Décision de l’Autorité pour les partis politiques européens et les fondations politiques européennes du 18 mai 2021 adoptant les modalités d’exécution du règlement (UE) 2018/1725 du Parlement européen et du Conseil relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE, en rapport avec les limitations de certains droits des personnes concernées conformément à l’article 25 du règlement en question 2021/C 257 I/01

La présente décision établit les règles internes en vertu desquelles l’Autorité pour les partis politiques européens et les fondations politiques européennes (ci-après «l’Autorité») peut appliquer des exceptions, des dérogations ou des limitations relatives aux droits des personnes concernées, en vertu, notamment, de l’article 25 du règlement (UE) 2018/1725.

1 L’Autorité détermine les finalités et les moyens du traitement des données à caractère personnel et agit donc en tant que responsable du traitement de ces données au sens de l’article 3, paragraphe 8, du règlement (UE) 2018/1725 et conformément à l’article 25, paragraphe 2, point e), dudit règlement.

2 Lorsque l’Autorité et au moins une autre entité, y compris les institutions et organes de l’Union, déterminent les finalités et les moyens d’une opération de traitement donnée, les acteurs concernés sont considérés comme les responsables conjoints du traitement au sens de l’article 28, paragraphe 1, du règlement (UE) 2018/1725.

3 Le responsable du traitement est tenu de veiller à ce que les opérations de traitement soient conformes au règlement (UE) 2018/1725 et doit être en mesure de démontrer le respect des dispositions dudit règlement. Il est notamment chargé: a) de mettre en œuvre les mesures techniques et organisationnelles appropriées en vue de l’application des principes de protection des données dès la conception et par défaut; b) de donner au personnel placé sous son autorité des instructions adéquates afin de garantir un traitement légal, équitable, transparent et confidentiel et de fournir un niveau de sécurité approprié au regard des risques présentés par le traitement; c) de coopérer avec le délégué à la protection des données ainsi que le Contrôleur européen de la protection des données dans l’exercice de leurs fonctions respectives, notamment en leur communiquant des informations en réponse à leurs demandes; d) d’informer le délégué à la protection des données et de l’associer en temps utile, en particulier aux projets relatifs à de nouvelles opérations de traitement de données ou à la modification en profondeur d’opérations en cours.

1 Avant de mettre en œuvre une limitation en vertu de la section 2 du présent chapitre, le responsable du traitement examine si l’une des exceptions énoncées dans le règlement (UE) 2018/1725 s’applique, notamment celles relevant de l’article 15, paragraphe 4, de l’article 16, paragraphe 5, de l’article 19, paragraphe 3, ou de l’article 35, paragraphe 3, dudit règlement.

2 En ce qui concerne le traitement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, le responsable du traitement examine si les exceptions visées à l’article 16, paragraphe 5, point b), et à l’article 19, paragraphe 3, point d), du règlement (UE) 2018/1725 s’appliquent.

1 En ce qui concerne le traitement à des fins archivistiques dans l’intérêt public, le responsable du traitement peut recourir à des dérogations en application de l’article 25, paragraphe 4, du règlement (UE) 2018/1725. À cette fin, le responsable du traitement peut déroger aux droits visés aux articles 17, 18, 20, 21, 22 et 23 du règlement (UE) 2018/1725 conformément aux conditions prévues à l’article 25, paragraphe 4, dudit règlement.

2 En ce qui concerne le traitement à des fins de recherche scientifique ou historique ou à des fins statistiques, le responsable du traitement peut recourir à des dérogations en application de l’article 25, paragraphe 3, du règlement (UE) 2018/1725. À cette fin, le responsable du traitement peut déroger aux droits visés aux articles 17, 18, 20 et 23 du règlement (UE) 2018/1725 conformément aux conditions prévues à l’article 25, paragraphe 3, dudit règlement.

3 De telles dérogations sont assujetties à des garanties appropriées en application de l’article 13 du règlement (UE) 2018/1725 et de l’article 6, paragraphes 1 et 2, de la présente décision. Des mesures techniques et organisationnelles sont mises en place pour garantir le respect du principe de minimisation des données et, le cas échéant, la pseudonymisation.

1 La présente section établit les conditions générales dans lesquelles le responsable du traitement peut limiter l’application des articles 14 à 21, 35 et 36 du règlement (UE) 2018/1725 ainsi que de son article 4 dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 21 dudit règlement, en application de son article 25. Les conditions générales visées au premier alinéa sont complétées par les dispositions des annexes de la présente décision, qui précisent les conditions dans lesquelles l’Autorité peut limiter les droits des personnes concernées dans le cadre de chacune de ses activités et procédures susceptibles d’impliquer le traitement de données à caractère personnel et de requérir l’application de limitations.

2 La présente section s’applique au traitement de données à caractère personnel aux fins des activités et des procédures menées par l’Autorité, tel que précisé dans les annexes de la présente décision.

1 Les données à caractère personnel faisant l’objet d’une limitation sont conservées dans un environnement physique ou électronique sécurisé qui empêche leur consultation illicite ou leur transfert à des personnes qui n’ont pas besoin de les connaître.

2 Avant d’appliquer la moindre limitation, une évaluation de la nécessité et de la proportionnalité de la limitation et des risques pour les personnes concernées est effectuée conformément à l’article 12 de la présente décision.

1 Sous réserve des articles 8 à 13 et des dispositions des annexes applicables de la présente décision, le responsable du traitement peut appliquer des limitations portant sur les droits de la personne concernée explicitement visés dans les annexes applicables dès lors que l’exercice de ces droits compromettrait l’objectif de l’une des activités ou procédures énoncées dans ces annexes.

2 Lorsqu’il applique une limitation, et notamment lorsqu’il diffère, omet ou refuse, en tout ou en partie, l’exercice du droit de la personne concernée, le responsable du traitement procède conformément à l’article 12 de la présente décision.

1 Lorsque le responsable du traitement limite le droit d’information visé aux articles 15 et 16 du règlement (UE) 2018/1725, les personnes concernées sont informées, conformément à l’article 25, paragraphe 6, dudit règlement, des principales raisons qui motivent cette limitation et de leur droit de saisir le Contrôleur européen de la protection des données.

2 Toutefois, sur la base d’une évaluation au cas par cas, la communication de ces informations peut être différée, omise ou refusée conformément à l’article 25, paragraphe 8, du règlement (UE) 2018/1725 si elle prive d’effet la limitation. Dès que la communication de ces informations ne prive plus d’effet la limitation, les informations sont fournies à la personne concernée.

1 Lorsque le responsable du traitement limite, en tout ou en partie, le droit des personnes concernées d’accéder aux données à caractère personnel, le droit de rectification, le droit à l’effacement ou le droit à la limitation du traitement visés aux articles 17, 18, 19 et 20, respectivement, du règlement (UE) 2018/1725 ainsi que l’obligation de notification prévue à l’article 21 dudit règlement, il informe la personne concernée, dans sa réponse à la demande d’accès, de rectification, d’effacement ou de limitation du traitement, de la limitation appliquée et des principaux motifs qui sous-tendent celle-ci ainsi que de la possibilité de saisir le Contrôleur européen de la protection des données ou d’introduire un recours juridictionnel devant la Cour de justice de l’Union européenne (ci-après «la Cour de justice»).

2 Sur la base d’une évaluation au cas par cas, la communication des informations relatives aux motifs de la limitation visée au paragraphe 1 peut être différée, omise ou refusée aussi longtemps qu’elle priverait d’effet la limitation. Dès que la communication de ces informations ne prive plus d’effet la limitation, les informations sont fournies à la personne concernée.

3 Lorsque le droit d’accès est limité en tout ou en partie et que la personne concernée a exercé son droit de saisir le Contrôleur européen de la protection des données, ce dernier fait savoir à la personne concernée, et à elle seulement, si les données ont été traitées correctement et, dans la négative, si des corrections ont été apportées conformément à l’article 25, paragraphe 7, du règlement (UE) 2018/1725.

Lorsqu’il limite l’application de l’article 35 du règlement (UE) 2018/1725, le responsable du traitement procède conformément à l’article 12 de la présente décision. Si la communication d’une violation de données à la personne concernée est limitée sur cette base, ce fait est consigné dans une note et cette note est communiquée au Contrôleur européen de la protection des données au moment de la notification de la violation de données à caractère personnel.

Lorsqu’il limite l’obligation d’assurer la confidentialité des communications électroniques visée à l’article 36 du règlement (UE) 2018/1725, le responsable du traitement procède conformément à l’article 12 de la présente décision.

1 Avant d’appliquer des limitations particulières, le responsable du traitement évalue au cas par cas la nécessité et la proportionnalité des limitations, en tenant compte de l’article 25, paragraphes 2 et 8, du règlement (UE) 2018/1725.

2 Cette évaluation expose par écrit les motifs de toute limitation appliquée en vertu de la présente décision et comprend un examen des risques pour les droits et libertés des personnes concernées, notamment du risque que leurs données à caractère personnel puissent être encore traitées, à leur insu, et qu’elles soient dans l’impossibilité d’exercer leurs droits conformément au règlement (UE) 2018/1725. Elle détermine également en quoi l’exercice des droits des personnes concernées compromettrait la finalité de l’une des activités ou procédures menées par l’Autorité, telles que définies dans les annexes de la présente décision.

3 Les évaluations sont consignées dans un registre central et mises à la disposition du Contrôleur européen de la protection des données sur demande.

4 Lorsque le responsable du traitement limite le droit à la confidentialité des communications électroniques visé à l’article 36 du règlement (UE) 2018/1725 en vertu du présent article, il informe la personne concernée, en réponse à toute demande de cette dernière, des principales raisons qui motivent cette limitation et de son droit de saisir le Contrôleur européen de la protection des données.

5 Sur la base d’une évaluation au cas par cas, la communication des informations visée au paragraphe 4 peut être différée, omise ou refusée aussi longtemps qu’elle priverait d’effet la limitation. Dès que la communication de ces informations ne prive plus d’effet la limitation, les informations sont fournies à la personne concernée.

1 Les limitations visées dans la présente décision, lues conjointement avec les annexes de la présente décision, continuent de s’appliquer aussi longtemps que les motifs qui les justifient restent valables.

2 Lorsque les motifs d’une limitation visée dans la présente décision, lus conjointement avec les annexes pertinentes de la présente décision, cessent de s’appliquer, le responsable du traitement lève la limitation. Dans le même temps, le responsable du traitement fournit à la personne concernée les motifs principaux de la limitation et l’informe de la possibilité de déposer à tout moment une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice.

3 Le responsable du traitement réexamine l’application des limitations visées dans la présente décision, lues conjointement avec les annexes de la présente décision, tous les six mois à compter de son adoption et à la clôture de la procédure concernée. Par la suite, aux fins des activités et des procédures visées aux annexes I, II, III, IV, V, VI, VII et VIII de la présente décision, le responsable du traitement surveille la nécessité de conserver chacune des limitations sur une base annuelle.

1 Le délégué à la protection des données est informé sans retard injustifié chaque fois que les droits de personnes concernées sont limités conformément à la présente section. Le délégué à la protection des données est consulté, dans la mesure du possible, avant et pendant toute la procédure de restriction et est associé à l’évaluation. La participation du délégué à la protection des données est consignée dans une note établie par le responsable du traitement. La note indique les informations qui ont été partagées avec le délégué à la protection des données. Le délégué à la protection des données obtient, sur demande, l’accès à tout document contenant des éléments factuels et juridiques sous-jacents.

2 Le délégué à la protection des données peut demander un réexamen des limitations. Il est informé par écrit du résultat du réexamen demandé.

Les annexes de la présente décision font partie intégrante de celle-ci.

La présente décision entre en vigueur le jour suivant celui de sa publication au Journal officiel de l’Union européenne.