Décision de la haute représentante de l'Union pour les affaires étrangères et la politique de sécurité du 8 décembre 2011 concernant les dispositions relatives à la protection des données

La présente décision établit les dispositions d’application du règlement (CE) no 45/2001 du Parlement européen et du Conseil (le «règlement»), en ce qui concerne le service européen pour l'action extérieure (le «SEAE»), conformément à l’article 24, paragraphe 8, dudit règlement.

Aux fins de la présente décision et sans préjudice des définitions qui figurent dans le règlement, on entend par: a)«responsable du traitement»le SEAE, ses directeurs généraux, directeurs ou chefs de services de taille ou de fonction équivalente, ainsi que les chefs de délégation de l'Union, qui, seuls ou conjointement avec d'autres, déterminent les finalités et les moyens du traitement de données à caractère personnel;b)«coordonnateur de la protection des données»un membre du personnel du SEAE de catégorie AD chargé d’assurer la coordination et de fournir une aide en ce qui concerne tous les aspects relatifs à la protection des données au niveau des directions ou de services de taille ou de fonction équivalente, ainsi que dans les délégations de l'Union, s’il y a lieu;c)«sous-traitant»un membre du personnel du SEAE ou une entité sous contrat chargé par le responsable du traitement de traiter des données;d)«personnel du SEAE»conformément à l'article 6 de la décision du Conseil sur le SEAE, les fonctionnaires et autres agents de l'Union européenne travaillant pour le SEAE, y compris les membres du personnel des services diplomatiques des États membres nommés en tant qu'agents temporaires, et les experts nationaux détachés spécialisés.

1 Le directeur général administratif choisit et désigne le délégué à la protection des données (le «délégué»), conformément à l'article 24, paragraphe 2, du règlement, et transmet son nom au Contrôleur européen de la protection des données (le «CEPD»). Le délégué est directement rattaché au directeur général administratif.

2 Le mandat du délégué est de cinq ans, renouvelable une fois.

3 Dans l'exercice de ses fonctions, le délégué agit en toute indépendance et en coopération avec le CEPD. Le délégué ne peut notamment recevoir d'instruction de la part de l'autorité investie du pouvoir de nomination du SEAE ou de toute autre part en ce qui concerne l'application interne des dispositions du règlement et de la présente décision ou sa coopération avec le CEPD. Le délégué assiste à des sessions de formation en matière de protection des données à intervalles réguliers et le directeur général administratif prend les mesures nécessaires à cet effet.

4 Le directeur général administratif évalue l’exécution des tâches et fonctions du délégué sur une base annuelle, notamment sur la base du rapport annuel du délégué, après consultation du CEPD, s’il y a lieu. Le délégué ne peut être démis de ses fonctions qu'avec le consentement du CEPD, s'il ne remplit plus les conditions requises pour l'exercice de ses fonctions.

5 Sans préjudice de la procédure prévue pour le nommer, le délégué est informé de tous les contacts établis avec des tiers en ce qui concerne l'application du règlement et de la présente décision, notamment pour ce qui est de l'interaction avec le CEPD.

6 Sans préjudice des dispositions applicables du règlement, le délégué et son personnel sont soumis aux règles et réglementations applicables aux fonctionnaires et autres agents de l’Union européenne.

Le délégué: a) veille à ce que les responsables du traitement, les coordonnateurs de la protection des données et les personnes concernées soient informés de leurs droits et obligations au titre du règlement et de la présente décision et à ce que le traitement des données ne risque pas de porter atteinte aux droits et libertés des personnes concernées. Dans l'accomplissement de cette mission, il établit notamment des formulaires d'information et de notification, consulte les parties intéressées et mène des actions de sensibilisation aux questions liées à la protection des données; b) répond aux demandes du CEPD et, dans son domaine de compétence, coopère avec le CEPD à la demande de celui-ci ou de sa propre initiative; c) assure, d'une manière indépendante, l'application interne des dispositions du règlement et de la présente décision au sein du SEAE; d) tient un registre de tous les traitements effectués par le SEAE et permet à toute personne d'y accéder, directement ou indirectement, par l'intermédiaire du CEPD, conformément aux articles 14 et 15; ce registre peut également être tenu sous format électronique; e) notifie au CEPD les traitements susceptibles de présenter les risques particuliers visés à l'article 27, paragraphe 2, du règlement.

1 Outre les missions qu’il est tenu d’exécuter conformément aux dispositions de l'article 4, le délégué: a) conseille l'autorité investie du pouvoir de nomination du SEAE et les responsables de traitement sur des questions concernant l'application du règlement et de la présente décision. Il peut être consulté directement, sans passer par les voies officielles, par l'autorité investie du pouvoir de nomination, par les responsables du traitement et les sous-traitants concernés, par le comité du personnel ou par tout membre du personnel du SEAE, sur toute question concernant l'interprétation ou l'application du règlement et de la présente décision; b) examine de sa propre initiative ou à la demande de l'autorité investie du pouvoir de nomination, des responsables du traitement, des sous-traitants, du comité du personnel ou de tout membre du personnel du SEAE, des questions et des faits qui sont directement en rapport avec ses attributions et qui ont été portés à sa connaissance et fait rapport à l'autorité investie du pouvoir de nomination ou à la personne qui a demandé cet examen. S’il y a lieu, toutes les autres parties concernées devraient être informées en conséquence. Si l'auteur de la demande est une personne physique, ou s'il agit au nom d'une personne physique, le délégué est tenu de garantir, dans la mesure du possible, la confidentialité de la demande, à moins que la personne concernée ne consente sans la moindre ambiguïté à ce que sa demande soit traitée différemment; c) coopère, dans l'exercice de ses fonctions, avec les délégués des autres institutions, organes et organismes de l’Union européenne, notamment par le biais d'un échange d'expérience et de bonnes pratiques; d) représente la haute représentante ou le SEAE, selon le cas, pour toutes les questions liées à la protection des données au niveau international, sans préjudice des dispositions des traités, et notamment de l'article 218 du traité sur le fonctionnement de l'Union européenne; e) présente à la haute représentante un rapport annuel sur ses activités, qu'il rend accessible au personnel du SEAE.

2 Sans préjudice de l'article 4, point b), de l'article 5, paragraphe 1, points b) et c) et de l'article 15, le délégué et son personnel ne divulguent pas les informations ou les documents obtenus dans l'exercice de leurs attributions.

Dans l'accomplissement de ses tâches et dans l'exercice de ses fonctions, le délégué: a) a accès, à tout moment, aux données qui font l'objet des traitements, à tous les locaux, à toutes les installations de traitement de données et à tous les supports d'information; b) peut demander des avis au service juridique du SEAE; c) peut faire appel aux services d’experts externes en technologies de l'information, après accord préalable de l'ordonnateur conformément aux dispositions du règlement financier [règlement (CE, Euratom) no 1605/2002 du Conseil] et de ses modalités d’exécution; d) peut, sans préjudice des fonctions et des compétences du CEPD, proposer des mesures administratives et formuler des recommandations d'ordre général sur l'application appropriée du règlement et de la présente décision; e) peut formuler, dans des cas particuliers, toute autre recommandation en vue d'améliorer concrètement la protection des données, à destination de la hiérarchie du SEAE et/ou de toutes les autres parties concernées; f) peut porter à l'attention de l'autorité investie du pouvoir de nomination du SEAE tout manquement d'un membre du personnel aux obligations auxquelles il est tenu en vertu du règlement et de la présente décision et proposer une enquête administrative en vue de l'application éventuelle de l'article 49 du règlement.

Le délégué se voit affecter le personnel et les ressources nécessaires à l'exercice de ses fonctions et à l’accomplissement de ses tâches.

1 En cas de réclamation au sens de l'article 90 du statut concernant une violation du règlement ou de la présente décision, l'autorité investie du pouvoir de nomination consulte le délégué qui rend son avis par écrit au plus tard quinze jours après réception de la demande. Si le délégué n'a pas communiqué son avis à l'autorité investie du pouvoir de nomination au terme de ce délai, cet avis n'est plus requis. L'autorité investie du pouvoir de nomination n'est pas liée par l'avis du délégué.

2 Le délégué est informé de toute question qui fait l'objet d'un examen qui a ou pourrait avoir des implications dans le domaine de la protection des données.

1 Les responsables du traitement sont chargés de veiller à ce que tous les traitements effectués sous leur contrôle soient conformes au règlement et aux dispositions de la présente décision. Ils peuvent, en tant que de besoin, confier des tâches de traitement des données à des agents du SEAE travaillant sous leur responsabilité, ou à des entités sous contrat, conformément à l'article 23 du règlement.

2 En particulier, les responsables du traitement: a) informent le délégué avant d'entreprendre un traitement ou une série de traitements poursuivant une même finalité ou des finalités liées, ainsi qu'avant de procéder à une modification importante d'un traitement existant; b) assistent le délégué et le CEPD dans l'exercice de leurs fonctions respectives, notamment en leur communiquant des informations en réponse à leurs demandes dans un délai maximal de trente jours; c) coopèrent avec les coordonnateurs de la protection des données en vue de dresser l'inventaire des traitements des données à caractère personnel existants; d) mettent en œuvre les mesures techniques et organisationnelles appropriées et donnent aux sous-traitants des instructions adéquates pour assurer à la fois la confidentialité du traitement et un niveau de sécurité approprié au regard des risques présentés par le traitement; e) s’il y a lieu, consultent le délégué sur la conformité des traitements avec le règlement et la présente décision, notamment lorsqu'ils ont des raisons de penser que certains traitements sont incompatibles avec les articles 4 à 10 du règlement. Ils peuvent également consulter le délégué et/ou des experts internes en matière de sécurité des technologies de l'information sur les questions relatives à la confidentialité des traitements et sur les mesures de sécurité prises en application de l'article 22 du règlement.

1 Chaque directeur général ou directeur ou chef de service de taille ou de fonction équivalente, ou le chef d’une délégation de l'Union, selon les besoins, désigne un coordonnateur de la protection des données placé sous sa responsabilité. Sans préjudice des responsabilités qui incombent au délégué, chaque coordonnateur: a) contribue à la tenue de l’inventaire de tous les traitements des données à caractère personnel existants et coopère avec le délégué aux fins de l'établissement et de la mise à jour de l'inventaire des traitements des données à caractère personnel existants; b) aide à identifier les responsables du traitement et les sous-traitants respectifs; c) a le droit d'obtenir des responsables du traitement, des sous-traitants et du personnel du SEAE les informations utiles et nécessaires à l’accomplissement de ses tâches administratives, mais ne peut en revanche avoir accès aux données à caractère personnel traitées sous la responsabilité du responsable du traitement; d) approuve les notifications globales faites au délégué concernant des types ou catégories de traitements des données.

2 Sans préjudice des responsabilités qui incombent aux responsables du traitement, les coordonnateurs: a) aident les responsables du traitement à s’acquitter de leurs obligations; b) s’il y a lieu, facilitent la communication entre le délégué et les responsables du traitement.

1 L'ensemble du personnel du SEAE contribue à l'application des règles de confidentialité et de sécurité lors du traitement de données à caractère personnel, ainsi que le prévoient les articles 21 et 22 du règlement. Les membres du personnel du SEAE ayant accès à des données à caractère personnel ne les traitent que sur instruction des responsables du traitement, sauf si la réglementation nationale ou celle de l’Union le requiert.

2 Tout membre du personnel du SEAE peut présenter une réclamation au CEPD portant sur une violation alléguée des dispositions du règlement ou de la présente décision régissant le traitement des données à caractère personnel, sans passer par les voies officielles, conformément aux règles établies par le CEPD.

1 Nonobstant le droit des personnes concernées d'être informées de manière adéquate de tout traitement de données à caractère personnel les concernant, conformément aux articles 11 et 12 du règlement, ces personnes peuvent s'adresser au responsable du traitement concerné afin d'exercer leurs droits en vertu des articles 13 à 19 du règlement, comme prévu à la section 5 de la présente décision.

2 Sans préjudice d'un recours juridictionnel, toute personne concernée peut présenter une réclamation au CEPD, conformément aux règles établies par celui-ci, si elle estime que les droits qui lui sont reconnus par le règlement ou la présente décision ont été enfreints à la suite du traitement, par les responsables du traitement, de données à caractère personnel la concernant.

3 Aucune personne concernée ne doit subir de préjudice pour avoir présenté au CEPD une réclamation ou pour avoir porté à l'attention du délégué un fait dont elle allègue qu'il constitue une violation des dispositions du règlement.

1 Les responsables du traitement notifient au délégué tout traitement de données à caractère personnel au moyen d'un formulaire de notification disponible sur le site intranet du SEAE et des délégations de l’Union (sous «Protection des données»). Cette notification se fait par voie électronique. Une note de confirmation est envoyée au délégué dans les dix jours ouvrables. Dès réception de cette note, le délégué publie le traitement notifié au registre.

2 La notification contient toutes les informations visées à l'article 25, paragraphe 2, du règlement. Le délégué est informé rapidement de tout changement affectant ces informations.

3 Des règles et des procédures complémentaires concernant la procédure de notification que doivent suivre les responsables du traitement figurent dans les recommandations générales émises par le délégué.

1 Le délégué tient un registre des traitements de données à caractère personnel qui est établi sur la base des notifications reçues des responsables du traitement.

2 Ce registre contient au minimum les informations visées à l'article 25, paragraphe 2, points a) à g), du règlement. Toutefois, les informations portées au registre par le délégué peuvent exceptionnellement être limitées lorsqu'il est nécessaire d'assurer la sécurité d'un traitement donné.

3 Le registre sert à répertorier les traitements de données à caractère personnel effectués par le SEAE. Il est accessible aux personnes concernées et facilite l'exercice des droits qui leur sont accordés conformément aux articles 13 à 19 du règlement et à la présente décision.

1 Des mesures appropriées sont prises par le délégué afin que toute personne concernée ait accès au registre, directement ou indirectement, par l'intermédiaire du CEPD. En particulier, le délégué fournit des informations et une aide aux personnes concernées qui souhaitent savoir comment et où introduire une demande d'accès au registre.

2 Sauf dans les cas où l'accès en ligne est accordé, les demandes d'accès au registre se font sous quelque forme écrite que ce soit, y compris électronique, dans une des langues visées à l'article 342 du traité sur le fonctionnement de l’Union européenne et de façon suffisamment précise pour permettre au délégué d'identifier les traitements concernés. Un accusé de réception est envoyé sans délai au demandeur.

3 Si la demande n'est pas assez précise, le délégué invite son auteur à fournir des précisions en lui apportant l'aide nécessaire. Si la demande concerne un nombre très élevé de traitements, le délégué peut s'entretenir de façon informelle avec son auteur, en vue de trouver une solution acceptable.

4 Toute personne concernée peut demander au délégué une copie des informations relatives à un traitement notifié qui figurent dans le registre.

1 Les droits des personnes concernées visés dans la présente section ne peuvent être exercés que par lesdites personnes ou, à titre exceptionnel, en leur nom moyennant une autorisation en bonne et due forme. Les demandes sont adressées par écrit au responsable du traitement concerné et une copie en est transmise au délégué. Si nécessaire, ce dernier aide la personne concernée à identifier ledit responsable. Le délégué met à disposition des formulaires spécifiques. Le responsable du traitement n'accède à la demande que si le formulaire a été rempli complètement et si l'identité de l'auteur de la demande a été dûment vérifiée. L'exercice des droits accordés aux personnes concernées est gratuit.

2 Le responsable du traitement concerné envoie un accusé de réception à l'auteur de la demande dans les cinq jours ouvrables suivant l'enregistrement de celle-ci. Sauf dispositions contraires, il répond à la demande au plus tard dans les quinze jours ouvrables qui suivent son enregistrement, en y réservant une suite favorable ou en communiquant par écrit les raisons de son rejet total ou partiel, notamment lorsque l'auteur de la demande n'est pas considéré comme la personne concernée.

3 En cas d'irrégularités ou d'abus manifeste de la personne concernée dans l'exercice de ses droits, et s'il est prétendu par ladite personne que le traitement est illicite, le responsable du traitement doit consulter le délégué au sujet de la demande et/ou adresser la personne concernée au délégué, qui décidera de la recevabilité de la demande et de la suite qu'il convient d'y donner.

4 Toute personne concernée peut consulter le délégué au sujet de l'exercice de ses droits dans un cas précis. Sans préjudice d'un éventuel recours juridictionnel, elle peut présenter une réclamation auprès du CEPD si elle estime que les droits qui lui sont accordés en vertu du règlement ont été enfreints du fait du traitement de données la concernant.

La personne concernée a le droit d'obtenir des responsables du traitement, sans contrainte, à tout moment dans un délai de trois mois à partir de la réception de la demande, les informations visées aux points a) à d) de l'article 13 du règlement, en consultant ces informations sur place ou en en recevant une copie, y compris, s’il y a lieu, sous forme électronique, selon sa préférence.

Chaque demande de rectification de données à caractère personnel inexactes ou incomplètes introduite par la personne concernée précise les données en question ainsi que les rectifications à y apporter. Cette demande est traitée sans délai par le responsable du traitement.

Le responsable du traitement concerné examine sans délai toute demande de verrouillage de données conformément à l'article 15 du règlement. La demande précise les données à verrouiller, justification à l'appui. La personne concernée qui a introduit la demande est informée par le responsable du traitement de la levée du verrouillage des données avant que celle-ci n'ait lieu.

La personne concernée peut demander aux responsables du traitement d'effacer sans délai des données en cas de traitement illicite, notamment lorsqu'il y a eu violation des dispositions des articles 4 à 10 du règlement. Dans sa demande, elle précise les données concernées et explique en quoi le traitement est illicite ou en donne des preuves. En ce qui concerne les fichiers automatisés, l'effacement est en principe assuré par tous les dispositifs techniques appropriés, ce qui exclut la possibilité de tout nouveau traitement des données effacées. Si l'effacement est impossible pour des raisons techniques, le responsable du traitement concerné, après consultation du délégué et de la personne concernée, procède au verrouillage immédiat des données en question.

La personne concernée peut obtenir des responsables du traitement que soit notifié à un tiers auquel des données la concernant ont été communiquées toute rectification, tout effacement ou tout verrouillage de celles-ci effectué à sa demande, si cela ne se révèle pas impossible ou ne suppose pas un effort disproportionné.

La personne concernée peut s’opposer au traitement de données la concernant, ainsi qu'à leur communication ou à leur utilisation, conformément à l'article 18 du règlement. Dans sa demande, elle précise les données concernées et les raisons de son opposition. En cas d'opposition justifiée, le traitement en question ne peut plus porter sur ces données.

La personne concernée a le droit de ne pas être soumise à des décisions individuelles automatisées au sens de l'article 19 du règlement, sauf si la décision est expressément autorisée en vertu de la législation nationale ou de l’Union ou par une décision du CEPD garantissant la sauvegarde de ses intérêts légitimes. Dans les deux cas, la personne concernée a la possibilité de faire connaître son point de vue préalablement et de consulter le délégué.

1 Si des raisons légitimes telles que celles visées à l'article 20 du règlement le justifient clairement, les responsables du traitement peuvent limiter les droits prévus aux articles 17 à 21 de la présente décision. Sauf en cas d'absolue nécessité, le responsable concerné consulte d'abord le délégué, dont l'avis n'engage pas le SEAE. Le responsable du traitement répond sans délai aux demandes relatives à l'application d'exceptions ou de limitations à l'exercice de droits et motive la décision prise en ce sens.

2 Toute personne concernée peut demander au CEPD d'appliquer l'article 47, paragraphe 1, point c), du règlement.

1 Les demandes d'examen sont adressées par écrit au délégué au moyen d'un formulaire spécifique mis à disposition par ce dernier. En cas d'abus manifeste du droit d'examen, par exemple si une même personne a fait une demande identique tout récemment, le délégué n'est pas obligé de faire rapport à cette personne.

2 Dans les quinze jours suivant la réception de la demande, le délégué envoie un accusé de réception à l'autorité investie du pouvoir de nomination ou à la personne qui a demandé l'examen, et vérifie si la demande doit être traitée de manière confidentielle.

3 Le délégué demande au responsable du traitement des données en question une déclaration écrite sur la question. Ce dernier lui répond dans les quinze jours. Le délégué peut demander des informations complémentaires à d'autres services du SEAE, comme le service de sécurité et le service de la sécurité des informations (Infosec) du SEAE. S’il y a lieu, il peut demander un avis sur la question au service juridique du SEAE. Les informations ou l'avis voulus lui sont communiqués dans les trente jours.

4 Le délégué fait rapport à l'autorité investie du pouvoir de nomination et à la personne qui a fait la demande trois mois au plus tard après réception de celle-ci.

En cas d'incohérence entre les dispositions de la présente décision et celles du règlement, ces dernières prévalent.

La présente décision est communiquée au personnel du SEAE, par des moyens appropriés, notamment par sa publication sur le site intranet du SEAE et des délégations de l’Union (sous «Data Protection»).

La présente décision prend effet le jour de son adoption.