Décision (UE) 2018/1962 de la Commission du 11 décembre 2018 établissant les règles internes concernant le traitement des données à caractère personnel par l'Office européen de lutte antifraude (OLAF) en ce qui concerne la fourniture d'informations aux personnes concernées et la limitation de certains de leurs droits conformément à l'article 25 du règlement (UE) 2018/1725 du Parlement européen et du Conseil

1 La présente décision établit les règles à suivre par l'Office européen de lutte antifraude (ci-après l'«Office») pour informer les personnes concernées du traitement de leurs données, conformément aux articles 14, 15 et 16 du règlement (UE) 2018/1725. Elle établit en outre les conditions dans lesquelles l'Office peut limiter l'application de l'article 4, des articles 14 à 20 et de l'article 35 du règlement (UE) 2018/1725, conformément à l'article 25 dudit règlement.

2 La présente décision est applicable aux opérations de traitement de données à caractère personnel par l'Office aux fins des activités menées en vue d'accomplir les tâches de l'Office visées à l'article 2 de la décision 1999/352/CE, CECA, Euratom et au règlement (UE, Euratom) no 883/2013, ou en relation avec ces activités.

3 La présente décision est applicable au traitement des données à caractère personnel par les services de la Commission et les agences exécutives dans la mesure où ils traitent les données à caractère personnel contenues dans les informations qu'ils sont tenus de transmettre à l'Office, conformément à l'article 8, paragraphe 1, du règlement (UE, Euratom) no 883/2013 ou les données à caractère personnel déjà traitées par l'Office aux fins de ou en ce qui concerne les activités visées au paragraphe 2 du présent article.

1 Lorsque l'Office exerce ses fonctions en ce qui concerne les droits des personnes concernées en vertu du règlement (UE) 2018/1725, il examine la question de savoir si l'une des exceptions prévues par ledit règlement s'applique.

2 Sous réserve des dispositions des articles 3 à 6 de la présente décision, l'Office peut limiter l'application des articles 14 à 20 et de l'article 35 du règlement (UE) 2018/1725, ainsi que de son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 20 et à l'article 35 du règlement (UE) 2018/1725 dans le cas où l'exercice de ces droits et obligations compromettrait la finalité des activités d'enquête de l'Office, notamment en révélant ses outils et méthodes d'enquête, ou porterait atteinte aux droits et libertés d'autrui.

3 Sous réserve des dispositions des articles 3 à 6 de la présente décision, l'Office peut limiter les droits et les obligations visés au paragraphe 2 du présent article en ce qui concerne les données à caractère personnel obtenues auprès de services de la Commission ou d'autres institutions, organes et organismes de l'Union, d'autorités compétentes des États membres ou des pays tiers, ou d'organisations internationales, dans les cas suivants: a) lorsque l'exercice de ces droits et obligations pourrait être limité par les services de la Commission ou d'autres institutions, organes et organismes de l'Union sur la base d'autres actes prévus à l'article 25 du règlement (UE) 2018/1725 ou conformément au chapitre IX dudit règlement ou aux actes fondateurs d'autres institutions, organes et organismes de l'Union; b) lorsque l'exercice de ces droits et obligations pourrait être limité par les autorités compétentes des États membres sur la base des actes visés à l'article 23 du règlement (UE) 2016/679 du Parlement européen et du Conseil ou en vertu de mesures nationales transposant les articles 13, paragraphe 3, 15, paragraphe 3, ou 16, paragraphe 3, de la directive (UE) 2016/680 du Parlement européen et du Conseil ; c) lorsque l'exercice de ces droits et obligations pourrait compromettre la coopération de l'Office avec les pays tiers ou les organisations internationales dans l'accomplissement de ses missions. Avant d'appliquer des limitations dans les cas visés aux points a) et b) du premier alinéa, l'Office consulte les services compétents de la Commission, les institutions, organes et organismes de l'Union ou les autorités compétentes des États membres à moins qu'il ne soit clair pour l'Office que l'application d'une limitation est prévue par l'un des actes visés à ces points. Le point c) du premier alinéa ne s'applique pas lorsque les intérêts ou les libertés et droits fondamentaux des personnes concernées prévalent sur l'intérêt de l'Union à coopérer avec des pays tiers ou des organisations internationales.

4 Dans les cas où les services de la Commission et les agences exécutives traitent des données à caractère personnel dans les cas visés à l'article 1, paragraphe 3, ils peuvent, le cas échéant, appliquer des limitations conformément à la présente décision. À cette fin, ils consultent l'Office, à moins qu'il ne soit clair pour le service de la Commission ou l'agence exécutive concerné(e) que l'application d'une limitation est justifiée au titre de la présente décision.

1 L'Office publie sur son site internet des avis relatifs à la protection des données qui informent toutes les personnes concernées de ses activités nécessitant un traitement de leurs données à caractère personnel.

2 L'Office informe individuellement toutes les personnes concernées qu'il considère comme des personnes concernées, des témoins ou des informateurs au sens du règlement (UE, Euratom) no 883/2013.

3 Lorsque l'Office limite, en tout ou en partie, la communication d'informations aux personnes concernées visées au paragraphe 2, il consigne dans un relevé les motifs de la limitation, accompagnés d'une évaluation de sa nécessité et de sa proportionnalité. À cette fin, le relevé précise la manière dont la communication des informations compromettrait la finalité des activités d'enquête de l'Office ou des limitations appliquées conformément à l'article 2, paragraphe 3, ou dont elle porterait atteinte aux droits et libertés d'autrui. Le relevé et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont enregistrés. Ils sont mis à la disposition du Contrôleur européen de la protection des données sur demande.

4 Les limitations visées au paragraphe 3 continuent de s'appliquer tant que les raisons les justifiant persistent. Lorsque les raisons justifiant ces limitations cessent d'exister, l'Office fournit à la personne concernée les informations en question et les motifs de la limitation. Dans le même temps, l'Office informe la personne concernée de la possibilité de déposer une plainte auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l'Union européenne. L'Office examine l'application de la limitation tous les six mois à compter de son adoption et à la clôture de l'enquête en question. Par la suite, le responsable du traitement vérifie la nécessité de maintenir la limitation sur une base annuelle.

1 Dans les cas où les personnes concernées demandent à accéder à leurs données à caractère personnel traitées dans le cadre d'un ou de plusieurs cas spécifiques ou d'une opération de traitement particulière, conformément à l'article 17 du règlement (UE) 2018/1725, l'Office limite son examen de la demande à ces seules données à caractère personnel.

2 Lorsque l'Office limite, en tout ou en partie, le droit d'accès visé à l'article 17 du règlement (UE) 2018/1725, il prend les mesures suivantes: a) il informe la personne concernée, dans sa réponse à la demande, de la limitation appliquée et des principales raisons qui la motivent, ainsi que de la possibilité d'introduire une plainte auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l'Union européenne; b) il consigne dans un relevé les motifs de la limitation, accompagnés d'une évaluation de sa nécessité et de sa proportionnalité; à cette fin, le relevé précise la manière dont l'accès aux informations compromettrait la finalité des activités d'enquête de l'Office ou des limitations appliquées conformément à l'article 2, paragraphe 3, ou dont il porterait atteinte aux droits et libertés d'autres personnes concernées. La communication des informations visées au point a) peut être différée, omise ou refusée conformément à l'article 25, paragraphe 8, du règlement (UE) 2018/1725.

3 Le relevé mentionné au paragraphe 2, point b), et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont enregistrés. Ils sont mis à la disposition du Contrôleur européen de la protection des données sur demande. L'article 25, paragraphe 7, du règlement (UE) 2018/1725 s'applique.

Dans le cas où l'Office limite, en tout ou partie, l'application du droit de rectification, du droit à l'effacement ou du droit à la limitation du traitement, visés aux articles 18, 19, paragraphe 1, et 20, paragraphe 1, du règlement (UE) 2018/1725, il prend les mesures visées à l'article 4, paragraphe 2, de la présente décision, et enregistre le relevé conformément à son article 4, paragraphe 3.

Dans le cas où l'Office limite la communication d'une violation de données à caractère personnel à la personne concernée, visée à l'article 35 du règlement (UE) 2018/1725, il consigne et enregistre les raisons de cette limitation conformément à l'article 3, paragraphe 3, de la présente décision. L'article 3, paragraphe 4, de la présente décision s'applique.

1 Le délégué à la protection des données de l'Office (ci-après le «DPD de l'Office») est informé sans délai chaque fois que les droits des personnes concernées sont limités conformément à la présente décision. Le DPD de l'Office se voit donner l'accès au relevé et à tous les documents contenant des éléments factuels et juridiques sous-jacents. Le DPD de l'Office peut demander un réexamen des limitations. Le DPD de l'Office est informé par écrit du résultat du réexamen demandé.

2 Dans les cas où les services de la Commission et les agences exécutives traitent des données à caractère personnel dans les cas visés à l'article 1, paragraphe 3, le délégué à la protection des données de la Commission (ci-après le «DPD de la Commission») ou, le cas échéant, le délégué à la protection des données de l'agence exécutive concernée (ci-après le «DPD de l'agence») est informé sans délai chaque fois que les droits des personnes concernées sont limités conformément à la présente décision. Sur demande, le DPD de la Commission ou, le cas échéant, le DPD de l'agence se voit donner l'accès au relevé et à tous les documents contenant des éléments factuels et juridiques sous-jacents. Le DPD de la Commission ou, le cas échéant, le DPD de l'agence peut demander un réexamen des limitations. Le DPD de la Commission ou le DPD de l'agence est informé par écrit du résultat du réexamen demandé.

3 Tous les échanges d'informations avec le DPD tout au long de la procédure sont enregistrés sous la forme appropriée.

La présente décision entre en vigueur le jour de sa publication au Journal officiel de l'Union européenne. Elle est applicable à partir du 11 décembre 2018.