Décision (UE) 2022/2359 de la Banque centrale européenne du 22 novembre 2022 portant adoption de règles internes concernant les limitations des droits des personnes concernées dans le cadre du fonctionnement interne de la Banque centrale européenne (BCE/2022/42)

1 La présente décision établit les règles relatives à la limitation des droits des personnes concernées par la BCE lorsque celle-ci exerce des activités de traitement de données à caractère personnel, telles qu’enregistrées dans le registre central, dans le cadre de son fonctionnement interne.

2 Les droits des personnes concernées susceptibles de faire l’objet d’une limitation sont mentionnés dans les articles suivants du règlement (UE) 2018/1725: a) article 14 (transparence des informations et des communications et modalités de l'exercice des droits de la personne concernée); b) article 15 (informations à fournir lorsque des données à caractère personnel sont collectées auprès de la personne concernée); c) article 16 (informations à fournir lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée); d) article 17 (droit d'accès de la personne concernée); e) article 18 (droit de rectification); f) article 19 [droit à l'effacement («droit à l'oubli»)]; g) article 20 (droit à la limitation du traitement); h) article 21 (obligation de notification en ce qui concerne la rectification ou l'effacement de données à caractère personnel ou la limitation du traitement); i) article 22 (droit à la portabilité des données); j) article 35 (communication à la personne concernée d'une violation de données à caractère personnel); k) article 36 (confidentialité des communications électroniques); l) article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 22 du règlement (UE) 2018/1725.

Aux fins de la présente décision, on entend par: 1) «traitement»: le traitement au sens de l'article 3, point 3, du règlement (UE) 2018/1725; 2) «données à caractère personnel»: les données à caractère personnel au sens de l’article 3, point 1, du règlement (UE) 2018/1725; 3) «personne concernée»: une personne physique identifiée ou identifiable; une personne identifiable est une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale; 4) «registre central»: le recueil accessible au public de toutes les activités de traitement de données à caractère personnel effectuées à la BCE, tenu par le délégué à la protection des données et visé à l’article 9 de la décision (UE) 2020/655 (BCE/2020/28); 5) «responsable du traitement»: la BCE, notamment l’unité organisationnelle compétente au sein de la BCE qui, seule ou conjointement avec d’autres, détermine les finalités et les moyens du traitement des données à caractère personnel et qui est responsable de l’opération de traitement; 6) «institutions et organes de l’Union»: les institutions et organes de l’Union au sens de l’article 3, point 10, du règlement (UE) 2018/1725.

1 Pour les activités de traitement des données exposées à l’article 1er, paragraphe 1, le responsable du traitement peut limiter les droits visés à l’article 1er, paragraphe 2, afin de garantir les intérêts et objectifs visés à l’article 25, paragraphe 1, du règlement (UE) 2018/1725, lorsque l’exercice de ces droits mettrait en péril l’un des éléments suivants: a) l’évaluation et le signalement des manquements potentiels aux obligations professionnelles et, si nécessaire, l’enquête et le suivi ultérieurs, y compris la suspension des fonctions, dont la protection est garantie conformément à l’article 25, paragraphe 1, points b), c), f) et/ou h), du règlement (UE) 2018/1725; b) les procédures formelles et/ou informelles relatives à la dignité au travail, y compris l’examen des cas pouvant aboutir à de telles procédures, comme prévu dans la section 0.5 des règles applicables au personnel de la BCE, dont la protection est garantie conformément à l’article 25, paragraphe 1, points b), c), f) et/ou h), du règlement (UE) 2018/1725; c) la bonne exécution des fonctions de la DG/RH en vertu du cadre du droit du travail au sein de la BCE en ce qui concerne la gestion des performances, les procédures de promotion ou la nomination directe du personnel de la BCE, les procédures de sélection et le développement professionnel, dont la protection est garantie conformément à l’article 25, paragraphe 1, points c) et/ou h) du règlement (UE) 2018/1725; d) l’examen des recours internes formés par le personnel de la BCE (y compris au moyen de procédures de réexamen administratif ou de réclamation, des procédures spéciales de recours ou des comités médicaux) et leur suivi, dont la protection est garantie conformément à l’article 25, paragraphe 1, points b), c) et/ou h), du règlement (UE) 2018/1725; e) le signalement de toute activité illégale ou de tout manquement à des obligations professionnelles au moyen de l’outil de lancement d’alerte de la BCE ou l’évaluation des demandes par le CGO visant à protéger les lanceurs d’alerte ou les témoins contre les représailles, dont la protection est garantie conformément à l’article 25, paragraphe 1, points b), c), f) et/ou h), du règlement (UE) 2018/1725; f) les activités du CGO en vertu du cadre d’éthique professionnelle de la BCE établi dans la section 0 des règles applicables au personnel de la BCE et des règles relatives à la sélection et à la nomination énoncées dans la section 1A de ces mêmes règles, ainsi que le contrôle de la conformité des activités financières d'ordre privé y compris les fonctions exercées par le prestataire de services externe désigné conformément à l’article 0.4.3.3, desdites règles, et l’évaluation et le suivi des infractions potentielles résultant d’une telle surveillance par le CGO, dont la protection est garantie conformément à l’article 25, paragraphe 1, points b), c), f) et/ou h), du règlement (UE) 2018/1725; g) les audits effectués par la direction de l’audit interne, les activités d’enquête et les enquêtes administratives internes dont la protection est garantie conformément l’article 25, paragraphe 1, points b), c) et/ou h), du règlement (UE) 2018/1725; h) l’exercice des fonctions de la BCE en vertu de la décision (UE) 2016/456 (BCE/2016/3), en particulier l’obligation de la BCE de communiquer toute information relative à une activité illégale, dont la protection est garantie conformément à l’article 25, paragraphe 1, points b), c), g) et/ou h), du règlement (UE) 2018/1725; i) les enquêtes menées par le délégué à la protection des données sur les activités de traitement effectuées à la BCE en vertu de l’article 4, point b), de la décision (UE) 2020/655 (BCE/2020/28), dont la protection est garantie conformément à l’article 25, paragraphe 1, points b), et/ou h), du règlement (UE) 2018/1725; j) les enquêtes visant à garantir la sécurité physique des personnes, des locaux et des biens à la BCE, qu’elle soit traitée en interne ou avec un soutien externe, à recueillir des renseignements sur les menaces et à analyser les incidents de sécurité, dont la protection est garantie conformément à l’article 25, paragraphe 1, points b), c), d) et/ou h), du règlement (UE) 2018/1725; k) les procédures judiciaires, dont la protection est garantie conformément à l’article 25, paragraphe 1, points b), c), et/ou h), du règlement (UE) 2018/1725; l) la coopération entre la BCE et les autorités nationales responsables des enquêtes pénales, en particulier la fourniture d'informations confidentielles détenues par la BCE en vue de leur divulgation à une autorité nationale d’enquête pénale à la demande de cette dernière, dont la protection est garantie conformément à l'article 25, paragraphe 1, points b), c), d) et/ou h), du règlement (UE) 2018/1725; m) la coopération entre la BCE et le Parquet européen en vertu du règlement (UE) 2017/1939, en particulier l’obligation pour la BCE de transmettre des informations sur les infractions, dont la protection garantie est conformément à l’article 25, paragraphe 1, points b), c), d) et/ou h), du règlement (UE) 2018/1725; n) la coopération avec les organes de l’UE exerçant une fonction de supervision, de surveillance ou d'audit auxquels la BCE est soumise, dont la protection est garantie conformément à l’article 25, paragraphe 1, points c), d), g) et/ou h), du règlement (UE) 2018/1725; o) l’accomplissement des missions d’un médiateur en vertu du cadre interne de règlement des différends de la BCE, en particulier l’aide à la résolution ou à la prévention d’un différend d’ordre professionnel, dont la protection est garantie conformément à l’article 25, paragraphe 1, point h), du règlement (UE) 2018/1725; p) la fourniture des services de conseil par le conseiller social en soutien au personnel de la BCE, dont la protection est garantie conformément à l’article 25, paragraphe 1, point h, du règlement (UE) 2018/1725. Les catégories de données à caractère personnel auxquelles peuvent s'appliquer les limitations visées au paragraphe 1 sont précisées dans les annexes I à XIV de la présente décision.

2 Le responsable du traitement ne peut appliquer une limitation que si, sur la base d’une évaluation au cas par cas, il conclut que la limitation: a) est nécessaire et proportionnée compte tenu des risques pour les droits et libertés de la personne concernée; et b) respecte l’essence des droits et libertés fondamentaux dans une société démocratique.

3 Le responsable du traitement documente son évaluation dans une note d’évaluation interne précisant la base juridique, les motifs de la limitation, les droits des personnes concernées visés par la limitation, les personnes concernées, la nécessité et la proportionnalité de la limitation et la durée probable de la limitation.

4 Toute décision de limiter les droits d’une personne concernée conformément au paragraphe 1, qui doit être prise par le responsable du traitement, est établie au niveau du responsable ou du responsable adjoint du service dans lequel l’opération principale de traitement des données à caractère personnel est effectuée.

Le responsable du traitement fournit des informations générales concernant la limitation potentielle des droits des personnes concernées comme suit: a) le responsable du traitement précise les droits susceptibles de faire l’objet d'une limitation, les motifs de la limitation et sa durée potentielle; b) le responsable du traitement inclut les informations visées au point a) dans ses avis relatifs à la protection des données, ses déclarations de confidentialité et son registre des activités de traitement visé à l’article 31 du règlement (UE) 2018/1725.

1 Lorsque le responsable du traitement limite, en tout ou en partie, le droit d’accès, le droit de rectification, le droit à l’effacement ou le droit à la limitation du traitement visés respectivement aux articles 17 et 18, à l’article 19, paragraphe 1, et à l’article 20, paragraphe 1, du règlement (UE) 2018/1725, il informe la personne concernée, dans le délai visé à l’article 11, paragraphe 5, de la décision (UE) 2020/655 (BCE/2020/28), dans sa réponse écrite à la demande, de la limitation appliquée, des principaux motifs de la limitation, de la possibilité d’introduire une réclamation auprès du contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

2 Le responsable du traitement conserve la note d’évaluation interne visée à l’article 3, paragraphe 3, et, le cas échéant, les documents contenant les éléments factuels et juridiques sous-jacents, et les met à la disposition du délégué à la protection des données et du contrôleur européen de la protection des données sur demande.

3 Le responsable du traitement peut différer, omettre ou refuser de communiquer des informations relatives aux motifs de la limitation visée au paragraphe 1 aussi longtemps que cette fourniture d’informations porterait atteinte à la finalité de la limitation. Dès que le responsable du traitement estime que la fourniture des informations ne porte plus atteinte à la finalité de la limitation, il les communique à la personne concernée.

1 Le responsable du traitement lève une limitation dès que les circonstances qui l’ont justifiée cessent d'exister.

2 Lorsque le contrôleur lève une limitation conformément au paragraphe 1, il est tenu, sans délai: a) dans la mesure où il ne l’a pas déjà fait, d'informer la personne concernée des principales raisons ayant motivé l’application d’une limitation; b) d'informer la personne concernée de son droit d’introduire une réclamation auprès du contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne; c) d'accorder à la personne concernée le droit qui faisait l’objet de la limitation qui a été levée.

3 Le responsable du traitement procède tous les six mois à une réévaluation de la nécessité de maintenir une limitation appliquée en vertu de la présente décision et la documente dans une note d’évaluation interne.

La BCE applique les garanties organisationnelles et techniques prévues à l’annexe XV pour prévenir les abus ou les accès ou transferts illicites.

1 Lorsque le responsable du traitement limite l’application des droits d’une personne concernée, il y associe en permanence le délégué à la protection des données. En particulier, les mesures suivantes sont applicables: a) le responsable du traitement consulte le délégué à la protection des données dans les meilleurs délais; b) à la demande du délégué à la protection des données, le responsable du traitement lui donne accès à tout document contenant des éléments factuels et juridiques sous-jacents, y compris la note d’évaluation interne visée à l’article 3, paragraphe 3; c) le responsable du traitement documente la manière dont le délégué à la protection des données a été associé, y compris les informations pertinentes qui ont été partagées, en particulier la date de la première consultation visée au point a); d) le délégué à la protection des données peut demander au responsable du traitement de procéder à un réexamen de la limitation; e) le responsable du traitement informe le délégué à la protection des données, par écrit, du résultat du réexamen demandé dans les meilleurs délais et, en tout état de cause, avant l’application de toute limitation.

2 Le responsable du traitement informe le délégué à la protection des données du réexamen de la limitation conformément à l’article 6, paragraphe 3, ou de sa levée.

La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.