Décision (UE) 2020/1502 de la Commission du 15 octobre 2020 établissant des règles internes en ce qui concerne la communication d’informations aux personnes concernées et la limitation de certains de leurs droits dans le contexte du traitement des données à caractère personnel par la Commission dans le cadre du dispositif de coopération instauré par le règlement (UE) 2019/452 du Parlement européen et du Conseil

1 La présente décision établit les règles que la Commission doit suivre lorsqu’elle informe les personnes concernées du fait que leurs données à caractère personnel seront traitées conformément aux articles 14, 15 et 16 du règlement (UE) 2018/1725 dans le cadre du dispositif de coopération instauré par le règlement (UE) 2019/452. Elle fixe également les conditions dans lesquelles la Commission peut limiter l’application des articles 4, 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725, conformément à l’article 25, paragraphe 1, points a), c), d), g) et h), dudit règlement, dans le cadre de ce dispositif de coopération.

2 La présente décision est applicable au traitement des données à caractère personnel par la Commission aux fins des activités, ou en rapport avec les activités, qu’elle exerce afin de s’acquitter des missions prévues par le règlement (UE) 2019/452.

1 Lorsque la Commission exerce ses fonctions en ce qui concerne les droits des personnes concernées en vertu du règlement (UE) 2018/1725, elle examine si l’une des exceptions établies dans ledit règlement s’applique.

2 Sous réserve des articles 3 à 7 de la présente décision, lorsque l’exercice des droits et obligations prévus aux articles 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725 en ce qui concerne les données à caractère personnel traitées par la Commission compromettrait la finalité des analyses et des procédures de la Commission relatives au filtrage des investissements directs étrangers ou au dispositif de coopération instauré par le règlement (UE) 2019/452, y compris en révélant ses outils et méthodes, ou porterait atteinte aux droits et aux libertés d’autres personnes concernées, la Commission peut limiter l’application: a) des articles 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725; et b) du principe de transparence énoncé à l’article 4, paragraphe 1, point a), dudit règlement, dans la mesure où les dispositions de cet article correspondent aux droits et obligations prévus aux articles 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725.

3 Sous réserve des articles 3 à 7, la Commission peut limiter les droits et obligations visés au paragraphe 2 du présent article: a) lorsque l’exercice de ces droits et obligations à l’égard des données à caractère personnel obtenues auprès d’une autre institution, d’un autre organe ou d’un autre organisme de l’Union pourrait être limité par cette autre institution, cet autre organe ou cet autre organisme de l’Union sur la base des actes juridiques visés à l’article 25 du règlement (UE) 2018/1725, ou conformément au chapitre IX dudit règlement, ou conformément au règlement (UE) 2016/794 du Parlement européen et du Conseil ou au règlement (UE) 2017/1939 du Conseil ; b) lorsque l’exercice de ces droits et obligations à l’égard des données à caractère personnel obtenues auprès d’une autorité compétente d’un État membre pourrait être limité par les autorités compétentes de cet État membre sur la base des actes visés à l’article 23 du règlement (UE) 2016/679 du Parlement européen et du Conseil ou en vertu de mesures nationales transposant l’article 13, paragraphe 3, l’article 15, paragraphe 3, ou l’article 16, paragraphe 3, de la directive (UE) 2016/680 du Parlement européen et du Conseil ; c) lorsque l’exercice de ces droits et obligations compromettrait la coopération de la Commission avec des pays tiers ou des organisations internationales en matière de filtrage des investissements directs étrangers. Avant d’appliquer des limitations dans les cas visés aux points a) et b) du premier alinéa, la Commission consulte les institutions, organes ou organismes concernés de l’Union ou les autorités compétentes des États membres, à moins qu’il ne soit manifeste pour elle que l’application d’une limitation est prévue par l’un des actes visés à ces points. Le point c) du premier alinéa ne s’applique pas lorsque les intérêts ou les libertés et droits fondamentaux de la personne concernée prévalent sur l’intérêt de la Commission à coopérer avec des pays tiers ou des organisations internationales.

4 Les paragraphes 1, 2 et 3 sont sans préjudice: a) de l’application d’autres décisions de la Commission établissant des règles internes en ce qui concerne la communication d’informations aux personnes concernées et les limitations de certains droits en vertu de l’article 25 du règlement (UE) 2018/1725; b) de l’article 23 du règlement intérieur de la Commission .

5 Toute limitation des droits et obligations visés au paragraphe 2 est nécessaire et proportionnée, compte tenu des risques qui pèsent sur les droits et libertés des personnes concernées.

1 La Commission publie sur son site internet des avis relatifs à la protection des données qui informent toutes les personnes concernées de ses activités qui nécessitent un traitement de leurs données à caractère personnel aux fins des analyses et des procédures relatives au filtrage des investissements directs étrangers ou au dispositif de coopération instauré par le règlement (UE) 2019/452. Lorsqu’il est possible de le faire sans compromettre le fonctionnement du dispositif de coopération, la Commission veille à ce que les personnes concernées soient informées individuellement dans un format approprié.

2 Lorsque la Commission limite, en tout ou en partie, la communication d’informations aux personnes concernées dont les données sont traitées aux fins des analyses et des procédures relatives au filtrage des investissements directs étrangers ou au dispositif de coopération instauré par le règlement (UE) 2019/452, elle enregistre et consigne dans un registre les motifs de cette limitation conformément à l’article 6 de la présente décision.

1 Si la Commission limite, en tout ou en partie, le droit d’accès aux données à caractère personnel des personnes concernées, le droit à l’effacement ou le droit à la limitation du traitement visés respectivement aux articles 17, 19 et 20 du règlement (UE) 2018/1725, elle informe la personne concernée, dans sa réponse à la demande d’accès, d’effacement ou de limitation du traitement: a) de la limitation appliquée et des principaux motifs de celle-ci; et b) de la possibilité d’introduire une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

2 La communication d’informations concernant les motifs de la limitation visée au paragraphe 1 peut être différée, omise ou refusée aussi longtemps qu’elle porterait atteinte à la finalité de la limitation.

3 La Commission enregistre et consigne dans un registre les motifs de la limitation conformément à l’article 6.

4 Lorsque le droit d’accès est entièrement ou partiellement limité, la personne concernée peut exercer son droit d’accès par l’intermédiaire du Contrôleur européen de la protection des données, conformément à l’article 25, paragraphes 6, 7 et 8, du règlement (UE) 2018/1725.

Lorsque la Commission limite la communication à la personne concernée d’une violation de données à caractère personnel, telle que visée à l’article 35 du règlement (UE) 2018/1725, elle enregistre et consigne dans un registre les motifs de la limitation conformément à l’article 6 de la présente décision.

1 La Commission enregistre les motifs de toute limitation appliquée en vertu de la présente décision, ainsi qu’une évaluation de la nécessité et de la proportionnalité de la limitation, en tenant compte des éléments pertinents établis à l’article 25, paragraphe 2, du règlement (UE) 2018/1725.

2 L’enregistrement indique de quelle manière l’exercice d’un droit par la personne concernée compromettrait la finalité des analyses et des procédures de la Commission relatives au filtrage des investissements directs étrangers ou au dispositif de coopération instauré par le règlement (UE) 2019/452 ou des limitations appliquées en vertu de l’article 2, paragraphe 2 ou 3, de la présente décision, ou porterait atteinte aux droits et libertés d’autres personnes concernées.

3 L’enregistrement et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont consignés dans un registre. Ils sont mis à la disposition du Contrôleur européen de la protection des données sur demande.

1 Les limitations visées aux articles 3, 4 et 5 continuent de s’appliquer aussi longtemps que les motifs qui les justifient restent valables.

2 Lorsque les motifs d’une limitation visée à l’article 3 ou 5 cessent de s’appliquer, la Commission lève la limitation et communique les principaux motifs de cette dernière à la personne concernée. Dans le même temps, elle informe la personne concernée de la possibilité de déposer à tout moment une plainte auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

3 La Commission réexamine l’application des limitations visées aux articles 3 et 5 un an après l’adoption et à la clôture des analyses et des procédures pertinentes de la Commission relatives au filtrage des investissements directs étrangers ou au dispositif de coopération instauré par le règlement (UE) 2019/452. Par la suite, la Commission assure un suivi de la nécessité de maintenir la limitation. Le réexamen inclut une évaluation de la nécessité et de la proportionnalité de la limitation, en tenant compte des éléments pertinents établis à l’article 25, paragraphe 2, du règlement (UE) 2018/1725.

1 Le délégué à la protection des données de la Commission est informé sans délai chaque fois que les droits des personnes concernées sont limités conformément à la présente décision. Il obtient sur demande l’accès à l’enregistrement et à tout document contenant des éléments factuels et juridiques sous-jacents.

2 Le délégué à la protection des données peut demander un réexamen de la limitation. Il est informé du résultat du réexamen demandé.

3 La Commission documente l’intervention du délégué à la protection des données dans chaque cas où l’application des droits et obligations visés à l’article 2, paragraphe 2, est limitée.

La présente décision entre en vigueur le troisième jour suivant celui de sa publication au Journal officiel de l’Union européenne.