Décision du conseil d’administration de l’Agence de soutien à l’Organe des régulateurs européens des communications électroniques (Office de l’ORECE) du 10 septembre 2019 portant règles internes relatives aux limitations de certains droits des personnes concernées en matière de traitement des données à caractère personnel dans le cadre des activités menées par l’Office de l’ORECE

La présente décision établit les règles relatives aux conditions dans lesquelles l’Office de l’ORECE peut limiter l’application des articles 14 à 20, 35 et 36, ainsi que de l’article 4, du règlement, en vertu de son article 25.

1 Conformément à l’article 25, paragraphe 1, du règlement, l’Office de l’ORECE peut limiter l’application de ses articles 14 à 20, 35 et 36, ainsi que de son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 20, lorsqu’il: a) mène des enquêtes administratives, des procédures prédisciplinaires et disciplinaires, et des procédures de suspension en vertu de l’annexe IX du statut des fonctionnaires de l’Union européenne et du régime applicable aux autres agents de l’Union européenne et conformément à la décision MC/2012/3 du comité de gestion de l’Office de l’Organe des régulateurs européens des communications électroniques (l’Office de l’ORECE) fixant les dispositions générales d’exécution relatives à la conduite des enquêtes administratives et des procédures disciplinaires, et donc le traitement d’informations, y compris des données à caractère personnel. Les limitations pertinentes peuvent se fonder sur l’article 25, paragraphe 1, points c), g) et h), du règlement; b) fait en sorte que les membres du personnel de l’Office de l’ORECE puissent, à titre confidentiel, communiquer des faits lorsqu’ils estiment qu’il existe de graves irrégularités, conformément à la décision MC/2018/11 du comité de gestion de l’Office de l’Organe des régulateurs européens des communications électroniques (Office de l’ORECE) établissant des lignes directrices relatives au lancement d’alertes de l’Office de l’ORECE. Les limitations pertinentes peuvent se fonder sur l’article 25, paragraphe 1, point h), du règlement; c) veille à ce que les membres du personnel de l’Office de l’ORECE puissent, à titre confidentiel, informer des conseillers confidentiels dans le cadre d’une procédure relative au harcèlement conformément à la décision MC/2016/15 du comité de gestion de l’Office de l’Organe des régulateurs européens des communications électroniques (Office de l’ORECE) au sujet de la politique relative à la protection de la dignité de la personne et à la prévention du harcèlement psychologique et sexuel. Les limitations pertinentes peuvent se fonder sur l’article 25, paragraphe 1, point h), du règlement;

2 Les catégories de données comprennent les données d’identification de personnes physiques, les coordonnées, les fonctions et rôles professionnels, les informations sur la conduite et les performances professionnelles et privées, ainsi que les données financières.

3 Toute limitation doit respecter l’essence des libertés et droits fondamentaux et constituer une mesure nécessaire et proportionnée dans une société démocratique.

4 Une évaluation de la nécessité et de la proportionnalité est effectuée au cas par cas avant l’application des limitations. Les limitations se réduisent à ce qui est strictement nécessaire pour atteindre les objectifs fixés, en tenant compte des risques pour les droits et libertés des personnes concernées.

5 À des fins de responsabilité, l’Office de l’ORECE dépose un dossier décrivant les raisons des restrictions appliquées, les motifs parmi ceux énumérés au paragraphe 1 qui s’appliquent et le résultat de l’évaluation de la nécessité et de la proportionnalité. Ces dossiers font partie d’un registre ad hoc, qui est mis à disposition par le CEPD. Un rapport sur l’application de l’article 25 du règlement est mis à disposition périodiquement.

L’évaluation des risques pour les droits et libertés des personnes concernées dont les données à caractère personnel peuvent faire l’objet de limitations, ainsi que leur durée de conservation, sont mentionnées dans le registre des activités de traitement pertinentes, conformément à l’article 31 du règlement et, le cas échéant, dans les analyses d’impact relatives à la protection des données, en vertu de l’article 39 du règlement.

L’Office de l’ORECE met en œuvre des garanties afin de prévenir les abus ou l’accès ou le transfert illicites de données à caractère personnel susceptibles de faire l’objet de restrictions. Ces garanties comprennent des mesures techniques et organisationnelles et sont détaillées, le cas échéant, dans les décisions, procédures et dispositions d’application de l’Office de l’ORECE. Les garanties comprennent: a) une définition adéquate des rôles, des responsabilités et des étapes de la procédure; b) le cas échéant, un environnement électronique sécurisé qui empêche l’accès ou le transfert illicites ou accidentels de données électroniques à des personnes non autorisées; c) le cas échéant, la conservation et le traitement sécurisés des documents papier; d) le suivi régulier des limitations et une révision périodique, qui doit être effectuée au moins tous les six mois. Une révision doit également être effectuée en cas de modification d’éléments essentiels du cas d’espèce. Les limitations sont levées dès que les circonstances qui les justifient ne s’appliquent plus.

1 Le DPD de l’Office de l’ORECE est informé dans les meilleurs délais dès lors que les droits des personnes concernées sont limités conformément à la présente décision et a accès au dossier et à tout document sous-jacent aux éléments de fait et de droit.

2 Le DPD de l’Office de l’ORECE peut demander à examiner l’application de la limitation. L’Office de l’ORECE informe son délégué par écrit du résultat de l’examen demandé.

3 La participation du DPD de l’Office de l’ORECE à la procédure de limitation, y compris aux échanges d’informations, est documentée sous la forme appropriée.

1 L’Office de l’ORECE inclut dans les avis de protection des données publiés sur son site internet des informations générales à l’intention des personnes concernées en ce qui concerne les limitations potentielles de l’ensemble des droits des personnes concernées décrites à l’article 2, paragraphe 1, de la présente décision. Ces informations portent sur les droits susceptibles d’être limités, ainsi que sur les raisons et la durée potentielle de la limitation.

2 En outre, l’Office de l’ORECE informe les personnes concernées individuellement de toute limitation présente ou future de leurs droits dans les meilleurs délais et par écrit, comme précisé aux articles 7, 8 et 9 de la présente décision.

1 Lorsque, dans le cadre des activités visées dans la présente décision, l’Office de l’ORECE limite, en tout ou en partie, les droits des personnes concernées visés aux articles 14 à 16 et à l’article 35 du règlement, les personnes concernées sont informées des principales raisons qui motivent l’application de la limitation, de leur droit de saisir le CEPD et de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

2 L’Office de l’ORECE peut différer, omettre ou refuser la communication d’informations sur les motifs de la limitation visée au paragraphe 1 dès lors que cela priverait d’effet la limitation. Cette évaluation se fait au cas par cas.

1 Lorsque, dans le cadre des activités visées dans la présente décision, l’Office de l’ORECE limite, en tout ou en partie, le droit d’accès aux données à caractère personnel, le droit de rectification, d’effacement et de limitation du traitement visé aux articles 17 à 20, respectivement, du règlement, il informe la personne concernée, dans la réponse à sa demande, des principales raisons qui motivent l’application de la limitation, de son droit de saisir le CEPD ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

2 L’Office de l’ORECE peut différer, omettre ou refuser la communication d’informations sur les motifs de la limitation visée au paragraphe 1 si cela prive d’effet la limitation. Cette évaluation se fait au cas par cas.

1 L’Office de l’ORECE peut, dans des cas exceptionnels et conformément aux dispositions et au principe de la directive 2002/58/CE du Parlement européen et du Conseil , limiter le droit à la confidentialité des communications électroniques, comme le prévoit l’article 36 du règlement. Dans ce cas, l’Office de l’ORECE précise les circonstances, les motifs, les risques pertinents et les garanties connexes dans des règles internes spécifiques.

2 Lorsque l’Office de l’ORECE restreint le droit à la confidentialité des communications électroniques, il informe la personne concernée, dans la réponse à sa demande, des principales raisons qui motivent l’application de la limitation, de son droit de saisir le CEPD et de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

3 L’Office de l’ORECE peut différer, omettre ou refuser la communication d’informations sur les motifs de la limitation visée aux paragraphes 1 et 2 dès lors que cela priverait d’effet la limitation. Cette évaluation se fait au cas par cas.

La présente décision entre en vigueur le jour de sa publication au Journal officiel de l’Union européenne.