S ECTION 2

TRAITEMENT DES DONNÉES À CARACTÈRE PERSONNEL PAR L’AGENCE Article 87

Règles générales sur le traitement des données à caractère personnel par l’Agence 1. L'Agence applique [le règlement (CE) nº 45/2001] lorsqu'elle traite des données à

caractère personnel.

2. Le conseil d'administration prend les mesures administratives nécessaires à l’application par l'Agence [du règlement (CE) nº 45/2001], y compris celles concernant le délégué à la protection des données de l'Agence.

3. L’Agence peut transmettre des données à caractère personnel à une autorité d’un pays tiers ou à une organisation internationale conformément aux dispositions [du règlement (CE) nº 45/2001], dans la mesure où ce transfert est nécessaire à l’accomplissement des tâches de l’Agence dans le cadre des activités liées au retour.

Si, dans le cadre de l’organisation des opérations de retour, les données à caractère personnel des personnes faisant l'objet d'une mesure de retour ne sont pas transmises au transporteur par un État membre, elles peuvent également l'être par l'Agence, aux mêmes conditions. En application de [l’article 25, paragraphe 1, point c), du règlement (CE) nº 45/2001], [l’article 19] dudit règlement ne s’applique pas au traitement des données par l’Agence aux fins d'un retour, tant que le ressortissant de pays tiers concerné n’est pas renvoyé. L’Agence peut fixer des règles internes sur la limitation au cas par cas de l’application des droits prévus [aux articles 17 et 18] du [règlement (CE) nº 45/2001], dès lors que l’exercice de ces droits risque de compromettre la procédure de retour.

Article 88

Finalités du traitement de données à caractère personnel

1. L’Agence ne peut traiter des données à caractère personnel que pour les finalités suivantes:

(a) l'accomplissement de ses tâches d'organisation et de coordination des opérations conjointes, des projets pilotes, des interventions rapides aux frontières et dans le cadre des équipes d'appui à la gestion des flux migratoires, conformément à ;

(b) l'accomplissement de ses tâches de soutien aux États membres et aux pays tiers dans le cadre des activités préalables au retour et de retour et, d’exploitation des systèmes de gestion des retours, de coordination ou d’organisation des

opérations de retour ainsi que d’assistance technique et opérationnelle aux États membres et aux pays tiers, conformément à l’article 49;

(c) la facilitation des échanges d'informations avec les États membres, l’EASO, Europol ou Eurojust, conformément à l'article 89;

(d) l’analyse des risques par l'Agence, conformément à l'article 30;

(e) l’identification et le pistage des navires dans le cadre d'Eurosur, conformément à l'article 90;

(f) les tâches administratives.

2. Un État membre ou une autre agence de l'Union fournissant des données à caractère personnel à l'Agence détermine la ou les finalités du traitement de ces données conformément au paragraphe 1. L'Agence ne peut traiter de telles données à caractère personnel pour une finalité différente qui relève également du paragraphe 1 que si elle y est autorisée par le fournisseur des données.

3. Les États membres et d’autres agences de l'Union peuvent indiquer, au moment de la transmission des données à caractère personnel, toute restriction d'accès à ces données ou d'utilisation de celles-ci, en termes généraux ou spécifiques, y compris en ce qui concerne le transfert, l'effacement ou la destruction des données. Lorsque la nécessité de telles restrictions apparaît après la transmission des données à caractère personnel, ils en informent l'Agence en conséquence. L’Agence respecte ces restrictions.

Article 89

Traitement des données à caractère personnel recueillies durant les opérations conjointes, les projets pilotes et les interventions rapides aux frontières et par les équipes d'appui à la

gestion des flux migratoires

1. L'Agence ne traite que les catégories suivantes de données à caractère personnel que collectent et lui transmettent les États membres, son personnel ou l’EASO, Europol ou Eurojust dans le contexte des opérations conjointes, des projets pilotes et des interventions rapides aux frontières, ainsi que les équipes d'appui à la gestion des flux migratoires:

(a) les données à caractère personnel de personnes dont les autorités compétentes des États membres et l’EASO, Europol ou Eurojust ont des motifs raisonnables de soupçonner l'implication dans des activités criminelles transfrontalières, telles que le trafic de migrants, la traite des êtres humains ou le terrorisme;

(b) les données à caractère personnel de personnes qui franchissent les frontières extérieures sans autorisation et dont les données sont recueillies par les équipes de l’Agence, notamment lorsqu'elles interviennent dans le cadre des équipes d'appui à la gestion des flux migratoires;

(c) les numéros de plaques d'immatriculation, les numéros d'identification de véhicules, les numéros de téléphone ou les numéros d'identification de navires qui sont liés aux personnes visées aux points a) et b) et qui sont nécessaires pour rechercher et analyser les itinéraires et les méthodes utilisés pour l'immigration illégale et la criminalité transfrontalière.

2. Les données à caractère personnel visées au paragraphe 1 peuvent être traitées par

(a) lorsque les échanges d’informations avec l'EASO, Europol ou Eurojust sont nécessaires pour une utilisation prévue par leurs mandats respectifs et conforme à l'article 69;

(b) lorsque la transmission aux autorités des États membres concernés qui sont chargées du contrôle aux frontières, des migrations, de l'asile et des retours est nécessaire pour l’accomplissement de leurs tâches conformément à la législation de l’Union et au droit national;

(c) lorsque la transmission aux autorités des États membres, pays tiers de retour ou organisations internationales concernés est nécessaire pour l’identification de ressortissants de pays tiers, l’obtention de documents de voyage, ou pour permettre ou faciliter le retour;

(d) lorsque ce traitement est nécessaire à l’élaboration des analyses des risques;

(e) dans des cas spécifiques, lorsqu’il apparaît à l’Agence que des données à caractère personnel traitées dans l’accomplissement de ses tâches sont strictement nécessaires aux services répressifs à des fins de prévention ou de détection de formes graves de criminalité et d'enquêtes ou de poursuites en la matière.

3. Les données à caractère personnel sont supprimées dès qu'elles ont été transmises à l’EASO, à Europol ou à Eurojust, ou aux autorités compétentes des États membres, ou utilisées pour l’élaboration des analyses des risques. La durée de conservation des données n'excède en aucun cas 90 jours après la date à laquelle elles ont été recueillies. Dans les résultats des analyses des risques, les données sont rendues anonymes. Les dispositions du présent paragraphe ne s’appliquent pas aux données traitées pour les besoins de l’exécution des tâches liées aux retours.

Article 90

Traitement des données à caractère personnel dans le cadre d'Eurosur

1. Lorsque le tableau de situation national nécessite le traitement de données à caractère personnel, le traitement de ces données est effectué conformément aux dispositions de l’Union et nationales pertinentes en matière de protection des données. Chaque État membre désigne l’autorité qui doit être considérée comme la responsable du traitement au sens de l’article 4, point 7), du règlement (UE) 2016/679 et qui assume la responsabilité centrale du traitement de données à caractère personnel par cet État membre. Chaque État membre notifie les coordonnées de cette autorité à la Commission.

2. Les numéros d’identification des navires et aéronefs sont les seules données à caractère personnel qui peuvent être traitées dans le tableau de situation européen et les tableaux de situation spécifiques.

3. Tout échange de données à caractère personnel avec des pays tiers dans le cadre d'Eurosur est strictement limité à ce qui est absolument nécessaire aux fins du présent règlement. Il s'effectue conformément au règlement (UE) 2016/679 et aux dispositions nationales pertinentes en matière de protection des données.

4. Tout échange d'informations au titre de l’article 73, paragraphe 2, de l’article 74, paragraphe 3, et de l’article 75, paragraphe 3, à la suite duquel des informations sont fournies à un pays tiers qui pourraient être utilisées pour identifier des personnes ou

en cours d'examen ou qui encourent un risque sérieux d'être victimes d'actes de torture, de peines ou traitements inhumains ou dégradants ou de toute autre violation des droits fondamentaux, est interdit.

5. La transmission ultérieure ou toute autre communication à des pays tiers ou à des tiers d'informations échangées au titre de l’article 73, paragraphe 2, de l’article 74, paragraphe 3, et de l’article 75, paragraphe 3, est interdite.

Article 91

Règles de sécurité en matière de protection des informations classifiées et des informations sensibles non classifiées

1. L’Agence adopte ses propres règles de sécurité sur la base des principes et règles établis dans les règles de sécurité de la Commission visant à protéger les informations classifiées de l’Union européenne (ICUE) et les informations sensibles non classifiées, y compris des dispositions relatives à l’échange avec des États tiers, au traitement et au stockage de telles informations, comme prévu dans les décisions (UE, Euratom) 2015/443 et (UE, Euratom) 2015/444 de la Commission. Tout arrangement administratif relatif à l'échange d'informations classifiées avec les autorités compétentes d'un État tiers ou, en l'absence d'un tel arrangement, toute communication ad hoc exceptionnelle d'ICUE à ces autorités doit avoir été préalablement approuvé(e) par la Commission.

2. Les règles de sécurité sont adoptées par le conseil d'administration après approbation de la Commission.

3. La classification ne fait pas obstacle à ce que les informations soient mises à la disposition du Parlement européen. La transmission et le traitement des informations et documents transmis au Parlement européen conformément au présent règlement sont soumis à l’approbation de la Commission.