Décision No 4/2022 du bureau du Comité des régions du 25 janvier 2022 établissant des règles internes relatives à la limitation de certains droits des personnes concernées en matière de traitement de données à caractère personnel dans le contexte des activités et procédures entreprises par le Comité des régions

1 La présente décision établit les règles relatives aux conditions dans lesquelles, conformément à l’article 25, paragraphe 1, du RPDUE, les responsables du traitement des données peuvent limiter, le cas échéant, l’application des articles 14, 15, 16, 17, 18, 19, 20, 21, 22, 35 et 36 du règlement, ainsi que de son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 22.

2 Aux fins de la présente décision, on entend par: a) «données à caractère personnel»: toute information se rapportant à une personne concernée qui est traitée dans le cadre d’activités ou de procédures ne relevant pas du champ d’application de la troisième partie, titre V, chapitre 4 ou 5, du traité sur le fonctionnement de l’Union européenne, par opposition aux données opérationnelles à caractère personnel au sens de l’article 3, paragraphe 2, du RPDUE; b) «responsable du traitement des données»: l’entité qui, seule ou conjointement avec d’autres, détermine effectivement les finalités et les moyens du traitement de données à caractère personnel dans le contexte des activités et procédures entreprises par le Comité, que la responsabilité de cette détermination ait été déléguée ou non.

3 La présente décision s’applique au traitement de données à caractère personnel effectué aux fins des activités et procédures entreprises par le Comité. Elle ne s’applique pas lorsqu’un acte juridique adopté sur la base des traités prévoit une limitation des droits des personnes concernées.

4 Le responsable du traitement au sens de l’article 3, paragraphe 8, du RPDUE est le Comité, qui peut déléguer la responsabilité de déterminer les finalités et les moyens du traitement de données à caractère personnel.

5 Aux fins de chaque traitement, limitation et report, omission ou refus de communication d’informations, le responsable du traitement des données est déterminé conformément aux décisions, procédures et dispositions d’application internes du Comité en la matière.

1 Avant d’appliquer toute limitation en vertu de l’article 3, paragraphe 1, les responsables du traitement des données examinent si l’une des exceptions ou dérogations prévues par le règlement s’applique, notamment au titre de l’article 15, paragraphe 4, de l’article 16, paragraphe 5, de l’article 19, paragraphe 3, de l’article 25, paragraphes 3 et 4, et de l’article 35, paragraphe 3, du RPDUE.

2 L’application de dérogations fait l’objet de garanties appropriées conformément à l’article 13 du RPDUE et à l’article 6 de la présente décision.

1 Les responsables du traitement des données peuvent limiter, le cas échéant, l’application des articles 14, 15, 16, 17, 18, 19, 20, 21, 22, 35 et 36 du RPDUE, ainsi que de son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 22, lorsque l’exercice de leurs droits par les personnes concernées porterait atteinte à la finalité ou au résultat d’une ou de plusieurs activités ou procédures entreprises par le Comité, en particulier: a) conformément à l’article 25, paragraphe 1, points b), c), f), g) et h), du RPDUE, lorsque l’autorité investie du pouvoir de nomination et l’autorité habilitée à conclure les contrats d’engagement du Comité (ci-après dénommées «AIPN») conduisent des procédures disciplinaires, des enquêtes administratives et des enquêtes relatives aux membres du personnel conformément à l’article 86 et à l’annexe IX du statut des fonctionnaires de l’Union européenne (ci-après le «statut») et aux articles 50 bis et 119 du régime applicable aux autres agents de l’Union européenne (ci-après le «RAA»), ainsi que des enquêtes dans le contexte de demandes d’assistance soumises en vertu de l’article 24 du statut et des articles 11 et 81 du RAA, et en ce qui concerne les cas présumés de harcèlement au sens de l’article 12 bis du statut; b) conformément à l’article 25, paragraphe 1, points b), c), f) et h), du RPDUE, lorsque l’AIPN examine les demandes et plaintes présentées par les fonctionnaires et autres agents du Comité (ci-après les «membres du personnel») en vertu de l’article 90 du statut et des articles 46 et 117 du RAA; c) conformément à l’article 25, paragraphe 1, points c) et h), du RPDUE, lorsque l’AIPN met en œuvre la politique du Comité en matière de personnel en menant des procédures de sélection (recrutement), d’évaluation (notation) et de promotion; d) conformément à l’article 25, paragraphe 1, points c), f), g) et h), du RPDUE, lorsque l’ordonnateur du Comité (ci-après l’«ordonnateur») exécute la section du budget général de l’Union européenne relative au Comité en menant des procédures d’attribution conformément aux règles financières applicables au budget général de l’Union (ci-après le «règlement financier»); e) conformément à l’article 25, paragraphe 1, points b), c), f), g) et h), du RPDUE, lorsque l’ordonnateur effectue des contrôles et des enquêtes concernant la légalité des transactions financières réalisées par le Comité et au sein de celui-ci, les droits financiers des membres et des suppléants du Comité (ci-après les «membres du Comité»), ainsi que le financement des activités et manifestations organisées ou coorganisées par le Comité, et traite les irrégularités financières commises par un membre du personnel conformément à l’article 93 du règlement financier; f) conformément à l’article 25, paragraphe 1, points b), c), f), g) et h), du RPDUE, lorsque le Comité fournit des informations et des documents à l’Office européen de lutte antifraude (ci-après l’«OLAF»), soit à la demande dudit Office, soit de sa propre initiative, notifie des cas à l’OLAF ou traite des informations et documents reçus de la part de l’OLAF ; g) conformément à l’article 25, paragraphe 1, points c), g) et h), du RPDUE, lorsque le Comité procède à des audits internes aux fins des articles 118 et 119 du règlement financier et en relation avec les activités et procédures de ses services; h) conformément à l’article 25, paragraphe 1, points c), d) et h), du RPDUE, lorsque le Comité effectue des évaluations internes des risques et des contrôles d’accès, y compris les vérifications des antécédents, prend des mesures de prévention et d’instruction relatives aux incidents de sécurité et de sûreté, y compris les incidents impliquant des membres du Comité ou du personnel, ainsi que les incidents liés à l’infrastructure du Comité et à ses technologies de l’information et de la communication, et mène des enquêtes de sécurité et des enquêtes auxiliaires, y compris concernant ses réseaux de communications électroniques, de sa propre initiative ou à la demande de tiers; i) conformément à l’article 25, paragraphe 1, points c), d) et h), du RPDUE, lorsque le DPD, de sa propre initiative ou à la demande de tiers, mène des enquêtes sur des questions et des faits qui sont directement en rapport avec ses missions et qui ont été portés à sa connaissance, conformément à l’article 45, paragraphe 2, du règlement; j) conformément à l’article 25, paragraphe 1, point h), du RPDUE, lorsque les responsables du traitement des données traitent des données à caractère personnel obtenues dans le contexte du signalement, de bonne foi, par un membre du personnel, d’éléments factuels révélant l’existence soit d’éventuelles activités illégales, y compris la fraude et la corruption, qui portent atteinte aux intérêts de l’Union («irrégularités graves»), soit d’une conduite en rapport avec l’exercice de fonctions professionnelles pouvant constituer un manquement grave aux obligations des membres du personnel («faute grave»); k) conformément à l’article 25, paragraphe 1, point h), du RPDUE, lorsque les responsables du traitement des données traitent des données à caractère personnel obtenues par des personnes de confiance dans le cadre de la procédure informelle de traitement des cas de harcèlement présumé; l) conformément à l’article 25, paragraphe 1, point h), du RPDUE, lorsque les responsables du traitement des données traitent des données à caractère personnel relatives à la santé («données médicales») d’un membre du Comité ou du personnel, y compris de nature psychologique ou psychiatrique, qui figurent dans le dossier médical que détient le Comité sur la personne concernée; m) conformément à l’article 25, paragraphe 1, point e), du RPDUE, lorsque les responsables du traitement des données traitent des données à caractère personnel contenues dans des documents produits ou obtenus par les parties ou les parties intervenantes dans le cadre de procédures devant la Cour de justice de l’Union européenne (ci-après la «Cour de justice»); n) conformément à l’article 25, paragraphe 1, points b), c), d), g) et h), du RPDUE, lorsque le Comité fournit de l’assistance à d’autres institutions, organes et organismes de l’Union ou en reçoit de leur part, et coopère avec eux dans le cadre des activités ou procédures visées au paragraphe 1, points (a) à (m), et conformément aux dispositions des accords de niveau de service, des protocoles d’accord et des accords de coopération en vigueur; o) conformément à l’article 25, paragraphe 1, points b), c), g) et h), du RPDUE, lorsque le Comité fournit de l’assistance aux autorités des États membres ou à celles de pays tiers ou à des organisations internationales, ou en reçoit de leur part, et coopère avec ces autorités et organisations à leur demande ou de sa propre initiative; p) conformément à l’article 25, paragraphe 1, points a), b), e) et f), du RPDUE, lorsque le Comité fournit aux autorités des États membres ou à celles de pays tiers ou à des organisations internationales les informations et documents dont elles font la demande dans le cadre d’enquêtes.

2 Les limitations visées au paragraphe 1 peuvent concerner des données à caractère personnel objectives (données vérifiées) comme subjectives (données non vérifiées), notamment, mais pas exclusivement, une ou plusieurs des catégories suivantes: a) les données d’identification; b) les coordonnées; c) les données professionnelles ; d) les données financières; e) les données de surveillance ; f) les données relatives au trafic ; g) les données médicales ; h) les données génétiques; i) les données biométriques; j) les données relatives à la vie sexuelle ou à l’orientation sexuelle d’une personne physique; k) les données qui révèlent l’origine raciale ou ethnique, les convictions religieuses ou philosophiques, les opinions ou l’appartenance politiques, ou l’affiliation à un syndicat; l) les données qui révèlent les performances ou le comportement des personnes physiques participant à des procédures de sélection (recrutement), d’évaluation (notation) ou de promotion ; m) les données relatives à la présence de personnes physiques; n) les données relatives aux activités extérieures des personnes physiques; o) les données relatives aux infractions présumées ou avérées, aux condamnations pénales ou aux mesures de sécurité; p) les communications électroniques; q) toutes les autres données relatives à l’objet de l’activité ou de la procédure concernée impliquant un traitement de ces données.

3 Toute limitation respecte l’essence des libertés et droits fondamentaux, constitue une mesure essentielle et proportionnée dans une société démocratique et se restreint à ce qui est strictement nécessaire pour atteindre son objectif.

4 Toute limitation de l’application de l’article 36 du RPDUE («Confidentialité des communications électroniques»), qu’elle soit totale ou partielle, conformément au paragraphe 1, est conforme au droit de l’Union applicable en matière de respect de la vie privée dans le secteur des communications électroniques .

5 Les responsables du traitement des données examinent périodiquement l’application des limitations visées au paragraphe 1, au moins tous les six mois à compter de leur adoption respective, mais aussi en cas de modification d’éléments essentiels et décisifs du dossier et lorsque l’activité ou la procédure à l’origine des limitations s’achève ou qu’il y est mis fin. Par la suite, ils vérifient la nécessité de maintenir la limitation sur une base annuelle.

6 Les limitations visées au paragraphe 1 continuent de s’appliquer tant que les raisons qui les justifient restent valables. Lorsque les motifs d’une limitation visée au paragraphe 1 cessent d’exister, les responsables du traitement des données lèvent cette limitation.

7 Lorsqu’ils traitent des données à caractère personnel reçues de tiers dans le contexte des missions du Comité, les responsables du traitement des données consultent ces tiers sur les motifs potentiels de l’imposition de limitations et sur la nécessité et la proportionnalité des limitations concernées, à moins que cela ne soit préjudiciable aux activités ou procédures du Comité.

1 Avant d’appliquer des limitations, les responsables du traitement des données évaluent, au cas par cas, si les limitations envisagées sont nécessaires et proportionnées.

2 Lorsque les responsables du traitement des données évaluent la nécessité et la proportionnalité d’une limitation, ils tiennent compte des risques potentiels pour les droits et libertés de la personne concernée.

3 Les évaluations des risques pour les droits et libertés des personnes concernées découlant de l’imposition de limitations, notamment le risque que leurs données à caractère personnel soient traitées ultérieurement à leur insu et que ces personnes soient empêchées d’exercer leurs droits en vertu du règlement, ainsi que les informations détaillées relatives à la durée d’application de ces limitations sont consignées dans le registre des activités de traitement tenu par les responsables du traitement des données conformément à l’article 31, paragraphe 1, du RPDUE. Elles sont également enregistrées dans les analyses d’impact en matière de protection des données concernant ces limitations qui sont effectuées en vertu de l’article 39 du RPDUE.

1 Chaque fois que les responsables du traitement des données appliquent des limitations, ils consignent: a) les raisons de l’application des limitations; b) les motifs sur la base desquels les limitations sont appliquées; c) la manière dont l’exercice des droits des personnes concernées porterait atteinte à la finalité ou au résultat d’une ou de plusieurs activités ou procédures entreprises par le Comité; d) les résultats de l’évaluation visée à l’article 4, paragraphe 1.

2 Les registres visés au paragraphe 1 font partie du registre central prévu à l’article 31, paragraphe 5, du RPDUE et sont mis à la disposition du CEPD sur demande.

3 Lorsque les responsables du traitement des données limitent l’application de l’article 35 du RPDUE («Communication à la personne concernée d’une violation de données à caractère personnel»), le registre visé au paragraphe 1 est inclus dans la notification au CEPD prévue à l’article 34, paragraphe 1, du RPDUE.

1 Les responsables du traitement des données mettent en œuvre des garanties afin de prévenir les abus et l’accès illicite aux données à caractère personnel pouvant faire l’objet de limitations en vertu de l’article 3, paragraphe 1, ou le transfert illicite de ces données. Ces garanties comprennent des mesures techniques et organisationnelles appropriées et sont détaillées, le cas échéant, dans les décisions, procédures et dispositions d’application internes du Comité en la matière.

2 Les garanties visées au paragraphe 1 comprennent: a) une définition claire des rôles, des responsabilités et des étapes de la procédure; b) le cas échéant, un environnement électronique sécurisé qui empêche l’accès illicite ou accidentel à des données électroniques par des personnes non autorisées ou le transfert illicite ou accidentel desdites données à ces personnes; c) le cas échéant, la conservation et le traitement sécurisés des documents papier; d) un suivi approprié des limitations et un réexamen périodique de leur application.

3 Les données à caractère personnel sont conservées conformément aux règles de conservation en vigueur au Comité , à établir dans les registres tenus par les responsables du traitement des données en vertu de l’article 31, paragraphe 1, du RPDUE. À la fin de la durée de conservation, les données à caractère personnel sont, le cas échéant, supprimées, rendues anonymes de telle sorte que la personne concernée n’est pas ou plus identifiable, ou transférées aux archives du Comité conformément à l’article 13 du RPDUE.

1 Les avis relatifs à la protection des données publiés sur le site web public du Comité et sur son intranet comportent une section fournissant aux personnes concernées des informations générales sur la limitation potentielle de leurs droits dans le contexte des activités et procédures du Comité impliquant le traitement de leurs données à caractère personnel. Cette section précise les droits susceptibles d’être limités, les motifs pour lesquels des limitations peuvent s’appliquer, la durée potentielle de ces limitations et les recours administratifs et juridiques dont disposent les personnes concernées.

2 Lorsque les responsables du traitement des données appliquent des limitations, ils informent directement chaque personne concernée, sans délai injustifié et dans le format le plus approprié: a) de toute limitation existante ou à venir de leurs droits; b) des principales raisons qui motivent l’application de la limitation; c) de leur droit de consulter le DPD en vue de contester la limitation; d) de leur droit d’introduire une réclamation auprès du CEPD; e) de leur droit de former un recours juridictionnel devant la Cour de justice.

3 Nonobstant le paragraphe 2, lorsque les responsables du traitement des données limitent, dans des cas exceptionnels, l’application de l’article 35 du RPDUE («Communication à la personne concernée d’une violation de données à caractère personnel»), ils communiquent à la personne concernée la violation de données à caractère personnel et fournissent les informations visées au paragraphe 2, points (b), (d) et (e), dès que les motifs de limitation de cette communication cessent d’exister.

4 Nonobstant le paragraphe 2, lorsque les responsables du traitement des données limitent, dans des cas exceptionnels, l’application de l’article 36 du RPDUE («Confidentialité des communications électroniques»), ils fournissent, dans leur réponse à une demande de la personne concernée, les informations visées au paragraphe 2.

5 Les responsables du traitement des données peuvent différer, omettre ou refuser la communication des informations visées au paragraphe 2 («report, omission ou refus de communication d’informations») aussi longtemps que cela priverait d’effet la limitation. Ils fournissent à la personne concernée les informations visées au paragraphe 2 dès lors que cela ne prive plus d’effet la limitation.

6 Les articles 4 et 5 s’appliquent par analogie dans tous les cas de report, d’omission ou de refus de communication d’informations.

1 Les responsables du traitement des données informent le DPD par écrit, sans délai injustifié, de toute limitation des droits d’une personne concernée en vertu de l’article 3, paragraphe 1, effectuent les examens périodiques visés à l’article 3, paragraphe 5, lèvent les limitations comme prévu à l’article 3, paragraphe 6, ou reportent, omettent ou refusent, en vertu de l’article 7, paragraphe 5, la communication des informations visées à l’article 7, paragraphe 2. À sa demande, le DPD se voit accorder l’accès aux registres correspondants et à tout document contenant des éléments factuels ou juridiques sous-jacents.

2 Le DPD peut demander aux responsables du traitement des données de réexaminer toute limitation existante ainsi que tout report, omission ou refus de communication d’informations, de même que leur application. Le DPD est informé par écrit du résultat du réexamen demandé.

3 Les responsables du traitement des données documentent dûment la participation du DPD, y compris les informations partagées avec lui, comme prévu aux paragraphes 1 et 2 en ce qui concerne l’application des limitations et des reports, omissions ou refus de communication d’informations.

4 Sur demande, le DPD donne son avis aux responsables du traitement des données quant à la détermination de leurs responsabilités dans le cadre d’un accord de responsabilité conjointe en vertu de l’article 28, paragraphe 1, du RPDUE.

Le DPD coopère avec le délégué à la protection des données du CESE en ce qui concerne le traitement des données à caractère personnel par les services conjoints en vue de garantir la mise en œuvre effective de la présente décision.

1 Le secrétaire général peut, en tant que de besoin, publier des instructions ou adopter des mesures d’exécution pour, le cas échéant, préciser toute disposition de la présente décision et lui donner effet, dans le respect de cette dernière.

2 La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.