Décision (UE) 2019/165 de la Commission du 1er février 2019 portant règles internes relatives à la communication d'informations aux personnes concernées et à la limitation, par la Commission, de certains de leurs droits en matière de protection des données dans le contexte des enquêtes administratives, des procédures pré-disciplinaires et disciplinaires et des procédures de suspension

1 La présente décision établit les règles que la Commission doit suivre pour informer les personnes concernées, conformément aux articles 14, 15 et 16 du règlement (UE) 2018/1725, du fait que leurs données seront traitées dans le cadre de ses enquêtes administratives, de ses procédures pré-disciplinaires et disciplinaires, ainsi que de ses procédures de suspension.

2 Elle fixe également les conditions dans lesquelles la Commission peut limiter l'application de l'article 4, paragraphe 1, point a), et des articles 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725, conformément à l'article 25, paragraphe 1, points c), g) et h), dudit règlement.

3 La présente décision s'applique aux opérations de traitement de données à caractère personnel effectuées par la Commission en application de l'article 86 du statut et des dispositions de son annexe IX, ainsi que de la décision C(2004) 1588.

4 La présente décision s'applique aux opérations de traitement de données à caractère personnel effectuées par la Commission dans le cadre d'enquêtes administratives, de procédures pré-disciplinaires et disciplinaires, ainsi que de procédures de suspension.

5 Les catégories de données à caractère personnel couvertes par la présente décision comprennent les données d'identification, les données de contact et les données comportementales.

1 Lorsque la Commission exerce ses fonctions en ce qui concerne les droits des personnes concernées en vertu du règlement (UE) 2018/1725, elle examine si l'une des exceptions établies dans ledit règlement s'applique.

2 Sous réserve des articles 3 à 7 de la présente décision, la Commission peut limiter l'application des articles 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725, ainsi que du principe de transparence établi à son article 4, paragraphe 1, point a), dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 17, 19, 20 et 35 dudit règlement, lorsque l'exercice de ces droits et obligations aurait pour effet de compromettre la finalité des enquêtes administratives, des procédures pré-disciplinaires et disciplinaires, ainsi que des procédures de suspension, ou porterait atteinte aux droits et libertés d'autres personnes concernées.

3 Sous réserve des articles 3 à 7, la Commission peut limiter les droits et obligations visés au paragraphe 2 du présent article en ce qui concerne les données à caractère personnel obtenues auprès d'autres institutions, organes et organismes de l'Union, d'autorités compétentes d'États membres ou de pays tiers ou d'organisations internationales, et ce dans les cas suivants: a) lorsque l'exercice de ces droits et obligations pourrait être limité par d'autres institutions, organes et organismes de l'Union sur la base d'autres actes prévus à l'article 25 du règlement (UE) 2018/1725 ou conformément au chapitre IX dudit règlement, ou en conformité avec le règlement (UE) 2016/794 du Parlement européen et du Conseil ou le règlement (UE) 2017/1939 du Conseil ; b) lorsque l'exercice de ces droits et obligations pourrait être limité par les autorités compétentes des États membres sur la base des actes visés à l'article 23 du règlement (UE) 2016/679 du Parlement européen et du Conseil ou en vertu de mesures nationales transposant l'article 13, paragraphe 3, l'article 15, paragraphe 3, ou l'article 16, paragraphe 3, de la directive (UE) 2016/680 du Parlement européen et du Conseil ; c) lorsque l'exercice de ces droits et obligations pourrait compromettre la coopération de la Commission avec des pays tiers ou des organisations internationales dans le cadre d'enquêtes administratives, de procédures pré-disciplinaires ou disciplinaires, ou de procédures de suspension. Avant d'appliquer des limitations dans les cas visés aux points a) et b) du premier alinéa, la Commission consulte les institutions, organes ou organismes concernés de l'Union ou les autorités compétentes des États membres, à moins qu'il ne soit manifeste pour elle que l'application d'une limitation est prévue par l'un des actes visés à ces points ou que cette consultation compromettrait ses activités. Le point c) du premier alinéa ne s'applique pas lorsque les intérêts ou les libertés et droits fondamentaux des personnes concernées prévalent sur l'intérêt de la Commission à coopérer avec des pays tiers ou des organisations internationales.

1 La Commission publie sur son site internet des avis relatifs à la protection des données informant toutes les personnes concernées de ses activités impliquant le traitement de leurs données à caractère personnel.

2 La Commission informe individuellement, sous une forme appropriée, la personne concernée par une enquête administrative, une procédure pré-disciplinaire ou disciplinaire ou une procédure de suspension, ainsi que les témoins invités à fournir des informations dans le cadre de cette procédure, quant au traitement de leurs données à caractère personnel.

3 Lorsque la Commission limite, intégralement ou partiellement, la communication des informations visées au paragraphe 2 en vertu de l'article 2 de la présente décision, elle enregistre et consigne les motifs de cette limitation conformément à l'article 6.

1 Lorsque la Commission limite, intégralement ou partiellement, le droit d'accès des personnes concernées aux données à caractère personnel, le droit à l'effacement ou le droit à la limitation du traitement prévus respectivement aux articles 17, 19 et 20 du règlement (UE) 2018/1725, elle informe la personne concernée, dans sa réponse à la demande d'accès, d'effacement ou de limitation du traitement, de la limitation appliquée et de ses principaux motifs, ainsi de la possibilité d'introduire une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l'Union européenne.

2 La communication d'informations concernant les motifs de la limitation visée au paragraphe 1 peut être différée, omise ou refusée aussi longtemps qu'elle porterait atteinte à la finalité de la limitation.

3 La Commission consigne dans un registre les motifs de la limitation conformément à l'article 6 de la présente décision.

4 Lorsque le droit d'accès est intégralement ou partiellement limité, la personne concernée peut exercer son droit d'accès par l'intermédiaire du Contrôleur européen de la protection des données, conformément à l'article 25, paragraphes 6, 7 et 8, du règlement (UE) 2018/1725.

Lorsque la Commission limite la communication à la personne concernée d'une violation de données à caractère personnel prévue à l'article 35 du règlement (UE) 2018/1725, elle enregistre et consigne les motifs de la limitation conformément à l'article 6 de la présente décision.

1 La Commission consigne dans un registre les motifs de toute limitation appliquée conformément à la présente décision, y compris une évaluation de la nécessité et de la proportionnalité de la limitation. À cette fin, l'enregistrement indique en quoi l'exercice du droit concerné compromettrait la finalité de l'enquête administrative, de la procédure pré-disciplinaire ou disciplinaire ou de la procédure de suspension, ou celle des limitations appliquées en vertu de l'article 2, paragraphe 2 ou 3, ou porterait atteinte aux droits et libertés d'autres personnes concernées.

2 L'enregistrement et, le cas échéant, les documents contenant les éléments factuels et juridiques sous-jacents sont consignés dans un registre. Ils sont mis à la disposition du Contrôleur européen de la protection des données si celui-ci en fait la demande.

1 Les limitations visées aux articles 3, 4 et 5 continuent de s'appliquer aussi longtemps que les motifs qui les justifient restent valables.

2 Lorsque les motifs d'une limitation visée à l'article 3 ou 5 cessent de s'appliquer, la Commission lève la limitation et communique les principaux motifs de cette dernière à la personne concernée. Dans le même temps, elle informe la personne concernée de la possibilité de déposer une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l'Union européenne.

3 La Commission réexamine l'application des limitations visées aux articles 3 et 5 tous les six mois à compter de leur adoption et, en tout état de cause, à la clôture de l'enquête administrative, de la procédure pré-disciplinaire ou disciplinaire, ou de la procédure de suspension. Par la suite, la Commission vérifie chaque année la nécessité de maintenir le report.

1 Le délégué à la protection des données de la Commission européenne est informé sans délai chaque fois que les droits des personnes concernées sont limités conformément à la présente décision. Il obtient sur demande l'accès à l'enregistrement et à tous les documents contenant des éléments factuels et juridiques sous-jacents.

2 Le délégué à la protection des données peut demander un réexamen de la limitation. Il est informé par écrit du résultat du réexamen demandé.

La présente décision entre en vigueur le troisième jour suivant celui de sa publication au Journal officiel de l'Union européenne.