Décision du comité directeur de l’Agence européenne de défense du 24 février 2020 sur l’adoption des règles internes relatives à la limitation de certains droits des personnes concernées en matière de traitement des données à caractère personnel dans le cadre du fonctionnement de l’AED

1 La présente décision établit les règles relatives aux conditions dans lesquelles l’AED peut, dans le cadre des procédures définies au paragraphe 2, limiter l’application des droits inscrits aux articles 14 à 21, 35 et 36, ainsi qu’à l’article 4, du règlement (UE) 2018/1725, en vertu de l’article 25 dudit règlement.

2 La présente décision s’applique, dans le cadre du fonctionnement administratif de l’AED, aux opérations de traitement de données à caractère personnel effectuées par l’Agence aux fins suivantes: mener des enquêtes administratives, des procédures disciplinaires, des activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF, traiter des cas de dénonciation des dysfonctionnements, des procédures de harcèlement, traiter des plaintes internes et externes, confier la conduite d’enquêtes au délégué à la protection des données, conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725, et mener des enquêtes de sécurité en interne ou avec une participation externe.

3 Les catégories de données concernées sont les données vérifiables (données «objectives», telles que les données d’identification, les coordonnées, les données professionnelles, les données administratives, les données provenant de sources spécifiques, les communications électroniques et les données relatives au trafic) et/ou les données non vérifiées (les données «subjectives» relatives à l’affaire, telles que le raisonnement, les données comportementales, les évaluations, les données relatives à la performance et à la conduite, ainsi que les données touchant à l’objet de la procédure ou de l’activité, ou soumises en rapport avec celui-ci).

4 Lorsque l’AED exerce ses fonctions en ce qui concerne les droits des personnes concernées en vertu du règlement (UE) 2018/1725, elle examine si l’une des exceptions établies dans ledit règlement s’applique.

5 Sous réserve des conditions énoncées dans la présente décision, les limitations peuvent s’appliquer aux droits suivants: la communication d’informations aux personnes concernées, le droit d’accès, de rectification, le droit à l’effacement, à la limitation du traitement, à la communication d’une violation de données à caractère personnel à la personne concernée ou à la confidentialité des communications.

1 Les garanties en place destinées à prévenir les abus ou l’accès ou le transfert illicites sont les suivantes: a) les documents papier sont conservés dans des armoires sécurisées et accessibles au seul personnel habilité; b) toutes les données électroniques sont stockées dans une application informatique sécurisée, conformément aux normes de sécurité de l’AED, ainsi que dans des dossiers électroniques spécifiques accessibles au seul personnel habilité. Les niveaux d’accès appropriés sont accordés individuellement; c) les bases de données sont protégées par un mot de passe dans un système d’authentification unique et automatiquement connectées à l’identifiant et au mot de passe de l’utilisateur. Les enregistrements électroniques sont conservés en toute sécurité afin de préserver la confidentialité et le caractère privé des données qu’ils contiennent; d) toutes les personnes ayant accès aux données sont tenues de respecter l’obligation de confidentialité.

2 La durée de conservation des données à caractère personnel visées à l’article 1er, paragraphe 3, n’est pas plus longue que nécessaire et appropriée aux finalités pour lesquelles ces données sont traitées. En tout état de cause, elle ne dépasse pas la durée de conservation spécifiée dans les avis relatifs à la protection de données ou les registres mentionnés à l’article 5, paragraphe 1.

3 Lorsque l’AED envisage d’appliquer une limitation, le risque pour les droits et libertés de la personne concernée doit être mis en balance, en particulier, avec le risque pour les droits et libertés d’autres personnes concernées et le risque de priver d’effet les enquêtes ou procédures de l’AED, notamment par la destruction de preuves. Les risques qui pèsent sur les droits et libertés de la personne concernée concernent principalement, mais sans s’y limiter, les risques pour la réputation ainsi que les risques pour les droits à la défense et le droit à être entendu.

1 Le responsable du traitement est l’AED, représentée par son directeur, qui peut déléguer la fonction de responsable du traitement.

2 Les personnes concernées sont informées de la délégation de la fonction de responsable du traitement au moyen des registres relatifs à la protection des données publiés sur le site web de l’AED.

1 L’AED inclut dans ses registres relatifs à la protection des données, en informant les personnes concernées de leurs droits dans le cadre d’une procédure donnée au sens de l’article 31 du règlement (UE) 2018/1725 et tels que publiés sur son site web, des informations concernant la limitation potentielle de ces droits. Ces informations portent sur les droits susceptibles d’être limités, les motifs de la limitation ainsi que sa durée potentielle.

2 L’AED n’appliquera une limitation que pour garantir: a) la sûreté nationale, la sécurité publique et/ou la défense des États membres; b) la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces; c) d’autres objectifs importants d’intérêt public général de l’Union ou d’un État membre, en particulier les objectifs de la politique étrangère et de sécurité commune de l’Union ou un intérêt économique ou financier important de l’Union; d) la sécurité interne des institutions et organes de l’Union, notamment de leurs réseaux de communications électroniques; e) la protection de l’indépendance de la justice et des procédures judiciaires; f) une mission de contrôle, d’inspection ou de réglementation liée, même occasionnellement, à l’exercice de l’autorité publique, dans les cas visés aux points a) à c); g) la protection de la personne concernée ou des droits et libertés d’autrui; h) l’exécution des demandes de droit civil.

3 Au titre de l’application spécifique des objectifs décrits au paragraphe 1 ci-dessus, l’AED peut appliquer des limitations en ce qui concerne les données à caractère personnel échangées avec les services de la Commission ou d’autres institutions, organes et organismes de l’Union, les autorités compétentes des États membres ou de pays tiers ou les organisations internationales, dans les circonstances suivantes: a) lorsque l’exercice de ces droits et obligations pourrait être limité par les services de la Commission ou d’autres institutions, organes et organismes de l’Union sur la base d’autres actes prévus à l’article 25 du règlement (UE) 2018/1725 ou conformément au chapitre IX dudit règlement ou aux actes fondateurs d’autres institutions, organes et organismes de l’Union; b) lorsque l’exercice de ces droits et obligations pourrait être limité par les autorités compétentes des États membres sur la base des actes visés à l’article 23 du règlement (UE) 2016/679 du Parlement européen et du Conseil ou en vertu de mesures nationales transposant l’article 13, paragraphe 3, l’article 15, paragraphe 3, ou l’article 16, paragraphe 3, de la directive (UE) 2016/680 du Parlement européen et du Conseil ; c) lorsque l’exercice de ces droits et obligations pourrait compromettre la coopération de l’AED avec les pays tiers ou les organisations internationales dans l’accomplissement de ses missions. Avant d’appliquer des limitations dans les cas visés aux points a) et b), l’AED consulte les services compétents de la Commission, les institutions, organes et organismes de l’Union ou les autorités compétentes des États membres à moins qu’il ne soit clair pour l’AED que l’application d’une limitation est prévue par l’un des actes visés à ces points.

4 Toute limitation est nécessaire et proportionnée au regard des risques pour les droits et libertés des personnes concernées et respecte le contenu essentiel des libertés et droits fondamentaux dans une société démocratique.

5 Si l’application de limitations est envisagée, une évaluation de la nécessité et de la proportionnalité est effectuée sur la base des règles en vigueur. Le résultat de cette évaluation est consigné dans une note d’évaluation interne, afin de rendre compte, au cas par cas, des limitations considérées.

6 L’AED examine l’application de la limitation tous les six mois à compter de son adoption et à la clôture de l’enquête ou de la procédure en question. Par la suite, le responsable du traitement vérifie la nécessité de maintenir la limitation tous les six mois. Le relevé et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont consignés dans un registre. Ils sont mis à la disposition du Contrôleur européen de la protection des données si celui-ci en fait la demande.

7 Les limitations sont levées dès que les circonstances qui les justifient cessent d’exister, en particulier lorsqu’il est considéré que l’exercice du droit limité ne priverait plus d’effet la limitation imposée ou ne porterait plus atteinte aux droits ou aux libertés d’autres personnes concernées.

8 En outre, sans préjudice des dispositions du paragraphe 10, l’AED informe individuellement, lorsque cela est proportionné, toutes les personnes concernées, qui sont considérées comme des personnes concernées par l’opération de traitement spécifique, de leurs droits au regard des limitations actuelles ou futures, sans retard injustifié et par écrit.

9 Lorsque l’AED limite, en tout ou en partie, la communication d’informations aux personnes concernées visées au paragraphe 9, elle consigne dans un relevé les motifs de la limitation et la base juridique de la limitation conformément au présent article, accompagnés d’une évaluation de sa nécessité et de sa proportionnalité. Le relevé et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont consignés dans un registre. Ils sont mis à la disposition du Contrôleur européen de la protection des données si celui-ci en fait la demande.

10 La limitation visée au paragraphe 10 continue de s’appliquer tant que les raisons la justifiant persistent.

11 Lorsque les raisons de la limitation ne s’appliquent plus, l’AED informe la personne concernée des principales raisons qui motivent l’application d’une limitation. Dans le même temps, l’AED informe la personne concernée de son droit de saisir le Contrôleur européen de la protection des données à tout moment ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

1 L’AED fait appel, sans retard injustifié, à son délégué à la protection des données (ci-après dénommé le «DPD») chaque fois que le responsable du traitement limite l’application des droits des personnes concernées, ou étend la limitation, conformément à la présente décision. Le responsable du traitement accorde au DPD un accès au registre contenant l’évaluation de la nécessité et de la proportionnalité de la limitation, et consigne la date à laquelle le DPD a été informé dans le registre.

2 Le DPD peut demander au responsable du traitement, par écrit, de réexaminer l’application des limitations. Le responsable du traitement informe le DPD par écrit du résultat du réexamen demandé.

3 Le responsable du traitement informe le DPD lorsque la limitation a été levée.

4 La participation du DPD tout au long de la procédure doit être dûment documentée.

Dans des cas dûment justifiés et dans les conditions prévues dans la présente décision, le droit à l’information peut être limité par le responsable du traitement dans le cadre des opérations de traitement suivantes: a) la conduite d’enquêtes administratives et de procédures disciplinaires; b) les activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF; c) les procédures de dénonciation des dysfonctionnements; d) les procédures en cas de harcèlement; e) le traitement de plaintes internes et externes; f) les enquêtes menées par le DPD conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725; g) les enquêtes de sécurité (informatique) menées en interne ou avec une participation externe; h) la réalisation d’activités visant à protéger d’autres objectifs importants d’intérêt public général de l’Union ou d’un État membre, en particulier les objectifs de la politique étrangère et de sécurité commune de l’Union comme le prévoit la décision (PESC) 2015/1835.

1 Dans des cas dûment justifiés et dans les conditions prévues dans la présente décision, le droit d’accès peut être limité par le responsable du traitement dans le cadre des opérations de traitement suivantes, lorsque cela est nécessaire et proportionné: a) la conduite d’enquêtes administratives et de procédures disciplinaires; b) les activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF; c) les procédures de dénonciation des dysfonctionnements; d) les procédures en cas de harcèlement; e) le traitement de plaintes internes et externes; f) les enquêtes menées par le délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725; g) les enquêtes de sécurité (informatique) menées en interne ou avec une participation externe; h) la réalisation d’activités visant à protéger d’autres objectifs importants d’intérêt public général de l’Union ou d’un État membre, en particulier les objectifs de la politique étrangère et de sécurité commune de l’Union comme le prévoit la décision (PESC) 2015/1835.

2 Dans les cas où les personnes concernées demandent à accéder à leurs données à caractère personnel traitées dans le cadre d’un ou de plusieurs cas spécifiques ou d’une opération de traitement particulière, conformément à l’article 17 du règlement (UE) 2018/1725, l’AED limite son examen de la demande à ces seules données à caractère personnel.

3 Lorsque l’AED limite, en tout ou en partie, le droit d’accès visé à l’article 17 du règlement (UE) 2018/1725, elle prend les mesures suivantes: a) elle informe la personne concernée, dans sa réponse à la demande, de la limitation appliquée et des principales raisons qui la motivent, ainsi que de la possibilité de saisir le Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne; b) elle consigne dans une note d’évaluation interne les motifs de la limitation, accompagnés d’une évaluation de la nécessité de la limitation, de sa proportionnalité et de sa durée. La communication des informations visées au point a) peut être différée, omise ou refusée si elle prive d’effet la limitation conformément à l’article 25, paragraphe 8, du règlement (UE) 2018/1725.

1 Dans des cas dûment justifiés et dans les conditions prévues dans la présente décision, le droit de rectification, le droit à l’effacement et le droit à la limitation peuvent être limités par le responsable du traitement dans le cadre des opérations de traitement suivantes, lorsque cela est nécessaire et proportionné: a) la conduite d’enquêtes administratives et de procédures disciplinaires; b) les activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF; c) les procédures de dénonciation des dysfonctionnements; d) les procédures en cas de harcèlement; e) le traitement de plaintes internes et externes; f) les enquêtes menées par le délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725; g) les enquêtes de sécurité (informatique) menées en interne ou avec une participation externe; h) la réalisation d’activités visant à protéger d’autres objectifs importants d’intérêt public général de l’Union ou d’un État membre, en particulier les objectifs de la politique étrangère et de sécurité commune de l’Union comme le prévoit la décision (PESC) 2015/1835.

2 Dans le cas où l’AED limite, en tout ou en partie, l’application du droit de rectification, du droit à l’effacement ou du droit à la limitation du traitement visés à l’article 18, à l’article 19, paragraphe 1, et à l’article 20, paragraphe 1, du règlement (UE) 2018/1725, elle prend les mesures visées à l’article 6, paragraphe 2, de la présente décision, et enregistre le relevé conformément à son article 6, paragraphe 3.

1 Dans des cas dûment justifiés et dans les conditions prévues dans la présente décision, le droit à la communication d’une violation de données à caractère personnel peut être limité par le responsable du traitement dans le cadre des opérations de traitement suivantes, lorsque cela est nécessaire et proportionné: a) la conduite d’enquêtes administratives et de procédures disciplinaires; b) les activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF; c) les procédures de dénonciation des dysfonctionnements; d) les procédures en cas de harcèlement; e) le traitement de plaintes internes et externes; f) les enquêtes menées par le délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725; g) les enquêtes de sécurité (informatique) menées en interne ou avec une participation externe; h) la réalisation d’activités visant à protéger d’autres objectifs importants d’intérêt public général de l’Union ou d’un État membre, en particulier les objectifs de la politique étrangère et de sécurité commune de l’Union comme le prévoit la décision (PESC) 2015/1835.

2 Dans des cas dûment justifiés et dans les conditions prévues dans la présente décision, le droit à la confidentialité des communications électroniques peut être limité par le responsable du traitement dans le cadre des opérations de traitement suivantes, lorsque cela est nécessaire et proportionné: a) la conduite d’enquêtes administratives et de procédures disciplinaires; b) les activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF; c) les procédures de dénonciation des dysfonctionnements; d) les procédures en cas de harcèlement; e) le traitement de plaintes internes et externes; f) les enquêtes de sécurité (informatique) menées en interne ou avec une participation externe; g) la réalisation d’activités visant à protéger d’autres objectifs importants d’intérêt public général de l’Union ou d’un État membre, en particulier les objectifs de la politique étrangère et de sécurité commune de l’Union comme le prévoit la décision (PESC) 2015/1835.

3 Dans le cas où l’AED limite la communication d’une violation de données à caractère personnel à la personne concernée ou la confidentialité de communications électroniques visées aux articles 35 et 36 du règlement (UE) 2018/1725, elle consigne et enregistre les motifs de cette limitation conformément à l’article 5, paragraphe 3, de la présente décision. L’article 5, paragraphe 4, de la présente décision s’applique.

La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.