Dispositions du règlement intérieur d'Eurojust relatives au traitement et à la protection des données à caractère personnel (Texte adopté à l'unanimité par le collège d'Eurojust lors de sa réunion du 21 octobre 2004 et approuvé par le Conseil le 24 février 2005)

Aux fins des présentes dispositions et de tout autre texte d'application y relatif, on entend par: a) «décision instituant Eurojust»: la décision du Conseil du 28 février 2002 instituant Eurojust afin de renforcer la lutte contre les formes graves de criminalité, telle qu'elle a été modifiée par la décision du Conseil du 18 juin 2003; b) «collège»: le collège d'Eurojust visé à l'article 10 de la décision instituant à Eurojust; c) «membre national»: le membre national détaché auprès d'Eurojust par chaque État membre, conformément à l'article 2, paragraphe 1, de la décision instituant à Eurojust; d) «assistant»: une personne qui peut assister chaque membre national, conformément à l'article 2, paragraphe 2, de la décision instituant à Eurojust; e) «personnel d'Eurojust»: le directeur administratif visé à l'article 29 de la décision instituant à Eurojust ainsi que le personnel visé à l'article 30 de ladite décision; f) «délégué à la protection des données»: la personne désignée conformément à l'article 17 de la décision instituant à Eurojust; g) «organe de contrôle commun»: l'organe indépendant créé conformément à l'article 23 de la décision instituant à Eurojust; h) «données à caractère personnel»: toute information concernant une personne physique identifiée ou identifiable («personne concernée»). Est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d'identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale; i) «traitement de données à caractère personnel» («traitement»): toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés, et appliquées à des données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion ainsi que le verrouillage, l'effacement ou la destruction; j) «fichier de données à caractère personnel» («fichier»): tout ensemble structuré de données à caractère personnel accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique; k) «responsable du traitement»: la personne qui, seule ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données à caractère personnel; lorsque les finalités et les moyens du traitement sont déterminés par des dispositions législatives ou réglementaires nationales ou par des règlements européens ou des lois européennes, le responsable du traitement ou les critères spécifiques applicables pour le désigner peuvent être fixés par un acte législatif national ou par une loi européenne; l) «sous-traitant»: la personne physique ou morale, l'autorité publique, le service ou tout autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement; m) «tiers»: la personne physique ou morale, l'autorité publique, le service ou tout autre organisme autres que la personne concernée, le responsable du traitement, le sous-traitant et les personnes qui, placées sous l'autorité directe du responsable du traitement ou du sous-traitant, sont habilitées à traiter les données; et n) «destinataire»: la personne physique ou morale, l'autorité publique, le service ou tout autre organisme qui reçoit communication de données, qu'il s'agisse ou non d'un tiers.

1 Les présentes dispositions s'appliquent au traitement de données à caractère personnel par Eurojust, automatisé en tout ou en partie, ainsi qu'au traitement non automatisé de données à caractère personnel qui sont contenues ou appelées à figurer dans un fichier conformément à la décision instituant à Eurojust.

2 Les présentes dispositions s'appliquent à toutes les informations collectées et traitées ultérieurement par Eurojust, c'est-à-dire établies ou reçues par elle et en sa possession, concernant les matières relatives aux politiques, activités et décisions relevant de la compétence d'Eurojust.

3 Les présentes dispositions ne s'appliquent pas aux informations qui sont transmises à un membre national d'Eurojust exclusivement dans le cadre de ses pouvoirs judiciaires au sens de l'article 9, paragraphe 3, de la décision instituant à Eurojust.

1 Toutes les données à caractère personnel sont considérées comme étant liées à des dossiers ou non liées à des dossiers. Les données à caractère personnel sont considérées comme étant liées à des dossiers si elles sont liées aux tâches opérationnelles d'Eurojust au sens des articles 5, 6 et 7 de la décision instituant à Eurojust.

2 Les données liées à des dossiers sont traitées conformément aux titres III et IV. Les données non liées à des dossiers sont traitées conformément aux titres III et V.

Eurojust agit dans le respect intégral des droits de l'homme et des libertés fondamentales des individus, et plus particulièrement de leur droit à la vie privée lors du traitement des données à caractère personnel les concernant, indépendamment de leur nationalité ou de leur lieu de résidence.

1 Les données à caractère personnel doivent être traitées loyalement et licitement.

2 Eurojust traite uniquement les données à caractère personnel qui sont nécessaires, adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées ou traitées ultérieurement.

3 Eurojust conçoit ses traitements et ses systèmes de traitement conformément à l'objectif visant à collecter ou à traiter ultérieurement uniquement les données à caractère personnel qui sont nécessaires au sens du paragraphe 2. En particulier, il est fait usage des possibilités d'utiliser des noms d'emprunt ou de rendre les données anonymes, dans la mesure du possible, compte tenu de la finalité du traitement et si l'effort requis est raisonnable.

1 Eurojust veille à ce que les données à caractère personnel soient exactes et, si nécessaire, mises à jour; toutes les mesures raisonnables doivent être prises pour que les données inexactes ou incomplètes, au regard des finalités pour lesquelles elles sont collectées ou traitées ultérieurement, soient effacées ou rectifiées.

2 Les données à caractère personnel sont conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou traitées ultérieurement, conformément à l'article 5, paragraphe 2.

1 Conformément à l'article 22 de la décision instituant à Eurojust et aux présentes dispositions, Eurojust met en place les mesures techniques et les modalités organisationnelles nécessaires pour protéger les données à caractère personnel contre la destruction accidentelle ou illicite, la perte accidentelle ou la divulgation, la modification et l'accès non autorisés ou contre toute autre forme de traitement non autorisé. En particulier, des mesures doivent être prises pour faire en sorte que seules les personnes dûment autorisées aient accès aux données à caractère personnel.

2 Toutes les mesures sont adaptées aux risques présentés par le traitement et à la nature des données traitées.

3 Eurojust met en place une politique de sécurité globale, conformément à l'article 22, paragraphe 2, de la décision instituant à Eurojust et aux présentes dispositions. Cette politique tient pleinement compte de la sensibilité des travaux réalisés par l'Unité de coopération judiciaire et prévoit des règles relatives à la classification des documents, des enquêtes de sécurité sur les membres du personnel d'Eurojust et des actions à prendre en cas d'atteintes à la sécurité. L'organe de contrôle commun est consulté au sujet de la politique de sécurité d'Eurojust.

4 Tous les responsables d'Eurojust sont correctement informés de la politique de sécurité d'Eurojust et sont tenus d'utiliser les mesures techniques et organisationnelles mises à leur disposition conformément aux prescriptions applicables en matière de protection et de sécurité des données.

1 Sans préjudice des dispositions spéciales prévues au titre IV concernant les données liées à des dossiers et au titre V concernant les données non liées à des dossiers, les personnes concernées doivent être informées de la finalité du traitement et de l'identité du responsable du traitement, des destinataires ou des catégories de destinataires, de l'existence d'un droit d'accès aux données les concernant et d'un droit à les rectifier, et se voir fournir toute information supplémentaire telle que la base juridique du traitement auquel les données sont destinées, les délais de conservation des données et leur droit de saisir à tout moment l'organe de contrôle commun, dans la mesure où ces informations sont nécessaires, compte tenu des finalités et des circonstances spécifiques du traitement des données, pour assurer à l'égard des personnes concernées un traitement loyal des données.

2 Ces informations doivent être fournies au plus tard au moment de la collecte des données auprès des personnes concernées ou, lorsque les données sont transmises par un tiers, au moment de l'enregistrement des données à caractère personnel ou, si la communication à un tiers est envisagée, au plus tard lors de la première communication de données, ou, dans les cas prévus au chapitre II du titre IV des présentes dispositions, dès lors que les finalités du traitement, les enquêtes et les poursuites nationales ainsi que les droits et les libertés des tiers ne risquent pas d'être compromis.

1 La personne concernée a le droit d'accéder aux données la concernant et d'en obtenir la rectification, le verrouillage et, le cas échéant, l'effacement. Eurojust fixe, le cas échéant en coopération avec les autorités nationales compétentes, les procédures visant à faciliter l'exercice de ces droits par les personnes concernées.

2 Le délégué à la protection des données veille à ce que les personnes concernées soient informées, à leur demande, de leurs droits.

Conformément à l'article 25 de la décision instituant à Eurojust, toutes les personnes appelées à travailler au sein d'Eurojust ou avec Eurojust sont liées par de strictes obligations de confidentialité. Toutes les mesures nécessaires sont prises par Eurojust pour garantir le respect de ces obligations et la prompte notification de tout cas de non-respect au délégué à la protection des données et au chef du Service de sécurité, qui veilleront à ce que les mesures appropriées soient prises.

À moins qu'elle n'y soit tenue par les dispositions législatives nationales ou par la loi européenne, toute personne qui, agissant comme sous-traitant au sein d'Eurojust, accède à des données à caractère personnel ne peut pas les traiter sans instruction du responsable du traitement.

1 Aux fins de l'article 17, paragraphes 2 et 4, de la décision instituant à Eurojust, le délégué à la protection des données fournit, sur demande, des informations à tout responsable d'Eurojust concernant les activités de traitement de données d'Eurojust. Le délégué à la protection des données répond aux demandes de renseignements et donne suite à toute demande d'informations ou à toute réclamation concernant une violation alléguée des dispositions de la décision instituant à Eurojust, aux présentes dispositions ou aux autres règles régissant le traitement de données à caractère personnel par Eurojust. Nul ne doit subir de préjudice pour avoir signalé au délégué à la protection des données une violation alléguée des dispositions régissant le traitement de données à caractère personnel.

2 Toutes les personnes travaillant au sein d'Eurojust coopèrent avec le collège, les membres nationaux, le délégué à la protection des données et l'organe de contrôle commun dans le cadre des demandes de renseignements, des enquêtes, des audits ou de toute autre activité liée à la protection des données.

1 Dans le cadre d'activités liées à des dossiers et dans la mesure où cela est nécessaire pour atteindre ses objectifs, Eurojust traite les données à caractère personnel par voie automatisée ou dans des fichiers manuels structurés, conformément aux articles 14, 15 et 16 de la décision instituant Eurojust.

2 Le ou les membres nationaux qui procèdent au traitement des données à caractère personnel concernant des dossiers individuels déterminent les finalités et les moyens du traitement des données à caractère personnel et sont donc considérés comme étant les responsables dudit traitement ou, s'il y a lieu, comme en étant les coresponsables.

Les données à caractère personnel peuvent être collectées et traitées ultérieurement dans le cadre d'activités liées à des dossiers dans la mesure où ce traitement est nécessaire à l'accomplissement des tâches d'Eurojust visant à renforcer la lutte contre les formes graves de criminalité.

Les données à caractère personnel traitées par Eurojust dans le cadre d'enquêtes et de poursuites ne doivent en aucun cas être traitées pour d'autres finalités.

1 Lorsque des informations sont transmises à Eurojust par un État membre ou une partie extérieure dans le cadre d'une enquête ou de poursuites, Eurojust n'est pas responsable de l'exactitude des informations reçues mais veille, à compter de leur réception, à ce que toutes les mesures raisonnables soient prises pour mettre ces informations à jour.

2 Si Eurojust découvre que les données en question comportent une inexactitude, il en informe le tiers à l'origine des informations et rectifie lesdites informations.

1 Eurojust prend les mesures techniques appropriées pour garantir que le délégué à la protection des données soit automatiquement informé des cas exceptionnels qui supposent un recours à l'article 15, paragraphe 4, de la décision instituant Eurojust. Le système de gestion des dossiers garantit que les données en question ne peuvent être ajoutées à l'index visé à l'article 16, paragraphe 1, de la décision instituant Eurojust.

2 Lorsque de telles données concernent des témoins ou victimes au sens de l'article 15, paragraphe 2, de la décision instituant Eurojust, le système de gestion des dossiers n'enregistre pas ces informations à moins qu'une décision du collège ne le justifie.

1 Eurojust prend des mesures techniques appropriées pour garantir que le délégué à la protection des données soit automatiquement informé des cas exceptionnels qui, pendant un temps limité, supposent un recours à l'article 15, paragraphe 3, de la décision instituant Eurojust.

2 Lorsque de telles données concernent des témoins ou victimes au sens de l'article 15, paragraphe 2, de la décision instituant Eurojust, le système de gestion des dossiers n'enregistre pas ces informations à moins qu'une décision prise conjointement par au moins deux membres nationaux ne le justifie.

1 Dans le cadre des travaux opérationnels d'Eurojust, des informations relatives au traitement des données sont communiquées aux personnes concernées, dès lors que le fait de leur fournir ces informations ne portera manifestement pas atteinte: a) à la réalisation des tâches d'Eurojust visant à renforcer la lutte contre les formes graves de criminalité; ni b) aux enquêtes et poursuites nationales auxquelles Eurojust contribue; ni c) aux missions de contrôle, d'inspection et de réglementation liées, même occasionnellement, à l'exercice de l'autorité publique dans les cas visés aux point a) et b); ni d) aux droits et libertés des tiers.

2 Le recours aux conditions énumérées au paragraphe 1 est enregistré dans le fichier de travail temporaire correspondant au dossier, en indiquant le motif de la décision du ou des membres nationaux responsables dudit fichier.

Toute personne a le droit d'accéder aux données à caractère personnel la concernant qui sont traitées par Eurojust dans les conditions prévues par l'article 19 de la décision instituant Eurojust.

1 Les personnes désirant exercer leurs droits en tant que personnes concernées peuvent adresser leurs demandes directement à Eurojust ou passer par l'intermédiaire de l'autorité désignée à cet effet dans l'État membre de leur choix, laquelle transmet les demandes à Eurojust.

2 Le ou les membres nationaux s'occupent des demandes qui les concernent en matière d'exercice de droits et en fournissent des copies au délégué à la protection des données en vue de leur enregistrement.

3 Le ou les membres nationaux concernés par une demande procèdent aux vérifications nécessaires et informent le délégué à la protection des données de la décision prise en l'espèce. Cette décision tiendra pleinement compte des présentes dispositions et de la législation applicable à cette demande au titre de l'article 19, paragraphe 3, de la décision instituant Eurojust, ainsi que des motifs de refus énumérés à l'article 19, paragraphe 4, de la décision instituant Eurojust et de la consultation des autorités répressives compétentes, prévue à l'article 19, paragraphe 9, de la décision instituant Eurojust, qui précède la prise d'une décision.

4 Le délégué à la protection des données procède, si le dossier l'exige, à des vérifications complémentaires au niveau du système de gestion des dossiers et informe le ou les membres nationaux concernés de toute information complémentaire pertinente obtenue par le biais de ces vérifications. Le ou les membres nationaux concernés peuvent décider de reconsidérer la décision initiale à partir des informations fournies par le délégué à la protection des données.

5 Le délégué à la protection des données communique la décision finale du ou des membres nationaux concernés à la personne concernée, en accord avec l'article 19, paragraphe 6, de la décision instituant Eurojust, et informe ladite personne de la possibilité d'un recours devant l'organe de contrôle commun si elle n'est pas satisfaite de la réponse donnée par Eurojust.

6 La demande fait l'objet d'un traitement complet dans les trois mois qui suivent sa réception. La personne concernée peut porter l'affaire devant l'organe de contrôle commun si elle n'a pas reçu de réponse à sa demande dans ce délai.

7 Lorsque la demande a été reçue par l'intermédiaire d'une autorité nationale, le ou les membres nationaux concernés doivent veiller à ce que cette autorité soit informée du fait qu'une réponse a été fournie à la personne concernée par le délégué à la protection des données.

8 Eurojust met en place des procédures de coopération avec les autorités nationales chargées de veiller sur les droits des personnes concernées, afin de s'assurer de la bonne transmission des demandes à Eurojust, ainsi que du respect des délais.

Eurojust met en place des mesures techniques appropriées pour garantir la production automatique d'une liste des fournisseurs et destinataires de données à caractère personnel dans les dossiers pour lesquels Eurojust rectifie, verrouille ou efface lesdites données en réponse à une demande. Conformément à l'article 20, paragraphe 5, de la décision instituant Eurojust, le responsable du traitement veille à ce que les fournisseurs et destinataires figurant sur cette liste soient informés des modifications apportées aux données à caractère personnel.

1 Eurojust met en place un système de gestion automatique des dossiers en faisant appel à un fichier auquel ont recours les membres nationaux lorsqu'ils s'occupent d'activités liées à des dossiers et dans lequel figurent les fichiers de travail temporaires et l'index définis à l'article 16 de la décision instituant Eurojust. Ce système possèdent des fonctionnalités telles que la gestion des dossiers, la description des flux de données, la référence croisée des informations et la sécurité.

2 Le système de gestion des dossiers est approuvé par le collège après consultation du délégué à la protection des données, de l'organe de contrôle commun et des agents d'Eurojust compétents en la matière, et tient pleinement compte des exigences de l'article 22 et des autres dispositions pertinentes de la décision instituant Eurojust.

3 Le système de gestion des dossiers permet aux membres nationaux de déterminer le but et les objectifs particuliers qui ont présidés à la création d'un fichier de travail temporaire dans le cadre des tâches visées aux articles 5, 6 et 7 de la décision instituant Eurojust.

1 Conformément à l'article 14, paragraphe 4, et à l'article 16 de la décision instituant Eurojust, Eurojust constitue un index des données relatives aux enquêtes et crée des fichiers de travail temporaires contenant aussi des données à caractère personnel. L'index et les fichiers de travail temporaires font partie du système de gestion des dossiers visé à l'article 23 et respectent les restrictions relatives au traitement des données à caractère personnel prévues à l'article 15 de la décision instituant Eurojust.

2 Les membres nationaux sont responsables de la création de nouveaux fichiers de travail temporaires associés aux dossiers dont ils s'occupent. Le système de gestion des dossiers attribue automatiquement un numéro de référence (identifiant) à chaque nouveau fichier de travail temporaire créé.

3 Eurojust met en place un système de gestion automatique des dossiers permettant aux membres nationaux de restreindre l'accès aux données à caractère personnel qu'ils traitent dans un fichier de travail temporaire ou d'accorder l'accès à tout ou partie de ces données à un ou plusieurs autres membres nationaux concernés par le dossier correspondant au fichier. Le système de gestion des dossiers leur permet d'indiquer les données particulières, à caractère personnel ou non, dont ils souhaitent accorder l'accès à un ou plusieurs autres membres nationaux, assistants ou agents autorisés qui interviennent dans le traitement du dossier, ainsi que de choisir les informations qu'il désirent introduire dans l'index, conformément aux articles 14 et 15 de la décision instituant Eurojust et en veillant à ce que l'index comporte, au moins, les données suivantes: référence au fichier de travail temporaire; types de délit; États membres, organisations ou instances internationales et/ou autorités des États tiers concernées; rôle de la Commission européenne ou des organes et entités de l'UE; objectifs et statut du dossier (en cours/clos).

4 Lorqu'un membre national accorde l'accès à tout ou partie d'un fichier de travail temporaire à un plusieurs membres nationaux concernés, le système de gestion des dossiers garantit un accès des utilisateurs autorisés aux parties pertinentes du fichier mais ne leur permet pas de modifier les données introduites par l'auteur d'origine. Les utilisateurs autorisés peuvent, cependant, ajouter des informations pertinentes aux nouvelles parties des fichiers de travail temporaires. De même, les informations présentes dans l'index peuvent être consultées par l'ensemble des utilisateurs autorisés du système mais ne peuvent être modifiées que par leur auteur d'origine.

5 Le délégué à la protection des données est automatiquement informé, par ce système, de la création de chaque nouveau fichier de travail qui contient des données à caractère personnel et, en particulier, des cas exceptionnels qui supposent un recours à l'article 15, paragraphe 3, de la décision instituant Eurojust. Le système de gestion des dossiers assortit ces données d'une indication servant à rappeler à la personne à l'origine de l'introduction de ces données dans le système l'obligation de ne conserver celles-ci que pour un temps limité. Lorsque de telles données concernent des témoins ou victimes au sens de l'article 15, paragraphe 2, de la décision instituant Eurojust, le système n'enregistre pas ces informations à moins qu'une décision prise conjointement par au moins deux membres nationaux ne le justifie.

6 Le système de gestion des dossiers informe automatiquement le délégué à la protection des données des cas exceptionnels qui supposent un recours à l'article 15, paragraphe 4, de la décision instituant Eurojust. Lorsque de telles données concernent des témoins ou victimes au sens de l'article 15, paragraphe 2, de la décision instituant Eurojust, le système n'enregistre pas ces informations à moins qu'une décision du collège ne le justifie.

7 Le système de gestion des dossiers garantit que seules les données à caractère personnel visées à l'article 15, paragraphe 1, points a) à i) et k), et à l'article 15, paragraphe 2, de la décision instituant Eurojust peuvent être enregistrées dans l'index.

8 Les informations présentes dans l'index doivent permettre l'accomplissement des tâches d'Eurojust et, notamment, la réalisation des objectifs de l'article 16, paragraphe 1, de la décision instituant Eurojust.

1 Eurojust met en place les mesures techniques appropriées pour garantir l'enregistrement de l'ensemble des traitements concernant des données à caractère personnel. Il incombe notamment au système de gestion des dossiers d'enregistrer la transmission et la réception de données au titre de l'article 17, paragraphe 2, point b), de la décision instituant Eurojust, aux fins de l'article 19, paragraphe 3, de la décision instituant Eurojust. Cet enregistrement garantit, comme l'exige l'article 22 de la décision instituant Eurojust, la possibilité de vérifier et de constater à quelles instances des données à caractère personnel sont transmises, quelles données à caractère personnel ont été introduites dans les systèmes de traitement automatisé de données, à quel moment et par quelles personnes elles y ont été introduites.

2 Le délégué à la protection des données examine régulièrement ces enregistrements pour être en mesure d'aider les membres nationaux et le collège pour les questions liées à la protection des données et procède aux vérifications nécessaires en cas d'irrégularités. S'il y a lieu, le délégué à la protection des données informe le collège et l'organe de contrôle commun, selon la procédure prévue à l'article 17, paragraphe 4, de la décision instituant Eurojust, de toute atteinte à la protection des données mise en évidence par les enregistrements susmentionnés. Le délégué à la protection des données veille, le cas échéant, à ce que le directeur administratif soit informé, afin de lui permettre de prendre les mesures qui s'imposent au sein de l'administration.

3 Sur demande, le délégué à la protection des données accorde un accès illimité aux enregistrements visées au paragraphe 1, à l'organe de contrôle commun.

1 Eurojust prend les mesures techniques appropriées et prévoit des modalités organisationnelles pour garantir que seuls les membres nationaux, leurs assistants et les agents autorisés d'Eurojust puissent, aux fins de la réalisation des objectifs d'Eurojust, avoir accès aux données à caractère personnel traitées par Eurojust dans le cadre de ses activités opérationnelles.

2 Ces mesures tiennent compte des finalités justifiant la collecte et le traitement ultérieur des données, de l'état de la technique, du niveau de sécurité qu'exige la nature sensible des travaux menés par Eurojust, ainsi que des conditions fixées à l'article 22 de la décision instituant Eurojust.

3 Chaque membre national d'Eurojust justifie la politique d'accès qu'il a autorisé au sein de son bureau national en matière de fichiers liés à un dossier et en informe le délégué à la protection des données. Il incombe notamment aux membres nationaux de veiller à l'adoption et au respect de modalités organisationnelles appropriées, ainsi qu'à un usage judicieux des mesures techniques et organisationnelles mises à leur disposition par Eurojust.

4 Le collège peut permettre à d'autres agents d'Eurojust d'avoir accès aux fichiers liés à un dossier lorsque cela est nécessaire à l'accomplissement des tâches d'Eurojust.

1 Le délégué à la protection des données surveille la licéité et la conformité aux dispositions de la décision instituant Eurojust, aux dispositions du présent règlement intérieur et de toutes autres disositions relatives au traitement de données à caractères personnel applicables à Eurojust. À cet effet, le délégué à la protection des données assiste les membres nationaux pour les questions de protection de données et enquête chaque année sur le respect des dispositions susmentionnées au sein d'Eurojust. Le délégué à la protection des données rend compte au collège et à l'organe de contrôle commun des résultats de ces enquêtes, ainsi que de toute autre évolution pertinente au sein d'Eurojust. Le délégué à la protection des données veille, le cas échéant, à ce que le directeur administratif soit informé, afin de lui permettre de prendre les mesures qui s'imposent au sein de l'administration.

2 L'organe de contrôle commun réalise des contrôles et des audits, conformément à l'article 23, paragraphe 7, de la décision instituant Eurojust.

1 Eurojust s'efforce de mettre en place des accords de coopération comprenant des dispositions adaptées en matière d'échanges de données à caractère personnel avec tous les partenaires avec lesquels des données sont régulièrement échangées.

2 Sans préjudice des cas pour lesquels de tels accords de coopération sont en place, Eurojust ne transfère de données à caractère personnel à un pays tiers ou à l'une des entités visées à l'article 27, paragraphe 1, de la décision instituant Eurojust que si ceux-ci sont soumis à l'application de la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, signée à Strasbourg le 28 janvier 1981, ou si un niveau de protection adéquat est assuré.

3 La décision relative au transfert de données à des non-parties à la Convention du Conseil de l'Europe du 28 janvier 1981 est prise par le ou les membres nationaux concernés, sur la base de l'évaluation effectuée par le délégué à la protection des données concernant le caractère adéquat ou non du niveau de protection offert. Le caractère adéquat du niveau de protection est apprécié au regard de toutes les circonstances de chaque transfert ou de chaque catégorie de transferts. L'évaluation résultera notamment d'un examen des éléments suivants: type de données, finalités et durée du traitement justifiant le transfert, pays d'origine et pays de destination finale, législation générale et sectorielle applicable dans l'État ou l'organisation concernée, règles professionnelles et de sécurité qui sont applicables dans cet État ou organisation, et existence de garanties suffisantes mises en place par le destinataire du transfert. De telles garanties peuvent notamment résulter d'accords écrits entre le responsable du traitement qui procède au transfert et le destinataire qui ne relève pas de la juridiction d'une partie à la Convention. Il faut que l'accord en question contiennne les éléments pertinents en matière de protection des données. Lorsque l'évaluation du niveau de protection soulève des difficultés, le délégué à la protection des données consulte l'organe de contrôle commun avant de procéder à l'évaluation d'un transfert donné.

4 Toutefois, même lorsque les conditions visées aux paragraphes précédents ne sont pas réunies, un membre national peut transférer des données à un pays tiers dans les situations exceptionnelles visées à l'article 27, paragraphe 6, de la décision instituant Eurojust et uniquement pour que soient prises des mesures urgentes visant à prévenir un danger imminent et sérieux pour une personne ou la sécurité publique. Le membre national justifie un tel transfert exceptionnel dans le fichier de travail temporaire lié au dossier, en indiquant les motifs d'une telle communication, et informe le délégué à la protection des données de ladite communication. Le délégué à la protection des données vérifie que de tels transferts ne sont réalisés que pour répondre à des situations exceptionnelles et urgentes.

1 Eurojust met en place les mesures techniques appropriées pour garantir le respect des délais de conservation des données à caractère personnel fixés à l'article 21 de la décision instituant Eurojust.

2 Le système de gestion des dossiers prévoit notamment un réexamen de la nécessité de conserver les données dans un fichier de travail temporaire tous les trois ans après leur enregistrement. Ce réexamen doit être dûment justifié dans le système, toute décision prise devant notamment être justifiée, et le résultat en est communiqué automatiquement au délégué à la protection des données.

3 Le système de gestion des dossiers prévoit notamment le marquage des données enregistrées pour un temps limité, conformément à l'article 15, paragraphe 3, de la décision instituant Eurojust. Pour ces catégories de données, un réexamen de la nécessité de les conserver a lieu tous les trois mois et est justifié, comme indiqué aux paragraphes 1 et 2.

4 Le responsable du traitement consulte au besoin le collège et le délégué à la protection des données concernant toute décision de conserver des données pour une plus longue période à la suite d'un réexamen.

Les données à caractère personnel doivent être traitées loyalement et licitement. En particulier, le traitement de données à caractère personnel ne peut être effectué que si: a) le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis, ou b) le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci, ou c) la personne concernée a indubitablement donné son consentement, ou d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée, ou e) le traitement est nécessaire à la réalisation de l'intérêt légitime poursuivi par le responsable du traitement, à condition que ne prévalent pas l'intérêt ou les droits et libertés fondamentaux de la personne concernée, qui appellent une protection au titre de l'article 4 des présentes dispositions.

1 Les données à caractère personnel doivent être traitées à des fins licites et légitimes spécifiques et bien définies et ne peuvent faire l'objet d'un traitement ultérieur qu'à condition que celui-ci ne soit pas incompatible avec la finalité initiale du traitement.

2 Les données à caractère personnel collectées exclusivement dans le but d'assurer la sécurité ou le contrôle et la gestion des systèmes ou des opérations de traitement ne sont utilisées pour aucune autre finalité, à l'exception de la prévention, la recherche, la détection et la poursuite d'infractions pénales graves.

1 Le traitement des données à caractère personnel qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale ou qui concernent la santé, la vie sexuelle ou les condamnations pénales à des fins non liées à un dossier est interdit.

2 Cette interdiction ne s'applique pas: a) lorsque la personne concernée a donné son consentement explicite à un tel traitement, ou b) lorsque le traitement est nécessaire afin de respecter les droits spécifiques et les obligations légales du responsable du traitement, notamment les obligations en matière de droit fiscal ou de droit du travail qui lui sont applicables, ou, si cela se révèle nécessaire, dans la mesure où ce traitement est accepté par le délégué à la protection des données, moyennant des garanties adéquates, ou c) lorsque le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne dans le cas où la personne concernée se trouve dans l'incapacité physique ou juridique de donner son consentement, ou d) lorsque le traitement porte sur des données manifestement rendues publiques par la personne concernée ou est nécessaire à la constatation, à l'exercice ou à la défense d'un droit en justice.

3 Les données visées au paragraphe 1 sont traitées uniquement pour les finalités pour lesquelles elles ont été initialement collectées.

1 Dans le cadre des activités non opérationnelles d'Eurojust, des exceptions au principe général d'information de la personne concernée sont possibles lorsque la fourniture d'informations à la personne concernée compromettrait: a) un intérêt économique ou financier important d'un État membre ou de l'Union européenne, ou b) la protection de la personne concernée ou des droits et libertés d'autrui, ou c) la sûreté nationale, la sécurité publique et la défense des États membres.

2 Le délégué à la protection des données est informé du recours à ces exceptions.

1 Avant d'entreprendre un traitement ou une série de traitements poursuivant une même finalité ou des finalités liées, le responsable du traitement en informe le délégué à la protection des données.

2 Les informations à fournir comprennent: a) le nom du responsable du traitement et l'indication des services d'une institution ou d'un organe chargés du traitement de données à caractère personnel dans un but spécifique; b) la ou les finalités du traitement; c) une description de la catégorie ou des catégories de personnes concernées et des données ou des catégories de données s'y rapportant; d) la base juridique du traitement auquel les données sont destinées; e) les destinataires ou les catégories de destinataires auxquels les données sont susceptibles d'être communiquées; et f) une description générale permettant une évaluation préliminaire du caractère approprié des mesures de sécurité.

3 Le délégué à la protection des données est informé rapidement de tout changement utile affectant les informations visées au paragraphe précédent.

1 Le délégué à la protection des données tient un registre des traitements notifiés en vertu de la disposition précédente.

2 Le registre contient au minimum les informations visées à l'article 34, paragraphe 2, points a) à f).

3 Le délégué à la protection des données fournit à l'organe de contrôle commun, à la demande de celui-ci, toute information contenue dans le registre.

1 Lorsque le traitement est effectué pour son compte par un sous-traitant extérieur, le responsable du traitement choisit un sous-traitant qui apporte des garanties suffisantes au regard des mesures techniques et modalités organisationnelles prévues en matière de sécurité par l'article 22 de la décision instituant Eurojust ainsi que par tout autre document pertinent, et veille au respect de ces mesures.

2 La réalisation de traitements par un sous-traitant extérieur est régie par un contrat ou un acte juridique qui lie le sous-traitant au responsable du traitement et qui prévoit notamment que: a) le sous-traitant n'agit que sur instruction du responsable du traitement; et b) les obligations de confidentialité et de sécurité prévues par la décision instituant Eurojust et les présentes dispositions incombent également au sous-traitant à moins que, en vertu de l'article 16 ou de l'article 17, paragraphe 3, deuxième tiret, de la directive 95/46/CE du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données , le sous-traitant soit déjà soumis à des obligations de confidentialité et de sécurité énoncées dans la législation nationale de l'un des États membres.

3 Aux fins de la conservation des preuves, les éléments du contrat ou de l'acte juridique relatifs à la protection des données et les exigences portant sur les mesures de confidentialité et de sécurité sont consignés par écrit ou sous une autre forme équivalente.

La personne concernée a le droit de ne pas être soumise à une décision produisant des effets juridiques à son égard ou l'affectant de manière significative, prise sur le seul fondement d'un traitement automatisé de données destiné à évaluer certains aspects de sa personnalité, tels que son rendement professionnel, sa fiabilité ou son comportement, sauf si cette décision est expressément autorisée en vertu de la législation nationale ou communautaire ou, au besoin, par le délégué à la protection des données. Dans les deux cas, des mesures garantissant la sauvegarde des intérêts légitimes de la personne concernée sont prises, telles que des mesures lui permettant de faire valoir son point de vue ou de comprendre la logique qui sous-tend le traitement.

1 Sans préjudice des articles précédents, les dispositions contenues dans le présent chapitre s'appliquent au traitement des données à caractère personnel lié à l'utilisation et à la gestion de réseaux de télécommunications ou des équipements de terminaux fonctionnant sous le contrôle d'Eurojust.

2 Aux fins des dispositions contenues dans le présent chapitre, on entend par «utilisateur» toute personne physique utilisant un réseau de télécommunications ou un équipement de terminal fonctionnant sous le contrôle d'Eurojust.

1 Eurojust prend les mesures techniques et organisationnelles appropriées afin de garantir la sécurité d'utilisation des réseaux de télécommunications et des équipements de terminaux (ordinateurs, serveurs, matériel informatique, logiciels), le cas échéant en liaison avec les fournisseurs des services de télécommunications accessibles au public ou les fournisseurs des réseaux publics de télécommunications. Ces mesures sont de nature à garantir un niveau de sécurité adapté au risque existant, compte tenu des possibilités techniques les plus récentes et du coût lié à la mise en œuvre desdites mesures.

2 Lorsqu'il existe un risque particulier ne permettant plus de garantir la sécurité du réseau et des équipements de terminaux, Eurojust informe les utilisateurs de l'existence de ce risque ainsi que des mesures susceptibles de l'éliminer et des autres moyens de communication susceptibles d'être utilisés.

Eurojust garantit la confidentialité des communications réalisées au moyen de réseaux de télécommunications et des équipements de terminaux, conformément au droit communautaire.

1 Les données relatives au trafic qui concernent les utilisateurs et qui sont traitées afin d'établir les communications, ou d'autres types de connexions, sur les réseaux de télécommunications sont effacées ou rendues anonymes dès que la communication ou la connexion concernées sont terminées.

2 Les exceptions à ce principe général (telles que la nécessité de conserver certaines données relatives au trafic aux fins de la procédure d'enregistrement requise pour certains fichiers ou aux fins de la facturation des appels privés) sont autorisées uniquement si elles sont prévues dans les règles internes adoptées par Eurojust après consultation du délégué à la protection des données. Si le délégué à la protection des données n'est pas convaincu de la licéité ou de la pertinence de ces exceptions, l'organe de contrôle commun est consulté.

3 Le traitement des données relatives au trafic et à la facturation n'est réalisé que par les personnes responsables de la gestion de la facturation, du trafic ou du budget.

1 Les données à caractère personnel contenues dans des annuaires d'utilisateurs imprimés ou électroniques et l'accès à ces annuaires sont limités à ce qui est strictement nécessaire aux fins spécifiques de l'annuaire.

2 Seuls les utilisateurs d'Eurojust ont accès à ces annuaires, pour une utilisation purement interne ou dans d'autres annuaires interinstitutionnels jugés pertinents.

Au besoin, Eurojust arrête des dispositions additionnelles concernant les opérations de traitement des données à caractère personnel non liées à des dossiers. Ces règles sont notifiées à l'organe de contrôle commun et publiées dans des manuels internes distincts.

1 Les présentes dispositions sont réexaminées régulièrement afin d'évaluer si des modifications sont nécessaires. Toute modification des présentes dispositions est effectuée dans le respect des mêmes procédures que celles établies pour leur approbation dans la décision instituant Eurojust.

2 Le délégué à la protection des données avertit le président du collège et l'organe de contrôle commun s'il estime que des modifications des présentes dispositions sont nécessaires.

3 L'organe de contrôle commun communique au collège toute suggestion ou recommandation concernant des modifications aux présentes dispositions.

1 Les présentes dispositions entrent en vigueur le jour suivant leur approbation définitive par le Conseil.

2 Elles sont publiées au Journal officiel de l'Union européenne.