Décision du comité de direction de l’Agence exécutive du Conseil européen de la recherche du 11 décembre 2020 portant règles internes relatives à la limitation de certains droits des personnes concernées en matière de traitement des données à caractère personnel dans le cadre des activités menées par l’Agence exécutive du Conseil européen de la recherche

1 La présente décision établit les règles relatives aux conditions dans lesquelles l’Agence exécutive du Conseil européen de la recherche (ERCEA) et tout successeur légal de cette dernière (l’«Agence») peut limiter l’application des articles 4, 14 à 22, 35 et 36, conformément à l’article 25 du règlement.

2 L’Agence, en qualité de responsable du traitement des données, est représentée par son directeur, qui peut déléguer ultérieurement la fonction de responsable du traitement des données.

1 L’Agence peut limiter l’application des articles 14 à 22, 35 et 36, ainsi que de l’article 4 du règlement, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 20.

2 La présente décision s’applique aux opérations de traitement de données à caractère personnel effectuées par l’Agence dans le cadre de son fonctionnement administratif et opérationnel: a) conformément à l’article 25, paragraphe 1, points b), c), f), g) et h) du règlement, lorsqu’elle mène des enquêtes internes, notamment basées sur des plaintes externes, des allégations, des enquêtes administratives, des procédures prédisciplinaires et disciplinaires ou des procédures de suspension en vertu de l’article 86 et de l’annexe IX du statut et de ses dispositions d’exécution, des enquêtes de sécurité ou des enquêtes de l’OLAF; b) conformément à l’article 25, paragraphe 1, point h), du règlement, lorsqu’elle fait en sorte que les membres du personnel de l’Agence puissent, à titre confidentiel, communiquer des faits lorsqu’ils estiment qu’il existe de graves irrégularités, comme prévu dans les règles ou politiques internes relatives aux lanceurs d’alerte; c) conformément à l’article 25, paragraphe 1, point h), du règlement, lorsqu’elle veille à ce que les membres du personnel de l’Agence puissent informer des conseillers confidentiels dans le cadre d’une procédure relative au harcèlement, telle que définie par les règles internes; d) conformément à l’article 25, paragraphe 1, points c), g) et h), du règlement, lorsqu’elle mène des audits internes ou externes portant sur les activités ou le fonctionnement de l’Agence; e) conformément à l’article 25, paragraphe 1, points d) et h), du règlement, lorsqu’elle effectue des analyses de sécurité, y compris sur des abus en matière de cybersécurité et de sécurité informatique, traités en interne ou avec une participation externe (CERT-UE, par exemple), lorsqu’elle assure la sécurité interne au moyen de la vidéosurveillance, du contrôle des accès et des enquêtes, lorsqu’elle sécurise les systèmes de communication et d’information et lorsqu’elle applique des contre-mesures techniques de sécurité; f) conformément à l’article 25, paragraphe 1, points g) et h), du règlement, lorsque le délégué à la protection des données («DPD») de l’Agence enquête sur des questions directement liées à ses tâches; g) conformément à l’article 25, paragraphe 1, points b), g) et h), du règlement, dans le contexte d’enquêtes menées par le Parquet européen; h) conformément à l’article 25, paragraphe 1, point h), du règlement, lorsque des particuliers demandent à accéder à leurs données médicales ou à les rectifier, notamment si ces données sont conservées par le service médical de la Commission; i) conformément à l’article 25, paragraphe 1, points c), d), g) et h), du règlement, lorsqu’elle apporte ou bénéficie de l’assistance ou de la coopération mutuelles avec d’autres institutions, organes, organismes et agences de l’Union dans le cadre des activités visées aux points a) à h) du présent paragraphe et conformément aux dispositions des accords de niveau de service, des protocoles d’accord et des accords de coopération de leur acte constitutif respectif; j) conformément à l’article 25, paragraphe 1, points c), g) et h), du règlement, lorsqu’elle apporte ou bénéficie de l’assistance ou de la coopération mutuelles avec les autorités nationales de pays tiers et les organisations internationales, à la demande de celles-ci ou à de sa propre initiative; k) conformément à l’article 25, paragraphe 1, points c), g) et h), du règlement, lorsqu’elle apporte ou bénéficie de l’assistance et la coopération mutuelles avec les pouvoirs publics des États membres de l’Union, à la demande de ceux-ci ou de sa propre initiative; l) conformément à l’article 25, paragraphe 1, point e), du règlement, lorsqu’elle traite les données à caractère personnel contenues dans les documents obtenus par les parties ou les parties intervenantes dans le cadre des procédures devant la Cour de justice de l’Union européenne; Aux fins de la présente décision, les activités susmentionnées comprennent les actions préparatoires et de suivi directement liées à la même activité.

3 L’Agence peut également appliquer des limitations au cas par cas aux droits des personnes concernées visés dans la présente décision, dans les circonstances suivantes: a) lorsque les services de la Commission ou d’autres institutions, organes, agences et organismes de l’Union sont autorisés à limiter l’exercice des droits énumérés et que la finalité d’une telle limitation par ces services de la Commission, institutions, organes ou agences de l’Union serait compromise si l’Agence n’appliquait pas une limitation équivalente aux mêmes données à caractère personnel; b) lorsque les autorités compétentes des États membres sont autorisées à limiter l’exercice des droits énumérés et que la finalité d’une telle limitation par cette autorité de l’État membre serait compromise si l’Agence n’appliquait pas une limitation équivalente aux mêmes données à caractère personnel; c) lorsque l’exercice de ces droits et obligations compromettrait la coopération de l’Agence avec des pays tiers ou des organisations internationales dans l’exécution de ses tâches, à moins que les intérêts ou les libertés et droits fondamentaux de la personne concernée ne l’emportent sur cette nécessité de coopérer. Avant d’appliquer des limitations en vertu du présent paragraphe, l’Agence consulte, le cas échéant, les services compétents de la Commission, les autres institutions, organes, organismes et agences de l’Union, les organisations internationales ou les autorités compétentes des États membres, sauf s’il est clair que la limitation est prévue par l’un des actes visés ci-dessus ou qu’une telle consultation compromettrait les activités de l’Agence.

4 Les catégories de données à caractère personnel traitées dans le cadre des activités susmentionnées peuvent contenir des données factuelles «dures» et des données d’évaluation «molles».

5 Toute limitation doit respecter l’essence des libertés et droits fondamentaux et constituer une mesure nécessaire et proportionnée dans une société démocratique.

1 Le responsable du traitement des données consigner la limitation dans un registre décrivant: a) les motifs de toute limitation appliquée conformément à la présente décision; b) les motifs parmi ceux énumérés à l’article 2 qui s’appliquent; c) la manière dont l’exercice du droit concerné présenterait un risque pour la personne concernée ou compromettrait la réalisation des tâches de l’Agence ou porterait atteinte aux droits et libertés d’autres personnes concernées; d) le résultat de l’évaluation de la nécessité et de la proportionnalité de la limitation, en tenant compte des éléments pertinents de l’article 25, paragraphe 2, du règlement.

2 Une évaluation de la nécessité et de la proportionnalité d’une limitation est effectuée au cas par cas avant l’application des limitations. Le responsable du traitement des données tient compte des risques potentiels pour les droits et libertés de la personne concernée. Les limitations se réduisent à ce qui est strictement nécessaire pour atteindre leur objectif.

3 Le relevé de la limitation et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont consignés dans un registre. Ils sont mis à la disposition du Contrôleur européen de la protection des données si celui-ci en fait la demande.

1 Les évaluations des risques pour les droits et libertés des personnes concernées de l’imposition des limitations et les informations relatives à la durée d’application de ces limitations sont enregistrées dans le registre des activités de traitement tenu par le responsable du traitement des données en vertu de l’article 31 du règlement. Elles sont également enregistrées dans les analyses d’impact relatives à la protection des données concernant ces limitations effectuées en vertu de l’article 39 du règlement, le cas échéant.

2 Lorsque le responsable du traitement des données envisage d’appliquer une limitation, le risque pour les droits et libertés de la personne concernée doit être mis en balance, en particulier, avec le risque pour les droits et libertés d’autres personnes concernées et le risque de porter atteinte aux enquêtes ou procédures, par exemple par la destruction de preuves. Les risques pour les droits et libertés de la personne concernée concernent principalement, mais pas seulement, les risques pour la réputation et les risques pour les droits de la défense et le droit d’être entendu.

1 L’Agence met en place des garanties spécifiques afin de prévenir les abus et l’accès ou le transfert illicites des données à caractère personnel pour lesquelles des limitations s’appliquent ou pourraient s’appliquer. Ces garanties comprennent des mesures techniques et organisationnelles et sont détaillées, le cas échéant, dans les décisions, procédures et dispositions d’exécution de l’Agence. Ces garanties comprennent: a) une définition claire des rôles, des responsabilités et des étapes de la procédure; b) le cas échéant, un environnement électronique sécurisé qui empêche l’accès ou le transfert illicite et accidentel de données électroniques à des personnes non autorisées; c) le cas échéant, la conservation et le traitement sécurisés des documents papier; d) l’assurance du respect des obligations de confidentialité pour toutes les personnes ayant accès aux données à caractère personnel.

2 La durée de conservation des données à caractère personnel faisant l’objet d’une limitation est définie dans le registre correspondant prévu à l’article 31 du règlement en tenant compte de la finalité du traitement et comprend le délai nécessaire au contrôle administratif et judiciaire. À la fin de la durée de conservation, les données à caractère personnel sont supprimées, rendues anonymes ou renvoyées dans des archives conformément à l’article 13 du règlement.

1 Les limitations visées à l’article 2 continuent de s’appliquer tant que les raisons les justifiant persistent.

2 Lorsque les raisons d’une limitation ne s’appliquent plus, le responsable du traitement des données lève la limitation si l’exercice du droit limité ne risque plus d’avoir une incidence négative sur la procédure applicable pertinente ou de porter atteinte aux droits ou libertés d’autres personnes concernées.

3 Dans le cas où la personne concernée a demandé à nouveau l’accès aux données à caractère personnel concernées, le responsable du traitement doit fournir à la personne concernée les principales raisons de cette limitation. Dans le même temps, l’Agence informe la personne concernée de sa possibilité de saisir le Contrôleur européen de la protection des données à tout moment ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

4 Tous les six mois, l’Agence réexamine l’application des limitations visées à l’article 2.

1 Le responsable du traitement des données de l’Agence informe le DPD de l’Agence dans les meilleurs délais et avant toute décision de limiter les droits des personnes concernées conformément à la présente décision ou d’étendre l’application de la limitation. Le responsable du traitement des données donne au DPD l’accès aux dossiers correspondants et à tout document concernant le contexte factuel ou juridique.

2 Le DPD peut demander au responsable du traitement de réexaminer l’application d’une limitation. Le responsable du traitement des données informe le DPD par écrit du résultat du réexamen demandé.

3 Le responsable du traitement des données documente la participation du DPD à l’application de la limitation, y compris la nature des informations qui sont échangées avec lui. Les documents visés au présent article font partie du registre relatif à la limitation et sont mis à la disposition du CEPD sur demande.

1 Le responsable du traitement inclut dans les avis et registres relatifs à la protection des données visés à l’article 31 du règlement, publiés sur son site internet et sur l’intranet, des informations générales sur les limitations potentielles des droits des personnes concernées en vertu de l’article 2, paragraphe 2, de la présente décision. Ces informations portent sur les droits et obligations susceptibles d’être limités, les motifs pour lesquels des limitations peuvent s’appliquer, ainsi que leur durée potentielle.

2 Le responsable du traitement des données informe les personnes concernées individuellement de toute limitation en cours ou future de leurs droits par écrit et dans les meilleurs délais. Le responsable du traitement des données informe la personne concernée des principales raisons qui motivent l’application de la limitation, de son droit de consulter le DPD en vue de contester la limitation et de son droit de saisir le CEPD.

3 Le responsable du traitement des données peut différer, omettre ou refuser la communication d’informations sur les motifs d’une limitation et le droit de saisir le CEPD dès lors que cela priverait d’effet la limitation. L’évaluation de cette justification se fait au cas par cas et le responsable du traitement communique les informations à la personne concernée, dès lors que cela ne prive plus d’effet la limitation.

1 Dans des cas dûment justifiés et dans les conditions stipulées dans la présente décision, le droit d’accès prévu à l’article 17 du règlement peut être limité par le responsable du traitement lorsque cela est nécessaire et proportionné au regard des activités relevant de la présente décision.

2 Lorsque les personnes concernées demandent l’accès à leurs données à caractère personnel traitées dans le cadre d’une activité de traitement spécifique visée à l’article 2, paragraphe 2, de la présente décision, l’Agence limite sa réponse aux données à caractère personnel traitées pour cette activité.

3 Le droit des personnes concernées d’accéder directement aux documents de nature psychologique ou psychiatrique peuvent être limités. Ni l’accès indirect, ni le droit de rectification et de communication d’une violation de données à caractère personnel ne sont limités par ces règles internes. Par conséquent, un médecin intermédiaire devrait se voir accorder, à la demande de la personne concernée, l’accès à toutes les informations connexes et un pouvoir discrétionnaire quant à la manière et au type d’accès à fournir à la personne concernée.

4 Lorsque le responsable du traitement limite, en tout ou en partie, le droit d’accès aux données à caractère personnel visé à l’article 17 du règlement, il informe par écrit la personne concernée, dans sa réponse à la demande d’accès, de la limitation appliquée et des principales raisons motivant cette limitation ainsi que de la possibilité de saisir le CEPD ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

5 La communication de la limitation d’accès peut être différée, omise ou refusée si elle prive d’effet la limitation conformément à l’article 25, paragraphe 8, du règlement.

6 Une limitation au titre du présent article est appliquée conformément à la présente décision.

1 Dans des cas dûment justifiés et dans les conditions prévues par la présente décision, le droit de rectification, le droit à l’effacement et le droit à la limitation du traitement prévus à l’article 18, à l’article 19, paragraphe 1 et à l’article 20, paragraphe 1, du règlement peuvent être limités par le responsable du traitement lorsque cette limitation est nécessaire et appropriée au regard des activités relevant de l’article 2, paragraphe 2, de la présente décision.

2 En ce qui concerne les données médicales, les personnes concernées peuvent exercer le droit de rectification de l’évaluation ou de l’avis du service médical de la Commission en fournissant leurs commentaires ou un rapport d’un médecin de leur choix, notamment directement au service médical de la Commission.

3 Une limitation au titre du présent article est appliquée conformément à la présente décision.

1 Lorsque le responsable du traitement a l’obligation de communiquer une violation de données en vertu de l’article 35, paragraphe 1, du règlement, il/elle peut, dans des cas exceptionnels, limiter cette communication en tout ou en partie. Il/elle documente dans une note les raisons de la limitation, son motif juridique en vertu de l’article 2 de la présente décision et une évaluation de sa nécessité et de sa proportionnalité. La note est communiquée au CEPD au moment de la notification de la violation de données à caractère personnel.

2 Lorsque les raisons de la limitation ne s’appliquent plus, l’Agence informe la personne concernée de la violation de données à caractère personnel et des principales raisons de la limitation, ainsi que de son droit de saisir le CEPD.

1 Dans des circonstances exceptionnelles, l’Agence peut limiter le droit à la confidentialité des communications électroniques prévu à l’article 36 du règlement. Ces limitations sont conformes à la directive 2002/58/CE du Parlement européen et du Conseil .

2 Sans préjudice de l’article 8, paragraphe 3, lorsque l’Agence restreint le droit à la confidentialité des communications électroniques, elle informe la personne concernée, dans sa réponse à une demande de la personne concernée, des principales raisons qui motivent l’application de la limitation et de son droit de saisir le CEPD.

La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.