Décision (UE) 2022/121 de la Commission du 27 janvier 2022 portant règles internes relatives à la communication d’informations aux personnes concernées et à la limitation de certains de leurs droits dans le contexte du traitement des données à caractère personnel aux fins du traitement des demandes et des réclamations au titre du statut

1 La présente décision établit les règles selon lesquelles la Commission informe les personnes concernées du traitement de leurs données à caractère personnel, conformément aux articles 14, 15 et 16 du règlement (UE) 2018/1725, lors du traitement des demandes et des réclamations au titre du statut. Elle fixe également les conditions dans lesquelles la Commission peut limiter l’application des articles 4, 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725, conformément à l’article 25, paragraphe 1, points b), c), g) et h), dudit règlement.

2 La présente décision s’applique au traitement des données à caractère personnel par la Commission aux fins du traitement des demandes et des réclamations conformément aux articles 22 quater et 24 et à l’article 90, paragraphes 1 et 2, du statut.

3 Les catégories de données à caractère personnel couvertes par la présente décision comprennent les données d’identification, les coordonnées et les données relatives au comportement, ainsi que des catégories particulières de données à caractère personnel au sens de l’article 10, paragraphe 1, du règlement (UE) 2018/1725.

1 Lorsque la Commission exerce ses fonctions en ce qui concerne les droits des personnes concernées en vertu du règlement (UE) 2018/1725, elle examine si l’une des exceptions établies dans ledit règlement s’applique.

2 Sous réserve des articles 3 à 7, lorsque l’exercice des droits et obligations prévus aux articles 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725 en ce qui concerne les données à caractère personnel traitées par la Commission risque de porter atteinte aux motifs énumérés à l’article 25, paragraphe 1, points b), c), g) ou h), dudit règlement, la Commission peut limiter l’application: a) des articles 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725; ainsi que b) du principe de transparence énoncé à l’article 4, paragraphe 1, point a), du règlement (UE) 2018/1725, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 17, 19 et 20 dudit règlement, afin de garantir la prévention, les enquêtes, la détection et les poursuites liées aux infractions pénales que les demandeurs, les plaignants ou les témoins signalent aux services compétents de la Commission à l’égard de la personne concernée par des allégations de harcèlement ou d’autre comportement inapproprié ou agressif.

3 Les paragraphes 1 et 2 sont sans préjudice de l’application d’autres décisions de la Commission établissant des règles internes en ce qui concerne la communication d’informations aux personnes concernées et la limitation de certains droits en vertu de l’article 25 du règlement (UE) 2018/1725.

4 Toute limitation des droits et obligations visée au paragraphe 2 est nécessaire et proportionnée, en tenant compte des risques qui pèsent sur les droits et libertés des personnes concernées.

5 Avant d’appliquer des limitations, il convient que la Commission procède à une évaluation «au cas par cas» de leur nécessité et de leur proportionnalité. Les limitations se réduisent à ce qui est strictement nécessaire pour atteindre leur objectif.

1 La Commission publie sur son site internet un avis relatif à la protection des données qui informe toutes les personnes concernées de ses activités impliquant le traitement de leurs données à caractère personnel aux fins du traitement des demandes et des réclamations au titre du statut.

2 La Commission informe individuellement, sous une forme appropriée, les demandeurs et les plaignants, les personnes concernées, ainsi que les témoins invités à fournir des informations sur ces demandes ou réclamations, du traitement de leurs données à caractère personnel.

3 Lorsque la Commission limite, conformément à l’article 2, en tout ou en partie, la communication des informations visées au paragraphe 2 aux personnes concernées dont les données à caractère personnel sont traitées aux fins du traitement des demandes et des réclamations au titre du statut, elle enregistre et consigne les motifs de la limitation conformément à l’article 6.

1 Si la Commission limite, en tout ou en partie, le droit d’accès aux données à caractère personnel des personnes concernées, le droit à l’effacement ou le droit à la limitation du traitement prévus respectivement aux articles 17, 19 et 20 du règlement (UE) 2018/1725, elle informe la personne concernée, dans sa réponse à la demande d’accès, d’effacement ou de limitation du traitement: a) de la limitation appliquée et de ses principaux motifs; b) de la possibilité d’introduire une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

2 La communication d’informations relatives aux motifs de la limitation visée au paragraphe 1 peut être différée, omise ou refusée aussi longtemps qu’elle risque d’annuler l’effet de la limitation.

3 La Commission enregistre les motifs de la limitation conformément à l’article 6.

4 Lorsque le droit d’accès est entièrement ou partiellement limité, la personne concernée peut exercer son droit d’accès par l’intermédiaire du Contrôleur européen de la protection des données, conformément à l’article 25, paragraphes 6, 7 et 8, du règlement (UE) 2018/1725.

Lorsque la Commission limite la communication à la personne concernée d’une violation de données à caractère personnel, telle que visée à l’article 35 du règlement (UE) 2018/1725, elle enregistre et consigne dans un registre les motifs de la limitation conformément à l’article 6. La Commission transmet ce registre au Contrôleur européen de la protection des données au moment de la notification de la violation de données à caractère personnel.

1 La Commission enregistre les motifs de toute limitation appliquée en vertu de la présente décision, ainsi qu’une évaluation de la nécessité et de la proportionnalité de la limitation, en tenant compte des éléments pertinents établis à l’article 25, paragraphe 2, du règlement (UE) 2018/1725.

2 Il est indiqué de quelle manière l’exercice du droit par la personne concernée porterait atteinte à un ou plusieurs des motifs applicables énumérés à l’article 25, paragraphe 1, points b), c), g) et h), du règlement (UE) 2018/1725.

3 Les informations relatives aux limitations et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont consignés dans un registre. Ces informations et documents sont mis à la disposition du Contrôleur européen de la protection des données sur demande.

1 Les limitations visées aux articles 3, 4 et 5 continuent de s’appliquer aussi longtemps que les motifs qui les justifient restent valables.

2 Lorsque les motifs d’une limitation visée à l’article 3, 4 ou 5 ne sont plus valables, la Commission lève la limitation.

3 Elle communique également les principaux motifs de l’application de cette limitation à la personne concernée et l’informe de la possibilité d’introduire à tout moment une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

4 La Commission réexamine l’application des limitations visées aux articles 3, 4 et 5 lorsqu’elle répond aux demandes présentées au titre des articles 22 quater et 24 et de l’article 90, paragraphe 1, du statut et aux réclamations introduites au titre de l’article 22 quater et de l’article 90, paragraphe 2, du statut, ou à la clôture de ces demandes et réclamations, selon ce qui se réalise en premier. Par la suite, la Commission vérifie chaque année la nécessité de maintenir les limitations. Le réexamen inclut une évaluation de la nécessité et de la proportionnalité de la limitation, en tenant compte des éléments pertinents établis à l’article 25, paragraphe 2, du règlement (UE) 2018/1725.

1 La Commission, en particulier l’unité «Recours et suivi des cas» de la DG HR, met en œuvre des garanties afin de prévenir les abus et la consultation illicite ou le transfert de données à caractère personnel pour lesquelles des limitations s’appliquent ou pourraient s’appliquer. Ces garanties incluent notamment les mesures techniques et organisationnelles suivantes: a) une définition claire des rôles, des responsabilités, des droits d’accès et des étapes procédurales; b) un environnement électronique sécurisé qui empêche l’accès illicite ou accidentel à des données électroniques par des personnes non autorisées ou le transfert illicite ou accidentel desdites données à ces personnes; c) un stockage et un traitement sécurisés des documents papier, limités à ce qui est strictement nécessaire pour atteindre la finalité du traitement; d) un suivi approprié des limitations et un réexamen périodique de leur application; Les réexamens visés au point d) sont effectués au moins tous les six mois.

2 Les limitations sont levées dès que les circonstances qui les justifient cessent d’exister.

3 Les données à caractère personnel sont conservées conformément aux règles de conservation applicables de la Commission, qui sont définies dans les registres tenus en vertu de l’article 31 du règlement (UE) 2018/1725. À la fin de la durée de conservation, les données à caractère personnel sont supprimées, rendues anonymes ou archivées conformément à l’article 13 du règlement (UE) 2018/1725.

1 Le délégué à la protection des données de la Commission est informé sans délai chaque fois que les droits des personnes concernées sont limités conformément à la présente décision. Il obtient sur demande l’accès au registre et à tous les documents contenant des éléments factuels et juridiques sous-jacents.

2 Le délégué à la protection des données peut demander un réexamen de la limitation. Il est informé par écrit du résultat du réexamen demandé.

3 La Commission documente l’intervention du délégué à la protection des données dans chaque cas où les droits et obligations visés à l’article 2, paragraphe 2, sont limités.

La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.