Après l'article R. 232-15 du même code, sont insérés quatre articles R. 232-16, R. 232-17, R. 232-18 et R. 232-19 ainsi rédigés :
« Art. R. 232-16.-Peuvent également être destinataires des données à caractère personnel et informations enregistrées dans le traitement, au titre de la prévention et de la constatation des actes de terrorisme et des infractions mentionnées à l'annexe II de la directive (UE) 2016/681 du Parlement européen et du Conseil du 27 avril 2016 précitée, du rassemblement des preuves de ces actes et de la recherche de leurs auteurs, dans le cadre de leurs attributions et dans la limite du besoin d'en connaître :
« 1° Les Unités Information Passagers des Etats membres de l'Union européenne, dans les conditions prévues au I de l'article R. 232-17 ;
« 2° Les autorités des Etats membres de l'Union européenne compétentes en matière de prévention ou de détection des infractions mentionnées au I de l'article L. 232-7 ainsi que d'enquêtes ou de poursuites en la matière, dans les conditions prévues au II de l'article R. 232-17 ;
« 3° L'Agence de l'Union européenne pour la coopération des services répressifs (Europol) et les agents affectés à l'unité nationale Europol de la division des relations internationales de la direction centrale de la police judiciaire, individuellement désignés et spécialement habilités par l'autorité hiérarchique dont ils relèvent, à l'exception des infractions mentionnées aux points 23,24 et 26 de l'annexe II de la directive précitée et dans les conditions prévues à l'article R. 232-18 ;
« 4° Les autorités compétentes d'Etats non membres de l'Union européenne, dans les conditions prévues à l'article R. 232-19.
« Art. R. 232-17.-I.-L'Unité Information Passagers transmet, par tout moyen adapté et sécurisé, des données à caractère personnel et informations enregistrées dans le “ système API-PNR France ” ou, après consultation des autorités mentionnées à l'article R. 232-15, le résultat du traitement de ces données aux Unités Information Passagers des autres Etats membres de l'Union européenne dans les conditions suivantes et aux seules fins prévues au I de l'article L. 232-7, à l'exception des atteintes aux intérêts fondamentaux de la Nation :
« 1° Lorsqu'une personne a été identifiée à la suite de l'évaluation mentionnée au II de l'article R. 232-13, l'Unité Information Passagers transmet les données et informations pertinentes et nécessaires ou le résultat du traitement de ces données aux Unités Information Passagers des autres Etats membres de l'Union européenne concernées. Lorsque l'Unité Information Passagers est destinataire de tels éléments de la part des autres Unités Information Passagers, elle les transmet aux autorités mentionnées à l'article R. 232-15 ;
« 2° Lorsque l'Unité Information Passagers est saisie par l'Unité Information Passagers d'un autre Etat membre de l'Union européenne d'une demande motivée de transmission de données à caractère personnel et informations enregistrées dans le “ système API-PNR France ” et non encore dépersonnalisées au titre du II de l'article R. 232-20 ainsi que, si nécessaire, le résultat du traitement de ces données si celui-ci a été réalisé en vertu du II de l'article R. 232-13. Si les données requises ont été dépersonnalisées au titre du II de l'article R. 232-20, l'Unité Information Passagers ne transmet l'intégralité de ces données que lorsqu'il existe des motifs raisonnables de croire que cela est nécessaire à l'une des fins mentionnées au I du présent article et dans les conditions fixées au III de l'article R. 232-20. L'Unité Information Passagers transmet ces données et informations dès que possible ;
« 3° Lorsque l'Unité Information Passagers d'un Etat membre de l'Union européenne demande à l'Unité Information Passagers qu'elle obtienne, tout ou partie des données et informations relatives aux passagers auprès des transporteurs aériens et les lui communique, sous réserve que les conditions prévues au II de l'article R. 232-1-1 soient remplies.
« L'Unité Information Passagers nationale peut adresser des demandes aux Unités Information Passagers des autres Etats membres de l'Union européenne dans les conditions prévues aux 2° et 3°.
« II.-L'Unité Information Passagers peut être saisie directement par les seules autorités compétentes d'un autre Etat membre de l'Union européenne, dont la liste est publiée au Journal officiel de l'Union européenne, par tout moyen adapté et sécurisé, d'une demande motivée de transmission de données à caractère personnel et informations enregistrées dans le “ système API-PNR France ”, uniquement lorsque cela est nécessaire au regard de l'urgence de la situation et dans les conditions fixées au 2° du I.
« Dans les mêmes conditions, celles des autorités mentionnées à l'article R. 232-15 qui figurent sur la liste publiée au Journal officiel de l'Union européenne peuvent adresser des demandes aux Unités Information Passagers des autres Etats membres de l'Union européenne. Une copie de la demande est adressée à l'Unité Information Passagers.
« Art. R. 232-18.-L'Unité Information Passagers peut transmettre à Europol, à sa demande et au cas par cas, des données à caractère personnel et informations enregistrées dans le “ système API-PNR France ” ou, après consultation des autorités mentionnées à l'article R. 232-15, le résultat du traitement de ces données en vue de prévenir ou de détecter une infraction mentionnée au I de l'article L. 232-7, à l'exception des atteintes aux intérêts fondamentaux de la Nation et des infractions mentionnées aux points 23,24 et 26 de l'annexe II de la directive (UE) 2016/681 du Parlement européen et du Conseil du 27 avril 2016 précitée et dans les conditions prévues par le règlement (UE) 2016/794 du Parlement européen et du Conseil du 11 mai 2016 relatif à l'Agence de l'Union européenne pour la coopération des services répressifs (Europol).
« La demande d'Europol est motivée et effectuée par voie électronique par l'intermédiaire de l'unité nationale Europol de la division des relations internationales de la direction centrale de la police judiciaire.
« Art. R. 232-19.-I.-Les données à caractère personnel et les informations enregistrées dans le “ système API-PNR France ”, ainsi que le résultat du traitement de ces données, peuvent être transférées, au cas par cas et par tout moyen adapté et sécurisé, par l'Unité Information Passagers ou par les autorités mentionnées à l'article R. 232-15 à des Etats non membres de l'Union européenne, dans les conditions fixées aux articles 70-25 à 70-27 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, pour les seules finalités prévues au I de l'article L. 232-7, à l'exception des atteintes aux intérêts fondamentaux de la Nation, et sous réserve que les conditions prévues au 2° du I de l'article R. 232-17 soient remplies et, pour les transferts de données dont l'autorisation préalable ne peut pas être obtenue en temps utile, que ces transferts soient nécessaires pour répondre à une menace précise et réelle liée à une infraction terroriste ou à une forme grave de criminalité dans un Etat membre de l'Union européenne ou un Etat non membre de l'Union européenne.
« II.-Le délégué à la protection des données de l'Unité Information Passagers est informé de tous les transferts effectués en application du I. »