Décision du Fonds européen d’investissement du 4 juin 2020 portant règles internes relatives à la limitation de certains droits des personnes concernées en matière de traitement des données à caractère personnel dans le cadre des activités menées par le Fonds européen d’investissement

La présente décision stipule les conditions dans lesquelles le FEI peut limiter l’application des articles 14 à 20, 35 et 36, ainsi que de l’article 4 du règlement, en vertu de l’article 25 de ce dernier.

1 Conformément à l’article 25, paragraphe 1, du règlement, le FEI peut, au cas par cas uniquement, limiter l’application des articles 14 à 20, 35 et 36, ainsi que de l’article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 20, lorsque: a) il mène des enquêtes administratives, sur la base du code de conduite du Groupe BEI et d’autres codes de conduite applicables; b) il mène des enquêtes sur des questions et des faits événements directement en rapport avec les missions du DPD, conformément à l’article 45, paragraphe 2, du règlement; c) il mène des procédures disciplinaires en vertu de la section 6 du règlement du personnel du FEI, titre IV de la Politique en matière de dignité au travail, du Code de conduite du personnel du Groupe BEI et d’autres codes de conduite applicables au FEI; d) il fait en sorte que les membres du personnel du FEI puissent déclarer de manière confidentielle les faits lorsqu’ils estiment qu’il existe des irrégularités graves, telles que régies par la Politique de signalement du Groupe BEI; e) il fait en sorte que les membres du personnel du FEI puissent, à titre confidentiel, signaler des faits lorsqu’ils estiment qu’il existe des soupçons de manœuvres interdites, y compris la fraude ou la corruption, préjudiciables aux intérêts de l’Union, ou de manœuvres liées à l’exercice d’activités professionnelles et qui sont susceptibles de constituer un manquement grave aux obligations qui leur incombent, conformément à la Politique de signalement du Groupe BEI, à la Politique antifraude du FEI et aux codes de conduite applicables du FEI; f) il mène des enquêtes portant sur des manœuvres interdites, conformément à la politique antifraude du FEI; g) il réalise des audits internes portant sur l’ensemble des activités et des départements du FEI; h) il prête assistance ou apporte sa collaboration à d’autres institutions, organes ou organismes de l’Union ou bénéficie de l’assistance ou de la collaboration de ceux-ci, dans le contexte des activités susmentionnées, conformément aux dispositions des accords de niveau de service, des protocoles d’accord et des accords de coopération pertinents; i) il prête assistance ou apporte sa collaboration aux pouvoirs publics des États membres de l’Union, ou bénéficie de l’assistance ou de la collaboration de ceux-ci, à leur demande ou de sa propre initiative; j) il prête assistance ou apporte sa collaboration aux autorités nationales de pays tiers et aux organisations internationales, ou il bénéficie de l’assistance ou de la collaboration de celles-ci, à leur demande ou de sa propre initiative.

2 Les catégories de données comprennent les données d’identification de personnes physiques, les coordonnées, les fonctions et rôles professionnels, les informations sur la conduite et les performances professionnelles et privées, les données sur l’implication dans le dossier et les données financières.

3 L’application des limitations susmentionnées est sans préjudice de l’application éventuelle des dispositions de l’article 16, paragraphe 5, et de l’article 17, paragraphe 4, qui portent, respectivement, sur le droit à l’information lorsque les données à caractère personnel n’ont pas été recueillies auprès de la personne concernée, et sur le droit d’accès de la personne concernée.

4 Toute limitation doit respecter l’essence des libertés et droits fondamentaux et constituer une mesure nécessaire et proportionnée dans une société démocratique, comme prévu dans le règlement, les actes réglementaires correspondants ou les politiques internes du FEI ou du Groupe BEI.

5 Toute limitation doit être fondée sur une autorisation expresse s’inscrivant dans le cadre d’une politique ou procédure interne efficace du FEI et porter atteinte le moins possible aux droits des personnes concernées, comme l’a confirmé le DPD.

6 Une évaluation de la nécessité et de la proportionnalité, que le DPD doit juger satisfaisante, est effectuée au cas par cas avant l’application des limitations. Les limitations se réduisent à ce qui est strictement nécessaire pour atteindre les objectifs fixés. Les limitations ne sont établies que pour la durée requise en raison du motif pertinent au sens du paragraphe 1, qui est désigné comme le motif de la limitation, qui devra être justifiée à la satisfaction du DPD.

7 Lorsque IG/IN limite, en tout ou en partie, la communication d’informations aux personnes pertinentes pour l’enquête (personne concernée, témoin ou informateur), cette division veille à consigner dans un relevé les motifs de la limitation, accompagnés d’une évaluation de la nécessité et de la proportionnalité de cette dernière. À cette fin, le relevé précise la manière dont la communication des informations compromettrait la finalité des activités d’enquête d’IG/IN ou des limitations appliquées conformément à l’article 2, paragraphe 1, points f), g) et h), de la présente décision, ou dont elle porterait atteinte aux droits et libertés d’autres personnes concernées. Le relevé et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont enregistrés. Ils sont mis à la disposition du Contrôleur européen de la protection des données (CEPD) sur demande.

8 Dans une optique de responsabilité, le FEI dépose un dossier décrivant les raisons des limitations appliquées, les motifs parmi ceux énumérés au paragraphe 1 qui s’appliquent et le résultat de l’évaluation de la nécessité et de la proportionnalité. Ces dossiers font partie d’un registre ad hoc, qui est mis à la disposition du CEPD sur demande.

9 Lorsqu’il traite des données à caractère personnel échangées avec d’autres organisations dans le cadre de ses missions, le FEI et ces organisations doivent se consulter sur les motifs pertinents de l’imposition des limitations et sur la nécessité et la proportionnalité des limitations, à moins que cela ne compromette les activités du FEI.

L’évaluation des risques pour les droits et libertés des personnes concernées dont les données à caractère personnel peuvent faire l’objet de limitations, ainsi que leur durée de conservation, sont mentionnées dans le registre des activités de traitement concernées conformément à l’article 31 du règlement et, le cas échéant, dans les analyses d’impact relatives à la protection des données fondées sur l’article 39 du règlement.

Le FEI met en œuvre des garanties afin de prévenir les abus ou l’accès ou le transfert illicites de données à caractère personnel susceptibles de faire l’objet de limitations. Ces garanties comprennent des mesures techniques et organisationnelles et sont détaillées, le cas échéant, dans les décisions, procédures et dispositions d’application du FEI. Il s’agira notamment: 1) d’une définition adéquate des rôles, des responsabilités et des étapes de la procédure; 2) le cas échéant, d’un environnement électronique sécurisé qui empêche l’accès ou le transfert illicites ou accidentels de données électroniques à des personnes non autorisées; 3) le cas échéant, de la conservation et du traitement sécurisés des documents papier; 4) d’un suivi régulier des limitations et d’une révision périodique, qui doit être effectuée au moins tous les six mois par le DPD. Une révision doit également être effectuée en cas de modification d’éléments essentiels du cas d’espèce. Les limitations sont levées dès que les circonstances qui les justifient ne s’appliquent plus.

1 Le DPD est informé dans les meilleurs délais dès lors que les droits des personnes concernées sont limités conformément à la présente décision et a pleinement accès, sans restriction, au dossier et à tout document contenant des éléments sous-jacents de fait et de droit, qui sont pertinents aux fins de la décision relative à la limitation et au suivi du maintien de la limitation.

2 Le DPD peut demander à examiner l’application de la limitation.

3 Si, au cours de ses propres enquêtes, le DPD applique des limitations, il en informe le responsable du traitement dans les meilleurs délais.

4 La participation du DPD à la procédure de limitation, y compris aux échanges d’informations, est documentée sous la forme appropriée et inscrite dans les dossiers et registres correspondants.

5 Dans le contexte des enquêtes sur les manœuvres interdites, la division Enquêtes sur les fraudes de la BEI consulte le DPD avant l’application de certains motifs de limitation visés à l’article 25 du règlement, aux opérations de traitement des données effectuées dans le cadre de ses missions définies dans la politique antifraude du FEI, la charte de la division Enquêtes sur les fraudes et les procédures d’enquête.

1 Le FEI inclut dans les avis de protection des données publiés sur son site internet des informations générales à l’intention des personnes concernées et qui portent sur les limitations potentielles de l’ensemble des droits des personnes concernées décrites à l’article 2, paragraphe 1. Ces informations précisent quels sont les droits susceptibles d’être limités.

2 Le FEI informe les personnes concernées individuellement de toute limitation présente ou future de leurs droits dans les meilleurs délais et par écrit, comme précisé aux articles 7, 8 et 9.

1 Lorsque, dans le cadre des activités visées dans la présente décision, le FEI limite, en tout ou en partie, leurs droits visés aux articles 14 à 16 et à l’article 35 du règlement, les personnes concernées sont informées des principales raisons qui motivent l’application de la limitation, de leur droit de saisir le CEPD et de former un recours juridictionnel devant la Cour de justice de l’Union européenne. Cette limitation est conforme aux règles établies et au processus décrit dans la présente décision.

2 Le FEI peut différer, omettre ou refuser la communication d’informations sur les motifs de la limitation visée au paragraphe 1 dès lors que cela priverait d’effet la limitation. Cette évaluation se fait au cas par cas. Tout report ou refus doit être dûment justifié, à la satisfaction du DPD, et figurer dans les dossiers et registres pertinents. Afin d’éviter toute ambiguïté, les personnes concernées sont informées de leurs droits d’introduire une réclamation auprès du CEPD et de former un recours juridictionnel devant la Cour de justice de l’Union européenne contre la décision de différer ou de refuser la communication des informations visées au paragraphe 1 ci-dessus.

1 Lorsque, dans le cadre des activités visées dans la présente décision, le FEI limite, en tout ou en partie, le droit d’accès aux données à caractère personnel, le droit de rectification, d’effacement et de limitation du traitement visé aux articles 17 à 20, respectivement, du règlement, il informe la personne concernée, dans la réponse à sa demande, des principales raisons qui motivent l’application de la limitation, de son droit de saisir le CEPD et de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

2 Lorsque le droit d’accès est, en tout ou en partie, limité, le FEI, lorsqu’il examine la réclamation, communique uniquement à la personne concernée si les données ont été traitées correctement et, si tel n’est pas le cas, si les corrections nécessaires ont été apportées, conformément à l’article 25, paragraphe 7, du règlement.

3 Le FEI peut différer, omettre ou refuser la communication d’informations concernant les motifs de la limitation visée aux paragraphes 1 et 2, dans la mesure où et aussi longtemps que cela prive d’effet la limitation. Cette évaluation se fait au cas par cas et suit les règles établies et le processus décrit dans la présente décision.

1 Le FEI, peut, dans des cas exceptionnels et conformément aux dispositions et au principe de la directive 2002/58/CE du Parlement européen et du Conseil , limiter le droit à la confidentialité des communications électroniques, comme le prévoit l’article 36 du règlement. Dans ce cas, le FEI précise les circonstances, les motifs, les risques pertinents et les garanties connexes dans des règles internes spécifiques.

2 Lorsque le FEI restreint le droit à la confidentialité des communications électroniques, il informe la personne concernée, dans la réponse à sa demande, des principales raisons qui motivent l’application de la limitation, de son droit de saisir le CEPD et de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

3 Le FEI peut différer, omettre ou refuser la communication d’informations sur les motifs de la limitation visée aux paragraphes 1 et 2 dès lors que cela priverait d’effet la limitation. Cette évaluation se fait au cas par cas.

La présente décision et toute modification y relative seront approuvées par le conseil d’administration du FEI et entreront en vigueur le vingtième jour à compter de leur publication au Journal officiel de l’Union européenne.