Décision du Bureau du Parlement européen du 17 juin 2019 sur les modalités d’exécution du règlement (UE) 2018/1725 du Parlement européen et du Conseil relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) n° 45/2001 et la décision n° 1247/2002/CE

La présente décision établit les dispositions générales d’exécution du règlement (UE) 2018/1725 pour ce qui concerne le Parlement européen, et en particulier, elle: a) précise les dispositions énoncées dans le règlement (UE) 2018/1725 en ce qui concerne les tâches, fonctions et compétences du délégué à la protection des données; b) fixe les modalités d’exercice des droits de la personne concernée; c) définit des règles internes au titre desquelles le Parlement européen peut appliquer des exceptions, des dérogations ou des limitations relatives aux droits des personnes concernées, en vertu, notamment, de l’article 25 du règlement (UE) 2018/1725.

1 L’unité ou le service du Parlement européen chargé de déterminer les finalités et les moyens de traitement de données à caractère personnel agit en qualité de responsable du traitement vis-à-vis desdites données au sens de l’article 3, paragraphe 8, du règlement (UE) 2018/1725.

2 Dès lors qu’une opération de traitement dépasse les compétences conférées à une unité ou à un service du Parlement européen, le rôle de responsable du traitement au sens de l’article 3, paragraphe 8, du règlement (UE) 2018/1725 incombe à la direction concernée à moins que des responsables conjoints du traitement aient été désignés en vertu de l’article 28 dudit règlement.

3 Dès lors qu’une opération de traitement dépasse les compétences conférées à une direction du Parlement européen, le rôle de responsable du traitement au sens de l’article 3, paragraphe 8, du règlement (UE) 2018/1725 incombe à la direction générale concernée à moins que des responsables conjoints du traitement aient été désignés en vertu de l’article 28 dudit règlement.

4 Lorsque plusieurs directions générales du Parlement européen déterminent les finalités et les moyens d’une opération de traitement donnée ou lorsque l’une des entités organisationnelles visées aux paragraphes 1 à 3 et au moins une entité autre qu’une institution ou un organe de l’Union détermine les finalités et les moyens d’une opération de traitement donnée, les acteurs compétents sont considérés comme les responsables conjoints du traitement au sens de l’article 28, paragraphe 1, du règlement (UE) 2018/1725.

5 Aux fins de l’article 44, paragraphes 3 et 6, du règlement (UE) 2018/1725, le Parlement européen est considéré comme le responsable du traitement.

6 Le responsable du traitement est tenu de veiller à ce que les opérations de traitement soient conformes au règlement (UE) 2018/1725 et doit être en mesure de démontrer le respect des dispositions dudit règlement. Le responsable du traitement est notamment chargé: a) de mettre en œuvre les mesures techniques et organisationnelles appropriées en vue de l’application des principes de protection des données dès la conception et par défaut; b) de donner au personnel placé sous son autorité des instructions adéquates afin de garantir un traitement légal, équitable, transparent et confidentiel et de fournir un niveau de sécurité approprié au regard des risques présentés par le traitement; c) de coopérer avec le délégué à la protection des données ainsi que le Contrôleur européen de la protection des données dans l’exercice de leurs fonctions respectives, notamment en leur communiquant des informations en réponse à leurs demandes; d) d’informer le délégué à la protection des données et de l’associer en temps utile, en particulier aux projets relatifs à de nouvelles opérations de traitement de données ou à la modification en profondeur d’opérations en cours.

1 Le secrétaire général nomme le délégué à la protection des données parmi les fonctionnaires du Parlement européen conformément à l’article 43 et à l’article 44, paragraphes 8 et 9, du règlement (UE) 2018/1725. Le délégué à la protection des données est désigné conformément à la procédure applicable du statut des fonctionnaires de l’Union européenne (ci-après dénommé «statut des fonctionnaires») ou du régime applicable aux autres agents de l’Union (ci-après dénommé «régime applicable aux autres agents») établi par le règlement (CEE, Euratom, CECA) no 259/68 du Conseil , le cas échéant. Le délégué à la protection des données est nommé pour une période de cinq ans renouvelable.

2 Pour l’exercice de ses fonctions en vertu de la présente décision, le délégué à la protection des données est déchargé de toute autre mission au sein du Parlement européen. Le secrétaire général peut néanmoins décider de lui attribuer d’autres fonctions spécifiques pourvu qu’elles ne donnent pas lieu à un conflit d’intérêts avec la fonction de délégué à la protection des données, en particulier dans le cadre de l’application des dispositions du règlement (UE) 2018/1725.

3 Le délégué à la protection des données s’abstient de tout acte incompatible avec la nature de ses fonctions.

4 Le délégué à la protection des données est tenu au secret professionnel en vertu de l’article 44, paragraphe 5, du règlement (UE) 2018/1725, ce même après la cessation de ses fonctions.

5 Le délégué à la protection des données peut uniquement être démis de ses fonctions conformément à l’article 44, paragraphes 3 et 8, du règlement (UE) 2018/1725. Aux fins d’obtenir l’accord du délégué à la protection des données à une telle mesure prise en vertu de l’article 44, paragraphe 8, du règlement (UE) 2018/1725, le Contrôleur européen de la protection des données est consulté par écrit. Une copie de cet accord est fournie au délégué à la protection des données.

6 Le Parlement européen veille à ce que le délégué à la protection des données ne reçoive aucune instruction en ce qui concerne l’exercice de ses missions, conformément aux articles 44 et 45 du règlement (UE) 2018/1725. À cet égard, en particulier, le délégué à la protection des données ne peut recevoir aucune instruction de la part du secrétaire général, y compris pour ce qui a trait à sa coopération avec le Contrôleur européen de la protection des données, laquelle est requise en vertu du règlement (UE) 2018/1725.

7 Le délégué à la protection des données rend compte directement au secrétaire général.

1 Le délégué à la protection des données veille à ce que le Secrétariat général du Parlement européen applique le règlement (UE) 2018/1725 et respecte le cadre juridique applicable en matière de protection des données à caractère personnel. Sans préjudice de l’article 13 de la présente décision, le délégué à la protection des données n’est en principe pas chargé de surveiller l’application du règlement (UE) 2018/1725 par les députés ou par les groupes politiques du Parlement européen.

2 Le délégué à la protection des données peut être consulté ou agir en qualité de conseiller en vertu de l’article 44, paragraphes 4 et 7, et de l’article 45, paragraphe 1, points d), e) et f), du règlement (UE) 2018/1725, et exerce toutes les autres tâches visées à l’article 45 dudit règlement.

3 Le délégué à la protection des données porte à la connaissance du secrétaire général tout manquement ou tout risque sérieux de manquement aux dispositions du règlement (UE) 2018/1725.

4 Sur demande, le délégué à la protection des données émet un avis, à l’intention du responsable du traitement, sur des opérations de traitement existantes ou en projet et sur la proportionnalité et le caractère approprié du traitement de certaines données ou sur des mesures de sécurité. Ledit avis peut porter, en particulier, sur tout problème lié à l’évaluation des risques pour les droits et libertés des personnes concernées.

5 Le service compétent du Parlement européen consulte le délégué à la protection des données préalablement à l’adoption de règles internes définissant les modalités de traitement des données à caractère personnel.

6 Le délégué à la protection des données exécute ses tâches en coopération avec le Contrôleur européen de la protection des données. Il constitue le point de contact entre le Parlement européen et le Contrôleur européen de la protection des données et est tenu informé de toute communication relevant de sa compétence entre ces deux institutions.

7 Le délégué à la protection des données participe régulièrement aux réunions organisées par le Contrôleur européen de la protection des données ou les délégués à la protection des données des autres institutions et organes afin de favoriser un bon niveau de coopération.

8 Le délégué à la protection des données est soumis à tout moment au statut des fonctionnaires ou au régime applicable aux autres agents, le cas échéant.

1 Dans le cas d’une violation de données à caractère personnel, le responsable du traitement porte l’incident à la connaissance du délégué à la protection des données sans délai.

2 Le délégué à la protection des données établit et tient à jour un registre central visant à documenter les violations de données à caractère personnel qui lui sont notifiées, conformément à l’article 34, paragraphe 6, du règlement (UE) 2018/1725. Le responsable du traitement confronté à la violation introduit dans le registre les informations visées audit article.

3 Le délégué à la protection des données tient régulièrement des réunions avec le responsable de la sécurité des systèmes d’information et le gestionnaire de risques du Parlement européen afin de garantir le respect des articles 33 à 36 du règlement (UE) 2018/1725. Le délégué à la protection des données peut inviter d’autres participants selon le cas.

4 En se fondant sur les conclusions des réunions visées au paragraphe 3, le délégué à la protection des données: a) présente chaque année au secrétaire général une analyse des risques relative à la protection des données, qu’il met à jour en fonction de l’évolution des facteurs de risque; b) formule des propositions de politiques en matière de protection des données au secrétaire général, en accordant une attention particulière aux risques de vol, de fuite ou de manipulation non autorisée de données par voie électronique; c) propose au secrétaire général les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité des données à caractère personnel à la mesure des risques liés à la protection des données.

Le délégué à la protection des données établit et tient à jour le registre central visé à l’article 31, paragraphe 5, du règlement (UE) 2018/1725, dans lequel sont consignées les activités de traitement. Le délégué à la protection des données veille à ce que le registre soit accessible au public, y compris par voie électronique. Sur demande, un accès est également possible par l’intermédiaire du Contrôleur européen à la protection des données. Sur demande, le registre des activités de traitement du Parlement européen est mis à la disposition du Contrôleur européen de la protection des données.

1 Dès lors que la mise en place d’une nouvelle procédure administrative ou la modification d’une procédure administrative existante a une incidence sur des opérations de traitement de données à caractère personnel, le responsable du traitement en informe immédiatement le délégué à la protection des données.

2 Le délégué à la protection des données a accès, à tout moment, aux données qui font l’objet des opérations de traitement, à toutes les installations de traitement de données et à tous les supports d’information.

Le délégué à la protection des données coopère avec l’auditeur interne lorsque celui-ci, dans le cadre de ses compétences, en fait la demande, notamment pour faciliter la mise en œuvre d’audits internes impliquant le traitement de données à caractère personnel au sein du Secrétariat général du Parlement européen.

1 Pour ce qui concerne les procédures administratives, qu’elles soient nouvelles ou fassent l’objet de modifications, ou les mesures techniques ou organisationnelles impliquant le traitement de données à caractère personnel, le délégué à la protection des données fournit, sur demande ou de sa propre initiative, des informations au responsable du traitement et aide celui-ci à évaluer les risques pour les droits et libertés des personnes concernées.

2 À la suite de l’évaluation des risques susmentionnée, le délégué à la protection des données fait part au responsable du traitement de la nécessité ou non de procéder à une analyse d’impact relative à la protection des données.

1 Le délégué à la protection des données conseille le responsable du traitement afin de lui permettre d’identifier les solutions techniques et organisationnelles facilitant la mise en œuvre des opérations de traitement.

2 Le délégué à la protection des données peut recommander au secrétaire général d’adopter les mesures techniques ou organisationnelles nécessaires à l’application de l’article 27 du règlement (UE) 2018/1725 dès lors qu’il conclut, sur la base d’une évaluation, qu’une opération de traitement ne garantit pas le plein respect dudit article.

1 Sur demande, le délégué à la protection des données émet un avis à l’intention du responsable du traitement en ce qui concerne la responsabilité de chacune des parties dans le cadre d’un accord entre responsables conjoints du traitement établi en application de l’article 28, paragraphe 1, du règlement (UE) 2018/1725.

2 Le délégué à la protection des données peut, sur demande, émettre un avis à l’intention du responsable du traitement sur les mesures techniques et organisationnelles appropriées qui doivent être garanties par le sous-traitant ou un sous-traitant recruté par le sous-traitant en vertu de l’article 29, paragraphes 1 et 2, du règlement (UE) 2018/1725.

Le délégué à la protection des données élabore un rapport d’activité annuel à l’intention du secrétaire général et du Contrôleur européen de la protection des données sur les activités dans le domaine de la protection des données à caractère personnel au Secrétariat général du Parlement européen. Il rend ce rapport accessible au personnel du Parlement européen.

1 Par dérogation à l’article 4, paragraphe 1, de la présente décision, les députés et les groupes politiques du Parlement européen peuvent demander l’avis du délégué à la protection des données sur une question liée à l’application du règlement (UE) 2018/1725. Sans préjudice de la responsabilité qui incombe aux députés et aux groupes politiques du Parlement européen d’appliquer le règlement (UE) 2018/1725 en leur qualité de responsables du traitement au sens de l’article 3, paragraphe 8, dudit règlement, le délégué à la protection des données peut, à la demande d’un député ou d’un groupe politique du Parlement européen, émettre un avis par application mutatis mutandis des dispositions pertinentes de la présente décision.

2 Le délégué à la protection des données établit les modalités détaillées de l’assistance visée au paragraphe 1 au cas par cas, conformément à la présente décision. L’exercice de sa fonction consultative ne doit pas être incompatible avec ses autres tâches.

1 Le secrétaire général peut désigner des membres du personnel au service chargé de la protection des données afin qu’ils assistent le délégué à la protection des données dans l’exercice de ses fonctions.

2 Les membres du personnel désignés en vertu du paragraphe 1 peuvent représenter le délégué à la protection des données en son absence. À cette fin, le délégué à la protection des données peut délivrer des délégations de pouvoir internes à l’égard de certains membres de son personnel. Une copie de toute délégation de cette nature est fournie au Contrôleur européen de la protection des données ainsi qu’au secrétaire général.

1 Un réseau de coordinateurs de la protection des données constitué d’au moins un représentant de chaque direction générale, d’une personne représentant la coordination des groupes politiques et du délégué à la protection des données est établi au Parlement européen.

2 Le secrétaire général peut préciser les modalités détaillées concernant la désignation, les fonctions et les tâches des coordinateurs de la protection des données.

3 Le délégué à la protection des données tient régulièrement des réunions avec les coordinateurs de la protection des données.

1 Le droit d’être informé, le droit d’accès, le droit de rectification, le droit à l’effacement, le droit à la limitation du traitement, les droits relatifs à la notification aux destinataires, le droit à la portabilité des données, le droit d’opposition et les droits liés à la prise de décision automatisée (en ce compris le profilage), tels qu’énoncés aux articles 14 à 24 du règlement (UE) 2018/1725, ne peuvent être exercés que par la personne concernée ou par son représentant dûment mandaté.

2 La personne concernée adresse au responsable du traitement les demandes d’exercice d’un des droits visés au paragraphe 1. Un formulaire de demande non obligatoire est disponible sous forme électronique sur le site internet du Parlement européen. La demande contient: a) le nom, le prénom et les coordonnées de la personne concernée; b) la mention du droit exercé; c) le cas échéant, les pièces justificatives relatives à la demande; d) la ou les catégories de données à caractère personnel concernées; e) la signature de la personne concernée et la date de la demande.

3 La demande peut être transmise par courrier interne ou externe, par courrier électronique ou par tout autre moyen écrit.

4 En cas de demande imprécise ou incomplète, le responsable du traitement demande les renseignements nécessaires. Tant que ces points n’ont pas été définitivement éclaircis, le délai applicable visé à l’article 14, paragraphes 3 et 4, du règlement (UE) 2018/1725 ne commence pas à courir.

5 Le responsable du traitement vérifie l’identité de la personne concernée conformément à l’article 14, paragraphe 6, du règlement (UE) 2018/1725. Il convient d’effectuer un tel contrôle de la manière la moins intrusive possible. Durant la période de vérification, le délai applicable visé à l’article 14, paragraphes 3 et 4, du règlement (UE) 2018/1725 ne commence pas à courir.

6 Le responsable du traitement est tenu de répondre à toute demande d’exercice des droits formulée par une personne concernée, y compris lorsque le Parlement européen ne détient pas de données à caractère personnel pertinentes. Un accusé de réception est envoyé à la personne concernée dans un délai de cinq jours ouvrables à partir de la réception de la demande. Toutefois, le responsable du traitement n’est pas tenu d’envoyer un accusé de réception en cas de réponse substantielle à la demande dans un même délai de cinq jours ouvrables.

7 La réponse est transmise à la personne concernée, dans les délais prévus à l’article 14, paragraphes 3 et 4, du règlement (UE) 2018/1725, par le même moyen de communication et dans la même langue de l’Union que ceux utilisés par la personne concernée, pourvu que cette dernière n’ait pas fourni d’indication contraire.

8 Lorsqu’il traite une demande en vertu de l’article 14 du règlement (UE) 2018/1725, le responsable du traitement tient compte de la nécessité éventuelle d’appliquer une exception, une dérogation ou une limitation au titre du chapitre V de la présente décision.

9 Dans le cas d’une demande particulièrement complexe ou si le traitement conforme d’une demande est susceptible de présenter un risque pour les droits et libertés d’autres personnes concernées, le responsable du traitement consulte le délégué à la protection des données.

1 Conformément à l’article 14 du règlement (UE) 2018/1725, le responsable du traitement fournit les informations visées aux articles 15 et 16 dudit règlement sous une forme généralisée sur l’internet ou l’intranet, y compris lorsqu’un traitement ultérieur est prévu.

2 Dans la mesure du possible, et sans préjudice des autres moyens de communication énoncés à l’article 14, paragraphes 1 et 7, du règlement (UE) 2018/1725, les informations visées aux articles 15 et 16 dudit règlement sont présentées aux personnes concernées de manière individuelle, soit par écrit, soit par voie électronique.

1 Sans préjudice du paragraphe 2, dès lors qu’une personne concernée demande d’accéder à ses données à caractère personnel, le responsable du traitement extrait les données de leur lieu de stockage, y compris les documents électroniques ou papier, et les transmet à la personne concernée par l’un des moyens suivants: a) la délivrance d’une compilation établie par le responsable du traitement; b) la délivrance d’une copie papier ou d’une copie électronique; c) d’autres moyens à la disposition du responsable du traitement et adaptés à la configuration du dossier.

2 Conformément à l’article 17, paragraphe 3, du règlement (UE) 2018/1725, lorsqu’une personne concernée introduit une demande d’accès par voie électronique, sauf indication contraire, le responsable du traitement fournit les informations dans un format électronique couramment utilisé.

1 La demande de rectification précise les données à caractère personnel qui doivent être rectifiées ou complétées, une démonstration du caractère imprécis ou incomplet desdites données et la correction qui doit être effectuée. Le cas échéant, la demande peut être accompagnée de pièces justificatives.

2 La personne concernée est informée de l’exécution de la rectification. En cas de rejet de la demande, le responsable du traitement informe la personne concernée par écrit des motifs de cette décision.

1 La demande d’effacement précise les données à caractère personnel à effacer ainsi que les motifs qui sous-tendent son introduction au sens de l’article 19, paragraphe 1, du règlement (UE) 2018/1725.

2 La personne concernée est informée de l’exécution de l’effacement. En cas de refus de la demande, le responsable du traitement informe la personne concernée par écrit des motifs de cette décision.

3 L’effacement suppose la disparition physique des données à caractère personnel sans qu’il faille les remplacer par un code.

1 La demande de limitation du traitement précise les données à caractère personnel concernées ainsi que les motifs qui sous-tendent son introduction, tels qu’indiqués à l’article 20, paragraphe 1, du règlement (UE) 2018/1725.

2 La personne concernée est informée de la mise en place de la limitation du traitement. En cas de refus de la demande, le responsable du traitement informe la personne concernée par écrit des motifs de cette décision.

1 Au terme de l’une des procédures visées aux articles 19 à 21 de la présente décision, le responsable du traitement lance, sans attendre, la procédure prescrite à l’article 21 du règlement (UE) 2018/1725.

2 Si la notification aux destinataires se révèle impossible ou exige un effort disproportionné, le responsable du traitement en informe la personne concernée par écrit des motifs du refus.

1 La demande introduite en vertu de l’article 22 du règlement (UE) 2018/1725 précise les données à caractère personnel concernées.

2 En cas de refus de la demande, le responsable du traitement indique à la personne concernée, par écrit, les motifs de sa décision.

1 En cas d’opposition, il y a lieu de préciser les données à caractère personnel concernées ainsi que les éléments liés à la situation personnelle qui la motivent.

2 En cas de refus de l’opposition, le responsable du traitement indique à la personne concernée, par écrit, les motifs de sa décision.

1 Avant de mettre en œuvre une limitation en vertu de la section 2 du présent chapitre, le responsable du traitement examine si l’une des exceptions énoncées dans le règlement (UE) 2018/1725 s’applique, notamment celles relevant de l’article 15, paragraphe 4, de l’article 16, paragraphe 5, de l’article 19, paragraphe 3, ou de l’article 35, paragraphe 3, dudit règlement.

2 En ce qui concerne le traitement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, le responsable du traitement examine si les exceptions visées à l’article 16, paragraphe 5, point b), et à l’article 19, paragraphe 3, point d), du règlement (UE) 2018/1725 s’appliquent.

1 En ce qui concerne le traitement à des fins archivistiques dans l’intérêt public, le responsable du traitement peut recourir à des dérogations en application de l’article 25, paragraphe 4, du règlement (UE) 2018/1725. À cette fin, le responsable du traitement peut déroger aux droits visés aux articles 17, 18, 20, 21, 22 et 23 du règlement (UE) 2018/1725 conformément aux conditions prévues à l’article 25, paragraphe 4, dudit règlement.

2 En ce qui concerne le traitement à des fins de recherche scientifique ou historique ou à des fins statistiques, le responsable du traitement peut recourir à des dérogations en application de l’article 25, paragraphe 3, du règlement (UE) 2018/1725. À cette fin, le responsable du traitement peut déroger aux droits visés aux articles 17, 18, 20 et 23 du règlement (UE) 2018/1725 conformément aux conditions prévues à l’article 25, paragraphe 3, dudit règlement.

3 De telles dérogations sont assujetties à des garanties appropriées en application de l’article 13 du règlement (UE) 2018/1725 et de l’article 28, paragraphes 1 et 2, de la présente décision. Des mesures techniques et organisationnelles sont mises en place conformément à l’article 2, paragraphe 6, point a), et à l’article 10 de la présente décision, en particulier pour garantir le respect du principe de minimisation des données et, le cas échéant, la pseudonymisation.

1 La présente section établit les conditions générales dans lesquelles le responsable du traitement peut limiter l’application des articles 14 à 21, 35 et 36 du règlement (UE) 2018/1725 ainsi que de son article 4 dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 21 dudit règlement, en application de son article 25. Les conditions générales visées au premier alinéa sont complétées par les dispositions des annexes de la présente décision, qui précisent les conditions dans lesquelles le Parlement européen peut limiter les droits des personnes concernées dans le cadre de chacune de ses activités et procédures susceptibles d’impliquer le traitement de données à caractère personnel et de requérir l’application de limitations.

2 La présente section s’applique au traitement de données à caractère personnel aux fins des activités et des procédures menées par le Parlement européen, tel que précisé dans les annexes de la présente décision.

3 Aux fins de chaque traitement et limitation, le responsable du traitement concerné est désigné en application de l’article 2 de la présente décision.

1 Les données à caractère personnel faisant l’objet d’une limitation sont conservées dans un environnement physique ou électronique sécurisé qui empêche leur consultation illicite ou leur transfert à des personnes qui n’ont pas besoin de les connaître.

2 Après la fin du traitement, les documents qui contiennent les données à caractère personnel sont conservés conformément aux règles applicables du Parlement européen .

3 Avant d’appliquer la moindre limitation, une évaluation de la nécessité et de la proportionnalité de la limitation et des risques pour les personnes concernées est effectuée conformément à l’article 35 de la présente décision.

1 Sous réserve des articles 30 à 36 et des dispositions des annexes applicables de la présente décision, le responsable du traitement peut appliquer des limitations portant sur les droits de la personne concernée explicitement visés dans les annexes applicables lorsque l’exercice de ces droits est de nature à compromettre l’objectif de l’une des activités ou procédures énoncées dans ces annexes.

2 Le responsable du traitement enregistre et consigne dans un registre les motifs de la limitation conformément à l’article 35 de la présente décision.

1 Le Parlement européen publie sur son site internet une communication relative à la protection des données de manière à informer toutes les personnes concernées quant aux activités supposant le traitement de leurs données à caractère personnel ainsi qu’une éventuelle limitation de leurs droits dans ce contexte. Ces informations indiquent les droits qui peuvent faire l’objet d’une limitation, les motifs de cette limitation, la durée potentielle de celle-ci ainsi que les voies de recours possibles.

2 Si possible, le responsable du traitement informe directement, sans retard injustifié et sous la forme la plus appropriée, toute personne concernée de ses droits en ce qui concerne cette limitation, lesquels sont déterminés au cas par cas. Ces informations indiquent les droits qui peuvent faire l’objet d’une limitation, les motifs de cette limitation, la durée potentielle de celle-ci ainsi que les voies de recours possibles.

1 Lorsque le responsable du traitement limite le droit d’information visé aux articles 15 et 16 du règlement (UE) 2018/1725, les personnes concernées sont informées, conformément à l’article 25, paragraphe 6, dudit règlement, des principales raisons qui motivent cette limitation et de leur droit de saisir le Contrôleur européen de la protection des données.

2 Toutefois, la communication des informations peut être différée, omise ou refusée conformément à l’article 25, paragraphe 8, du règlement (UE) 2018/1725 si elle prive d’effet la limitation.

3 Lorsque le responsable du traitement diffère, omet ou refuse, en tout ou en partie, la communication des informations aux personnes concernées au sens du paragraphe 2 du présent article, il en enregistre les motifs et les consigne dans un registre, conformément à l’article 35 de la présente décision.

1 Lorsque le responsable du traitement limite, en tout ou en partie, le droit des personnes concernées d’accéder aux données à caractère personnel, le droit de rectification, le droit à l’effacement ou le droit à la limitation du traitement visés aux articles 17, 18, 19 et 20, respectivement, du règlement (UE) 2018/1725 ainsi que l’obligation de notification prévue à l’article 21 dudit règlement, il informe la personne concernée, dans sa réponse à la demande d’accès, de rectification, d’effacement ou de limitation du traitement, de la limitation appliquée et des principaux motifs qui sous-tendent celle-ci ainsi que de la possibilité de saisir le Contrôleur européen de la protection des données ou d’introduire un recours juridictionnel devant la Cour de justice de l’Union européenne (ci-après dénommée «Cour de justice»).

2 La communication des informations relatives aux motifs de la limitation visée au paragraphe 1 peut être différée, omise ou refusée aussi longtemps qu’elle priverait d’effet la limitation.

3 Le responsable du traitement consigne dans un registre les motifs du report, de l’omission ou du refus, conformément à l’article 35 de la présente décision.

4 Lorsque le droit d’accès est limité en tout ou en partie et que la personne concernée a exercé son droit de saisir le Contrôleur européen de la protection des données, ce dernier fait savoir à la personne concernée, et à elle seulement, si les données ont été traitées correctement et, dans la négative, si des corrections ont été apportées conformément à l’article 25, paragraphe 7, du règlement (UE) 2018/1725.

Lorsque le responsable du traitement limite l’application de l’article 35 du règlement (UE) 2018/1725, il enregistre les motifs de la limitation et les consigne dans un registre, conformément à l’article 35 de la présente décision.

Lorsque le responsable du traitement limite l’obligation du Parlement européen de garantir la confidentialité des communications électroniques visée à l’article 36 du règlement (UE) 2018/1725, il enregistre les motifs de la limitation et les consigne dans un registre, conformément à l’article 35 de la présente décision.

1 Avant d’appliquer des limitations particulières, le responsable du traitement évalue la nécessité et la proportionnalité des limitations, en tenant compte des éléments pertinents mentionnés à l’article 25, paragraphe 2, du règlement (UE) 2018/1725. Cette évaluation comprend également une évaluation des risques pour les droits et libertés des personnes concernées, notamment le risque que leurs données à caractère personnel puissent être encore traitées, à leur insu, et qu’elles soient dans l’impossibilité d’exercer leurs droits conformément au règlement (UE) 2018/1725. L’évaluation est consignée sous la forme d’une note d’évaluation interne, et est menée au cas par cas.

2 Le responsable du traitement consigne dans un registre les motifs de toute limitation appliquée en vertu de la présente décision, en ce compris l’évaluation effectuée conformément au paragraphe 1. À cette fin, l’entrée dans le registre indique en quoi l’exercice des droits des personnes concernées compromettrait la finalité de l’une des activités ou procédures menées par le Parlement européen, telles que définies dans les annexes de la présente décision.

3 Lorsque, conformément à l’article 25, paragraphe 8, du règlement (UE) 2018/1725, le responsable du traitement diffère, omet ou refuse de transmettre des informations à une personne concernée sur l’application d’une limitation, il consigne également, le cas échéant, les raisons de cette décision.

4 L’entrée dans le registre et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont conservés dans un registre central. Ils sont mis à la disposition du Contrôleur européen de la protection des données si celui-ci en fait la demande.

1 Les limitations visées aux articles 29 et 31 à 34 de la présente décision, lues conjointement avec les annexes de la présente décision, s’appliquent aussi longtemps que les motifs qui les justifient restent valables.

2 Lorsque les motifs d’une limitation visée aux articles 29 et 31 à 34 de la présente décision, lus conjointement avec les annexes pertinentes de la présente décision, cessent de s’appliquer, le responsable du traitement lève la limitation. Dans le même temps, le responsable du traitement fournit à la personne concernée les motifs principaux de la limitation et l’informe de la possibilité de déposer à tout moment une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice.

3 Le responsable du traitement réexamine l’application de la limitation visée aux articles 29 et 31 à 34 de la présente décision, lus conjointement avec les annexes de la présente décision, tous les six mois à compter de son adoption et à la clôture de la procédure concernée. Par la suite, aux fins des activités et des procédures visées aux annexes I, II, V, VI, VII, VIII, IX et X de la présente décision, le responsable du traitement surveille la nécessité de conserver chacune des limitations sur une base annuelle.

1 Le délégué à la protection des données est informé sans retard injustifié chaque fois que les droits de personnes concernées sont limités conformément à la présente section. Le délégué à la protection des données obtient, sur demande, l’accès au registre et à tout document contenant des éléments factuels et juridiques sous-jacents.

2 Le délégué à la protection des données peut demander un réexamen des limitations. Il est informé par écrit du résultat du réexamen demandé.

3 Tous les échanges d’informations avec le délégué à la protection des données tout au long de la procédure conformément aux paragraphes 1 et 2 sont enregistrés sous la forme appropriée.

Les annexes de la présente décision font partie intégrante de celle-ci.

1 Tout membre du personnel du Parlement européen peut présenter une réclamation au sens de l’article 68 du règlement (UE) 2018/1725 auprès du Contrôleur européen de la protection des données. L’introduction d’une telle réclamation n’a pas pour effet de suspendre les délais pour introduire une réclamation au sens de l’article 90 du statut des fonctionnaires.

2 Indépendamment du droit visé au paragraphe 1, tout membre du personnel du Parlement européen peut présenter une réclamation au sens de l’article 90 du statut des fonctionnaires sur une question relative au traitement des données à caractère personnel auprès de l’AIPN. Dans sa réclamation, le membre du personnel indique si une réclamation a été présentée auprès du Contrôleur européen de la protection des données parallèlement à la réclamation au titre du statut des fonctionnaires. En cas de réclamation au titre de l’article 90, paragraphe 2, du statut des fonctionnaires, les services concernés du Parlement européen consultent le délégué à la protection des données.

1 Les dispositions d’application en ce qui concerne le règlement (CE) no 45/2001 du Parlement européen et du Conseil relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données, établies conformément à la décision du Bureau du 22 juin 2005 , sont abrogées avec effet au jour de l’entrée en vigueur de la présente décision.

2 La décision du Bureau du Parlement européen du 3 avril 2019 relative aux dispositions d’application concernant les limitations de certains droits des personnes concernées par le transfert de données à caractère personnel entre le Parlement et les autorités nationales dans le cadre d’enquêtes criminelles ou financières est abrogée avec effet au jour de l’entrée en vigueur de la présente décision.

La présente décision entre en vigueur le jour suivant celui de sa publication au Journal officiel de l’Union européenne.