Décision (UE) 2018/1996 de la Commission du 14 décembre 2018 établissant les règles internes concernant la fourniture d'informations aux personnes concernées et la restriction de certains de leurs droits dans le contexte du traitement des données à caractère personnel aux fins des enquêtes en matière de défense commerciale et de politique commerciale

1 La présente décision établit les règles que la Commission doit suivre pour informer les personnes concernées, conformément aux articles 14, 15 et 16 du règlement (UE) 2018/1725, du fait que leurs données seront traitées dans le cadre de ses enquêtes en matière de politique commerciale et de défense commerciale. Elle fixe également les conditions dans lesquelles la Commission peut limiter l'application des articles 4, 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725, conformément à l'article 25, paragraphe 1, points c), g) et h), dudit règlement.

2 La présente décision est applicable au traitement des données à caractère personnel par la Commission aux fins des activités, ou en rapport avec les activités, qu'elle exerce afin de s'acquitter des missions prévues par les règlements (UE) 2016/1036, (UE) 2016/1037, (UE) 2015/478 et (UE) 2015/755.

3 La présente décision est applicable au traitement des données à caractère personnel par l'ensemble des services de la Commission dans la mesure où ils traitent des données à caractère personnel contenues dans les informations qu'ils sont tenus de transmettre à la Commission ou des données à caractère personnel déjà traitées par cette dernière aux fins des activités visées au paragraphe 2 du présent article ou en rapport avec celles-ci.

1 Lorsque la Commission exerce ses fonctions en ce qui concerne les droits des personnes concernées en vertu du règlement (UE) 2018/1725, elle examine si l'une des exceptions établies dans ledit règlement s'applique.

2 Sous réserve des articles 3 à 7 de la présente décision, la Commission peut limiter l'application des articles 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725, ainsi que du principe de transparence établi à son article 4, paragraphe 1, point a), dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 17, 19, 20 et 35 dudit règlement, lorsque l'exercice de ces droits et obligations compromettrait la finalité des activités de politique commerciale et de défense commerciale de la Commission, ou porterait atteinte aux droits et libertés d'autres personnes concernées.

3 Sous réserve des articles 3 à 7 de la présente décision, la Commission peut limiter les droits et obligations visés au paragraphe 2 du présent article en ce qui concerne les données à caractère personnel obtenues auprès d'autres institutions, organes et organismes de l'Union, d'autorités compétentes des États membres ou de pays tiers ou d'organisations internationales, et ce dans les cas suivants: a) lorsque l'exercice de ces droits et obligations pourrait être limité par d'autres institutions, organes et organismes de l'Union sur la base d'autres actes prévus à l'article 25 du règlement (UE) 2018/1725 ou conformément au chapitre IX dudit règlement, ou en conformité avec le règlement (UE) 2016/794 du Parlement européen et du Conseil ou le règlement (UE) 2017/1939 du Conseil ; b) lorsque l'exercice de ces droits et obligations pourrait être limité par les autorités compétentes des États membres sur la base des actes visés à l'article 23 du règlement (UE) 2016/679 du Parlement européen et du Conseil , ou en vertu de mesures nationales transposant l'article 13, paragraphe 3, l'article 15, paragraphe 3, ou l'article 16, paragraphe 3, de la directive (UE) 2016/680 du Parlement européen et du Conseil ; c) lorsque l'exercice de ces droits et obligations pourrait compromettre la coopération de la Commission avec des pays tiers ou des organisations internationales dans le cadre des enquêtes en matière de défense commerciale. Avant d'appliquer des limitations dans les cas visés aux points a) et b) du premier alinéa, la Commission consulte les institutions, organes ou organismes concernés de l'Union ou les autorités compétentes des États membres à moins qu'il ne soit manifeste pour elle que l'application d'une limitation est prévue par l'un des actes visés à ces points. Le point c) du premier alinéa ne s'applique pas lorsque les intérêts ou les libertés et droits fondamentaux des personnes concernées prévalent sur l'intérêt de la Commission à coopérer avec des pays tiers ou des organisations internationales.

4 Les paragraphes 1, 2 et 3 sont sans préjudice de l'application d'autres décisions de la Commission établissant des règles internes en ce qui concerne la communication d'informations aux personnes concernées et la limitation de certains droits en vertu de l'article 25 du règlement (UE) 2018/1725 et de l'article 23 du règlement intérieur de la Commission.

1 La Commission publie sur son site internet un avis relatif à la protection des données informant toutes les personnes concernées de ses activités en matière de défense commerciale qui nécessitent un traitement de leurs données à caractère personnel. Le cas échéant, la Commission veille à ce que les personnes concernées soient informées individuellement dans un format approprié.

2 Lorsque la Commission limite, entièrement ou partiellement, la communication d'informations aux personnes concernées dont les données sont traitées aux fins d'une enquête de politique commerciale ou de défense commerciale, elle consigne dans un registre et enregistre les raisons de la limitation conformément à l'article 6.

1 Lorsque la Commission limite, entièrement ou partiellement, le droit d'accès des personnes concernées aux données à caractère personnel, le droit à l'effacement ou le droit à la limitation du traitement prévus respectivement aux articles 17, 19 et 20 du règlement (UE) 2018/1725, elle informe la personne concernée, dans sa réponse à la demande d'accès, d'effacement ou de limitation du traitement, de la limitation appliquée et de ses principales raisons, et de la possibilité d'introduire une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l'Union européenne.

2 La communication des informations concernant les raisons de la limitation visée au paragraphe 1 peut être différée, omise ou refusée aussi longtemps qu'elle porterait atteinte à la finalité de la limitation.

3 La Commission consigne dans un registre les raisons de la limitation conformément à l'article 6.

4 Lorsque le droit d'accès est entièrement ou partiellement limité, la personne concernée exerce son droit d'accès par l'intermédiaire du Contrôleur européen de la protection des données, conformément à l'article 25, paragraphes 6, 7 et 8, du règlement (UE) 2018/1725.

Lorsque la Commission limite la communication à la personne concernée d'une violation de données à caractère personnel, telle que visée à l'article 35 du règlement (UE) 2018/1725, elle consigne dans un registre et enregistre les raisons de la limitation conformément à l'article 6 de la présente décision.

1 La Commission consigne dans un registre les raisons de toute limitation appliquée conformément à la présente décision, y compris une évaluation de la nécessité et de la proportionnalité de la limitation, en prenant en compte les éléments pertinents figurant à l'article 25, paragraphe 2, du règlement (UE) 2018/1725. À cette fin, il est indiqué dans le registre de quelle manière l'exercice du droit compromettrait la finalité des enquêtes en matière de politique commerciale et de défense commerciale, ou des limitations appliquées conformément à l'article 2, paragraphe 2 ou 3, ou porterait atteinte aux droits et libertés d'autres personnes concernées.

2 Le registre et, le cas échéant, les documents contenant les éléments de fait et de droit sous-jacents sont enregistrés. Ils sont mis à la disposition du Contrôleur européen de la protection des données si celui-ci en fait la demande.

1 Les limitations visées aux articles 3, 4 et 5 continuent de s'appliquer aussi longtemps que les raisons qui les justifient demeurent applicables.

2 Lorsque les raisons d'une limitation visée à l'article 3 ou 5 cessent de s'appliquer, la Commission lève la limitation et communique les principales raisons de cette dernière à la personne concernée. Elle informe en même temps la personne concernée de la possibilité d'introduire à tout moment une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l'Union européenne.

3 La Commission réexamine l'application de la limitation visée aux articles 3 et 5 tous les six mois à compter de son adoption et à la clôture de l'enquête. Par la suite, la Commission/le responsable du traitement vérifie la nécessité du maintien de toute limitation/de tout report sur une base annuelle.

1 Le délégué à la protection des données est informé dans les meilleurs délais chaque fois que les droits de personnes concernées sont limités conformément à la présente décision. Il obtient sur demande l'accès au registre et à tout document contenant les éléments de fait et de droit sous-jacents.

2 Le délégué à la protection des données peut demander un réexamen de la limitation. Il est informé par écrit du résultat du réexamen demandé.

La présente décision entre en vigueur le jour de sa publication au Journal officiel de l'Union européenne. Elle est applicable à partir du 11 décembre 2018.