Décision de la Haute Représentante de l’Union pour les Affaires Etrangères et la Politique de Sécurité du 1er octobre 2019 relative aux modalités d’exécution concernant la protection des données à caractère personnel par le Service européen pour l’action extérieure et l’application du règlement (UE) 2018/1725 du Parlement européen et du Conseil2019/C 370/05

1 Conformément à l’article 45, paragraphe 3, du règlement, la présente décision définit les missions, les fonctions et les pouvoirs du délégué à la protection des données (ci-après le «DPD») au sein du SEAE.

2 La présente décision précise également les procédures internes et les responsabilités des responsables du traitement et des sous-traitants ainsi que le rôle, les missions et les fonctions des coordinateurs et correspondants chargés de la protection des données, conformément, en particulier, aux articles 26 et 29 du règlement.

Aux fins de la présente décision et sans préjudice des définitions fournies dans le règlement, on entend par: a) «responsable du traitement»: le SEAE ou ses entités organisationnelles, y compris les délégations de l’Union européenne, qui, seuls ou conjointement avec d’autres, déterminent les finalités et les moyens du traitement des données à caractère personnel; b) «représentant du responsable du traitement»: les membres de la direction du SEAE ou les chefs des entités organisationnelles qui supervisent les entités responsables du traitement visées au point (a) ci-dessus et qui sont responsables du traitement des données à caractère personnel et sont tenus d’en rendre compte; c) «responsable délégué du traitement»: un service ou un membre du personnel au sein de l’entité organisationnelle responsable du traitement qui est chargé de gérer l’activité de traitement des données à caractère personnel; d) «responsables conjoints du traitement»: deux ou plusieurs entités organisationnelles qui déterminent ensemble les finalités et les moyens du traitement des données à caractère personnel, ainsi que les rôles et les responsabilités des responsables du traitement, y compris leurs fonctions ayant trait à l’exercice des droits de la personne concernée, en particulier lorsque le SEAE contrôle conjointement le traitement avec d’autres institutions, organes ou organismes de l’Union européenne, ou toute autre entité; e) «délégué à la protection des données» (DPD): le membre du personnel du SEAE désigné par ce dernier, conformément à l’article 43 du règlement, pour soutenir, informer et conseiller les responsables du traitement; f) «coordinateur et correspondant chargé de la protection des données (CPD)»: respectivement, les membres du personnel du SEAE au siège et dans les délégations de l’Union européenne qui sont désignés pour assister leurs responsables du traitement sur les questions en matière de protection des données; g) «sous-traitant»: une entité, à l’intérieur ou à l’extérieur du SEAE, qui traite des données à caractère personnel pour le compte du responsable du traitement; h) «avis relatifs à la protection des données»: les avis, tels que des déclarations de confidentialité, au moyen desquels le responsable du traitement communique des informations aux personnes concernées conformément aux articles 15 et 16 du règlement; i) «personnel du SEAE»: les fonctionnaires et autres agents de l’Union européenne qui travaillent pour le SEAE, y compris le personnel des services diplomatiques des États membres de l’Union européenne, les experts nationaux détachés et les stagiaires, conformément à l’article 6 de la décision du Conseil relative au SEAE.

1 Le secrétaire général du SEAE désigne le DPD parmi les membres du personnel du SEAE, conformément à l’article 43 du règlement, et l’enregistre auprès du Contrôleur européen de la protection des données (ci-après le «CEPD»).

2 Outre les compétences énoncées à l’article 43, paragraphe 3, du règlement, le DPD doit posséder une connaissance approfondie des services du SEAE, de leur structure, de leurs systèmes d’information, ainsi que de leurs règles et procédures administratives. Il doit disposer d’une expertise en matière de protection des données, pouvoir faire preuve de discernement et être à même de rester impartial et objectif conformément au statut.

3 Le DPD est désigné pour un mandat de cinq ans renouvelable.

4 Le DPD ne peut être démis de ses fonctions qu’avec le consentement du CEPD, s’il ne remplit plus les conditions requises pour l’exercice de ses fonctions.

5 Le DPD est rattaché administrativement au secrétaire général.

6 Les coordonnées du DPD sont publiées sur l’intranet et le site web externe du SEAE et sont communiquées au CEPD.

1 Le DPD agit en toute indépendance et en coopération avec le CEPD. Le SEAE ne donne aucune instruction au DPD en ce qui concerne l’exécution de ses missions.

2 Le DPD ne peut être démis de ses fonctions ni pénalisé du fait de l’exécution de ses missions.

3 Le DPD est informé de tous les contacts avec les parties externes concernant l’application du règlement et de la présente décision, en particulier de toute interaction avec le CEPD et les membres du réseau des DPD au sein des institutions, organes et organismes de l’Union européenne.

4 Les personnes concernées peuvent s’adresser au DPD au sujet de toute question liée au traitement de leurs données à caractère personnel ou à l’exercice des droits dont elles disposent en vertu du règlement.

5 Le DPD peut être consulté par le responsable du traitement ou par son représentant, par le comité du personnel et par tout membre du personnel sur toute question relative à l’interprétation ou à l’application du règlement, sans que ceux-ci soient tenus de passer par les canaux officiels. Nul ne doit subir de préjudice pour avoir porté une question à l’attention du DPD.

Le délégué: a) est consulté sur toute question ayant trait à la protection de données à caractère personnel; b) fournit des orientations et donne des conseils de manière proactive aux entités du SEAE et à leurs contractants exerçant des activités de traitement de données à caractère personnel, sur la manière de mettre en œuvre le règlement et la présente décision, y compris sur la consultation relative aux notifications de violations de données, les analyses d’impact et la nécessité de consulter préalablement le CEPD; c) est en contact régulier avec les responsables du traitement afin de contrôler le respect des règles en matière de protection des données et les soutient dans l’exécution de leurs missions, en particulier pour contribuer à la préparation et à la publication des avis relatifs à la protection des données et répondre aux demandes émanant des personnes concernées; d) est en contact régulier avec les CPD du siège du SEAE et des délégations de l’Union européenne et gère le réseau des CPD au sein du SEAE; e) mène des activités de sensibilisation à la protection générale des données, organise des formations et des séances d’information; f) coopère avec les DPD des autres institutions, organes et organismes de l’Union européenne, notamment en échangeant des expériences et des bonnes pratiques; g) tient un registre central des activités de traitement effectuées par le SEAE sur la base des registres établis par les responsables du traitement conformément à l’article 31 du règlement, et met le registre à la disposition du public; h) contribue à assurer la représentation du haut représentant ou du SEAE au niveau international sur toutes les questions liées à la protection des données.

Dans l’exécution de ses missions, le DPD: a) a accès, à tout moment, aux données traitées par les entités du SEAE et leurs contractants, ainsi qu’à tous les bureaux, centres de traitement des données et supports de données; b) communique son avis à l’autorité investie du pouvoir de nomination avant toute prise de décision sur des questions liées à l’application des dispositions relatives à la protection des données; c) peut proposer des mesures administratives et formuler des recommandations générales sur l’application correcte du règlement et de la présente décision; d) peut formuler des recommandations visant à améliorer concrètement la protection des données à l’intention de la direction du SEAE, de son personnel et de toute partie externe concernée; e) peut enquêter sur des questions relatives à la protection des données et peut communiquer le résultat de l’enquête, non seulement à la personne ayant demandé l’enquête ou déposé la plainte, mais aussi au responsable du traitement et à tout membre compétent de la direction du SEAE; f) peut mettre au point des modèles et des procédures, instructions ou politiques internes en vue de fournir des orientations aux responsables du traitement et aux sous-traitants; g) peut recourir aux services d’experts externes, y compris de spécialistes des technologies de l’information; h) peut attirer l’attention de l’autorité investie du pouvoir de nomination du SEAE sur le non-respect, par un membre du personnel, des obligations qui lui incombent en vertu du règlement et de la présente décision, et suggérer l’ouverture d’une enquête administrative; i) peut émettre des lignes directrices internes relatives à la protection des données (notes d’orientation du DPD) qui sont prises en compte lors du traitement des données à caractère personnel.

1 Le DPD est doté du personnel et des ressources nécessaires pour accomplir les missions visées à l’article 5 de la présente décision.

2 Tout membre du personnel du SEAE assiste le DPD dans l’exécution des missions visées à l’article 5 de la présente décision. En particulier, les responsables du traitement et les sous-traitants fournissent les informations demandées sur les activités de traitement des données et l’accès aux données à caractère personnel et établissent les projets de réponse aux demandes des personnes concernées exerçant leur droit d’accès, de modification et de suppression qui ont été transmises au DPD, mais sont liées aux activités de traitement relevant de la responsabilité du responsable du traitement.

3 Le DPD peut disposer d’un DPD adjoint ou assistant, ainsi que de personnel administratif et de services de secrétariat, selon les besoins. Il peut également recourir à d’autres entités du SEAE ou à des entités sous contrat et à des experts externes.

4 Une fois désigné, le DPD adjoint ou assistant assiste le DPD dans l’exécution de ses missions et peut représenter ce dernier en cas d’absence. Les articles 4, 5 et 6 de la présente décision s’appliquent également au DPD adjoint ou assistant.

5 Le DPD dispose de locaux appropriés dans lesquels la sécurité et la confidentialité des informations, y compris des données à caractère personnel, peuvent être garanties et dans lesquels les données et les documents peuvent être stockés et archivés de manière adéquate.

6 Le DPD dispose d’un outil électronique qui peut i) gérer les registres des activités de traitement des données à caractère personnel conformément à l’article 31 du règlement et ii) stocker les avis relatifs à la protection des données, les notifications de violations de données, les analyses d’impact relatives à la protection des données, les demandes des personnes concernées et les relevés de transferts de données.

7 Le SEAE aide le DPD à entretenir et à renforcer son expertise, notamment en facilitant sa participation à des cours de formation, des conférences ou des événements interinstitutionnels ou externes ayant pour thème la protection des données, ainsi qu’à des réunions et formations organisées par le CEPD et le réseau des DPD des institutions, organes et organismes de l’Union européenne.

1 Les responsables délégués du traitement, les représentants des responsables du traitement et des sous-traitants sont chargés, pour le compte du responsable du traitement, de veiller à ce que toutes les activités de traitement effectuées sous leur contrôle soient conformes au règlement, notamment à son article 26, et aux dispositions de la présente décision. Ils peuvent, au besoin, confier des missions de traitement de données à des membres du personnel du SEAE travaillant sous leur responsabilité ou à des entités sous contrat, conformément à l’article 29 du règlement.

2 En particulier, les responsables du traitement: a) garantissent et démontrent que le traitement est effectué conformément au règlement et à la présente décision et en rendent compte; b) consignent dans un registre toute activité de traitement et toute modification substantielle d’une activité de traitement existante; c) veillent à ce que les personnes concernées soient informées du traitement de leurs données conformément aux articles 15 et 16 du règlement, en mettant à disposition les avis relatifs à la protection des données; d) coopèrent avec le DPD et le CEPD, notamment en fournissant des informations en réponse à leurs demandes dans un délai de 14 jours civils à compter de la date de la demande; e) informent le DPD lorsqu’il est fait appel à un contractant pour traiter des données à caractère personnel pour le compte du responsable du traitement; f) désignent un CPD, soutiennent ce dernier dans l’exécution de ses missions et informent le DPD de tout changement concernant l’identité ou la fonction du CPD; g) consultent le DPD afin de déterminer si les activités de traitement sont conformes au règlement et à la présente décision. Ils peuvent consulter le DPD ou d’autres experts sur des questions ayant trait à la confidentialité, à la disponibilité et à l’intégrité des activités de traitement ainsi que sur les mesures de sécurité prises en vertu de l’article 33 du règlement.

3 Les responsables du traitement peuvent recourir à d’autres entités du SEAE ou à des entités sous contrat en tant que sous-traitant, conformément aux dispositions du règlement, pour autant qu’ils consignent dans leurs registres l’identité du sous-traitant, les missions qui lui sont confiées et les mesures de sécurité qui sont prises.

4 Le responsable du traitement veille à ce que le DPD soit informé sans délai: a) de toutes les questions ayant, ou pouvant avoir, des implications en matière de protection des données; b) de toutes les communications et décisions de la direction du SEAE relatives à l’application du règlement, en particulier de toute interaction avec le CEPD.

1 En fonction de leur taille et du type de données à caractère personnel traitées, les entités organisationnelles du SEAE disposent d’un CPD qui fait office de point de contact pour la protection des données. Chaque direction générale ou direction du siège du SEAE et chaque délégation de l’Union européenne désignent un coordinateur chargé de la protection des données ou un correspondant chargé de la protection des données. Toutes les divisions qui traitent régulièrement de grandes quantités de données à caractère personnel, des catégories particulières de données ou des données à caractère personnel sensibles, dont le traitement présente un risque élevé, désignent également leur propre CPD. La fonction de CPD est affectée à un poste permettant d’avoir une vue d’ensemble des activités de l’entité.

2 Le CPD dispose des compétences nécessaires et acquiert des connaissances en matière de protection des données. Il reçoit une formation initiale dans le domaine de la protection des données et peut assister à des séances d’information et à des réunions du réseau des CPD.

3 Le CPD: a) aide les responsables du traitement à se conformer à leurs obligations, sans préjudice des responsabilités du DPD; b) facilite la communication entre le DPD et les responsables du traitement; c) fait office de point de contact pour les questions liées à la protection des données au sein de son service et assure la liaison avec le DPD; d) informe et assiste ses collègues sur les questions liées au traitement des données à caractère personnel; e) transmet des informations sur les actions de sensibilisation et les séances de formation au personnel; f) travaille avec le DPD à la création et à la mise à jour d’un inventaire des activités de traitement des données à caractère personnel existantes et nouvelles; g) contacte et informe le DPD en ce qui concerne toutes les données à caractère personnel qui sont traitées au sein du service; h) contribue à identifier les responsables délégués du traitement et les sous-traitants compétents; i) met en place des registres dans son domaine d’expertise; j) aide les responsables du traitement à mettre en place et à réexaminer des registres et à élaborer des avis relatifs à la protection des données; k) contribue aux vérifications de conformité et aux analyses d’impact; l) veille à ce que les avis relatifs à la protection des données pertinents soient publiés et correctement utilisés par son service; m) informe le DPD de toute violation de données; n) prépare, en coopération avec le DPD, la réponse aux demandes de personnes concernées exerçant leurs droits, et traite les plaintes et les questions relatives aux activités de traitement des données au sein de son service.

4 Le CPD a le droit d’obtenir les informations nécessaires pour identifier des activités de traitement des données à caractère personnel et consulte le DPD pour le compte de son service. Cela ne concerne pas le droit d’accès à des données à caractère personnel traitées sous la responsabilité du responsable du traitement.

L’autorité investie du pouvoir de nomination consulte le DPD sur toute demande ou réclamation introduite en vertu de l’article 90 du statut en ce qui concerne l’application du règlement.

1 Tous les membres du personnel du SEAE appliquent les règles de confidentialité et de sécurité applicables au traitement des données à caractère personnel qui sont énoncées aux articles 33, 34 et 35 du règlement. Les membres du personnel du SEAE ayant accès à des données à caractère personnel ne peuvent traiter ces données que sur instruction des responsables du traitement.

2 Tous les membres du personnel du SEAE informent leur supérieur hiérarchique lorsqu’ils doivent traiter des données à caractère personnel afin que les responsables du traitement puissent consigner le traitement dans leur registre de protection des données et élaborer les avis relatifs à la protection des données nécessaires.

3 Tout membre du personnel du SEAE peut introduire une demande ou faire part d’une préoccupation, concernant notamment une violation présumée de données, auprès du DPD, ou peut déposer une plainte auprès du CEPD en ce qui concerne une violation alléguée du règlement ou de la présente décision, sans que ses supérieurs hiérarchiques doivent en être informés.

4 Si un membre du personnel estime qu’un pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans un pays tiers, ou une organisation internationale n’assure pas un niveau de protection adéquat au sens de l’article 45, paragraphe 3, du règlement (UE) 2016/679 du Parlement européen et du Conseil ou de l’article 36, paragraphe 3, de la directive (UE) 2016/680 du Parlement européen et du Conseil , il en informe le DPD.

1 Les garanties, les mesures techniques et les mesures organisationnelles visant à éviter toute violation, fuite ou divulgation non autorisée de données comprennent: a) une définition adéquate des rôles, des responsabilités et des étapes de la procédure; b) un environnement électronique sécurisé qui empêche l’accès illicite ou accidentel à des données électroniques, ou le transfert illicite ou accidentel de données électroniques à des personnes non autorisées, grâce à des mesures de sécurité intégrées dans les différentes applications informatiques utilisées; c) le traitement et le stockage sécurisés de documents sur support papier; d) un accès électronique et physique aux seuls membres du personnel autorisés, les droits d’accès devant être accordés à titre individuel.

2 Avant de concevoir des activités de traitement des données, les responsables du traitement mettent en œuvre la protection des données dès la conception et par défaut visée à l’article 27 du règlement. Afin de mettre en œuvre la protection des données dès la conception et par défaut, le responsable du traitement peut consulter le DPD et d’autres services concernés, y compris le service informatique et le service de sécurité informatique.

Dès qu’il a connaissance d’un incident, notamment d’une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel transférées, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données («violation de données à caractère personnel»), le responsable du traitement ou le sous-traitant en informe immédiatement le DPD et, dans un délai de 72 heures, le CEPD et documente l’incident de manière appropriée.

1 Le DPD peut ouvrir une enquête concernant un manquement présumé aux obligations découlant du règlement de sa propre initiative ou sur demande. Les demandes sont adressées au DPD par écrit.

2 Le DPD peut demander au responsable du traitement chargé de l’activité de traitement des données concernée d’établir une déclaration écrite sur le cas en question. Le responsable du traitement fournit la réponse au DPD dans un délai de 14 jours civils à compter de la réception de la demande. Le DPD peut demander l’accès à des informations complémentaires, à des documents, à des supports de données, à des centres de données, à des locaux et à des systèmes d’autres services du SEAE, en particulier de la division informatique, de la direction de la sécurité et de la direction générale chargée des enquêtes administratives et des procédures disciplinaires. Les informations ou l’avis demandés lui sont communiqués dans les 14 jours civils.

3 En cas de demandes manifestement infondées, abusives ou excessives, en particulier lorsque la même personne concernée a introduit des demandes à caractère répétitif, le DPD peut refuser d’y donner suite en vertu de l’article 14 du règlement. Le demandeur doit en être informé.

1 Les personnes concernées peuvent s’adresser au responsable du traitement ou au DPD pour exercer leurs droits conformément aux articles 14 à 24 du règlement.

2 Les demandes d’exercice des droits des personnes concernées sont présentées par écrit. Si nécessaire, le DPD aide la personne concernée à identifier le responsable du traitement concerné. Le DPD transmet toute demande reçue au responsable du traitement compétent, qui peut consulter le DPD.

3 Les responsables du traitement traitent la demande et répondent directement à la personne concernée.

1 Les responsables du traitement ne donnent suite à la demande qu’après que l’identité du demandeur a été vérifiée ou, dans le cas d’une demande émanant d’un représentant de la personne concernée, que l’autorisation de la personne concernée a été accordée.

2 Le responsable du traitement chargé de l’activité de traitement des données transmet un accusé de réception au demandeur dans un délai de 14 jours civils à compter de la réception de la demande par le SEAE. Sauf disposition contraire, le responsable du traitement répond à la demande dans un délai d’un mois à compter de l’enregistrement de la demande. Le responsable du traitement répond favorablement à la demande ou indique par écrit les motifs d’un refus total ou partiel. Le délai de réponse peut être prolongé de deux mois supplémentaires, en fonction de la complexité de la question et du nombre de demandes introduites, conformément à l’article 14, paragraphe 3, du règlement.

3 La demande de la personne concernée peut être refusée si: a) elle n’est pas justifiée; b) une exception prévue par le règlement s’applique; c) une limitation s’applique conformément aux règles internes adoptées sur la base de l’article 25 du règlement.

4 En cas de demandes manifestement infondées, abusives ou excessives, en particulier lorsque la même personne a introduit des demandes à caractère répétitif, le responsable du traitement, après avoir consulté le DPD, peut refuser d’y donner suite en vertu de l’article 14 du règlement. Le demandeur doit en être informé.

Les limitations prévues par les règles internes adoptées sur la base de l’article 25 du règlement et les exceptions prévues aux articles 15 à 19 et 21 à 24 du règlement ne sont appliquées qu’après consultation du DPD.

1 Conformément à l’article 41 du règlement, le CEPD est informé de la présente décision.

2 La présente décision est communiquée au personnel du SEAE, par des moyens appropriés, notamment par sa publication sur le site intranet du SEAE.

La décision PROC HR (2011) 016 de la haute représentante de l’Union pour les affaires étrangères et la politique de sécurité du 8 décembre 2011 concernant les dispositions relatives à la protection des données est abrogée.

La présente décision prend effet le jour suivant celui de son adoption.