Décision (UE) 2021/2243 de la Commission du 15 décembre 2021 portant adoption de règles internes relatives à la communication d’informations aux personnes concernées et à la limitation de certains de leurs droits dans le contexte du traitement des données à caractère personnel aux fins de la sécurité des systèmes d’information et de communication de la Commission

1 La présente décision établit les règles que la Commission doit suivre pour informer les personnes concernées du fait que leurs données à caractère personnel seront traitées conformément aux articles 14, 15 et 16 du règlement (UE) 2018/1725 lorsqu’elle exerce l’ensemble des tâches qui lui sont confiées en vertu de la décision (UE, Euratom) 2017/46. Elle fixe également les conditions dans lesquelles la Commission peut limiter l’application des articles 4, 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725, conformément à l’article 25, paragraphe 1, points c), d) et h), dudit règlement, lorsqu’elle s’acquitte des tâches qui lui incombent en vertu de la décision (UE, Euratom) 2017/46.

2 La présente décision s’applique aux opérations de traitement de données à caractère personnel effectuées par la Commission ou en son nom aux fins des activités qu’elle mène pour assurer la sécurité des personnes, des biens et des informations au sein de la Commission en vertu de la décision (UE, Euratom) 2017/46, ou en relation avec ces activités.

1 Lorsque la Commission exerce ses fonctions en ce qui concerne les droits des personnes concernées en vertu du règlement (UE) 2018/1725, elle examine si l’une des exceptions établies dans ledit règlement s’applique.

2 Sous réserve des articles 3 à 7 de la présente décision, lorsque l’exercice des droits et obligations prévus aux articles 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725 en ce qui concerne les données à caractère personnel traitées par la Commission compromettrait la finalité de la fourniture d’opérations et de services de sécurité informatique, notamment en révélant les vulnérabilités ainsi que les outils et méthodes d’enquête de la Commission ou nuirait aux droits et libertés ainsi qu’à la sécurité d’autres personnes concernées, en particulier en ce qui concerne le traitement de données à caractère personnel afin de: communiquer des alertes et avertissements concernant des événements et incidents liés à la sécurité informatique, réagir face à des événements et incidents et les contenir, faciliter l’utilisation d’outils et les opérations au moyen d’audits de sécurité, d’évaluations de la sécurité et de la gestion de la vulnérabilité, sensibiliser davantage le personnel de la Commission dans le domaine de la cybersécurité, suivre, détecter et prévenir les événements et incidents liés à la sécurité informatique, contrôler les comptes d’utilisateurs privilégiés, la Commission peut limiter l’application: a) des articles 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725, b) le principe de transparence énoncé à l’article 4, paragraphe 1, point a), du règlement (UE) 2018/1725, dans la mesure où les dispositions de cet article correspondent aux droits et obligations prévus aux articles 14 à 17, 19 et 20 du règlement (UE) 2018/1725. La Commission peut agir ainsi conformément à l’article 25, paragraphe 1, points c), d) et h) du règlement (UE) 2018/1725.

3 Sous réserve des articles 3 à 7, la Commission peut limiter les droits et obligations visés au paragraphe 2 du présent article: a) lorsque l’exercice de ces droits et obligations à l’égard des données à caractère personnel obtenues auprès d’une autre institution, d’un autre organe ou d’un autre organisme de l’Union pourrait être limité par cette autre institution, cet autre organe ou cet autre organisme de l’Union sur la base des actes juridiques prévus à l’article 25 du règlement (UE) 2018/1725, ou en vertu du chapitre IX de ce règlement, ou conformément au règlement (UE) 2016/794 du Parlement européen et du Conseil ou au règlement (UE) 2017/1939 du Conseil ; b) lorsque l’exercice de ces droits et obligations à l’égard des données à caractère personnel obtenues auprès d’une autorité compétente d’un État membre pourrait être limité par les autorités compétentes de cet État membre sur la base des actes visés à l’article 23 du règlement (UE) 2016/679 du Parlement européen et du Conseil ou en vertu de mesures nationales transposant l’article 13, paragraphe 3, l’article 15, paragraphe 3, ou l’article 16, paragraphe 3, de la directive (UE) 2016/680 du Parlement européen et du Conseil ; c) lorsque l’exercice de ces droits et obligations compromettrait la coopération de la Commission avec des pays tiers ou des organisations internationales sur les menaces communes en matière de cybersécurité. Avant d’appliquer des limitations dans les circonstances visées au premier alinéa, points a) et b), la Commission consulte les institutions, organes ou organismes de l’Union ou les autorités des États membres concernés au sujet des motifs potentiels justifiant l’imposition de limitations; de la nécessité et de la proportionnalité des limitations concernées, sauf si cela est de nature à porter atteinte aux activités de la Commission et s’il est manifeste pour la Commission que l’application d’une limitation est prévue par l’un des actes visés auxdits points ou que cette consultation est de nature à compromettre la finalité de ses activités au titre de la décision (UE, Euratom) 2017/46. Le premier alinéa, point c), ne s’applique pas lorsque les intérêts ou les libertés et droits fondamentaux de la personne concernée prévalent sur l’intérêt de la Commission à coopérer avec des pays tiers ou des organisations internationales.

4 Les paragraphes 1, 2 et 3 sont sans préjudice de l’application d’autres décisions de la Commission établissant des règles internes régissant la communication d’informations aux personnes concernées et la limitation de l’application de certains droits en vertu de l’article 25 du règlement (UE) 2018/1725.

5 Toute limitation des droits et obligations visés au paragraphe 2 est nécessaire et proportionnée aux risques qui pèsent sur les droits et libertés des personnes concernées.

6 Un test de nécessité et de proportionnalité est effectué au cas par cas avant l’application de limitations et les limitations correspondent à ce qui est strictement nécessaire pour atteindre l’objectif visé.

1 La Commission publie sur son site internet un avis relatif à la protection des données informant toutes les personnes concernées de ses activités impliquant le traitement de leurs données à caractère personnel aux fins de l’exécution des tâches qui lui incombent en application de la décision (UE, Euratom) 2017/46, avec une description des catégories de données à caractère personnel en cause. Lorsqu’il est possible de le faire sans compromettre la sécurité informatique, la Commission veille à ce que les personnes concernées soient informées individuellement sous une forme appropriée.

2 Lorsque la Commission limite, entièrement ou partiellement, la communication d’informations aux personnes concernées dont elle traite les données à caractère personnel aux fins de l’exécution des tâches qui lui incombent en application de la décision (UE, Euratom) 2017/46, elle enregistre et consigne dans un registre les motifs de la limitation conformément à l’article 6 de la présente décision.

1 Si la Commission limite, entièrement ou partiellement, le droit d’accès aux données à caractère personnel des personnes concernées, le droit à l’effacement ou le droit à la limitation du traitement des données visées aux articles 17, 19 et 20 du règlement (UE) 2018/1725, elle informe la personne concernée, dans sa réponse à la demande d’accès, d’effacement ou de limitation du traitement des données: a) de la limitation appliquée et des principaux motifs de celle-ci; b) de la procédure à suivre pour introduire une réclamation auprès du Contrôleur européen de la protection des données ou pour former un recours juridictionnel devant la Cour de justice de l’Union européenne.

2 La Commission peut différer, omettre ou refuser la communication d’informations sur les motifs de la limitation visée au paragraphe 1, dès lors que cela compromettrait la finalité de la limitation.

3 La Commission enregistre et consigne dans un registre les motifs de la limitation conformément à l’article 6.

4 Lorsque le droit d’accès est entièrement ou partiellement limité, la personne concernée peut exercer son droit d’accès en prenant contact avec le Contrôleur européen de la protection des données, conformément à l’article 25, paragraphes 6, 7 et 8, du règlement (UE) 2018/1725.

Lorsque la Commission limite la communication à la personne concernée d’une violation de données à caractère personnel, telle que visée à l’article 35 du règlement (UE) 2018/1725, elle enregistre et consigne dans un registre les motifs de la limitation conformément à l’article 6 de la présente décision. La Commission communique le dossier au CEPD au moment de la notification de la violation de données à caractère personnel.

1 La Commission enregistre les motifs de toute limitation appliquée en vertu de la présente décision, y compris une référence aux motifs juridiques appliqués pour la limitation, ainsi qu’une évaluation de la nécessité et de la proportionnalité de la limitation, en tenant compte des éléments pertinents énumérés à l’article 25, paragraphe 2, du règlement (UE) 2018/1725.

2 L’enregistrement indique de quelle manière l’exercice d’un droit par la personne concernée compromettrait la finalité de la fourniture d’opérations et de services de sécurité informatique à la Commission en application de la décision (UE, Euratom) 2017/46 ou des limitations appliquées en vertu de l’article 2, paragraphe 2 ou 3, de la présente décision, ou porterait atteinte aux droits et libertés d’autres personnes concernées.

3 La Commission conserve ces registres et tous les documents contenant des éléments factuels et juridiques pertinents. Ils sont mis à la disposition du Contrôleur européen de la protection des données sur demande.

1 Les limitations visées aux articles 3, 4 et 5 continuent de s’appliquer aussi longtemps que les motifs qui les justifient restent valables.

2 Lorsque les motifs d’une limitation visée aux articles 3, 4 et 5 ne sont plus valables, la Commission: a) lève la limitation; b) communique à la personne concernée les principaux motifs de la limitation; c) informe la personne concernée de la procédure à suivre pour déposer une plainte auprès du Contrôleur européen de la protection des données ou pour former un recours juridictionnel devant la Cour de justice de l’Union européenne.

1 La Commission réexamine l’application des limitations visées aux articles 3, 4 et 5 tous les six mois à compter de leur adoption et à la clôture de l’opération de sécurité informatique concernée. Par la suite, la Commission réexamine et contrôle chaque année la nécessité de maintenir la limitation. Le réexamen inclut une évaluation de la nécessité et de la proportionnalité de la limitation, en tenant compte des éléments pertinents énumérés à l’article 25, paragraphe 2, du règlement (UE) 2018/1725.

2 La Commission a adopté des mesures techniques et organisationnelles visant à éviter toute destruction, perte, altération, divulgation non autorisée, d’origine accidentelle ou illicite, de données à caractère personnel transmises, conservées ou traitées de toute autre manière, comme par exemple dans le cadre de la gestion des droits d’accès, d’une politique de sauvegarde ou de toute autre mesure conforme à la décision (UE, Euratom) 2017/46, ou l’accès non autorisé à ces données.

3 La Commission consigne les durées de conservation conformément à la liste commune de conservation des dossiers au niveau de la Commission et met à la disposition des personnes concernées les durées de conservation pour ces activités de traitement dans son avis relatif à la protection des données.

1 Le délégué à la protection des données de la Commission est informé sans délai chaque fois que les droits de personnes concernées sont limités conformément à la présente décision. Il obtient sur demande l’accès à l’enregistrement et à tout document contenant des éléments factuels et juridiques sous-jacents.

2 Il peut demander un réexamen des limitations et est informé du résultat du réexamen demandé.

3 La Commission documente l’intervention du délégué à la protection des données chaque fois que les droits de personnes concernées sont limités conformément à la présente décision.

La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.