Décision du Conseil d’Administration d’Europol du 9 juin 2020 sur les règles internes concernant les limitations de certains droits des personnes concernées au regard du traitement par Europol des données administratives à caractère personnel

La présente décision établit les règles relatives aux conditions dans lesquelles Europol peut limiter l’application des articles 14 à 20, 35 et 36, ainsi que de l’article 4, du règlement (UE) 2018/1725, en vertu de son article 25.

1 Le responsable du traitement est Europol, représenté par son directeur exécutif, qui peut déléguer la fonction de responsable du traitement.

2 Les personnes concernées sont informées de la délégation de la fonction de responsable du traitement au moyen des avis ou registres relatifs à la protection des données publiés sur le site web et/ou l’intranet d’Europol.

1 Lorsqu’Europol exerce ses fonctions au regard des droits des personnes concernées en vertu du règlement (UE) 2018/1725, il examine si l’une des dérogations établies dans ledit règlement s’applique.

2 Conformément à l’article 25, paragraphe 1, du règlement (UE) 2018/1725, Europol peut limiter l’application de ses articles 14 à 20, 35 et 36, ainsi que de son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 20 dudit règlement, dans les cas suivants: a) lorsque l’IIS mène des enquêtes préalables et des enquêtes administratives et que le conseil de discipline dirige des procédures disciplinaires sur le fondement du statut des fonctionnaires de l’Union européenne ainsi que de la décision du conseil d’administration d’Europol portant dispositions générales d’exécution relatives à la conduite des enquêtes administratives et des procédures disciplinaires. Les limitations pertinentes peuvent se fonder sur l’article 25, paragraphe 1, points c), g) et h), du règlement (UE) 2018/1725; b) au cours des procédures de lancement d’alerte, afin de garantir que les membres du personnel d’Europol rendent compte, en toute confidentialité, des faits lorsqu’ils estiment qu’il existe de graves irrégularités, comme indiqué dans le document d’orientation consacré aux dispositifs d’alerte éthique. Les limitations pertinentes peuvent se fonder sur l’article 25, paragraphe 1, point h), du règlement (UE) 2018/1725; c) lors de procédures formelles et informelles concernant des cas de harcèlement, en veillant à ce que les membres du personnel d’Europol puissent rendre compte, en toute confidentialité, aux conseillers confidentiels dans le cadre d’une procédure de harcèlement au sens de la décision du conseil d’administration d’Europol portant sur la politique relative à la protection de la dignité de la personne et à la prévention du harcèlement moral et sexuel. Les limitations pertinentes peuvent se fonder sur l’article 25, paragraphe 1, point h), du règlement (UE) 2018/1725; d) le délégué à la protection des données mène des enquêtes sur les activités de traitement réalisées au sein d’Europol conformément à l’article 13 de la décision du conseil d’administration d’Europol portant modalités d’exécution concernant le délégué à la protection des données. Les limitations pertinentes peuvent se fonder sur l’article 25, paragraphe 1, points c), g) et h), du règlement (UE) 2018/1725; e) la structure d’audit interne mène des audits internes portant sur l’ensemble des activités et des services d’Europol. Les limitations pertinentes peuvent se fonder sur l’article 25, paragraphe 1, points c), g) et h), du règlement (UE) 2018/1725; f) Europol et les autres institutions, organes ou organismes de l’Union peuvent mutuellement se prêter assistance et coopérer, dans le cadre des activités précitées, conformément aux dispositions des accords de niveau de service, des protocoles d’accord et des accords de coopération pertinents. Les limitations pertinentes peuvent se fonder sur l’article 25, paragraphe 1, points c), d), g) et h), du règlement (UE) 2018/1725.

3 Les catégories de données comprennent les données d’identification de personnes physiques, les coordonnées, les fonctions et rôles professionnels, les informations sur la conduite et les performances professionnelles et privées, ainsi que les données financières.

4 Toute limitation doit respecter l’essence des libertés et droits fondamentaux et constituer une mesure nécessaire et proportionnée dans une société démocratique.

5 Une évaluation de la nécessité et de la proportionnalité est effectuée au cas par cas avant l’application des limitations. Les limitations se réduisent à ce qui est strictement nécessaire pour atteindre les objectifs fixés.

6 Les limitations doivent être dûment contrôlées par le responsable du traitement des données et un réexamen périodique, assorti d’un contrôle de la nécessité et de la proportionnalité, est effectué tous les six mois suivant leur adoption, en consultation avec le délégué à la protection des données.

7 Les limitations sont levées dès que les circonstances qui les justifient cessent d’exister. Le responsable du traitement, en consultation avec le délégué à la protection des données, fournit les informations pertinentes à la personne concernée, assorties des informations sur la possibilité de saisir le CEPD à tout moment ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

8 À des fins de responsabilité, Europol dépose un dossier décrivant les raisons des limitations appliquées, les motifs parmi ceux énumérés au paragraphe 1 qui s’appliquent et le résultat de l’évaluation de la nécessité et de la proportionnalité. Ces dossiers font partie d’un registre ad hoc, qui est conservé par le délégué à la protection des données et doit être mis à la disposition du CEPD sur demande. Un rapport sur l’application de l’article 25 du règlement (UE) 2018/1725 est mis à disposition périodiquement.

9 Lorsqu’il traite des données administratives à caractère personnel échangées avec d’autres organisations dans le cadre de ses missions, Europol consulte lesdites organisations sur les motifs pertinents de l’imposition des limitations et sur la nécessité et la proportionnalité des limitations, à moins que cela ne compromette ses activités.

L’évaluation des risques pour les droits et libertés des personnes concernées dont les données à caractère personnel peuvent faire l’objet de limitations, ainsi que leur durée de conservation, sont mentionnées dans le registre des activités de traitement pertinentes, conformément à l’article 31 du règlement (UE) 2018/1725 et, le cas échéant, dans les analyses d’impact relatives à la protection des données, en vertu de l’article 39 dudit règlement.

1 Europol met en œuvre des garanties afin de prévenir les abus ou l’accès ou le transfert illicites de données à caractère personnel susceptibles de faire l’objet de limitations. Ces garanties incluent les mesures techniques et organisationnelles pour protéger les données à caractère personnel contre la destruction accidentelle ou illicite, la perte accidentelle ou la divulgation, la modification et l’accès non autorisés, ou contre toute autre forme de traitement non autorisé. Les garanties comprennent: a) une définition claire des rôles, des responsabilités et des étapes de la procédure; b) le cas échéant, un environnement électronique sécurisé qui empêche l’accès ou le transfert illicites ou accidentels de données électroniques à des personnes non autorisées; c) le cas échéant, la conservation et le traitement sécurisés des documents papier; d) un suivi approprié des limitations et un réexamen périodique de leur application.

2 La durée de conservation des données à caractère personnel pouvant faire l’objet de limitations n’est pas plus longue que nécessaire et elle est appropriée aux finalités pour lesquelles lesdites données sont traitées. En tout état de cause, elle ne dépasse pas la durée de conservation spécifiée dans les avis relatifs à la protection de données, les déclarations de confidentialité ou les registres mentionnés plus haut.

1 Le délégué à la protection des données est consulté dans les meilleurs délais chaque fois que le responsable du traitement entend appliquer des limitations aux droits de la personne concernée conformément à la présente décision. En outre, il bénéficie d’un accès au dossier contenant l’évaluation de la nécessité et de la proportionnalité, ainsi qu’à tous les documents ayant trait aux éléments de fait et de droit.

2 La participation du délégué à la protection des données à la procédure de limitation, y compris aux échanges d’informations, est consignée sous une forme appropriée.

1 Europol publie, sur son intranet, des avis relatifs à la protection des données qui informent toutes les personnes concernées des activités de traitement impliquant le traitement de leurs données à caractère personnel susceptibles de faire l’objet de limitations en vertu des présentes règles.

2 Les responsables du traitement informent individuellement les personnes concernées qui sont parties à une procédure, les parties à une procédure ou encore les témoins de leurs droits et les limitations susceptibles d’être appliquées.

1 Lorsque, dans le cadre des activités visées dans la présente décision, Europol limite, en tout ou en partie, leurs droits visés aux articles 14 à 16 et à l’article 35 du règlement (UE) 2018/1725, les personnes concernées sont informées des principales raisons qui motivent l’application de la limitation, de leur droit de saisir le CEPD et de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

2 Europol peut différer, omettre ou refuser la communication d’informations sur les motifs de la limitation visée au paragraphe 1 dès lors que cela priverait d’effet la limitation. Cette évaluation est effectuée au cas par cas en coopération avec le délégué à la protection des données.

1 Lorsque, dans le cadre des activités visées dans la présente décision, Europol limite, en tout ou en partie, le droit d’accès aux données à caractère personnel, le droit de rectification, d’effacement et de limitation du traitement visé aux articles 17 à 20, respectivement, du règlement (UE) 2018/1725, il informe la personne concernée, dans la réponse à sa demande, des principales raisons qui motivent l’application de la limitation, de son droit de saisir le CEPD ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

2 Europol peut différer, omettre ou refuser la communication d’informations sur les motifs de la limitation visée au paragraphe 1 si cela prive d’effet la limitation. Cette évaluation est effectuée au cas par cas en coopération avec le délégué à la protection des données.

1 Europol peut, dans des cas exceptionnels et conformément aux dispositions et au principe de la directive 2002/58/CE du Parlement européen et du Conseil , limiter le droit à la confidentialité des communications électroniques, comme le prévoit l’article 36 du règlement (UE) 2018/1725.

2 Lorsqu’Europol limite le droit à la confidentialité des communications électroniques, il informe la personne concernée, dans la réponse à sa demande, des principales raisons qui motivent l’application de la limitation, de son droit de saisir le CEPD ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

3 Europol peut différer, omettre ou refuser la communication d’informations sur les motifs de la limitation visée aux paragraphes 1 et 2 dès lors que cela priverait d’effet la limitation. Cette évaluation est effectuée au cas par cas en coopération avec le délégué à la protection des données.

La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.