Décision du conseil d’administration NO 28/2022 du 4 avril 2022 portant sur les règles internes relatives à la limitation de certains droits des personnes concernées en matière de traitement des données à caractère personnel dans le cadre des activités menées par l’Agence européenne de garde-frontières et de garde-côtes

1 La présente décision établit les règles relatives aux conditions dans lesquelles l’Agence peut limiter l’application des articles 4, 14 à 22, 35 et 36 du règlement, conformément à l’article 25 du règlement et à l’article 86, paragraphe 2, du règlement relatif au corps européen de garde-frontières et de garde-côtes. La présente décision s’applique au traitement des données à caractère personnel par l’Agence aux fins de l’accomplissement de tâches administratives conformément à l’article 87, paragraphe 1, point h), du règlement relatif au corps européen de garde-frontières et de garde-côtes.

2 Conformément au paragraphe 1 et sous réserve des conditions énoncées dans la présente décision, les limitations peuvent être appliquées aux droits suivants: droit relatif aux informations à fournir à la personne concernée, droit d’accès de la personne concernée, droit de la personne concernée à la rectification, à l’effacement et à la limitation du traitement et droits à la communication à la personne concernée d’une violation de données à caractère personnel et à la confidentialité des communications électroniques.

3 Les catégories de données à caractère personnel concernées par la présente décision sont les données objectives/vérifiées (par exemple, les données d’identification, coordonnées, données professionnelles, données administratives, données provenant de sources spécifiques, communications électroniques et données relatives au trafic) et les données subjectives/non vérifiées (par exemple, le raisonnement, les données comportementales, les évaluations, les données relatives à la performance et à la conduite, ainsi que les données touchant à l’objet de la procédure ou de l’activité concernée, ou soumises en rapport avec celui-ci).

4 L’Agence, en sa qualité de responsable du traitement, est représentée par le directeur exécutif. Les règles de l’Agence relatives à la mise en œuvre du règlement à l’égard du traitement des données s’appliquent .

5 Les personnes concernées sont informées de l’identité des responsables désignés du traitement des données au moyen d’informations ou de registres publiés sur le site internet et/ou l’intranet de l’Agence.

1 L’Agence peut limiter l’application des articles 14 à 22, 35 et 36 du règlement ainsi que de l’article 4 dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 22, dans le cadre de la finalité du traitement des données à caractère personnel indiquée à l’article 1er, paragraphe 1, de la décision: a) conformément à l’article 25, paragraphe 1, points b), c), f), g) et h), du règlement, lors d’enquêtes administratives, de procédures prédisciplinaires, disciplinaires ou de suspension en vertu de l’article 86 et de l’annexe IX du statut et de la décision du conseil d’administration no 26/2018 du 25 octobre 2018 portant adoption de dispositions générales d’exécution relatives à la conduite des enquêtes administratives et des procédures disciplinaires, lors de la notification des cas à l’OLAF et conformément à l’article 25, paragraphe 1, points c), g), et h), du règlement, lorsque le DPD enquête sur des affaires directement liées à ses missions, en particulier lorsqu’il mène des enquêtes sur les activités de traitement des données de l’Agence conformément à l’article 5, paragraphe 11, de la décision no 56/2021 du conseil d’administration du 15 octobre 2021 . L’Agence peut limiter certains des droits visés à l’article 1er, paragraphe 2, de la décision, d’un membre du personnel, d’une personne concernée ou d’un tiers en ce qui concerne toute information susceptible de compromettre sérieusement des enquêtes, des procédures prédisciplinaires, disciplinaires ou de suspension futures ou en cours, notamment des déclarations de témoins et d’autres documents; b) conformément à l’article 25, paragraphe 1, point h), du règlement, lorsqu’elle veille à ce que les membres du personnel de l’Agence puissent signaler des faits de manière confidentielle lorsqu’ils estiment qu’il existe de graves irrégularités, comme indiqué dans la décision no 17/2019 du conseil d’administration du 18 juillet 2019 portant adoption des lignes directrices de Frontex relatives au signalement de dysfonctionnements graves. L’Agence peut limiter certains des droits visés à l’article 1er, paragraphe 2, de la décision, des personnes concernées susceptibles d’être impliquées dans les actes répréhensibles présumés en ce qui concerne toute information pouvant compromettre l’anonymat de la personne signalant une grave irrégularité; c) conformément à l’article 25, paragraphe 1, point h), du règlement, lorsqu’elle veille à ce que les membres du personnel de l’Agence puissent bénéficier du soutien des conseillers confidentiels, tel que défini dans la décision no 16/2019 du conseil d’administration du 18 juillet 2019 concernant la politique de Frontex relative à la protection de la dignité de la personne et à la lutte contre le harcèlement moral et le harcèlement sexuel. L’Agence peut limiter certains des droits visés à l’article 1er, paragraphe 2, de la décision, des harceleurs présumés, si nécessaire, afin de protéger l’anonymat de la victime de harcèlement présumée et l’anonymat des témoins; d) conformément à l’article 25, paragraphe 1, points c), g) et h), du règlement, lors d’audits internes et externes concernant les activités ou services de l’Agence, en particulier lorsque les audits internes sont menés par la structure d’audit interne de l’Agence. L’Agence peut limiter certains des droits visés à l’article 1er, paragraphe 2, des personnes concernées en ce qui concerne les informations susceptibles de compromettre la confidentialité des informations recueillies dans le cadre de l’audit ou d’interférer avec le déroulement d’un audit en cours; e) conformément à l’article 25, paragraphe 1, points b), e), g) et h), du règlement, dans le cadre d’enquêtes menées par le Parquet européen. L’Agence peut limiter certains des droits visés à l’article 1er, paragraphe 2, de la décision, des personnes concernées en ce qui concerne les informations nécessaires afin de garantir le bon déroulement et la confidentialité des enquêtes du Parquet européen; f) conformément à l’article 25, paragraphe 1, points c), e), g) et h), du règlement, lors du traitement des plaintes, notamment celles reçues par l’Agence dans le cadre du mécanisme de traitement des plaintes mis en place conformément à l’article 111 du règlement relatif au corps européen de garde-frontières et de garde-côtes, afin de contrôler et d’assurer le respect des droits fondamentaux dans toutes les activités de l’Agence et à la décision pertinente du directeur exécutif. L’Agence peut limiter certains des droits visés à l’article 1er, paragraphe 2, de la présente décision, d’un membre du personnel participant à une activité de l’Agence , qui fait l’objet d’une plainte, en ce qui concerne toute information susceptible de compromettre sérieusement l’examen et le traitement de la plainte; g) conformément à l’article 25, paragraphe 1, points c), e), g) et h), du règlement, lors du traitement de la notification d’un incident en vertu de l’article 38, paragraphe 3, point h), du règlement relatif au corps européen de garde-frontières et de garde-côtes, et à la décision du directeur exécutif du 19 avril 2021concernant les procédures opérationnelles permanentes (POP) – Rapport d’incident grave. L’Agence peut limiter certains des droits visés à l’article 1er, paragraphe 2, de la présente décision, des personnes concernées figurant dans le rapport d’incident grave en ce qui concerne les informations susceptibles de compromettre sérieusement la validation et l’évaluation du rapport d’incident grave ainsi que les mesures qui en découleront et l’anonymat des témoins ou d’autres personnes signalant des incidents, y compris les migrants et les personnes faisant l’objet d’une décision de retour; h) conformément à l’article 25, paragraphe 1, points b), c), f), g) et h), du règlement, lors du contrôle de l’application des dispositions relatives à l’usage de la force par le personnel statutaire du contingent permanent du corps européen de garde-frontières et de garde-côtes en vertu de l’article 55, paragraphe 5, point a), du règlement relatif au corps européen de garde-frontières et de garde-côtes et de la décision no 7/2021 du conseil d’administration du 20 janvier 2021 et lors du contrôle de l’usage de la force par le personnel détaché à l’Agence par les États membres pour des déploiements de courte durée et le personnel faisant partie de la réserve de réaction rapide pour les interventions rapides aux frontières lorsqu’ils font usage de la force dans le cadre des activités opérationnelles de Frontex, conformément à la décision pertinente du directeur exécutif. L’Agence peut limiter certains des droits visés à l’article 1er, paragraphe 2, de la présente décision, des personnes concernées figurant dans un rapport sur le recours à la force en ce qui concerne les informations (notamment les déclarations de témoins et d’autres documents) susceptibles de compromettre sérieusement la vérification du rapport et toute action future ou en cours qui en découlerait, notamment les enquêtes, les procédures prédisciplinaires, disciplinaires ou de suspension; i) conformément à l’article 25, paragraphe 1, points b), c), d), g) et h), du règlement, lorsqu’elle apporte ou bénéficie de l’assistance ou de la coopération mutuelles avec d’autres institutions, organes et organismes de l’Union dans le cadre des activités visées aux points a) à h) du présent paragraphe et conformément aux dispositions des accords de niveau de service, des protocoles d’accord et des arrangements de travail; j) conformément à l’article 25, paragraphe 1, points b), c), g) et h), du règlement, lorsqu’elle apporte ou bénéficie de l’assistance et de la coopération mutuelles avec les autorités nationales compétentes d’autres États membres, à la demande de celles-ci ou de sa propre initiative, en particulier dans le cadre des activités visées aux points f) à h) du présent paragraphe et en vertu des dispositions du règlement relatif au corps européen de garde-frontières et de garde-côtes et aux décisions du conseil d’administration; k) conformément à l’article 25, paragraphe 1, points b), c), g) et h), du règlement, lorsqu’elle apporte ou bénéficie de l’assistance ou de la coopération mutuelles avec les autorités nationales compétentes de pays tiers et les organisations internationales, en particulier en vertu des protocoles d’accord et arrangements de travail pertinents; l) conformément à l’article 25, paragraphe 1, point e), du règlement, lors du traitement de données à caractère personnel dans le cadre d’une procédure devant la Cour de justice de l’Union européenne ou les cours et tribunaux nationaux; m) conformément à l’article 25, paragraphe 1, point h), du règlement, lors du traitement des demandes d’accès des membres du personnel à leur dossier médical concernant leur aptitude médicale et psychologique, si un accès direct audit dossier est susceptible de nuire à la personne concernée compte tenu de son état de santé ou de son état mental. En pareil cas, l’Agence fournit un accès indirect aux informations médicales pertinentes par l’intermédiaire du conseiller médical de l’Agence ou d’un prestataire médical externe; n) conformément à l’article 25, paragraphe 1, points c), d), g) et h), du règlement, lorsqu’elle effectue des analyses de sécurité pouvant conduire à des enquêtes internes liées à des incidents de cybersécurité ou à l’utilisation abusive de systèmes informatiques, incluant notamment la participation externe du CERT-UE, lorsqu’elle assure la sécurité interne au moyen de la vidéosurveillance, du contrôle des accès et d’activités d’enquête, lorsqu’elle sécurise les systèmes de communication et d’information et lorsqu’elle applique des contre-mesures techniques de sécurité. L’Agence peut limiter certains des droits visés à l’article 1er, paragraphe 2, de la présente décision, des personnes concernées en ce qui concerne les informations susceptibles de compromettre sérieusement lesdites analyses de sécurité, les moyens d’assurer la sécurité interne, y compris le contrôle des accès, les enquêtes de sécurité et les contre-mesures techniques de sécurité.

2 Toute limitation doit respecter l’essence des libertés et droits fondamentaux et constituer une mesure nécessaire et proportionnée dans une société démocratique.

3 Une évaluation de la nécessité et de la proportionnalité est effectuée au cas par cas avant l’application des limitations. Les limitations se réduisent à ce qui est strictement nécessaire pour atteindre leur objectif.

4 À des fins de responsabilité, l’Agence dépose un dossier décrivant les raisons des limitations appliquées, les motifs parmi ceux énumérés au paragraphe 1 qui s’appliquent et le résultat de l’évaluation de la nécessité et de la proportionnalité. Ces dossiers font partie d’un registre, qui est mis à la disposition du CEPD sur demande. L’Agence prépare et publie des rapports périodiques sur l’application de l’article 25 du règlement.

5 Lorsqu’elle traite des données à caractère personnel reçues d’autres organisations dans le cadre de ses missions, l’Agence consulte lesdites organisations sur les motifs potentiels de l’imposition des limitations et sur la nécessité et la proportionnalité des limitations concernées, à moins que cela ne compromette les activités de l’Agence.

1 Les évaluations des risques pour les droits et libertés des personnes concernées de l’imposition des limitations et les informations relatives à la durée d’application de ces limitations sont enregistrées dans le registre des activités de traitement tenu par l’Agence en vertu de l’article 31 du règlement. Elles sont également enregistrées dans les analyses d’impact relatives à la protection des données concernant ces limitations effectuées en vertu de l’article 39 du règlement.

2 Lorsque l’Agence évalue la nécessité et la proportionnalité d’une limitation, elle tient compte des risques potentiels pour les droits et libertés de la personne concernée.

3 Les limitations ne s’appliquent pas lorsque l’exercice du droit restreint priverait la limitation de son effet ou porterait atteinte aux droits et libertés d’autres personnes concernées.

1 L’Agence met en œuvre des garanties afin de prévenir les abus et l’accès ou le transfert illicites des données à caractère personnel pour lesquelles des limitations s’appliquent ou pourraient s’appliquer. Lesdites garanties comprennent des mesures techniques et organisationnelles et sont détaillées, au besoin, dans les décisions du conseil d’administration de l’Agence, les décisions du directeur exécutif, les plans opérationnels établis conformément à l’article 38 du règlement relatif au corps européen de garde-frontières et de garde-côtes, les décisions internes, les procédures internes et les communications administratives. Les garanties sont les suivantes: a) une définition claire des rôles, des responsabilités et des étapes de la procédure; b) s’il y a lieu, un environnement électronique sécurisé empêchant l’accès et le transfert illicites et accidentels de données électroniques à des personnes non autorisées; c) s’il y a lieu, le stockage et le traitement sécurisés des documents en version papier; d) un suivi approprié des limitations et un réexamen périodique de leur application. Les examens visés au point d) sont effectués au moins tous les six mois et peuvent donner lieu à la levée des limitations conformément au paragraphe 2. Les examens sont documentés par le responsable du traitement des données désigné à des fins de responsabilité.

2 Les limitations sont levées dès que les circonstances qui les justifient cessent d’exister.

3 Les données à caractère personnel sont conservées conformément aux règles de conservation en vigueur de l’Agence, à définir dans les registres concernant la protection des données tenus en vertu de l’article 31 du règlement. À la fin de la durée de conservation, les données à caractère personnel sont supprimées, rendues anonymes ou renvoyées dans des archives conformément à l’article 13 du règlement.

1 Le DPD est informé dans les meilleurs délais dès que les droits des personnes concernées sont limités conformément à la présente décision. Il a accès aux dossiers correspondants et à tout document concernant le contexte factuel ou juridique.

2 Le DPD peut demander un examen de l’application d’une limitation. L’Agence informe le DPD par écrit du résultat de l’examen.

3 L’Agence documente la participation du DPD à l’application des limitations, y compris la nature des informations qui sont échangées avec lui.

4 Les responsables du traitement des données désignés informent le DPD de la levée de toute limitation.

1 L’Agence inclut dans les avis de protection des données publiés sur son site web et son intranet une section fournissant des informations générales aux personnes concernées sur les limitations potentielles des droits des personnes concernées, conformément à l’article 2, paragraphe 1. Ces informations portent sur les droits susceptibles d’être limités, les motifs pour lesquels des limitations peuvent s’appliquer, ainsi que leur durée potentielle.

2 L’Agence informe les personnes concernées individuellement de toute limitation en cours ou future de leurs droits par écrit et dans les meilleurs délais. L’Agence informe la personne concernée des principales raisons qui motivent l’application de la limitation, de son droit de consulter le DPD en vue de contester la limitation et de son droit de saisir le CEPD.

3 L’Agence peut différer, omettre ou refuser la communication d’informations sur les motifs d’une limitation et le droit de saisir le CEPD dès lors que cela priverait d’effet la limitation. L’évaluation visant à déterminer si cela est justifié se fait au cas par cas. Dès lors que cela ne prive plus d’effet la limitation, l’Agence communique les informations à la personne concernée.

1 Lorsque l’Agence a l’obligation de communiquer une violation de données en vertu de l’article 35, paragraphe 1, du règlement, elle peut, dans des cas exceptionnels, limiter cette communication en tout ou en partie. Elle documente dans une note les raisons de la limitation, son motif juridique en vertu de l’article 2 et une évaluation de sa nécessité et de sa proportionnalité. La note est communiquée au CEPD au moment de la notification de la violation de données à caractère personnel.

2 Lorsque les raisons de la limitation ne s’appliquent plus, l’Agence informe la personne concernée de la violation de données à caractère personnel et des principales raisons de la limitation, ainsi que de son droit de saisir le CEPD.

1 Dans des circonstances exceptionnelles, l’Agence peut limiter le droit à la confidentialité des communications électroniques en vertu de l’article 36 du règlement. Ces limitations sont conformes à la directive 2002/58/CE du Parlement européen et du Conseil .

2 Lorsque l’Agence restreint le droit à la confidentialité des communications électroniques, elle informe la personne concernée, dans sa réponse à une demande de la personne concernée, des principales raisons qui motivent l’application de la limitation et de son droit de saisir le CEPD.

3 L’Agence peut différer, omettre ou refuser la communication d’informations sur les motifs d’une limitation et le droit de saisir le CEPD dès lors que cela priverait d’effet la limitation. L’évaluation visant à déterminer si cela est justifié se fait au cas par cas.

La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.