Règlement Intérieur d’Eurojust relatif au Traitement et à la Protection des Données à Caractère Personnel

1 Les dispositions du règlement intérieur d’Eurojust relatives au traitement et à la protection des données à caractère personnel (ci-après dénommées les «dispositions») mettent en œuvre les dispositions du règlement Eurojust et du règlement 2018/1725 relatives à la protection des données.

2 Les dispositions s’appliquent au traitement des données à caractère personnel, automatisé en tout ou en partie, et au traitement non automatisé des données à caractère personnel contenues ou appelées à figurer dans un fichier.

3 Les dispositions s’appliquent à toutes les données à caractère personnel traitées par Eurojust, y compris les données à caractère personnel contenues dans les informations établies ou reçues par Eurojust et en sa possession, concernant des questions liées aux politiques, activités et décisions relevant de sa compétence.

1 Les présentes dispositions s’appliquent aux données à caractère personnel tant opérationnelles qu’administratives traitées par Eurojust.

2 Les données opérationnelles sont traitées conformément au titre II.

3 Les données administratives sont traitées conformément au titre III.

En ce qui concerne le traitement des données opérationnelles à caractère personnel, en tant que responsable du traitement des données, Eurojust agit par l’intermédiaire des membres nationaux, qui, conformément à l’article 24, paragraphe 1, du règlement Eurojust, sont responsables de la gestion des dossiers qu’ils ont ouverts dans le cadre de l’exercice de leurs tâches telles qu’elles sont définies par le règlement Eurojust, ou qu’ils ont initiés dans le cas où Eurojust agit en tant que collège conformément à l’article 5, paragraphe 2, point a), du règlement Eurojust.

Les membres nationaux qui reçoivent des données opérationnelles à caractère personnel des autorités nationales compétentes respectent les conditions spécifiques applicables au traitement imposées par ces autorités conformément à l’article 9, paragraphes 3 et 4, de la directive (UE) 2016/680 et informent également ces autorités nationales de toutes les conditions spécifiques qui leur sont imposées par le droit applicable de l’UE et qui s’appliquent à toutes les données opérationnelles à caractère personnel que les membres nationaux fournissent aux autorités nationales, le cas échéant.

Si Eurojust constate une quelconque inexactitude dans les données transmises par un État membre dans le cadre d’une enquête ou de poursuites ou par une institution, un organe ou un organisme de l’Union, le membre national, après consultation des autorités nationales, donne l’instruction de rectifier les informations en question sans tarder et en informe l’État membre concerné ou l’institution, l’organe ou l’organisme de l’Union qui a transmis les informations.

Tous les responsables d’Eurojust sont dûment informés de la politique de sécurité d’Eurojust et sont tenus de recourir aux mesures techniques et organisationnelles mises à leur disposition, y compris après avoir reçu la formation requise, conformément aux exigences applicables en matière de protection et de sécurité des données.

1 Les demandes relatives à l’exercice des droits des personnes concernées sont traitées par le ou les membres nationaux concernés par ces demandes, qui en fournissent une copie au délégué à la protection des données en vue de son enregistrement.

2 Le ou les membres nationaux concernés consultent les autorités compétentes des États membres en ce qui concerne la décision à prendre en réponse à une demande.

3 Si le dossier l’exige, le délégué à la protection des données procède à des vérifications complémentaires dans le système de gestion des dossiers et informe le ou les membres nationaux concernés de toute information complémentaire pertinente obtenue au moyen de ces vérifications. Le ou les membres nationaux concernés tiennent compte des informations fournies par le délégué à la protection des données et, le cas échéant, réexaminent la décision initiale.

4 Les motifs de fait et de droit sur lesquels se fonde la décision du ou des membres nationaux concernés sont consignés dans le fichier de travail temporaire relatif à la demande dans le système de gestion des dossiers, et ils sont mis à la disposition du Contrôleur européen de la protection des données (CEPD) sur demande.

5 Le délégué à la protection des données communique la décision prise par le ou les membres nationaux concernés au nom d’Eurojust à la personne concernée, et informe ladite personne de la possibilité d’introduire une réclamation auprès du CEPD si elle n’est pas satisfaite de la décision prise, ou de former un recours juridictionnel devant la Cour de justice.

6 Dans le cas où la demande a été reçue par l’intermédiaire d’une autorité de contrôle nationale, Eurojust informe cette autorité de toute décision communiquée par le délégué à la protection des données à la personne concernée.

Eurojust met en place les mesures techniques appropriées pour garantir que, lorsque Eurojust rectifie, limite ou efface des données à caractère personnel en réponse à une demande, une liste des fournisseurs et des destinataires de ces données est automatiquement établie.

1 Le système de gestion des dossiers attribue automatiquement un numéro de référence unique (identifiant) à chaque nouveau fichier de travail temporaire créé.

2 Lorsqu’un membre national responsable de la gestion d’un fichier de travail temporaire au sens de l’article 24, paragraphe 1, du règlement Eurojust accorde l’accès intégral ou partiel à un fichier de travail temporaire à un ou plusieurs membres nationaux concernés, le système de gestion des dossiers garantit aux utilisateurs autorisés dans le profil de ce bureau national relevant de la responsabilité du membre national l’accès aux parties pertinentes du fichier mais ne leur permet pas de modifier les données introduites par l’auteur d’origine. Les utilisateurs autorisés peuvent cependant ajouter des informations pertinentes aux nouvelles parties des fichiers de travail temporaires. De même, les informations présentes dans l’index peuvent être consultées par l’ensemble des utilisateurs autorisés du système mais ne peuvent être modifiées que par leur auteur d’origine.

3 Le délégué à la protection des données est automatiquement informé, par le système de gestion des dossiers, de la création de chaque nouveau fichier de travail qui contient des données à caractère personnel.

4 Le système de gestion des dossiers garantit que seules les données opérationnelles à caractère personnel visées au paragraphe 1, points a) à i), et points k) et m), et au paragraphe 2 de l’annexe II du règlement Eurojust puissent être enregistrées dans l’index par le membre national concerné qui a créé un fichier de travail temporaire, conformément à l’article 23, paragraphe 4, et à l’article 24, paragraphe 3, du règlement Eurojust.

5 Lorsque, conformément à l’article 23, paragraphe 6, du règlement Eurojust, des membres nationaux souhaitent stocker temporairement des données à caractère personnel et les analyser afin de déterminer si de telles données sont utiles à l’accomplissement des missions d’Eurojust, ils créent un projet de fichier de travail temporaire qui n’est accessible qu’à eux et aux personnes autorisées par eux dans le profil de leur bureau. Après trois mois, le projet de fichier de travail temporaire devrait soit être converti en fichier de travail temporaire dans le système de gestion des dossiers soit être effacé automatiquement par le système. Le système génère une alerte adressée au membre national concerné avant que ce laps de temps ne soit écoulé afin de lui rappeler qu’une décision doit être prise concernant le projet de fichier.

6 Le ou les membres nationaux concernés veillent à ce que les informations contenues dans l’index suffisent à l’exercice des missions d’Eurojust, telles qu’elles sont définies à l’article 2 du règlement Eurojust.

1 Eurojust prend les mesures techniques appropriées pour garantir que le délégué à la protection des données soit automatiquement informé des cas exceptionnels qui supposent un recours à l’article 27, paragraphe 4, du règlement Eurojust. Le système de gestion des dossiers garantit que les données en question ne peuvent être ajoutées à l’index visé à l’article 23, paragraphes 1 et 4, du règlement Eurojust.

2 Lorsque de telles données concernent des témoins ou victimes au sens de l’article 27, paragraphe 2, du règlement Eurojust, le système de gestion des dossiers n’enregistre pas ces informations, sauf décision contraire des membres nationaux concernés. La décision de traiter de telles données est documentée.

1 Eurojust prend les mesures techniques appropriées pour garantir que le délégué à la protection des données soit automatiquement informé des cas exceptionnels qui, pendant un temps limité, supposent un recours à l’article 27, paragraphe 3, du règlement Eurojust. Le système de gestion des dossiers assortit ces données d’une indication servant à rappeler à la personne à l’origine de l’introduction de ces données dans le système l’obligation de ne conserver celles-ci que pour un temps limité.

2 Lorsque de telles données concernent des témoins ou victimes au sens de l’article 27, paragraphe 2, du règlement Eurojust, le système de gestion des dossiers n’enregistre pas ces informations, sauf décision contraire des membres nationaux concernés. La décision de traiter de telles données est documentée.

1 Chaque membre national d’Eurojust justifie la politique d’accès qu’il a autorisée, conformément à l’article 34 du règlement Eurojust, au sein de son bureau national en ce qui concerne les données opérationnelles à caractère personnel et en informe le délégué à la protection des données.

2 Les membres nationaux peuvent décider, au cas par cas, d’accorder une autorisation spécifique d’accès, intégral ou partiel, à un fichier de travail temporaire à une personne qui n’est pas membre du personnel d’Eurojust mais qui travaille au nom d’Eurojust et appartient à une catégorie spécifique de responsables ayant reçu, au préalable, du directeur administratif d’Eurojust l’autorisation d’accéder au système de gestion des dossiers, conformément à l’article 24, paragraphe 2, du règlement Eurojust..

3 Les membres nationaux veillent à l’adoption et au respect de modalités organisationnelles appropriées au sein de leurs bureaux, ainsi qu’à un usage judicieux des mesures techniques et organisationnelles, y compris par la participation à la formation requise, mises à leur disposition par Eurojust.

4 Conformément à l’article 34 du règlement Eurojust, le collège peut permettre à d’autres agents d’Eurojust d’avoir accès aux données opérationnelles à caractère personnel lorsque cela est nécessaire à l’accomplissement des missions d’Eurojust.

1 Le système de gestion des dossiers d’Eurojust, tel qu’il est défini à l’article 23 du règlement Eurojust, sert de registre de l’ensemble des activités de traitement visées à l’article 35 du règlement Eurojust dans la mesure où des données opérationnelles à caractère personnel sont concernées.

2 Le système de gestion des dossiers d’Eurojust contient un registre complet des opérations de transmission et de réception de données opérationnelles à caractère personnel, permettant d’attester toute transmission de données opérationnelles à caractère personnel et d’identifier l’autorité nationale, l’organisation ou le pays tiers ou l’organisation internationale ayant transmis de telles informations à Eurojust ou ayant reçu de telles informations de la part d’Eurojust.

1 Une décision relative au transfert de données à caractère personnel vers des pays tiers ou à des organisations internationales conformément à l’article 58, paragraphe 1, du règlement Eurojust est prise par le collège d’Eurojust à la demande du ou des membres nationaux concernés, à la suite d’une évaluation effectuée par le délégué à la protection des données.

2 L’évaluation visée au paragraphe 1 est fournie par le délégué à la protection des données dans un délai de dix jours ouvrables. Lorsque cela est nécessaire pour des raisons d’urgence, mentionnées par le ou les membres nationaux concernés, l’évaluation est fournie le plus rapidement possible. Dans les cas particulièrement complexes, le délégué à la protection des données peut convenir avec le ou les membres nationaux concernés d’un délai plus long pour mener à bien l’évaluation.

3 Dans son évaluation, le délégué à la protection des données examine en particulier les questions visées aux considérants 51 et 52 du règlement Eurojust. Lorsque, lors de l’évaluation de l’adéquation des garanties dans le cas d’espèce, le délégué à la protection des données a des réserves, il peut consulter le CEPD avant de publier une évaluation portant sur un transfert spécifique.

Le système de gestion des dossiers documente tout transfert de données à caractère personnel vers des pays tiers ou à des organisations internationales conformément à l’article 58, paragraphe 3, du règlement Eurojust et à l’article 94, paragraphe 4, du règlement 2018/1725.

1 Eurojust met en place les mesures techniques appropriées pour garantir le respect des délais de conservation des données opérationnelles à caractère personnel fixés à l’article 29 du règlement Eurojust et pour garantir que, en l’absence d’une décision motivée, au moment de la vérification, visant à prolonger la conservation des données opérationnelles à caractère personnel, celles-ci sont effacées automatiquement.

2 Le système de gestion des dossiers prévoit en particulier qu’une vérification de la nécessité de conserver les données dans un fichier de travail temporaire doit être effectuée tous les trois ans après leur enregistrement. Cette vérification doit être dûment documentée dans le système, toute décision de prolonger la conservation des données opérationnelles à caractère personnel devant notamment être justifiée, et elle est communiquée automatiquement au délégué à la protection des données. Les résultats d’une telle décision, ou de l’absence d’une telle décision, s’appliquent à l’affaire dans son ensemble, ainsi que le définit l’article 29, paragraphe 2, du règlement Eurojust.

3 Le système de gestion des dossiers prévoit notamment le marquage des données enregistrées pour un temps limité, conformément à l’article 27, paragraphe 3, ainsi que des données visées à l’article 27, paragraphe 4, du règlement Eurojust. Si des données opérationnelles à caractère personnel visées à l’article 27, paragraphe 4, sont conservées pendant une durée supérieure à cinq ans, le système de gestion des dossiers générera une alerte pour garantir que cette information soit automatiquement communiquée au CEPD.

4 Dans des cas exceptionnels, lorsqu’un membre national estime que des données opérationnelles à caractère personnel sont encore nécessaires à des fins archivistiques dans l’intérêt public ou à des fins statistiques visées à l’article 29, paragraphe 7, point e), du règlement Eurojust, le collège statue, après avoir entendu l’avis du délégué à la protection des données, sur la nécessité de conserver les données, dans ce cas particulier, à cette fin spécifique. Le CEPD est informé lorsqu’il est fait recours à cette procédure.

1 Les demandes relatives à l’exercice des droits sont adressées directement au directeur administratif d’Eurojust ou au délégué à la protection des données. Le délégué à la protection des données reçoit dans tous les cas une copie de la demande, en vue de son enregistrement.

2 Si nécessaire, le délégué à la protection des données porte assistance à la personne concernée et met à disposition des formulaires spécifiques que les personnes peuvent utiliser pour former leur demande.

3 Sur la base des informations fournies par l’entité administrative qui participe directement au traitement des données à caractère personnel et de l’avis du délégué à la protection des données, le directeur administratif prend une décision concernant l’affaire en question.

4 Le délégué à la protection des données communique la décision prise par le directeur administratif à la personne concernée et informe ladite personne de la possibilité d’introduire une réclamation auprès du CEPD si elle n’est pas satisfaite de la décision rendue par Eurojust.

5 La demande fait l’objet d’un traitement complet dans le mois qui suit sa réception. Au besoin, ce délai peut être prolongé de deux mois, compte tenu du nombre et de la complexité de la demande. Le directeur administratif informe la personne concernée de cette prolongation et des motifs du report dans un délai d’un mois à compter de la réception de la demande. La personne concernée peut introduire une réclamation auprès du CEPD si Eurojust n’a pas rendu de décision sur sa demande dans ce délai.

1 Chaque opération de traitement individuelle de données administratives à caractère personnel effectuée à Eurojust est, compte tenu de sa finalité bien définie et en totale conformité avec l’article 4, paragraphe 1, point d), et l’article 31, paragraphe 1, point f), du règlement 2018/1725, assortie d’un délai de conservation clair et bien défini, afin que les données ne puissent être conservées que pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles les données administratives à caractère personnel sont traitées. Ce délai est fixé pour chaque catégorie de données traitées et inscrit dans le registre des activités de traitement.

2 Eurojust conserve des données administratives à caractère personnel conformément au paragraphe 1, aussi longtemps que nécessaire et en tout état de cause pendant une durée n’excédant pas celle indiquée pour chaque catégorie d’activités de traitement dans le tableau joint à l’annexe des présentes dispositions.

3 Le conseil exécutif, agissant sur proposition du directeur administratif, peut fixer des délais de conservation plus courts que ceux figurant à l’annexe des présentes dispositions.

1 Les présentes dispositions sont réexaminées régulièrement afin qu’il soit possible d’évaluer si des modifications sont nécessaires. Toute modification des présentes dispositions est effectuée dans le respect de la même procédure que celle établie pour leur approbation dans le règlement Eurojust.

2 Le CEPD communique au collège toute suggestion ou recommandation concernant des modifications aux présentes dispositions.

Les présentes dispositions sont publiées au Journal officiel de l’Union européenne et entrent en vigueur le jour suivant celui de leur publication.