РЕШЕНИЕ 2009/936/ПВР НА СЪВЕТА
от 30 ноември 2009 година
за приемане на правилата за прилагане към аналитичните работни досиета на Европол
СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,
като взе предвид Решение 2009/371/ПВР на Съвета от 6 април 2009 г. за създаване на Европейска полицейска служба (ЕВРОПОЛ) (1) („Решението за Европол“), и по-специално член 14, параграф 1 и член 59, параграф 1, буква б) от него,
като взе предвид Конвенцията за защита на лицата при автоматизирана обработка на лични данни, приета от Съвета на Европа на 28 януари 1981 г.,
като взе предвид Препоръка № R(87)15 на Комитета на министрите относно използването на лични данни в полицейския сектор, приета от Съвета на Европа на 17 септември 1987 г.,
като взе предвид представения от управителния съвет проект на правила за прилагане към аналитичните работни досиета на Европол,
като взе предвид становището на Европейския парламент,
като има предвид, че Съветът следва да приеме, с квалифицирано мнозинство, след консултация с Европейския парламент, правила за прилагане към аналитичните работни досиета на Европол, (наричани по-нататък „правилата“),
РЕШИ:
ГЛАВА I
ОБЩИ ПРИНЦИПИ
Член 1
Определения
За целите на настоящите правила:
а)
„лични данни“ е всяка информация, свързана с физическо лице с установена или установяема самоличност; лице с установяема самоличност е лице, чиято самоличност може да се установи пряко или косвено, по-специално по идентификационен номер или по един или повече фактори, специфични за неговата физическа, физиологична, психическа, икономическа, културна или социална самоличност,
б)
„аналитично работно досие“ е досие, открито с цел анализ, както е посочено в член 14, параграф 1 от Решението за Европол;
в)
„анализ“ е събирането, обработването или използването на данни с цел подпомагане на наказателни разследвания, в съответствие с член 14, параграф 2 от Решението за Европол;
г)
„участници в група за анализ“ са анализаторите и други служители на Европол, определени от директора, както и служители за връзка и/или експерти от държавите-членки, които предоставят информацията или са заинтересовани от анализа по смисъла на член 14, параграф 4 от Решението за Европол;
д)
„обработване на лични данни“ или „обработване“ е всяка операция или съвкупност от операции, които се осъществяват със или без автоматични средства по отношение на лични данни, като събиране, записване, организиране, съхраняване, адаптиране, или изменение, извличане, справка, използване, разкриване чрез предаване, разпространяване или предоставяне по друг начин, подреждане или комбиниране, блокиране, заличаване или унищожаване.
Член 2
Приложно поле
Правилата, установени в настоящото решение, се прилагат към обработването на данни за целите на анализа, както е посочено в член 14, параграф 1 от Решението за Европол.
Член 3
Данни, предоставяни за целите на анализа
1. В съответствие с член 8, параграф 2 и член 14, параграф 3 от Решението за Европол, данни, предоставени за целите на анализа се съобщават в структурирана или в неструктурирана форма от националните звена или в зависимост от степента им на спешност, могат да бъдат насочвани директно от компетентните органи към Европол за включване в аналитичното работно досие. Държавите-членки, които предоставят данните, нотифицират Европол за какви цели те се предоставят и за всякакви ограничения за тяхното ползване, заличаване или унищожаване, включително за възможните ограничения на достъпа в общ или специфичен аспект. Държавите-членки могат също така да информират Европол за всякакви такива ограничения на по-късен етап.
Европол гарантира, че трети страни, предоставящи такива данни, нотифицират Европол за какви цели те се предоставят и за всякакви ограничения за тяхното ползване.
След получаването на такива данни се определя възможно най-скоро до каква степен те ще бъдат въведени в специално досие.
2. В съответствие с член 29, параграф 1 от Решението за Европол, данните посочени в параграф 1, остават под отговорността на държавата-членка, която ги е предоставила и се подчиняват на националното законодателство на тази държава-членка докато бъдат включени в някое аналитично работно досие. Това не засяга отговорността на Европол за данните, както е посочено във втора и трета алинея.
Европол отговаря за осигуряването достъп до такива данни да имат само държавите-членки, които са ги предоставили, или анализаторите и другите служители на Европол, определени от директора, в съответствие с член 14, параграф 2, буква а) от Решението за Европол, с цел определяне дали данните могат да бъдат включени в някое аналитично работно досие.
Ако след извършване на оценка на предоставените данни Европол има основание да смята, че те са неточни или вече не са актуални, той информира за това държавата-членка, която ги е предоставила.
3. Данните, които след оценяването не са избрани за включване в някое аналитично работно досие, както и за всички досиета и документи на хартиен носител, които съдържат включени в такова досие данни, остават под отговорността на държавата-членка, която ги е предоставила съгласно член 29, параграф 1 от Решението за Европол и се подчиняват на националното ѝ законодателство. Това не засяга отговорността на Европол, посочена в Решението за Европол.
Европол отговаря за осигуряването данните, досиета и документи на хартиен носител, посочени в първа алинея, да се съхраняват отделно от аналитичните работни досиета и достъп до тях да имат само държавите-членки, които са предоставили данните, или анализаторите и другите служители на Европол, определени от директора, в съответствие с член 14, параграф 2, буква а) от Решението за Европол, с цел:
а)
тяхното по-късно включване в аналитично работно досие;
б)
проверяване дали данните, вече включени в някое аналитично работно досие, са точни и релевантни; или
в)
проверяване дали са изпълнени изискванията, които се съдържат в настоящите правила или в Решението за Европол.
Достъп до такива данни може да бъде получен и в интерес на субекта на данни, който трябва да бъде защитен. В този случай данните могат да се използват само със съгласието на съответното физическо лице.
Такива данни, досиета и документи на хартиен носител се връщат на държавата-членка, която ги е предоставила, или се заличават или унищожават, когато повече не са необходими за посочените в настоящия член цели. Във всеки случай те трябва да бъдат заличени или унищожени след като аналитичното работно досие е затворено.
4. Когато посочените в параграф 1 данни са предоставени от трета страна, Европол отговаря за осигуряването определените в настоящия член принципи да се прилагат за такива данни съгласно правилата, установени в съответствие с член 26 от Решението за Европол.
Член 4
Обработване на данни
1. Когато е необходимо за постигането на целта, установена в член 3 от Решението за Европол, личните данни, посочени в членове 5 и 6 от настоящите правила, могат да бъдат обработвани от Европол дотолкова че да бъдат адекватни, точни, релевантни и не прекалено подробни с оглед на целта на аналитичното работно досие, в което са включени, и при условие че се съхраняват за срок не по-дълъг от необходимия за тази цел. Необходимостта от продължаване съхраняването на данните за целите на аналитичното работно досие се преглежда редовно в съответствие с член 7 от настоящите правила и член 20 от Решението за Европол.
2. Всяка държава-членка, която участва в аналитичен проект, решава в съответствие с националното си законодателство до каква степен може да предоставя такива данни, както е посочено в член 14, параграф 3 от Решението за Европол.
Член 5
Заповеди за отваряне на аналитични работни досиета
1. Във всяка заповед за отваряне на аналитично работно досие, както е посочено в член 16 от Решението за Европол, директорът определя кои категории данни от изброените в член 6 от настоящите правила се считат за необходими за целите на съответното аналитично работно досие.
2. В заповедта, посочена в параграф 1, директорът определя също така дали данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения или членство в синдикални организации и данни относно здравето и сексуалния живот, трябва да бъдат включени в аналитичното работно досие в изброените в член 6 категории и защо тези данни се считат за строго необходими за целите на съответното аналитично работно досие. Такива данни могат да се обработват само когато допълват други лични данни, които вече са въведени в това досие.
Когато посочените в първа алинея данни се отнасят до категориите лица, посочени в член 6, параграфи 3-6, в заповедта за отваряне на досието трябва да бъдат включени конкретните основания за искането на такива данни и те се обработват само по изричното искане на две или повече държави-членки, които участват в аналитичен проект. Съответните данни се заличават, когато вече не са необходими за целите, за които са били съхранявани.
3. Заповедите за отваряне на аналитично работно досие, включително последващи изменения в него, се изготвят в съответствие с процедурата, уредена в член 16 от Решението за Европол.
Член 6
Лични данни в аналитичните работни досиета
1. Когато лични данни се съхраняват в аналитичните работни досиета се прилага бележка, която посочва категориите лица, относно които се съхраняват данните.
2. Следните категории лични данни, включително свързаните с тях административни данни, могат да бъдат обработвани за категориите лица, посочени в член 14, параграф 1, буква а) от Решението за Европол:
а)
Лични данни:
1.
Настоящо и предишно фамилно име
2.
Настоящо и предишно собствено име
3.
Моминско име
4.
Бащино име (когато е необходимо с цел установяване на самоличността)
5.
Майчино име (когато е необходимо с цел установяване на самоличността)
6.
Пол
7.
Дата на раждане
8.
Място на раждане
9.
Гражданство
10.
Семейно положение
11.
Псевдоним
12.
Прякор
13.
Прието или фалшиво име
14.
Настоящо и предишно място на пребиваване и/или местоживеене
б)
Физическо описание:
1.
Физическо описание:
2.
Отличителни характеристики (родилни белези/белези от рани/татуировки и т.н.)
в)
Средства за установяване на самоличността:
1.
Документи за самоличност/свидетелство за управление на моторно превозно средство
2.
Номера на националната лична карта/паспорт
3.
Национален идентификационен номер/социално-осигурителен номер, ако има такъв
4.
Визуално изображение и друга информация за външния вид
5.
Криминалистична информация за установяване на самоличността, като пръстови отпечатъци, ДНК профил (от некодиращата част на ДНК), гласов профил, кръвна група, дентална информация
г)
Професия и умения:
1.
Настоящо работно място и професия
2.
Предишно работно място и професия
3.
Образование (училище/университет/професионално)
4.
Квалификации
5.
Умения и други области на познание (езици/други)
д)
Икономическа и финансова информация:
1.
Финансови данни (банкови сметки и кодове, кредитни карти и т.н.)
2.
Парични активи
3.
Акции/дялове/други активи
4.
Данни за недвижимо имущество
5.
Връзки с дружества
6.
Банкови и кредитни контакти
7.
Данъчно състояние
8.
Друга информация, която разкрива как лицето управлява финансовите си дела
е)
Данни за поведението:
1.
Начин на живот (например стандарт над финансовите възможности) и установени навици
2.
Движения
3.
Често посещавани места
4.
Оръжия и други опасни инструменти
5.
Оценяване на опасността
6.
Конкретни рискове като вероятност за бягство, използване на двойни агенти, връзки с правоприлагащия персонал
7.
Черти на характера и профил, свързани с престъпността
8.
Зависимост от наркотици
ж)
Лица за контакт и съучастници, включително тип и естество на контакта или участието
з)
Използвани средства за комуникация, като телефон (стационарен/мобилен), факс, пейджър, електронна поща, пощенски адрес, интернет връзка(и)
и)
Използвани транспортни средства, като превозни средства, кораби, въздухоплавателни средства, включително информация за идентифициране на тези транспортни средства (регистрационни номера)
й)
Информация, свързана с престъпните дейности, за които Европол е компетентен съгласно член 4 от Решението за Европол:
1.
Предишни присъди
2.
Подозирано участие в престъпни дейности
3.
Modi operandi
4.
Средства, които са били или могат да бъдат използвани за подготовката и/или извършването на престъпления
5.
Членство в престъпни групи/организации и позиция в групата/организацията
6.
Роля в престъпната организация
7.
Географски обхват на престъпните дейности
8.
Материали, събрани по време на разследването, като видео и фотографски изображения
к)
Препратки към други бази данни, в които се съхранява информация за лицето:
1.
Европол
2.
Полицейски/митнически служби
3.
Други правоприлагащи органи
4.
Международни организации
5.
Публични образувания
6.
Частни образувания
л)
Информация за юридическите лица, свързани с данните, посочени в букви д) и й):
1.
Наименование на юридическото лице
2.
Местоположение
3.
Дата и място на учредяване
4.
Административен регистрационен номер
5.
Правна форма
6.
Капитал
7.
Предмет на дейност
8.
Национални и международни дъщерни дружества
9.
Директори
10.
Връзки с банки.
3. „Лица за контакт и съучастници“, както е посочено в член 14, параграф 1, буква г) от решението за Европол, са лицата, чрез които има достатъчно основания да се смята, че може да бъде получена информация, свързана с лицата посочени в параграф 2 от настоящия член, която е релевантна за целите на анализа, при условие че те не са включени в някоя от категориите лица, посочени в параграфи 2, 4, 5 или 6. „Лица за контакт“ са тези лица, които имат непостоянни контакти с лицата, посочени в параграф 2. „Съучастници“ са тези лица, които имат редовни контакти с лицата, посочени в параграф 2.
По отношение на лицата за контакт и съучастниците, данните във връзка с параграф 2 могат да бъдат съхранявани ако е необходимо, при условие че има основание да се предполага, че такива данни са необходими за анализа на ролята на тези лица за контакт или съучастници.
В този контекст се уточнява следното:
а)
връзката на тези лица с лицата посочени в член 14, параграф 1, буква а) от Решението за Европол се изяснява възможно най-бързо;
б)
ако предположението че съществува връзка между тези лица и лицата, посочени в член 14, параграф 1, буква а) от Решението за Европол се окаже неоснователно, данните се заличават незабавно;
в)
ако тези лица са заподозрени в извършването на престъпление, което е от компетентността на Европол съгласно член 4 от Решението за Европол, или ако са били осъждани за такова престъпление, или ако са налице факти или разумни основания съгласно националното законодателство на съответната държава-членка да се счита, че ще извършат такова престъпление, всички данни по параграф 2 могат да бъдат съхранявани;
г)
данни за лицата за контакт и съучастниците, както данни за техните лица за контакт и съучастници не се съхраняват, с изключение на данните относно типа и естеството на тяхното участие или контакт с лицата, посочени в параграф 2;
д)
ако уточняване съгласно предходните букви не е възможно, това се взема предвид при вземането на решение относно необходимостта и обхвата на съхраняването за по-нататъшен анализ.
4. По отношение на лица, които както е посочено в член 14, параграф 1, буква в) от Решението за Европол са били жертва на някое от разглежданите престъпления, или по отношение на които някои факти дават основание да се смята, че те биха могли да са жертва на такова престъпление, могат да се съхраняват данните, посочени в параграф 2, буква а), точка 1 до параграф 2, буква в), точка 3 от настоящия член, както и следните категории данни:
а)
Дата на установяване самоличността на жертвата;
б)
Причина за виктимизиране;
в)
Нанесени вреди (физически/финансови/психологически/други);
г)
дали анонимността трябва да бъде гарантирана;
д)
дали е възможно участие в съдебно заседание;
е)
Информация за престъплението, предоставена от или чрез лицата, посочени в член 14, параграф 1, буква в) от Решението за Европол включително информация относно техните отношения с други лица, когато е необходимо да се установи самоличността на лицата, посочени в член 12, параграф 1 от Решението за Европол.
При необходимост могат да се съхраняват други данни съгласно параграф 2, при условие че има основание да се приеме, че те са необходими за анализа на ролята на лице като жертва или потенциална жертва.
Данните, които не са необходими за по-нататъшен анализ, се заличават.
5. По отношение на лица, които както е посочено в член 14, параграф 1, буква б) от Решението за Европол биха могли да бъдат призовани да свидетелстват при разследвания във връзка с разглежданите престъпления или в последващи наказателни производства, данните, посочени в параграф 2, буква а), точка 1 до параграф 2, буква в), точка 3 от настоящия член, както и категориите данни, които отговарят на следните критерии, може да бъдат съхранявани:
а)
информация за престъплението, предоставена от такива лица, включително информация относно техните отношения с други лица, включени в аналитичното работно досие;
б)
дали анонимността трябва да бъде гарантирана;
в)
дали защитата трябва да бъде гарантирана и от кого;
г)
нова самоличност;
д)
дали е възможно участието в съдебно заседание.
При необходимост може да се съхраняват и други данни съгласно параграф 2, при условие че има основание да се приеме, че те са необходими за анализа на ролята на такова лице като свидетел.
Данните, които не са необходими за по-нататъшен анализ, се заличават.
6. По отношение на лица, които както е посочено в член 14, параграф 1, буква д) от Решението за Европол може да предоставят информация за разглежданите престъпления, може да бъдат съхранявани данните, посочени в параграф 2, буква а), точка 1 до параграф 2, буква в), точка 3, както и категориите данни, които отговарят на следните критерии:
а)
кодирани лични данни;
б)
вид на предоставената информация;
в)
дали анонимността трябва да бъде гарантирана;
г)
дали защитата трябва да бъде гарантирана и от кого;
д)
нова самоличност;
е)
дали е възможно участието в съдебно заседание;
ж)
отрицателен опит;
з)
възнаграждения (финансови/услуги).
При необходимост може да се съхраняват други данни съгласно параграф 2, при условие че има основание да се приеме, че те са необходими за анализа на ролята на такова лице като информатор.
Данните, които не са необходими за по-нататъшен анализ, се заличават.
7. Ако в който и да е момент от анализа стане ясно, въз основа на сериозни и потвърждаващи признаци, че дадено лице, включено в аналитично работно досие, следва да бъде поставено в различна категория лица, съгласно определеното в настоящия член, от категорията в която първоначално е било поставено, Европол може да обработва само данните за лицето, за което това е разрешено съгласно тази нова категория, а всички други данни се заличават.
Ако въз основа на такива признаци стане ясно, че дадено лице следва да бъде включено в две или повече различни категории, както е определено в настоящия член, Европол може да обработва всички данни, за които това е разрешено съгласно тези категории.
Член 7
Срокове за проучване и продължителност на съхраняването
1. Когато е взето решение дали личните данни следва да продължат да бъдат съхранявани съгласно член 6 от настоящите правила в съответствие с член 20 от Решението за Европол, интересите на Европол за изпълнение на неговите задачи се претеглят срещу легитимните интереси за защита на данните на субекта, за когото те се съхраняват.
Необходимостта от продължаване съхраняването на личните данни, включени в аналитично работно досие, се преразглежда в съответствие с член 20 от Решението за Европол не по-късно от три години след въвеждането им или след последното преразглеждане на данните. Независимо от това преразглеждане, необходимостта от продължаване на съхраняването се преразглежда ако възникнат обстоятелства, които сочат, че данните трябва да бъдат заличени или коригирани.
Преразглеждането отчита необходимостта от запазване на данни предвид приключването на проучване за определен случай, окончателно съдебно решение, по-конкретно при оправдаване, реабилитиране, изтърпяване на присъдата, амнистия, възраст на субекта на данните и определени категории данни.
2. В съответствие с член 16, параграф 3 от Решението за Европол, Европол преразглежда необходимостта от продължаване на аналитично работно досие. Въз основа на това преразглеждане директорът взема решение за продължаването или затварянето на досието. Директорът незабавно уведомява управителния съвет и Съвместния надзорен орган относно онези елементи в досието, които обуславят крайната необходимост от продължаването му.
3. Когато наказателни преследвания срещу лицата, посочени в член 6, параграф 2 са приключени или чрез съдебно решение или по друг начин, без възможност за обжалване, и когато Европол е нотифициран за това решение от държавата-членка или от заинтересована трета страна, Европол проверява дали данните, засегнати от такова решение, могат да продължават да бъдат съхранявани, променяни или използвани. Ако поради причините за решението или поради други разузнавателни данни може да бъде прието, че съответното лице не е извършило, или не е извършило противозаконно престъплението, или ако причините за решението оставят този въпрос отворен, засегнатите от това решение данни се заличават, освен ако не съществуват сериозни основания да се приеме, че те все още са от значение за целите на аналитичното работно досие. В такъв случай информацията относно съдебното решение се добавя към останалите данни, вече включени в досието. Освен това тези данни могат да бъдат обработвани и съхранявани само като надлежно се отчита контекста и произнасянето на посоченото по-горе решение и в контекста на правата, които то дава на съответното лице.
4. Личните данни не може да се задържат за срок по-дълъг от посочения в член 20, параграф 1 от Решението за Европол. В случаите когато, в резултат от продължаването на дадено аналитично досие, данните касаещи лица, посочени в член 6, параграфи 3-6, се съхраняват в досие за срок по-дълъг от пет години, Съвместният надзорен орган, посочен в член 34, параграф 1 от Решението за Европол е съответно информиран.
5. Ако по време на прегледа на дейностите на Европол от Съвместния надзорен орган се установи, че лични данни са съхранявани в нарушение на настоящите правила, Съвместният надзорен орган информира директора за това, както прецени за необходимо, в съответствие с член 34, параграф 4 от Решението за Европол.
Когато Съвместният надзорен орган, в съответствие с член 34, параграф 4 от Решението за Европол, е повдигнал въпрос относно съхраняването, обработването или използването на лични данни пред управителния съвет, предаването на съответните данни без предварително разрешение от управителния съвет се забранява. В изключителни случаи директорът може да разреши предаването на данните преди одобрение от управителния съвет, когато това се счита за абсолютно необходимо за защита на основните интереси на съответните държави-членки, които попадат в обхвата на целите на Европол, или е в интерес на предотвратяването на непосредствена опасност, свързана с престъпление или терористичен акт. В такива случаи разрешението от директора се оформя в документ, който се препраща до управителния съвет и до Съвместния надзорен орган.
Член 8
Установяване на отношения с трети страни
Европол може да установява отношения с експерти от институции, органи, служби и агенции, както е посочено в член 22, параграф 1 от Решението за Европол, и с експерти от трети държави и организации, както е посочено в член 23, параграф 1 от посоченото решение във връзка с дейностите на дадена група за анализ при условията, установени в член 14, параграф 8 от същото решение.
Директорът сключва споразумение с всяко от посочените в първа алинея образувания в съответствие с правилата относно такива споразумения, определени от управителния съвет. Подробности за тези споразумения се изпращат на управителния съвет и на Съвместния надзорен орган. Последният може да отправя до управителния съвет всякакви коментари, каквито счита за необходими.
Член 9
Събиране и записване на данните
Данните, съхранявани в аналитични работни досиета, се различават в зависимост от оценката на източника и от степента на точност или надеждност на информацията в съответствие с член 11. Данните, които се основават на факти, се разграничават от данните, които се основават на мнения или лични преценки.
Член 10
Вътрешна защита на данните
Директорът предприема необходимите мерки, за да гарантира съответствие с настоящите правила и с други разпоредби относно защитата на данни. За тази цел иректорът търси съвети от отговорника по защита на данните, както е посочено в член 28 от Решението за Европол.
ГЛАВА II
КЛАСИФИКАЦИЯ
Член 11
Класове аналитични работни досиета
Аналитичните работни досиета могат да бъдат:
а)
общи или стратегически, когато целта е да се обработи релевантна информация относно конкретен проблем или да се разработят или подобрят инициативи от компетентните органи, както е определено в член 3 от Решението за Европол;
б)
оперативни, когато целта е да се получи информация за една или повече от престъпните дейности, посочени в член 3 от Решението за Европол, която се отнася за случай, лице или организация, с цел да бъдат започнати, подпомогнати или приключени, в съответствие с член 14, параграф 2 от решението за Европол, двустранни или многостранни разследвания от международно естество, при условие че между заинтересованите страни са две или повече държави-членки.
Член 12
Оценка на източника и на информацията
1. Източникът на информацията, произхождаща от държава-членка, се оценява доколкото е възможно от държавата-членка, която предоставя информацията, като се използват следните кодове за оценка на източника:
А)
:
когато няма съмнение относно автентичността, достоверността и компетентността на източника, или ако информацията е предоставена от източник, който е доказал, че е надежден във всички случаи;
В)
:
когато информация е предоставена от източник който се е оказвал надежден в повечето случаи;
С)
:
когато информация е предоставена от източник който се е оказвал ненадежден в повечето случаи;
Х)
:
когато надеждността на източника не може да бъде оценена.
2. Информацията, произтичаща от държава-членка, се оценява доколкото е възможно от държавата-членка, която я предоставя, въз основа на нейната надеждност, като се използват следните кодове за оценка на информацията:
(1)
:
информация, чиято точност е несъмнена;
(2)
:
информация, която източникът знае лично, но не и служителят, който я предава;
(3)
:
информация, която източникът не знае лично, но е потвърдена от друга, вече записана, информация;
(4)
:
информация, която източникът не знае лично и която не може да бъде потвърдена.
3. Ако въз основа на информацията, която вече притежава, Европол стигне до заключение, че оценката се нуждае от коригиране, той информира съответната държава-членка и се стреми да се споразумее с нея за изменение на оценката. Европол не променя оценката без такова споразумение.
4. Ако Европол получава данни или информация от дадена държава-членка без оценка, Европол се опитва доколкото е възможно да оцени надеждността на източника или информацията въз основа на информацията, с която вече разполага. Оценяването на специфични данни и информация трябва да става в съгласие с държавата-членка, която ги предоставя. Дадена държава-членка и Европол могат също така да се договорят в общи линии за оценяването на конкретни видове данни и конкретни източници. Управителният съвет се информира за такива общи договорености. Ако на Европол се предоставят данни въз основа на такива общи договорености, това се отбелязва при данните.
Ако по определен случай не бъде постигнато споразумение, или ако не съществува обща договореност, Европол оценява информацията или данните и ги обозначава с кодовете за оценка (Х) или (4), посочени в параграфи 1 и 2 съответно.
5. Ако Европол получи данни или информация от трета страна, настоящият член се прилага съответно.
6. Когато информацията, включена в аналитично работно досие е резултат от анализ Европол оценява такава информация в съответствие с настоящия член и съгласувано с държавата-членка, участвала в анализа.
ГЛАВА III
ПРАВИЛА ЗА ИЗПОЛЗВАНЕ НА РАБОТНИТЕ ДОСИЕТАТА И ДАННИТЕ ЗА ЦЕЛИТЕ НА АНАЛИЗА
Член 13
Отваряне на аналитични работни досиета
1. Аналитичните работни досиета се отварят по инициатива на Европол или по искане на държавите-членки, които предоставят данните, в съответствие с процедурата, установена в член 16 от Решението за Европол.
2. Управителният съвет може да кани представители на Съвместния надзорен орган да вземат участие в неговите дискусии по заповедите за отваряне на аналитичните работни досиета.
3. В съответствие с член 16, параграф 2 от Решението за Европол дейностите по анализ и разпространение на резултатите от анализа могат да започнат незабавно след отварянето на аналитичното досие. В случай че управителният съвет инструктира директора на Европол да промени заповед за отваряне или за затваряне на досието в съответствие с член 16, параграф 4 от Решението за Европол, данните, които не може да се включат в досието или, ако досието трябва да се закрие, всички данни съдържащи се в него, се заличават незабавно.
4. Ако по време на анализа се окаже, че е необходимо да се измени заповедта за отваряне на аналитичното работно досие, посочената в член 16 от Решението за Европол процедура, както и настоящият член, се прилагат съответно.
Член 14
Извличане на данни
1. В съответствие с член 14, параграф 2, буква б) от Решението за Европол участниците в аналитичен проект се ползват от правото да извличат данни само след като са акредитирани от Европол и след проведено обучение относно техните конкретни задължения, които произтичат от правната рамка на Европол.
2. В съответствие с член 14, параграф 2, втора алинея от Решението за Европол всички участници в групата за анализ могат да извличат данни от досието. Групата за анализ решава единодушно до каква степен може да се осъществява това извличане, както и за всички условия и ограничения, които се прилагат.
Член 15
Предаване на данни или информация, които се съдържат в аналитични работни досиета
1. Предаването на лични данни, които се съдържат в аналитичните работни досиета, на държава-членка или на трета страна, се записва в съответното досие.
Когато е необходимо и не по-късно от момента на предаване, Европол проверява точността и съответствието на данните с Решението за Европол в сътрудничество с държавата-членка или третата страна, която ги е предоставила.
Доколкото е възможно, всички съобщения посочват съдебните решения, както и решенията да не се извършва наказателно преследване. Преди данните които се основават на мнения и лични преценки да бъдат предадени и тяхната степен на точност или надеждност да бъде посочена, такива данни се проверяват в сътрудничество с държавата-членка или третата страна, която ги е предоставила.
Получилата данните държава-членка уведомява предалата ги държава-членка по нейно искане за какво се използват предадените данни и за получените впоследствие резултати, когато националното законодателство на получилата данните държава-членка го позволява.
Ако съществуват ограничения за използването на данните съгласно член 19 от Решението за Европол, такива ограничения се отбелязват при данните и получателите на резултатите от анализа се информират за това.
2. В съответствие с член 14, параграф 7 от Решението за Европол, в случаите в които Европол установи след включването на данни в аналитичното работно досие, че тези данни са свързани с лице или предмет, за които данни, предоставени от друга държава-членка или трета страна вече са включени в досието, всяка държава-членка или съответна трета страна се уведомяват незабавно за установената връзка.
Член 16
Процедури за контрол
За да се отговори на изискванията за сигурност на данните, определени в член 35 от Решението за Европол, и за да се гарантира сигурността при обработването на данните по смисъла на настоящите правила, управителният съвет акредитира системата за анализ в съответствие с член 8 от Правилата за поверителност на информацията на Европол, приети с Решение 2009/…/ПВР на Съвета от 30 ноември 2009 г. (2) след предварителна консултация с Комитета по сигурността, както е предвидено в член 4, параграф 2 от същите правила. Акредитирането се предоставя въз основа на специфични за системата изисквания за сигурност и друга документация относно сигурността, която е счетена за необходима от управителния съвет.
Член 17
Използване и съхраняване на данните за анализа и на резултатите от анализа
1. Всички лични данни и резултати от анализа, предадени от аналитично работно досие, могат да бъдат използвани само в съответствие с целите на досието или с цел предотвратяване или борба с други сериозни форми на престъпност и в съответствие с всякакви ограничения за използването им, определени от държава-членка въз основа на член 19, параграф 2 от Решението за Европол. Данните, посочени в член 5, параграф 2 от настоящите правила, могат да бъдат предадени само в съгласие с държавата-членка, която е предоставила тези данни.
2. След затварянето на аналитично работно досие, всички съдържащи се в него данни се съхраняват от Европол в отделно досие, което е достъпно само за целите на вътрешния или външния контрол. Без да се засяга член 20, параграф 4 от Решението за Европол, такива данни не се съхраняват повече от 18 месеца след затварянето на аналитичното работно досие.
3. Резултатите от аналитично работно досие могат да се съхраняват от Европол в електронна форма за максимален срок от три години от датата на затваряне на съответното досие, при условие че те се съхраняват в отделно досие и към тях не се прибавят нови данни. След този срок резултатите могат да бъдат съхранявани само под формата на хартиен документ.
Член 18
Комбиниране на досиета и прехвърляне на информация между досиета
1. Когато стане ясно, че съдържащата се в дадено аналитично работно досие информация може също така да е от значение за различни аналитични работни досиета, се прилагат следните процедури:
а)
Когато се предложи пълно комбиниране на информацията от две досиета, в съответствие с член 16 от Решението за Европол се създава ново досие, което съдържа пълната информация от двете досиета. Решението за комбиниране на двете досиета се постига от всички участници в двете първоначални досиета. В такъв случай първоначалните досиета се затварят;
б)
Когато част от информацията в дадено досие е от значение за друго досие, представилите тази информацията решават дали тя да бъде прехвърлена или не във второто досие.
2. При посочените в параграф 1 обстоятелства срокът за преразглеждане на прехвърлените данни от едно аналитично работно досие в друго не се засяга от такова прехвърляне.
Член 19
Нови технически средства
Нови технически средства за обработване на данните за целите на анализа могат да бъдат въведени само ако са предприети всички възможни мерки за да се гарантира, че тяхното използване е в съответствие с правилата за защита на личните данни, приложими в Европол. Директорът се консултира предварително със Съвместния надзорен орган във всички случаи, когато въвеждането на такива технически средства поражда проблеми за прилагането на тези правила за защита на личните данни.
ГЛАВА IV
ЗАКЛЮЧИТЕЛНИ РАЗПОРЕДБИ
Член 20
Преразглеждане на правилата
До 1 януари 2013 г. настоящите правила се оценяват под надзора на Управителния съвет.
Всякакви предложения за изменение на настоящите правила се разглеждат от управителния съвет, с оглед на приемането им от Съвета в съответствие с процедурата, предвидена в член 14, параграф 1, трета алинея от Решението за Европол.
Член 21
Влизане в сила
Настоящите правила влизат в сила на 1 януари 2010 г.
Съставено в Брюксел на 30 ноември 2009 година.
COUNCIL DECISION 2009/936/JHA
of 30 November 2009
adopting the implementing rules for Europol analysis work files
THE COUNCIL OF THE EUROPEAN UNION,
Having regard to Council Decision 2009/371/JHA of 6 April 2009 establishing the European Police Office (EUROPOL) (1) (the ‘Europol Decision’) and in particular Articles 14(1) and 59(1)(b) thereof,
Taking account of the Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data, adopted by the Council of Europe on 28 January 1981,
Taking account of Recommendation No R(87)15 of the Committee of Ministers regulating the use of personal data in the police sector, adopted by the Council of Europe on 17 September 1987,
Having regard to the draft rules for Europol analysis work files submitted by the Management Board,
Having regard to the Opinion of the European Parliament,
Whereas it is for the Council, acting by qualified majority after consulting the European Parliament, to adopt implementing rules for analysis work files (hereinafter the ‘rules’),
HAS DECIDED AS FOLLOWS:
CHAPTER I
GENERAL PRINCIPLES
Article 1
Definitions
For the purposes of these rules:
(a)
‘personal data’ means any information relating to an identified or identifiable natural person; an ‘identifiable person’ is one who can be identified, directly or indirectly, in particular by reference to an identification number or to one or more factors specific to his physical, physiological, mental, economic, cultural or social identity;
(b)
‘analysis work file’ means a file opened for the purpose of analysis, as referred to in Article 14(1) of the Europol Decision;
(c)
‘analysis’ means the assembly, processing or use of data with the aim of assisting criminal investigations, in accordance with Article 14(2) of the Europol Decision;
(d)
‘participants in an analysis group’ means analysts and other Europol staff designated by the Director, as well as liaison officers and/or experts from the Member States supplying the information or concerned by the analysis within the meaning of Article 14(4) of the Europol Decision;
(e)
‘processing of personal data’ or ‘processing’ means any operation or set of operations which is performed upon personal data, whether or not by automatic means, such as collection, recording, organisation, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, blocking, erasure or destruction.
Article 2
Scope
The rules laid down in this Decision shall apply to the processing of data for the purpose of analysis, as referred to in Article 14(1) of the Europol Decision.
Article 3
Data supplied for the purpose of analysis
1. In accordance with Articles 8(2) and 14(3) of the Europol Decision, data supplied for the purpose of analysis shall be communicated either in a structured or unstructured form by national units or, depending on their degree of urgency, may be routed directly from the designated competent authorities to Europol, in order to be included in an analysis work file. The Member State supplying the data shall notify Europol of the purpose for which they are supplied and of any restriction on their use, deletion or destruction, including possible access restrictions in general or specific terms. That Member State may also inform Europol of any such restrictions at a later stage.
Europol shall ensure that third parties supplying such data notify Europol of the purpose for which they are supplied and of any restriction on their use.
After receipt of such data, it shall be determined as soon as possible to what extent they shall be included in a specific file.
2. In accordance with Article 29(1) of the Europol Decision, the data referred to in paragraph 1 shall remain under the responsibility of the Member State which supplied them, and shall be subject to the national legislation of that Member State until such data are included in an analysis work file. This shall be without prejudice to Europol’s responsibilities for the data as outlined in the second and third subparagraphs.
Europol shall be responsible for ensuring that such data may be accessed only by the Member States which supplied them, or analysts and other Europol staff designated by the Director in accordance with Article 14(2)(a) of the Europol Decision, for the purpose of determining whether or not the data may be included in an analysis work file.
If Europol, after appraising the data supplied, has reason to assume that they are inaccurate or no longer up-to-date, it shall inform the Member State which supplied them.
3. Data which, after appraisal, have not been selected for inclusion in an analysis work file, as well as paper files and documents containing data which have been included in such a file, shall remain under the responsibility of the Member State which supplied the data in accordance with Article 29(1) of the Europol Decision, and shall be subject to its national legislation. This shall be without prejudice to Europol’s responsibilities as outlined in the Europol Decision.
Europol shall be responsible for ensuring that the data, paper files and documents referred to in the first subparagraph are stored separately from analysis work files, and may be accessed only by the Member States which supplied the data, or by analysts and other Europol staff designated by the Director in accordance with Article 14(2)(a) of the Europol Decision, for the purposes of:
(a)
their later inclusion in an analysis work file;
(b)
verifying whether the data which have already been included in an analysis file are accurate and relevant; or
(c)
verifying whether the requirements contained in these rules or the Europol Decision have been met.
Such data, may also be accessed in the interests of the data subject who requires protection. In this case, the data may only be used with the consent of the individual concerned.
Such data, paper files and documents shall be returned to the Member State which supplied them, or be deleted or destroyed, where they are no longer necessary for the purposes set out in this Article. They must in any case be deleted or destroyed after the analysis work file is closed.
4. Where the data referred to in paragraph 1 have been supplied by a third party, Europol shall be responsible for ensuring that the principles laid down in this Article are applied to such data by following the rules laid down in accordance with Article 26 of the Europol Decision.
Article 4
Processing of data
1. Where necessary in order to achieve the objective laid down in Article 3 of the Europol Decision, personal data referred to in Articles 5 and 6 of these rules may be processed by Europol to the extent that they are adequate, accurate, relevant, and not excessive in relation to the purpose of the analysis work file in which they are included, and provided that they are stored for no longer than necessary for this purpose. The need for continued data storage for the purpose of the analysis work file shall be reviewed regularly in accordance with Article 7 of these rules and Article 20 of the Europol Decision.
2. Each Member State involved in an analysis project shall decide, in accordance with its national legislation, on the extent to which it can supply such data, as specified in Article 14(3) of the Europol Decision.
Article 5
Orders opening analysis work files
1. In each order opening an analysis work file, as referred to in Article 16 of the Europol Decision, the Director shall specify which of the categories of personal data listed in Article 6 of these rules are considered to be necessary for the purpose of the analysis work file concerned.
2. The Director shall also specify in the order referred to in paragraph 1 whether data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs or trade-union membership and data concerning health or sex life are to be included in the analysis work file under the categories listed in Article 6, and why such data are considered to be strictly necessary for the purposes of the analysis work file concerned. Such data may only be processed when supplementing other personal data which have already been included in that file.
Where the data referred to in the first subparagraph relate to the categories of persons mentioned in Article 6(3) to 6(6), the specific grounds for requiring such data must be included in the order opening the file, and such data shall be processed only at the explicit request of two or more Member States participating in the analysis project. The data concerned shall be deleted when they are no longer necessary for the purposes for which they were stored.
3. Orders opening an analysis work file, including later amendments thereto, shall be established in accordance with the procedure set out in Article 16 of the Europol Decision.
Article 6
Personal data in analysis work files
1. Whenever personal data are stored in analysis work files, a note shall be added which refers to the category of persons on which the data are stored.
2. The following categories of personal data, including associated administrative data, may be processed on the categories of persons referred to in Article 14(1)(a) of the Europol Decision:
(a)
Personal details:
1.
Present and former surnames
2.
Present and former forenames
3.
Maiden name
4.
Father’s name (where necessary for the purpose of identification)
5.
Mother’s name (where necessary for the purpose of identification)
6.
Sex
7.
Date of birth
8.
Place of birth
9.
Nationality
10.
Marital status
11.
Alias
12.
Nickname
13.
Assumed or false name
14.
Present and former residence and/or domicile
(b)
Physical description:
1.
Physical description
2.
Distinguishing features (marks/scars/tattoos etc.)
(c)
Identification means:
1.
Identity documents/driving licence
2.
National identity card/passport numbers
3.
National identification number/social security number, if applicable
4.
Visual images and other information on appearance
5.
Forensic identification information such as fingerprints, DNA profile (established from the non-coding part of DNA), voice profile, blood group, dental information
(d)
Occupation and skills:
1.
Present employment and occupation
2.
Former employment and occupation
3.
Education (school/university/professional)
4.
Qualifications
5.
Skills and other fields of knowledge (language/other)
(e)
Economic and financial information:
1.
Financial data (bank accounts and codes, credit cards etc.)
2.
Cash assets
3.
Share holdings/other assets
4.
Property data
5.
Links with companies
6.
Bank and credit contacts
7.
Tax position
8.
Other information revealing a person’s management of their financial affairs
(f)
Behavioural data:
1.
Lifestyle (such as living above means) and routine
2.
Movements
3.
Places frequented
4.
Weapons and other dangerous instruments
5.
Danger rating
6.
Specific risks such as escape probability, use of double agents, connections with law enforcement personnel
7.
Criminal-related traits and profiles
8.
Drug abuse
(g)
Contacts and associates, including type and nature of the contact or association
(h)
Means of communication used, such as telephone (static/mobile), fax, pager, electronic mail, postal addresses, Internet connection(s)
(i)
Means of transport used, such as vehicles, boats, aircraft, including information identifying these means of transport (registration numbers)
(j)
Information relating to criminal activities for which Europol has competence under Article 4 of the Europol Decision:
1.
Previous convictions
2.
Suspected involvement in criminal activities
3.
Modi operandi
4.
Means which were or may be used to prepare and/or commit crimes
5.
Membership of criminal groups/organisations and position in the group/organisation
6.
Role in the criminal organisation
7.
Geographical range of criminal activities
8.
Material gathered in the course of an investigation, such as video and photographic images
(k)
References to other databases in which information on the person is stored:
1.
Europol
2.
Police/customs agencies
3.
Other enforcement agencies
4.
International organisations
5.
Public entities
6.
Private entities
(l)
Information on legal persons associated with the data referred to in points (e) and (j):
1.
Designation of the legal person
2.
Location
3.
Date and place of establishment
4.
Administrative registration number
5.
Legal form
6.
Capital
7.
Area of activity
8.
National and international subsidiaries
9.
Directors
10.
Links with banks.
3. ‘Contacts and associates’, as referred to in Article 14(1)(d) of the Europol Decision, are persons through whom there is sufficient reason to believe that information, which relates to the persons referred to in paragraph 2 of this Article and which is relevant for the analysis, can be gained, provided they are not included in one of the categories of persons referred to in paragraphs 2, 4, 5 or 6. ‘Contacts’ are those persons who have sporadic contact with the persons referred to in paragraph 2. ‘Associates’ are those persons who have regular contact with the persons referred to in paragraph 2.
In relation to contacts and associates, the data pursuant to paragraph 2 may be stored as necessary, provided there is reason to assume that such data are required for the analysis of the role of such persons as contacts or associates.
In this context, the following shall be observed:
(a)
the relationship of these persons with the persons referred to in Article 14(1)(a) of the Europol Decision shall be clarified as soon as possible;
(b)
if the assumption that a relationship exists between these persons and the persons referred to in Article 14(1)(a) of the Europol Decision turns out to be unfounded, the data shall be deleted without delay;
(c)
if such persons are suspected of committing an offence for which Europol has competence under Article 4 of the Europol Decision, or have been convicted for such an offence, or if there are factual indications or reasonable grounds under the national law of the Member State concerned to believe that they will commit such an offence, all data pursuant to paragraph 2 may be stored;
(d)
data on contacts and associates of contacts as well as data on contacts and associates of associates shall not be stored, with the exception of data on the type and nature of their contacts or associations with the persons referred to in paragraph 2;
(e)
if a clarification pursuant to the previous points is not possible, this shall be taken into account when deciding on the need and the extent of storage for further analysis.
4. With regard to persons who, as referred to in Article 14(1)(c) of the Europol Decision, have been the victims of one of the offences under consideration or who, certain facts give reason to believe, could be the victims of such an offence, data referred to in paragraph 2(a)(1) to 2(c)(3) of this Article, as well as the following categories of data, may be stored:
(a)
Victim identification data;
(b)
Reason for victimisation;
(c)
Damage (physical/financial/psychological/other);
(d)
Whether anonymity is to be guaranteed;
(e)
Whether participation in a court hearing is possible;
(f)
Crime-related information provided by or through persons referred to in Article 14(1)(c) of the Europol Decision, including information on their relationship with other persons, where necessary, to identify the persons referred to in Article 12(1) of the Europol Decision.
Other data pursuant to paragraph 2 may be stored as necessary, provided there is reason to assume that they are required for the analysis of a person’s role as victim or potential victim.
Data not required for any further analysis shall be deleted.
5. With regard to persons who, as referred to in Article 14(1)(b) of the Europol Decision, might be called on to testify in investigations in connection with the offences under consideration or in subsequent criminal proceedings, data referred to in paragraph 2(a)(1) to 2(c)(3) of this Article as well as categories of data complying with the following criteria, may be stored:
(a)
crime-related information provided by such persons, including information on their relationship with other persons included in the analysis work file;
(b)
whether anonymity is to be guaranteed;
(c)
whether protection is to be guaranteed and by whom;
(d)
new identity;
(e)
whether participation in a court hearing is possible.
Other data pursuant to paragraph 2 may be stored as necessary, provided there is reason to assume that they are required for the analysis of such persons’ role as witnesses.
Data not required for any further analysis shall be deleted.
6. With regard to persons who, as referred to in Article 14(1)(e) of the Europol Decision, can provide information on the criminal offences under consideration, data referred to in paragraph 2(a)(1) to 2(c)(3) of this Article may be stored, as well as categories of data complying with the following criteria:
(a)
coded personal details;
(b)
type of information supplied;
(c)
whether anonymity is to be guaranteed;
(d)
whether protection is to be guaranteed and by whom;
(e)
new identity;
(f)
whether participation in court hearing is possible;
(g)
negative experiences;
(h)
rewards (financial/favours).
Other data pursuant to paragraph 2 may be stored as necessary, provided there is reason to assume that they are required for the analysis of such persons’ role as informants.
Data not required for any further analysis shall be deleted.
7. If, at any moment during the course of an analysis, it becomes clear on the basis of serious and corroborating indications that a person included in an analysis work file should be placed under a different category of persons, as defined in this Article, from the category in which that person was initially placed, Europol may process only the data on that person which is permitted under that new category, and all other data shall be deleted.
If, on the basis of such indications, it becomes clear that a person should be included in two or more different categories as defined in this Article, all data allowed under such categories may be processed by Europol.
Article 7
Time-limits for examination and the duration of storage
1. When a decision is taken on whether personal data should continue to be stored under Article 6 of these rules, in accordance with Article 20 of the Europol Decision, the interests of Europol in performing its tasks shall be weighed against the legitimate data protection interests of the data subject concerning whom data are stored.
The need for continued storage of all personal data included in an analysis work file shall be reviewed, in accordance with Article 20 of the Europol Decision, no later than three years after the input or latest review of the data. Notwithstanding this review, the need for continued storage shall be reviewed if circumstances arise which suggest that the data have to be deleted or corrected.
The review shall take account of the need to retain data in the light of the conclusion of an enquiry into a particular case; a final judicial decision - in particular an acquittal, a rehabilitation order, a spent conviction, and an amnesty - the age of the data subject and the particular categories of data.
2. In accordance with Article 16(3) of the Europol Decision, Europol shall review the need for the continuation of an analysis work file. On the basis of that review, a decision shall be taken by the Director on the continuation or closure of the file. The Management Board and the Joint Supervisory Body shall immediately be informed by the Director of the elements in the file justifying the strict need for its continuation.
3. Where criminal proceedings against persons referred to in Article 6(2) are concluded, without the possibility of appeal, either by a court decision or otherwise, and that decision is notified to Europol by the Member State or third party concerned, Europol shall verify whether the data affected by such decision may still be stored, modified or used. If it can be assumed from the reasons for the decision or from other intelligence that the person concerned has not, or not unlawfully, committed the offence, or if the reasons for the decision leave this question open, the data affected by this decision shall be deleted, unless there are substantial grounds for assuming that they are still relevant for the purpose of the analysis work file. In that case, information concerning the court decision shall be added to the data already included in the file. Furthermore, these data may be processed and kept only with due respect for the context and the pronouncement of the aforementioned decision and to the rights it gives to the person concerned.
4. Personal data may not be retained for a period which is longer than that referred to in Article 20(1) of the Europol Decision. Where, as a consequence of the continuation of the analysis file, data concerning persons referred to in Article 6(3) to 6(6) are stored in a file for a period exceeding five years, the Joint Supervisory Body referred to in Article 34(1) of the Europol Decision shall be informed accordingly.
5. If, during the course of a review of Europol’s activities by the Joint Supervisory Body it is discovered that personal data are being kept in violation of these rules, the Joint Supervisory Body shall inform the Director of this as it deems necessary, in accordance with Article 34(4) of the Europol Decision.
When the Joint Supervisory Body, in accordance with Article 34(4) of the Europol Decision, has referred a matter concerning the storage, processing or use of personal data to the Management Board, the transmission of the data concerned shall be prohibited without prior authorisation of the Management Board. In exceptional cases, the Director may authorise the transmission of that data prior to approval by the Management Board, where this is considered to be absolutely necessary to safeguard the essential interests of the Member States concerned which are within the scope of Europol’s objectives, or in the interest of preventing imminent danger associated with crime or terrorist offences. In such cases, the authorisation by the Director shall be set out in a document, which shall be forwarded to the Management Board and the Joint Supervisory Body.
Article 8
Association of third parties
Europol may associate experts of institutions, bodies, offices and agencies, as referred to in Article 22(1) of the Europol Decision, and experts of third States and organisations, as referred to in Article 23(1) of that Decision, with the activities of an analysis group under the conditions laid down in Article 14(8) of that Decision.
The Director shall conclude an arrangement with any of the entities referred to in the first subparagraph in accordance with the rules governing such arrangements, as determined by the Management Board. Details of these arrangements shall be sent to the Management Board and the Joint Supervisory Board. The Joint Supervisory Board may address any comments it deems necessary to the Management Board.
Article 9
Collection and recording of data
Data stored in files for analysis purposes shall be distinguished according to the assessment grading of the source and the degree of accuracy or reliability of the information, in accordance with Article 11. Data based on facts shall be distinguished from data based on opinions or personal assessments.
Article 10
Internal data protection
The Director shall take the measures needed to ensure compliance with these rules and with other data protection provisions. To this end, the Director shall seek the advice of the Data Protection Officer, as referred to in Article 28 of the Europol Decision.
CHAPTER II
CLASSIFICATION
Article 11
Classes of analysis work files
Analysis work files may be:
(a)
general or strategic, where the aim is to process relevant information concerning a particular problem or to develop or improve initiatives by the competent authorities, as defined in Article 3 of the Europol Decision;
(b)
operational, where the aim is to obtain information on one or more of the criminal activities referred to in Article 3 of the Europol Decision, which relates to a case, person or organisation, in order to commence, assist or conclude, in accordance with Article 14(2) of the Europol Decision, bilateral or multilateral investigations of an international nature, provided that two or more Member States are among the parties concerned.
Article 12
Assessment of the source and of the information
1. The source of information originating from a Member State shall be assessed as far as possible by the Member State supplying the information using the following source evaluation codes:
(A)
:
where there is no doubt as to the authenticity, trustworthiness and competence of the source, or if the information is supplied by a source which has proved to be reliable in all instances;
(B)
:
where the information is supplied by a source which has in most instances proved to be reliable;
(C)
:
where the information is supplied by a source which has in most instances proved to be unreliable;
(X)
:
where the reliability of the source cannot be assessed.
2. Information originating from a Member State shall be assessed as far as possible by the Member State supplying the information on the basis of its reliability using the following information evaluation codes:
(1)
:
information the accuracy of which is not in doubt;
(2)
:
information known personally to the source but not known personally to the official passing it on;
(3)
:
information not known personally to the source but corroborated by other information already recorded;
(4)
:
information which is not known personally to the source and cannot be corroborated.
3. If Europol, on the basis of information already in its possession, comes to the conclusion that the assessment needs to be corrected, it shall inform the Member State concerned and seek to agree on an amendment to the assessment. Europol shall not change the assessment without such agreement.
4. If Europol receives data or information from a Member State without an assessment, Europol shall attempt as far as possible to assess the reliability of the source or the information on the basis of information already in its possession. The assessment of specific data and information must take place in agreement with the supplying Member State. A Member State and Europol may also agree in general terms on the assessment of specified types of data and specified sources. The Management Board shall be informed of such general agreements. If data have been supplied to Europol on the basis of such general agreements, this shall be noted with the data.
If no agreement is reached in a specific case, or no agreement in general terms exists, Europol shall evaluate the information or data and shall attribute to such information or data the evaluation codes (X) and (4), referred to in paragraphs 1 and 2 respectively.
5. If Europol receives data or information from a third party, this Article shall apply accordingly.
6. Where information included in an analysis work file is the result of an analysis, Europol shall assess such information in accordance with this Article, and in agreement with the Member States participating in the analysis.
CHAPTER III
RULES FOR THE USE OF ANALYSIS WORK FILES AND ANALYSIS DATA
Article 13
Opening analysis work files
1. Analysis work files shall be opened at Europol’s initiative or at the request of the Member States supplying the data, in accordance with the procedure established in Article 16 of the Europol Decision.
2. The Management Board may invite representatives of the Joint Supervisory Body to take part in its discussions on the orders opening analysis work files.
3. In accordance with Article 16(2) of the Europol Decision, analysis activities and the dissemination of analysis results may begin immediately after the analysis file has been opened. Should the Management Board instruct the Director to amend an opening order or close the file in accordance with Article 16(4) of the Europol Decision, data which may not be included in the file or, if the file is to be closed, all data contained in that file, shall be deleted immediately.
4. If, during the course of an analysis, it becomes necessary to amend the order opening the analysis work file, the procedures outlined in Article 16 of the Europol Decision and this Article shall apply accordingly.
Article 14
Retrieval of data
1. In accordance with Article 14(2)(b) of the Europol Decision, the retrieval of data by participants of the analysis project shall only be granted after they have been accredited by Europol and following a training on their specific obligations under the Europol legal framework.
2. In accordance with the second subparagraph of Article 14(2) of the Europol Decision, all participants of the analysis group may retrieve data from the file. The analysis group shall decide unanimously on the extent to which such retrieval may take place and any conditions and restrictions that apply.
Article 15
Transmission of data or information held in analysis work files
1. The transmission of personal data contained in analysis work files to any Member State or third party shall be recorded in the file concerned.
In collaboration with the Member State or third party which has provided the data, Europol shall, where necessary and no later than at the time of transmission, check that the data are accurate and consistent with the Europol Decision.
As far as possible, all communications shall indicate judicial decisions, as well as decisions not to prosecute. Before data based on opinions or personal assessments are transmitted and their degree of accuracy or reliability indicated, such data shall be checked in cooperation with the Member State or third party which supplied them.
The recipient Member State shall inform the Member State transmitting the data, at the latter’s request, of the use made of the data transmitted and the results subsequently obtained, where the national legislation of the recipient Member State so allows.
Should there be any restrictions on the use of data under Article 19 of the Europol Decision, such restrictions shall be recorded with the data, and the recipients of analysis results shall be informed thereof.
2. In accordance with Article 14(7) of the Europol Decision, in cases in which Europol finds, after the time of inclusion of data in an analysis work file, that those data relate to a person or object on which data submitted by another Member State or third party was already input in the file, each Member State or third party concerned shall be informed immediately of the link identified.
Article 16
Control procedures
In order to meet the data security requirements laid down in Article 35 of the Europol Decision and to provide assurance over the secure processing of data within the meaning of these rules, the Management Board shall accredit the analysis system, in accordance with Article 8 of the Rules on the Confidentiality of Europol Information adopted by Council Decision 2009/…/JHA of 30 November 2009 (2) after prior consultation of the Security Committee, as foreseen in Article 4(2) of those rules. The accreditation shall be granted on the basis of System Specific Security Requirements and other security documentation deemed necessary by the Management Board.
Article 17
Use and storage of analysis data and analysis results
1. All personal data and analysis results transmitted from an analysis work file may only be used in accordance with the purpose of the file or for the purposes of preventing and combating other serious forms of crime, and shall be in accordance with any restrictions on use as specified by a Member State on the basis of Article 19(2) of the Europol Decision. The data referred to in Article 5(2) of these rules may be transmitted only by agreement with the Member State which supplied such data.
2. After an analysis work file is closed, all data contained in that file shall be stored by Europol in a separate file, which shall only be accessible for the purposes of internal or external control. Without prejudice to Article 20(4) of the Europol Decision, such data shall not be kept for longer than 18 months after the analysis work file is closed.
3. The results of an analysis work file may be stored by Europol in electronic form for a maximum period of three years from the date the relevant file is closed, provided they are stored in a separate file, and no new data are added to them. After this period, the results may be stored only in the form of a paper document.
Article 18
Combination of files and communication between files
1. Where it becomes apparent that information contained in an analysis work file may also be relevant for different analysis work files, the following procedures shall be followed:
(a)
where a complete combination of the information in two files is proposed, a new file containing all the information in both files shall be established in accordance with Article 16 of the Europol Decision. The decision to combine the two files shall be reached by all the participants in both the original files. In that case, the original files shall be closed;
(b)
where some of the information in one file is relevant to another file, the providers of that information shall decide whether or not this information may be communicated to the latter file.
2. In the circumstances referred to in paragraph 1, the time-limits for the review of data communicated from one analysis work file to another shall not be affected by such transfer.
Article 19
New technical means
New technical means for processing data for analysis purposes may be introduced only if all reasonable measures for ensuring that their use is consistent with the rules on the protection of personal data applicable to Europol have been adopted. The Director shall consult the Joint Supervisory Body in advance in all cases where the introduction of such technical means raises problems for the application of these data protection rules.
CHAPTER IV
FINAL PROVISIONS
Article 20
Review of the rules
By 1 January 2013, these rules shall be evaluated under the supervision of the Management Board.
Any proposals for amendments to these rules shall be considered by the Management Board with a view to their adoption by the Council in accordance with the procedure provided for in the third subparagraph of Article 14(1) of the Europol Decision.
Article 21
Entry into force
These rules shall enter into force on 1 January 2010.
Done at Brussels, 30 November 2009.