1. L'Agence ne traite que les catégories suivantes de données à caractère personnel que collectent et lui transmettent les États membres ou son propre personnel dans le contexte des opérations conjointes, des projets pilotes et des interventions rapides aux frontières, ainsi que les équipes d'appui à la gestion des flux migratoires:
| a) | les données à caractère personnel concernant des personnes dont les autorités compétentes des États membres ont des motifs raisonnables de soupçonner l'implication dans des activités criminelles transfrontalières, telles que le trafic de migrants, la traite des êtres humains ou le terrorisme; |
| b) | les données à caractère personnel concernant des personnes qui franchissent les frontières extérieures sans autorisation et dont les données sont recueillies par les équipes du corps européen de garde-frontières et de garde-côtes, notamment lorsqu'elles interviennent dans le cadre des équipes d'appui à la gestion des flux migratoires; |
| c) | les numéros de plaques d'immatriculation, les numéros d'identification de véhicules, les numéros de téléphone ou les numéros d'identification de navires, qui sont liés aux personnes visées aux points a) et b) et qui sont nécessaires pour rechercher et analyser les itinéraires et les méthodes utilisés pour l'immigration illégale et la criminalité transfrontalière. |
2. Les données à caractère personnel visées au paragraphe 1 peuvent être traitées par l'Agence dans les cas suivants:
| a) | lorsque la transmission à l'EASO, à Europol ou à Eurojust est nécessaire pour une utilisation prévue par leurs mandats respectifs et conforme à l'article 52; |
| b) | lorsque la transmission aux autorités des États membres concernés qui sont chargées du contrôle aux frontières, des migrations, de l'asile ou du maintien de l'ordre est nécessaire pour une utilisation conforme à la législation nationale et aux règles nationales et de l'Union relatives à la protection des données; |
| c) | lorsque c'est nécessaire à la préparation des analyses des risques. |
Les données à caractère personnel concernant des personnes visées au paragraphe 1, point b), ne sont transférées aux services répressifs que dans des cas spécifiques et lorsque cela est strictement nécessaire à des fins de prévention ou de détection de formes graves de criminalité et d'enquêtes ou de poursuites en la matière.
3. Les données à caractère personnel sont supprimées dès qu'elles ont été transmises à l'EASO, à Europol ou à Eurojust, ou aux autorités compétentes des États membres, ou utilisées pour la préparation des analyses des risques. La période de conservation des données n'excède en aucun cas 90 jours après la date à laquelle elles ont été recueillies. Dans les résultats des analyses des risques, les données sont rendues anonymes.