Décision (UE) 2018/1961 de la Commission du 11 décembre 2018 portant règles internes relatives à la communication d'informations aux personnes concernées et à la limitation de certains de leurs droits dans le contexte du traitement des données à caractère personnel aux fins d'activités d'audit interne

1 La présente décision établit les règles que la Commission doit suivre pour informer les personnes concernées du fait que leurs données seront traitées conformément aux articles 14, 15 et 16 du règlement (UE) 2018/1725, lorsqu'elle exerce ses activités d'audit interne conformément aux articles 117 à 123 du règlement (UE, Euratom) 2018/1046. Elle fixe également les conditions dans lesquelles la Commission peut limiter l'application des articles 4, 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725, conformément à l'article 25, paragraphe 1, points c), g) et h), dudit règlement.

2 La présente décision s'applique aux opérations de traitement de données à caractère personnel effectuées par la Commission aux fins des activités qu'elle mène pour s'acquitter des tâches qui lui sont conférées par l'article 118 et l'article 119, paragraphe 2, du règlement (UE, Euratom) 2018/1046, ou en relation avec ces activités.

3 La présente décision s'applique aux opérations de traitement de données à caractère personnel au sein de la Commission, dans la mesure où la Commission traite les données à caractère personnel contenues dans les informations qu'elle est tenue de traiter aux fins des activités visées au présent article, ou en relation avec ces activités.

1 Lorsque la Commission remplit les obligations relatives aux droits des personnes concernées qui lui incombent en vertu du règlement (UE) 2018/1725, elle examine si l'une des exceptions établies dans ledit règlement s'applique.

2 Sous réserve des articles 3 à 7 de la présente décision, la Commission peut limiter l'application des articles 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725, ainsi que du principe de transparence établi à l'article 4, paragraphe 1, point a), dudit règlement dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 17, 19, 20 et 35 dudit règlement, dans le cas où l'exercice de ces droits et obligations compromettrait la finalité des activités que mène la Commission au titre de l'article 118 et de l'article 119, paragraphe 2, du règlement (UE, Euratom) 2018/1046, notamment en révélant ses outils et méthodes d'audit, ou porterait atteinte aux droits et libertés d'autres personnes concernées.

3 Sous réserve des articles 3 à 7, la Commission peut limiter les droits et obligations visés au paragraphe 2 du présent article en ce qui concerne les données à caractère personnel obtenues auprès d'autres institutions, organes et organismes de l'Union, d'autorités compétentes d'États membres ou de pays tiers ou d'organisations internationales, et ce dans les cas suivants: a) lorsque l'exercice de ces droits et obligations pourrait être limité par d'autres institutions, organes et organismes de l'Union sur la base d'autres actes prévus à l'article 25 du règlement (UE) 2018/1725 ou conformément au chapitre IX dudit règlement, ou en conformité avec le règlement (UE) 2016/794 du Parlement européen et du Conseil ou le règlement (UE) 2017/1939 du Conseil ; b) lorsque l'exercice de ces droits et obligations pourrait être limité par les autorités compétentes des États membres sur la base des actes visés à l'article 23 du règlement (UE) 2016/679 du Parlement européen et du Conseil ou en vertu de mesures nationales transposant l'article 13, paragraphe 3, l'article 15, paragraphe 3, ou l'article 16, paragraphe 3, de la directive (UE) 2016/680 du Parlement européen et du Conseil ; c) lorsque l'exercice de ces droits et obligations pourrait compromettre la coopération de la Commission avec les pays tiers ou les organisations internationales dans l'accomplissement d'activités d'audit interne. Avant d'appliquer des limitations dans les cas visés aux points a) et b) du premier alinéa, la Commission consulte les institutions, organes ou organismes concernés de l'Union ou les autorités compétentes des États membres, à moins qu'il ne soit manifeste pour elle que l'application d'une limitation est prévue par l'un des actes visés à ces points, ou que cette consultation compromettrait la finalité de ses activités au titre de l'article 118 et de l'article 119, paragraphe 2, du règlement (UE, Euratom) 2018/1046. Le point c) du premier alinéa ne s'applique pas lorsque les intérêts ou les libertés et droits fondamentaux des personnes concernées prévalent sur l'intérêt de la Commission à coopérer avec des pays tiers ou des organisations internationales.

4 Les paragraphes 1, 2 et 3 sont sans préjudice de l'application d'autres décisions de la Commission établissant des règles internes en ce qui concerne la communication d'informations aux personnes concernées et la limitation de certains droits en vertu de l'article 25 du règlement (UE) 2018/1725 ni de l'article 23 du règlement intérieur de la Commission.

La Commission publie sur son site internet des avis relatifs à la protection des données informant toutes les personnes concernées de ses activités impliquant le traitement de leurs données à caractère personnel aux fins de ses activités au titre de l'article 118 et de l'article 119, paragraphe 2, du règlement (UE, Euratom) 2018/1046. Le cas échéant, la Commission veille à ce que les personnes concernées soient informées individuellement sous une forme appropriée. Lorsque la Commission limite, intégralement ou partiellement, la communication d'informations aux personnes concernées dont les données sont traitées aux fins de ses activités au titre de l'article 118 et de l'article 119, paragraphe 2, du règlement (UE, Euratom) 2018/1046, elle enregistre et consigne dans un registre les motifs de la limitation conformément à l'article 6.

1 Lorsque la Commission limite, intégralement ou partiellement, le droit d'accès des personnes concernées aux données à caractère personnel, le droit à l'effacement ou le droit à la limitation du traitement prévus respectivement aux articles 17, 19 et 20 du règlement (UE) 2018/1725, elle informe la personne concernée, dans sa réponse à la demande d'accès, d'effacement ou de limitation du traitement, de la limitation appliquée et de ses principaux motifs, et de la possibilité d'introduire une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l'Union européenne.

2 La communication des informations relatives aux motifs de la limitation visée au paragraphe 1 du présent article peut être différée, omise ou refusée aussi longtemps que ces informations risquent de nuire à la finalité de la limitation.

3 La Commission enregistre les motifs de la limitation conformément à l'article 6 de la présente décision.

4 Lorsque le droit d'accès est entièrement ou partiellement limité, la personne concernée exerce son droit d'accès par l'intermédiaire du Contrôleur européen de la protection des données, conformément à l'article 25, paragraphes 6, 7 et 8 du règlement (UE) 2018/1725.

Lorsque la Commission limite la communication à la personne concernée d'une violation de données à caractère personnel prévue à l'article 35 du règlement (UE) 2018/1725, elle enregistre et consigne dans un registre les motifs de la limitation conformément à l'article 6 de la présente décision.

La Commission enregistre les motifs de toute limitation appliquée en vertu de la présente décision, y compris une évaluation de la nécessité et de la proportionnalité de la limitation, en tenant compte des éléments pertinents visés à l'article 25, paragraphe 2, du règlement (UE) 2018/1725. À cette fin, l'enregistrement indique de quelle manière l'exercice du droit concerné risque de compromettre la finalité des activités que mène la Commission au titre de l'article 118 et de l'article 119, paragraphe 2, du règlement (UE, Euratom) 2018/1046, ou des limitations appliquées en vertu de l'article 2, paragraphe 2 ou 3, ou de porter atteinte aux droits et libertés d'autres personnes concernées. L'enregistrement et, le cas échéant, les documents contenant les éléments factuels et juridiques sous-jacents sont consignés dans un registre. Ils sont mis à la disposition du Contrôleur européen de la protection des données sur demande.

1 Les limitations visées aux articles 3, 4 et 5 de la présente décision continuent de s'appliquer aussi longtemps que les motifs qui les justifient restent valables.

2 Lorsque les motifs d'une limitation visée à l'article 3 ou 5 de la présente décision ne sont plus valables, la Commission lève la limitation et communique les motifs principaux de cette dernière à la personne concernée. Dans le même temps, elle informe la personne concernée de la possibilité de déposer une plainte auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l'Union européenne.

3 La Commission examine l'application de la limitation visée aux articles 3 et 5 de la présente décision tous les six mois à compter de son adoption, ainsi qu'avant et après la clôture de l'activité d'audit interne concernée. Par la suite, la Commission vérifie la nécessité de maintenir la limitation ou le report sur une base annuelle.

Le délégué à la protection des données de la Commission européenne est informé sans délai chaque fois que les droits des personnes concernées sont limités conformément à la présente décision. Il obtient sur demande l'accès à l'enregistrement et à tout document contenant des éléments factuels et juridiques sous-jacents. Le délégué à la protection des données peut demander un réexamen de la limitation. Il est informé par écrit du résultat du réexamen demandé.

La présente décision entre en vigueur le jour de sa publication au Journal officiel de l'Union européenne. Elle est applicable à partir du 11 décembre 2018.