Décision de la haute représentante de l’Union pour les affaires étrangères et la politique de sécurité du 1er octobre 2019 relative aux règles internes concernant les limitations de certains droits des personnes concernées à l’égard du traitement des données à caractère personnel dans le cadre du fonctionnement du Service européen pour l’action extérieure2019/C 370/06

1 Conformément à l’article 25 du règlement (UE) 2018/1725 (ci-après le «règlement»), la présente décision établit les règles relatives aux conditions dans lesquelles le SEAE, dans le cadre de ses activités visées au paragraphe 2, peut limiter l’application des droits et obligations prévus aux articles 14 à 21, 35 et 36 dudit règlement, ainsi qu’à son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus auxdits articles 14 à 21.

2 La présente décision s’applique au traitement des données à caractère personnel effectué par le SEAE aux fins des activités suivantes: i) les enquêtes internes, y compris les enquêtes de sécurité, les enquêtes administratives, portant notamment sur des cas de harcèlement ou des irrégularités signalées, les procédures disciplinaires et les procédures de suspension; ii) la notification et la saisine de l’Office d’investigation et de discipline de la Commission (IDOC) et de l’Office européen de lutte antifraude (OLAF); iii) les analyses de sécurité liées à des incidents de cybersécurité ou à l’utilisation abusive de systèmes informatiques, incluant notamment la participation externe de la CERT-UE, le maintien de la sécurité intérieure au moyen de la vidéosurveillance, du contrôle des accès et d’activités d’enquête, la sécurisation des systèmes de communication et d’information et la mise en œuvre de contre-mesures techniques de sécurité; iv) les mesures d’enquête relevant directement des missions du délégué à la protection des données du SEAE (ci-après le «DPD»); v) les audits internes; vi) les inspections des délégations et bureaux de l’UE; vii) les activités du service médical et des conseillers médicaux engagés par le SEAE; viii) les activités du service de médiation; ix) les procédures de passation de marchés; x) les procédures de sélection du personnel et les évaluations du personnel; xi) la collecte de données à des fins de renseignement, y compris d’appréciation de la situation, de contre-espionnage, d’alerte précoce et d’analyse du renseignement à l’appui des différents organes de décision de l’UE dans les domaines de la politique étrangère et de sécurité commune (PESC), de la politique de sécurité et de défense commune (PSDC) et de la lutte contre le terrorisme et les menaces hybrides; xii) les procédures relatives aux mesures restrictives (sanctions) aux fins de certains objectifs de la politique étrangère et de sécurité de l’Union; xiii) les activités visant à protéger d’autres objectifs importants d’intérêt public général de l’Union ou d’un État membre, en particulier les objectifs de la PESC. Aux fins de la présente décision, les activités susmentionnées comprennent les actions de préparation et de suivi qui s’y rapportent directement.

3 Les catégories de données à caractère personnel traitées dans le cadre des activités susmentionnées peuvent inclure des données factuelles et des données d’évaluation. Les données factuelles comprennent les données d’identification personnelle et d’autres données administratives, les métadonnées relatives aux communications électroniques et les données relatives au trafic. Les données d’évaluation incluent la description et l’évaluation de situations et de circonstances, les avis, les observations relatives aux personnes concernées, l’évaluation de la conduite ou de la performance des personnes concernées et le raisonnement qui sous-tend certaines décisions individuelles ayant trait au fonctionnement administratif du SEAE.

1 Le SEAE met en place des garanties spécifiques pour éviter toute violation, fuite ou divulgation non autorisée de données faisant l’objet d’une limitation, telles que: a) des mesures de sécurité renforcée pour le stockage de supports physiques contenant des données à caractère personnel; b) des mesures de sécurité spécifiques concernant des bases de données et des outils électroniques; c) des limitations en matière d’accès et de fichiers-journaux.

2 Le responsable du traitement des données est le SEAE. Les entités organisationnelles susceptibles de limiter les droits et obligations visés à l’article 1er, paragraphe 1, sont les services chargés des activités décrites à l’article 1er, paragraphe 2.

3 Les limitations des droits et obligations concernant les données à caractère personnel ne doivent être maintenues que pendant la durée strictement nécessaire à la réalisation de l’objectif de la limitation. La durée de conservation des données à caractère personnel faisant l’objet d’une limitation est définie en fonction de la finalité du traitement et comprend le délai nécessaire aux fins d’un contrôle administratif et juridictionnel.

1 Une limitation aux termes de la présente décision peut être appliquée par le SEAE au cas par cas pour garantir: a) la sécurité nationale, la sécurité publique ou la défense des États membres, y compris, mais pas uniquement, la surveillance et le traitement de données à des fins de renseignement ou de protection de la vie humaine, en particulier en cas de catastrophes naturelles ou d’origine humaine et d’attentats terroristes; b) la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris, mais pas uniquement, la prévention des menaces pour la sécurité publique; de telles enquêtes peuvent comprendre des enquêtes administratives, des procédures disciplinaires ou des enquêtes de l’OLAF dans la mesure où il existe un lien avec la prévention ou la recherche d’infractions pénales; c) des objectifs importants d’intérêt public général de l’Union ou d’un État membre, en particulier des objectifs de la PESC ou des intérêts économiques ou financiers importants de l’Union ou d’un État membre, y compris, mais pas uniquement, dans les domaines monétaire, budgétaire et fiscal, de la santé publique et de la sécurité sociale, ainsi que des procédures de passation de marchés et des enquêtes servant des objectifs d’intérêt public importants de l’Union; d) la sécurité intérieure des institutions et organes de l’Union, y compris, mais pas uniquement, leurs réseaux de communications électroniques et leurs réseaux d’information; e) la protection de l’indépendance de la justice et des procédures judiciaires, y compris des avis juridiques; f) la prévention et la détection de manquements à la déontologie des professions réglementées ou de violations des obligations prévues par le statut et le règlement financier , y compris les cas sans lien avec des infractions pénales, ainsi que les enquêtes et les poursuites en la matière; g) les missions de contrôle, d’inspection ou de réglementation liées, même occasionnellement, à l’exercice de l’autorité publique, dans les cas visés aux point a) à c), y compris, mais pas uniquement, dans le cas d’un audit ciblé, d’une inspection ou d’une enquête; h) la protection de la personne concernée ou des droits et libertés d’autrui, y compris, mais pas uniquement, la protection des témoins, des personnes interrogées dans le cadre d’enquêtes de sécurité, d’enquêtes administratives, d’inspections et d’audits, des lanceurs d’alerte et des victimes présumées de harcèlement; i) l’exécution des demandes de droit civil.

2 Sous réserve des articles 4 à 8, le SEAE peut limiter les droits et obligations visés à l’article 1er, paragraphe 1, à l’égard des données à caractère personnel obtenues auprès d’une autre institution, d’un autre organe ou d’un autre organisme de l’Union, d’autorités compétentes d’un État membre ou d’un pays tiers ou d’une organisation internationale, et ce dans les cas suivants: a) lorsque l’exercice de ces droits et obligations pourrait être limité par l’autre institution, organe ou organisme de l’Union sur la base de leurs actes juridiques pertinents adoptés en vertu de l’article 25 ou du chapitre IX du règlement ou de leurs actes fondateurs; b) lorsque l’exercice de ces droits et obligations pourrait être limité par les autorités compétentes des États membres sur la base des actes juridiques adoptés en vertu de l’article 23 du règlement (UE) 2016/679 du Parlement européen et du Conseil ou en vertu des mesures nationales transposant l’article 13, paragraphe 3, l’article 15, paragraphe 3, ou l’article 16, paragraphe 3, de la directive (UE) 2016/680 du Parlement européen et du Conseil ; c) lorsque l’exercice de ces droits et obligations pourrait compromettre la coopération du SEAE avec des pays tiers ou des organisations internationales dans la conduite de ses activités, à moins que les intérêts ou les libertés et droits fondamentaux des personnes concernées ne prévalent sur cette nécessité de coopérer. Avant d’appliquer une limitation en vertu du présent paragraphe, le SEAE consulte l’institution, organe ou organisme de l’UE, l’organisation internationale ou les autorités compétentes de l’État membre concernés, à moins qu’il ne soit évident que la limitation est prévue par un acte juridique visé au présent paragraphe ou qu’une telle consultation mettrait en péril les activités du SEAE.

3 Avant d’appliquer une limitation, le SEAE examine si elle est nécessaire et proportionnée dans une société démocratique et si elle respecte le contenu essentiel des libertés et droits fondamentaux des personnes concernées. Lors de l’évaluation de la nécessité et de la proportionnalité de chaque cas, le SEAE: i. met en balance le risque pour les droits et libertés de la personne concernée et le risque pour les droits et libertés d’autrui. Les risques pour les droits et libertés de la personne concernée concernent principalement sa vie privée, sa réputation et le moment où elle peut commencer à exercer ses droits de la défense; et ii. examine la nécessité de préserver l’objectif des activités du SEAE visées à l’article 1er, paragraphe 2, en particulier le risque de destruction ou de dissimulation d’éléments de preuve. Cette évaluation de la nécessité et de la proportionnalité, ainsi que les motifs d’une limitation, sont documentés. À cette fin, toute limitation est spécifiquement consignée dans l’inventaire géré par le responsable du traitement et précise comment l’exercice des droits et obligations limités visés à l’article er, paragraphe 1, compromettrait la finalité des activités visées à l’article 1er, paragraphe 2, ou porterait atteinte aux droits et libertés d’autrui. Les documents contenant les éléments factuels et juridiques sous-jacents de la limitation sont également consignés dans un registre. Les registres sont mis à la disposition du Contrôleur européen de la protection des données à sa demande. L’accès aux registres de l’inventaire, y compris la note d’évaluation, est restreint aussi longtemps que la limitation sous-jacente reste valable conformément aux paragraphes 4 et 5.

4 Une limitation est levée dès que les motifs qui la justifient ont cessé d’exister.

5 La nécessité de maintenir une limitation est réexaminée à intervalles appropriés, au moins tous les six mois à compter de son adoption et, en tout état de cause, à la clôture de la procédure en question pour ce qui est des activités visées à l’article 1er, paragraphe 2.

1 Chaque entité organisationnelle informe le DPD par écrit, sans retard indu, lorsqu’elle limite l’exercice des droits et obligations visés à l’article 1er, paragraphe 1, lorsqu’elle procède au réexamen de la limitation et lorsqu’elle étend ou lève celle-ci. Le DPD a accès aux registres établis conformément à l’article 3, paragraphe 3.

2 Le DPD peut demander au responsable du traitement, par écrit, de réexaminer l’application de la limitation. Le responsable du traitement informe le DPD par écrit du résultat du réexamen demandé.

3 Les documents visés au présent article sont mis à la disposition du CEPD à sa demande.

1 Le SEAE publie sur son site internet ou sur l’intranet ses déclarations de confidentialité et les avis relatifs à la protection des données qui informent les personnes concernées de ses activités impliquant le traitement de données à caractère personnel, de leurs droits et des limitations susceptibles de s’appliquer à ces droits.

2 Le droit à l’information peut être limité par le responsable du traitement en ce qui concerne les activités visées à l’article 1er, paragraphe 2, points i), ii), (iii), iv), v), vi), viii), xi), xii) et xiii). Sans préjudice du paragraphe 4, le SEAE informe individuellement, lorsque cela est proportionné, les personnes concernées de l’application de la limitation sans retard injustifié et par écrit. Si la demande d’une personne concernée est rejetée en raison d’une limitation, cette personne est informée des principales raisons qui motivent cette limitation et de son droit d’introduire une réclamation auprès du Contrôleur européen de la protection des données.

3 Une limitation aux termes du présent article est appliquée conformément aux articles 3 et 4.

4 La communication d’informations sur une limitation aux termes de présente décision peut être différée, omise ou refusée dans l’hypothèse où elle annulerait l’effet de la limitation. Ce report, cette omission ou ce refus est appliqué conformément aux articles 3 et 4.

1 Le droit d’accès au titre de l’article 17 du règlement peut être limité en ce qui concerne les activités visées à l’article 1er, paragraphe 2, points i), ii), iii), iv), v), vi), vii), viii), x), xi), xii) et xiii).

2 Lorsque les personnes concernées demandent à accéder à leurs données à caractère personnel traitées dans le cadre d’une activité spécifique visée à l’article 1er, paragraphe 2, le SEAE limite sa réponse aux données à caractère personnel traitées pour cette activité.

3 Lorsque le SEAE limite, intégralement ou partiellement, le droit d’accès des personnes concernées aux données à caractère personnel prévu à l’article 17 du règlement (UE) 2018/1725, il informe la personne concernée, par écrit et sans retard injustifié, dans sa réponse à la demande d’accès, de la limitation appliquée et des principaux motifs la justifiant. La communication des informations relatives aux motifs de la limitation peut être différée, omise ou refusée aussi longtemps qu’elle risque de nuire à la finalité de la limitation.

4 Le SEAE peut limiter, au cas par cas, le droit des personnes concernées d’accéder directement aux données médicales à caractère psychologique ou psychiatrique, lorsque l’accès à ces données est susceptible de présenter un risque pour la santé de la personne concernée. Cette limitation est proportionnée à ce qui est strictement nécessaire pour protéger la personne concernée. Dans de tels cas, un médecin du choix de la personne concernée pourra accéder aux informations.

5 Une limitation aux termes du présent article est appliquée conformément aux articles 3, 4 et 5.

1 Le droit de rectification, le droit à l’effacement et le droit à la limitation du traitement visés aux articles 18, 19, paragraphe 1, et 20, paragraphe 1, du règlement peuvent être limités en ce qui concerne les activités visées à l’article 1er, paragraphe 2, points i), ii), iii), iv), v), vi), vii), viii), ix), x), xi), xii) et xiii).

2 En ce qui concerne les données médicales, les personnes concernées peuvent exercer leur droit de rectification des évaluations ou des avis de médecins-conseils et de conseillers médicaux du SEAE, en soumettant leurs observations ou en fournissant un rapport établi par un médecin de leur choix.

3 Une limitation aux termes du présent article est appliquée conformément aux articles 3, 4 et 5.

1 Le droit de communiquer une violation de données à caractère personnel à la personne concernée en vertu de l’article 35 du règlement peut être limité en ce qui concerne les activités visées à l’article 1er, paragraphe 2, points i), ii), iii), iv), v), vi), viii), xi), xii) et xiii).

2 Une limitation aux termes du présent article est appliquée conformément aux articles 3, 4 et 5.

1 L’obligation de garantir la confidentialité des communications électroniques ne peut être limitée qu’en ce qui concerne les activités visées à l’article 1er, paragraphe 2, points i), ii), iii), iv), xi), xii) et xiii), dans les cas exceptionnels suivants: a) si la limitation de l’obligation de garantir la confidentialité de l’identification de la ligne appelante est nécessaire pour détecter des appels incommodants; b) si la limitation de l’obligation de garantir la confidentialité de l’identification de la ligne appelante et des données de localisation est nécessaire pour permettre aux services d’urgence d’intervenir efficacement; c) si la limitation de l’obligation de garantir la confidentialité des communications, des données relatives au trafic et des données de localisation est nécessaire pour préserver la sécurité nationale, la sécurité publique ou la défense des États membres, la sécurité interne des institutions et organes de l’Union, la prévention et la détection d’infractions pénales, de violations du statut et du règlement financier ou d’utilisations non autorisées du système de communication électronique, ainsi que les enquêtes et les poursuites en la matière, tels que visées à l’article 25 du règlement.

2 Une limitation aux termes du présent article est appliquée conformément aux articles 3, 4 et 5.

La présente décision entre en vigueur le jour suivant celui de sa publication au Journal officiel de l’Union européenne.