Décision du Contrôleur européen de la protection des données du 2 avril 2019 portant règles internes relatives à la limitation de certains droits des personnes concernées en matière de traitement des données à caractère personnel dans le cadre des activités menées par le Contrôleur européen de la protection des données

La présente décision établit les règles relatives aux conditions dans lesquelles le CEPD peut limiter l'application des articles 14 à 20, 35 et 36, ainsi que de l'article 4, du règlement, en vertu de son article 25.

1 Conformément à l'article 25, paragraphe 1, du règlement, le CEPD peut limiter l'application de ses articles 14 à 20, 35 et 36, ainsi que de son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 20, lorsqu'il: a) mène des enquêtes administratives, des procédures pré-disciplinaires et disciplinaires, et des procédures de suspension en vertu de l'article 86 du statut des fonctionnaires de l'Union européenne et des dispositions de son annexe IX, ainsi que de la décision du CEPD du 23 avril 2015, et peut notifier les cas à l'IDOC ou à l'OLAF. Les limitations pertinentes peuvent se fonder sur l'article 25, paragraphe 1, points c), g) et h), du règlement; b) fait en sorte que les membres du personnel du CEPD puissent, à titre confidentiel, communiquer des faits lorsqu'ils estiment qu'il existe de graves irrégularités, comme régi par la décision du CEPD portant règles internes relatives au lancement d'alertes du 14 juin 2016. Les limitations pertinentes peuvent se fonder sur l'article 25, paragraphe 1, point h), du règlement; c) veille à ce que les membres du personnel du CEPD puissent, à titre confidentiel, informer des conseillers confidentiels dans le cadre d'une procédure relative au harcèlement, telle que définie par la décision du CEPD du 10 décembre 2014. Les limitations pertinentes peuvent se fonder sur l'article 25, paragraphe 1, point h), du règlement; d) mène des enquêtes concernant des réclamations relatives à des activités de traitement effectuées par les institutions, organes et organismes de l'Union, conformément à l'article 57, paragraphe 1, point e), du règlement. Les limitations pertinentes peuvent se fonder sur l'article 25, paragraphe 1, points c), g) et h), du règlement; e) mène des enquêtes sur l'application du règlement afin de vérifier la conformité des institutions, organes et organismes de l'Union, conformément à l'article 57, paragraphe 1, point f), du règlement. Les limitations pertinentes peuvent se fonder sur l'article 25, paragraphe 1, points c), g) et h), du règlement; f) mène des enquêtes sur d'éventuelles violations concernant des informations classifiées de l'Union, en vertu de la décision du CEPD du 18 février 2014 modifiant ses règles sur la sécurité des ICUE. Les limitations pertinentes peuvent se fonder sur l'article 25, paragraphe 1, points c), d), g) et h), du règlement; g) réalise des audits internes portant sur l'ensemble des activités et des départements du CEPD. Les limitations pertinentes peuvent se fonder sur l'article 25, paragraphe 1, points c), g) et h), du règlement; h) apporte et bénéficie de l'assistance et la coopération mutuelles avec les autres institutions, organes ou organismes de l'Union, conformément aux dispositions des accords de niveau de service, des protocoles d'accord et des accords de coopération pertinents. Les limitations pertinentes peuvent se fonder sur l'article 25, paragraphe 1, points c), d), g) et h), du règlement; i) apporte et bénéficie de l'assistance et la coopération mutuelles avec les autorités nationales de pays tiers et les organisations internationales, à la demande de celles-ci ou à l'initiative du CEPD, conformément aux dispositions de l'article 51 du règlement. Les limitations pertinentes peuvent se fonder sur l'article 25, paragraphe 1, points c), g) et h), du règlement; j) apporte et bénéficie de l'assistance et la coopération mutuelles avec les pouvoirs publics des États membres de l'Union, à la demande de ceux-ci ou à l'initiative du CEPD. Les limitations pertinentes peuvent se fonder sur l'article 25, paragraphe 1, points c), g) et h), du règlement; k) traite les données à caractère personnel contenues dans les documents obtenus par les parties ou les parties intervenantes dans le cadre de l'affaire en cause lorsqu'il saisit ou intervient devant la Cour de justice de l'Union européenne, en vertu de l'article 58, paragraphe 4 du règlement. Les limitations pertinentes peuvent se fonder sur l'article 25, paragraphe 1, point e), du règlement;

2 Les catégories de données comprennent les données d'identification de personnes physiques, les coordonnées, les fonctions et rôles professionnels, les informations sur la conduite et les performances professionnelles et privées, ainsi que les données financières.

3 Toute limitation doit respecter l'essence des libertés et droits fondamentaux et constituer une mesure nécessaire et proportionnée dans une société démocratique.

4 Une évaluation de la nécessité et de la proportionnalité est effectué au cas par cas avant l'application des limitations. Les limitations se réduisent à ce qui est strictement nécessaire pour atteindre les objectifs fixés.

5 À des fins de responsabilité, le CEPD dépose un dossier décrivant les raisons des restrictions appliquées, les motifs parmi ceux énumérées au paragraphe 1 qui s'appliquent et le résultat de l'évaluation de la nécessité et de la proportionnalité. Ces dossiers font partie d'un registre ad hoc, qui est mis à disposition par le CEPD sur demande. Un rapport sur l'application de l'article 25 du règlement est mis à disposition périodiquement.

6 Lorsqu'il traite des données à caractère personnel échangées avec d'autres organisations dans le cadre de ses missions, le CEPD et ces organisations se consultent sur les motifs pertinents de l'imposition des limitations et sur la nécessité et la proportionnalité des limitations, à moins que cela ne compromette les activités du CEPD.

L'évaluation des risques pour les droits et libertés des personnes concernées dont les données à caractère personnel peuvent faire l'objet de limitations, ainsi que leur durée de conservation, sont mentionnées dans le registre des activités de traitement pertinentes, conformément à l'article 31 du règlement et, le cas échéant, dans les analyses d'impact relatives à la protection des données, en vertu de l'article 39 du règlement.

Le CEPD met en œuvre des garanties afin de prévenir les abus ou l'accès ou le transfert illicites de données à caractère personnel susceptibles de faire l'objet de restrictions. Ces garanties comprennent des mesures techniques et organisationnelles et sont détaillées, le cas échéant, dans les décisions, procédures et dispositions d'application du CEPD. Les garanties comprennent: a) une définition adéquate des rôles, des responsabilités et des étapes de la procédure; b) le cas échéant, un environnement électronique sécurisé qui empêche l'accès ou le transfert illicites ou accidentels de données électroniques à des personnes non autorisées; c) le cas échéant, la conservation et le traitement sécurisés des documents papier; d) le suivi régulier des limitations et une révision périodique, qui doit être effectuée au moins tous les six mois. Une révision doit également être effectuée en cas de modification d'éléments essentiels du cas d'espèce. Les limitations sont levées dès que les circonstances qui les justifient ne s'appliquent plus.

1 Le DPD du CEPD est informé dans les meilleurs délais dès lors que les droits des personnes concernées sont limités conformément à la présente décision et a accès au dossier et à tout document sous-jacent aux éléments de fait et de droit.

2 Le CEPD peut demander à examiner l'application de la limitation. Le CEPD informe son délégué par écrit du résultat de l'examen demandé.

3 La participation du DPD du CEPD à la procédure de limitation, y compris aux échanges d'informations, est documentée sous la forme appropriée.

1 Le CEPD inclut dans les avis de protection des données publiés sur son site internet des informations générales à l'intention des personnes concernées en ce qui concerne les limitations potentielles de l'ensemble des droits des personnes concernées décrites à l'article 2, paragraphe 1. Ces informations portent sur les droits susceptibles d'être limités, les raisons et la durée potentielle de la limitation.

2 En outre, le CEPD informe les personnes concernées individuellement de toute limitation présente ou future de leurs droits dans les meilleurs délais et par écrit, comme précisé aux articles 7, 8 et 9.

1 Lorsque, dans le cadre des activités visées dans la présente décision, le CEPD limite, en tout ou en partie, leurs droits visés aux articles 14 à 16 et à l'article 35 du règlement, les personnes concernées sont informées des principales raisons qui motivent l'application de la limitation, de leur droit de saisir le CEPD et de former un recours juridictionnel devant la Cour de justice de l'Union européenne.

2 Le CEPD peut différer, omettre ou refuser la communication d'informations sur les motifs de la limitation visée au paragraphe 1 dès lors que cela priverait d'effet la limitation. Cette évaluation se fait au cas par cas.

1 Lorsque, dans le cadre des activités visées dans la présente décision, le CEPD limite, en tout ou en partie, le droit d'accès aux données à caractère personnel, le droit de rectification, d'effacement et de limitation du traitement visé aux articles 17 à 20, respectivement, du règlement, il informe la personne concernée, dans la réponse à sa demande, des principales raisons qui motivent l'application de la limitation, de son droit de saisir le CEPD et de former un recours juridictionnel devant la Cour de justice de l'Union européenne.

2 Lorsque le droit d'accès est, en tout ou en partie, limité, le CEPD, lorsqu'il examine la réclamation, communique uniquement à la personne concernée si les données ont été traitées correctement et, si tel n'est pas le cas, si les corrections nécessaires ont été apportées, conformément à l'article 25, paragraphe 7, du règlement.

3 Le CEPD peut différer, omettre ou refuser la communication d'informations sur les motifs de la limitation visée aux paragraphes 1 et 2 si cela prive d'effet la limitation. Cette évaluation se fait au cas par cas.

1 Le CEPD peut, dans des cas exceptionnels et conformément aux dispositions et au principe de la directive 2002/58/CE, limiter le droit à la confidentialité des communications électroniques, comme le prévoit l'article 36 du règlement. Dans ce cas, le CEPD précise les circonstances, les motifs, les risques pertinents et les garanties connexes dans des règles internes spécifiques.

2 Lorsque le CEPD restreint le droit à la confidentialité des communications électroniques, il informe la personne concernée, dans la réponse à sa demande, des principales raisons qui motivent l'application de la limitation, de son droit de saisir le CEPD et de former un recours juridictionnel devant la Cour de justice de l'Union européenne.

3 Le CEPD peut différer, omettre ou refuser la communication d'informations sur les motifs de la limitation visée aux paragraphes 1 et 2 dès lors que cela priverait d'effet la limitation. Cette évaluation se fait au cas par cas.

La présente décision entre en vigueur le jour de sa publication au Journal officiel de l'Union européenne.