1. L’exportation des biens de cybersurveillance non énumérés à l’annexe I est soumise à autorisation si l’autorité compétente a informé l’exportateur que les produits en question sont ou peuvent être destinés, entièrement ou en partie, à une utilisation impliquant la répression interne et/ou la commission de violations graves et systématiques des droits de l’homme et du droit humanitaire international.
2. Si un exportateur a connaissance, d’après les résultats des procédures de vigilance, de ce que des biens de cybersurveillance qui ne sont pas énumérés à l’annexe I et qu’il entend exporter sont destinés, en tout ou partie, à l’un des usages visés au paragraphe 1 du présent article, l’exportateur en informe l’autorité compétente. Cette autorité compétente décide de soumettre ou non l’exportation concernée à autorisation. La Commission et le Conseil formulent des orientations à l’intention des exportateurs, conformément à l’article 26, paragraphe 1.
3. Les États membres peuvent adopter ou maintenir des législations nationales soumettant à autorisation l’exportation de biens de cybersurveillance non énumérés à l’annexe I lorsque l’exportateur a des motifs de soupçonner que ces produits sont ou peuvent être destinés, en tout ou partie, à l’un des usages visés au paragraphe 1 du présent article.
4. Un État membre qui impose une autorisation en application du paragraphe 1, 2 ou 3 en informe immédiatement ses autorités douanières et les autres autorités nationales compétentes et communique aux autres États membres et à la Commission les informations pertinentes sur l’obligation d’autorisation en question, en particulier en ce qui concerne les biens et les entités concernés, à moins qu’il n’estime qu’il n’y a pas lieu de le faire en raison de la nature de la transaction ou du caractère sensible des informations en question.
5. Les États membres tiennent dûment compte des informations reçues en vertu du paragraphe 4 et les réexaminent en tenant compte des critères énoncés au paragraphe 1 dans un délai de trente jours ouvrables. Ils informent leurs administrations douanières et les autres autorités nationales compétentes. Dans des cas exceptionnels, tout État membre peut demander la prorogation de ce délai de trente jours. Cette prorogation n’excède toutefois pas trente jours ouvrables.
6. Lorsque tous les États membres s’informent mutuellement et informent la Commission qu’une obligation d’autorisation devrait être imposée pour des transactions sensiblement analogues, la Commission publie dans la série C du Journal officiel de l’Union européenne, les informations concernant les biens de cybersurveillance et, le cas échéant, les destinations soumises aux obligations d’autorisation telles que notifiées à cet effet par les États membres.
7. Les États membres examinent les informations publiées en vertu du paragraphe 6 au moins une fois par an, en se fondant sur les informations et les analyses pertinentes fournies par la Commission. Lorsque tous les États membres s’informent mutuellement et informent la Commission que les informations publiées relatives à une obligation d’autorisation devraient être modifiées ou renouvelées, la Commission agit sans délai et modifie ou renouvelle en conséquence les informations publiées, en vertu du paragraphe 6, dans la série C du Journal officiel de l’Union européenne.
8. Afin de permettre aux États membres d’examiner l’ensemble des refus en vigueur, l’article 16, paragraphes 1, 2 et 5 à 7, s’applique pour ce qui est des biens de cybersurveillance non énumérés à l’annexe I.
9. Tous les échanges d’informations requis en vertu du présent article sont effectués conformément aux exigences juridiques relatives à la protection des informations à caractère personnel, des informations commercialement sensibles ou des informations protégées en matière de défense, de politique étrangère ou de sécurité nationale. Ces échanges d’informations sont effectués par des moyens électroniques sécurisés, y compris le système visé à l’article 23, paragraphe 6.
10. Les États membres envisagent de soutenir l’inclusion des biens publiés en vertu du paragraphe 6 du présent article dans les régimes internationaux de non-prolifération ou de contrôle des exportations appropriés en vue d’étendre les contrôles. La Commission fournit des analyses portant sur les données pertinentes recueillies conformément à l’article 23, paragraphe 2, et à l’article 26, paragraphe 2.
11. Le présent règlement est sans préjudice du droit des États membres de prendre des mesures nationales au titre de l’article 10 du règlement (UE) 2015/479.