i rolę dyrektora wykonawczego, właściwa komisja Parlamentu Europejskiego powinna mieć możliwość wezwania dyrektora wykonawczego do stawienia się przed nią, zanim nastąpi jego mianowanie i przed każdym przedłużeniem jego kadencji. Dyrektor wykonawczy powinien także przedstawiać Parlamentowi Europejskiemu i Radzie sprawozdanie roczne. Ponadto Parlament Europejski i Rada powinny mieć możliwość wezwania dyrektora wykonawczego do poinformowania ich o wykonywaniu powierzonych mu obowiązków.
(61) W celu zagwarantowania pełnej autonomii i niezależności Europolu należy mu przyznać autonomiczny budżet, którego dochody pochodzą zasadniczo z wkładu z budżetu ogólnego Unii. W zakresie dotyczącym wkładu Unii oraz wszelkich innych dotacji pochodzących z budżetu ogólnego Unii zastosowanie powinna mieć procedura budżetowa Unii. Kontrolę sprawozdań finansowych powinien przeprowadzać Trybunał Obrachunkowy.
(62) Do Europolu powinno mieć zastosowanie rozporządzenie delegowane Komisji (UE) nr 1271/2013 15 .
(63) Ze względu na swoje specyficzne uprawnienia prawne i administracyjne oraz swoje kompetencje techniczne dotyczące prowadzenia działań w zakresie transgranicznej wymiany informacji, transgranicznych operacji i transgranicznych postępowań przygotowawczych, także w ramach wspólnych zespołów dochodzeniowo-śledczych, jak również dotyczące zapewniania obiektów szkoleniowych, właściwe organy państw członkowskich powinny mieć możliwość otrzymywania z Europolu dotacji bez zaproszenia do składania wniosków zgodnie z art. 190 ust. 1 lit. d) rozporządzenia delegowanego Komisji (UE) nr 1268/2012 16 .
(64) Do Europolu powinno mieć zastosowanie rozporządzenie Parlamentu Europejskiego i Rady (UE, Euratom) nr 883/2013 17 .
(65) Europol przetwarza dane, które wymagają szczególnej ochrony, gdyż obejmują dane wrażliwe niebędące informacjami niejawnymi i informacje niejawne UE. Europol powinien zatem sformułować zasady dotyczące poufności i przetwarzania takich informacji. Przepisy dotyczące ochrony informacji niejawnych UE powinny być zgodne z decyzją Rady 2013/488/UE 18 .
(66) Należy regularnie przeprowadzać ocenę stosowania niniejszego rozporządzenia.
(67) Niezbędne przepisy dotyczące obiektów dla Europolu w Hadze, gdzie ma on siedzibę, a także szczególne przepisy mające zastosowanie do wszystkich pracowników Europolu i członków ich rodzin powinny zostać określone w umowie w sprawie siedziby. Ponadto przyjmujące państwo członkowskie powinno zapewnić warunki niezbędne dla niezakłóconego działania Europolu, w tym wielojęzyczne placówki szkolne o orientacji europejskiej i właściwe połączenia transportowe, co pozwoli przyciągnąć zasoby ludzkie wysokiej jakości z jak największego obszaru geograficznego.
(68) Europol utworzony na mocy niniejszego rozporządzenia zastępuje Europol ustanowiony na mocy decyzji 2009/371/WSiSW i jest jego następcą prawnym. W związku z tym powinien on być następcą prawnym wszystkich jego umów, w tym umów o pracę, zaciągniętych zobowiązań i nabytych nieruchomości. Umowy międzynarodowe zawarte przez Europol ustanowiony decyzją 2009/371/WSiSW i umowy zawarte przez Europol ustanowiony na mocy Konwencji o Europolu przed dniem 1 stycznia 2010 r. powinny pozostać w mocy.
(69) Aby Europol mógł jak najlepiej kontynuować wykonywanie zadań Europolu ustanowionego decyzją 2009/371/WSiSW, należy określić środki przejściowe, w szczególności jeśli chodzi o zarząd, dyrektora wykonawczego i personel zatrudniany jako personel miejscowy na podstawie umowy na czas nieokreślony zawartej przez Europol ustanowiony Konwencją o Europolu, który to personel powinien mieć możliwość zatrudnienia w charakterze członka personelu tymczasowego lub kontraktowego zgodnie z warunkami zatrudnienia innych pracowników.
(70) Akt Rady z dnia 3 grudnia 1998 r. 19 w sprawie regulaminu pracowniczego Europolu został uchylony art. 63 decyzji 2009/371/WSiSW Powinien on jednak w dalszym ciągu mieć zastosowanie do pracowników zatrudnionych przez Europol przed wejściem w życie decyzji 2009/371/WSiSW. Dlatego też przepisy przejściowe powinny przewidywać, że umowy zawarte zgodnie z tym regulaminem pracowniczym nadal temu regulaminowi podlegają.
(71) Ponieważ cel niniejszego rozporządzenia, mianowicie stworzenie jednostki odpowiedzialnej za współpracę organów ścigania na poziomie Unii, nie może zostać osiągnięty w sposób wystarczający przez państwa członkowskie, natomiast ze względu na zakres i skutki działań możliwe jest jego lepsze osiągnięcie na poziomie Unii, Unia może podjąć działania zgodnie z zasadą pomocniczości określoną w art. 5 TUE. Zgodnie z zasadą proporcjonalności, określoną w tym artykule, niniejsze rozporządzenie nie wykracza poza to, co jest konieczne do osiągnięcia tego celu.
(72) Zgodnie z art. 3 i art. 4a ust. 1 Protokołu nr 21 w sprawie stanowiska Zjednoczonego Królestwa i Irlandii w odniesieniu do przestrzeni wolności, bezpieczeństwa i sprawiedliwości, załączonego do TUE i TFUE, Irlandia powiadomiła o chęci uczestniczenia w przyjęciu i stosowaniu niniejszego rozporządzenia.
(73) Zgodnie z art. 1 i 2 oraz art. 4a ust. 1 Protokołu nr 21 w sprawie stanowiska Zjednoczonego Królestwa i Irlandii w odniesieniu do przestrzeni wolności, bezpieczeństwa i sprawiedliwości, załączonego do TUE i TFUE, bez uszczerbku dla art. 4 tego protokołu, Zjednoczone Królestwo nie uczestniczy w przyjęciu niniejszego rozporządzenia, nie jest nim związane ani go nie stosuje.
(74) Zgodnie z art. 1 i 2 Protokołu nr 22 w sprawie stanowiska Danii, załączonego do TUE i do TFUE, Dania nie uczestniczy w przyjęciu niniejszego rozporządzenia, nie jest nim związana ani go nie stosuje.
(75) Skonsultowano się z EIOD, który wydał opinię w dniu 31 maja 2013 r.
(76) Niniejsze rozporządzenie respektuje prawa podstawowe i przestrzega zasad uznanych w szczególności w Karcie praw podstawowych Unii Europejskiej, zwłaszcza prawa do ochrony danych osobowych i prawa do prywatności chronionych na podstawie art. 8 i 7 Karty oraz art. 16 TFUE,
PRZYJMUJĄ NINIEJSZE ROZPORZĄDZENIE:
