Comité directeur de l’entreprise commune EDCTP3 pour la santé mondiale décision NO GB/18/2023 sur les règles internes relatives aux limitations de certains droits des personnes concernées en matière de traitement des données à caractère personnel dans le cadre du fonctionnement de l’entreprise commune EDCTP3 pour la santé mondiale [2023/2189]

1 La présente décision établit les règles relatives aux conditions dans lesquelles l’EC «EDCTP3 pour la santé mondiale» peut, dans le cadre des procédures définies à l’article 3 de la présente décision, limiter l’application des droits consacrés aux articles 14 à 22, 35 et 36 du règlement (UE) 2018/1725, ainsi qu’à l’article 4 dudit règlement, en vertu de l’article 25 du règlement (UE) 2018/1725.

2 Les catégories de données concernées par ces procédures incluent les données d’identification, les coordonnées, les données professionnelles, les données administratives, les données provenant de sources spécifiques, les communications électroniques et les données relatives au trafic, et les données relatives à l’affaire, telles que le raisonnement, les données comportementales, les évaluations, les données relatives à la performance et à la conduite, ainsi que les données touchant à l’objet de la procédure ou de l’activité, ou soumises en rapport avec celui-ci.

3 Lorsque l’EC «EDCTP3 pour la santé mondiale» exerce ses fonctions en ce qui concerne les droits des personnes concernées en vertu du règlement (UE) 2018/1725, elle examine si l’une des dérogations établies dans ledit règlement s’applique.

Le responsable du traitement est l’EC «EDCTP3 pour la santé mondiale», représentée par son directeur exécutif.

1 L’EC «EDCTP3 pour la santé mondiale» peut limiter l’application des articles 14 à 22, 35 et 36 du règlement (UE) 2018/1725, ainsi que de son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 20: a) conformément à l’article 25, paragraphe 1, points b), c), f), g) et h), du règlement (UE) 2018/1725, lorsqu’elle mène des enquêtes administratives, des procédures prédisciplinaires et disciplinaires ou des procédures de suspension en vertu de l’article 86 et de l’annexe IX du statut et en vertu de la décision no 17/2023 du comité directeur de l’EC «EDCTP3 pour la santé mondiale», ainsi que lorsqu’elle notifie les cas à l’OLAF; b) conformément à l’article 25, paragraphe 1, point h), du règlement (UE) 2018/1725, lorsqu’elle veille à ce que les membres du personnel l’EC «EDCTP3 pour la santé mondiale» puissent, à titre confidentiel, communiquer des faits lorsqu’ils estiment qu’il existe de graves irrégularités, comme prévu dans la décision no 12/2023 du comité directeur de l’EC «EDCTP3 pour la santé mondiale» portant règles internes relatives au lancement d’alertes; c) conformément à l’article 25, paragraphe 1, point h), du règlement (UE) 2018/1725, lorsqu’elle veille à ce que les membres du personnel l’EC «EDCTP3 pour la santé mondiale» puissent faire rapport, en toute confidentialité, aux conseillers confidentiels dans le cadre d’une procédure de harcèlement, telle que définie par la décision no 13/2023 du comité directeur de l’EC «EDCTP3 pour la santé mondiale»; d) conformément à l’article 25, paragraphe 1, points c), g) et h), du règlement (UE) 2018/1725, lorsqu’elle procède à des audits internes et externes en rapport avec les activités ou les services de l’EC «EDCTP3 pour la santé mondiale»; e) conformément à l’article 25, paragraphe 1, points c), d), g) et h), du règlement (UE) 2018/1725, lorsqu’elle apporte ou bénéficie de l’assistance ou de la coopération mutuelles avec d’autres institutions, organes et organismes de l’Union dans le cadre des activités visées aux points a) à d) du présent paragraphe et conformément aux dispositions des accords de niveau de service, des protocoles d’accord et des accords de coopération; f) conformément à l’article 25, paragraphe 1, points c), g) et h), du règlement (UE) 2018/1725, lorsqu’elle apporte ou bénéficie de l’assistance ou de la coopération mutuelles avec les autorités nationales de pays tiers et les organisations internationales, à la demande de celles-ci ou de sa propre initiative; g) conformément à l’article 25, paragraphe 1, points c), g) et h), du règlement (UE) 2018/1725, lorsqu’elle apporte ou bénéficie de l’assistance et la coopération mutuelles avec les pouvoirs publics des États membres de l’Union, à la demande de ceux-ci ou de sa propre initiative; h) conformément à l’article 25, paragraphe 1, point e), du règlement (UE) 2018/1725, lorsqu’elle traite les données à caractère personnel contenues dans les documents obtenus par les parties ou les parties intervenantes dans le cadre des procédures devant la Cour de justice de l’Union européenne; i) conformément à l’article 25, paragraphe 1, points c) et h), du règlement (UE) 2018/1725, lorsqu’elle traite des données à caractère personnel au cours des enquêtes menées par le DPD conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725; j) conformément à l’article 25, paragraphe 1, point c), d), g) et h), du règlement (UE) 2018/1725, lorsqu’elle traite des données à caractère personnel au cours d’enquêtes de sécurité informatique conduites en interne ou avec une participation externe (CERT-UE, par exemple); k) conformément à l’article 25, paragraphe 1, points c), g) et h), du règlement (UE) 2018/1725, lorsqu’elle traite des données à caractère personnel dans le cadre de la procédure de gestion des subventions ou de passation de marchés, après la date de clôture pour la soumission des appels à propositions ou le dépôt des offres.

2 L’EC «EDCTP3 pour la santé mondiale» peut, à titre d’application spécifique des finalités décrites au paragraphe 1 ci-dessus, appliquer des limitations dans les cas suivants: a) en ce qui concerne les données à caractère personnel échangées avec les services de la Commission ou d’autres institutions, organes et organismes de l’Union: i) lorsque ce service de la Commission, cette institution, cet organe ou cet organisme de l’Union est habilité à limiter l’exercice des droits énoncés sur la base d’autres actes prévus à l’article 25 du règlement (UE) 2018/1725 ou conformément au chapitre IX dudit règlement ou aux actes fondateurs d’autres institutions, organes et organismes de l’Union; ii) lorsque la finalité de cette limitation fixée par ce service de la Commission, cette institution, cet organe ou cet organisme de l’Union serait compromise si l’EC «EDCTP3 pour la santé mondiale» n’appliquait pas une limitation équivalente à l’égard des mêmes données à caractère personnel; b) en ce qui concerne les données à caractère personnel échangées avec les autorités compétentes des États membres: i) lorsque ces autorités compétentes sont autorisées à limiter l’exercice des droits énumérés sur la base des actes visés à l’article 23 du règlement (UE) 2016/679 du Parlement européen et du Conseil ou en vertu de mesures nationales transposant l’article 13, paragraphe 3, l’article 15, paragraphe 3, ou l’article 16, paragraphe 3, de la directive (UE) 2016/680 du Parlement européen et du Conseil ; ii) lorsque la finalité de cette limitation fixée par cette autorité compétente serait compromise si l’EC «EDCTP3 pour la santé mondiale» n’appliquait pas une limitation équivalente à l’égard des mêmes données à caractère personnel; c) en ce qui concerne les données à caractère personnel échangées avec des pays tiers ou des organisations internationales, lorsqu’il existe des preuves manifestes que l’exercice de ces droits et obligations est susceptible de compromettre la coopération de l’EC «EDCTP3 pour la santé mondiale» avec des pays tiers ou des organisations internationales dans l’accomplissement de ses missions. Avant d’appliquer des limitations dans les cas visés aux points a) et b) du premier alinéa, l’EC «EDCTP3 pour la santé mondiale» consulte les services compétents de la Commission, les institutions, organes et organismes de l’Union ou les autorités compétentes des États membres, à moins qu’il ne soit clair pour l’EC «EDCTP3 pour la santé mondiale» que l’application d’une limitation est prévue par l’un des actes visés à ces points.

3 Lorsque l’EC «EDCTP3 pour la santé mondiale» limite, en tout ou en partie, l’application des droits visés aux paragraphes 1 et 2 ci-dessus, elle prend les mesures visées aux articles 5 et 6 de la présente décision.

4 Dans les cas où les personnes concernées demandent à accéder à leurs données à caractère personnel traitées dans le cadre d’un ou de plusieurs cas spécifiques ou d’une opération de traitement particulière, conformément à l’article 17 du règlement (UE) 2018/1725, l’EC «EDCTP3 pour la santé mondiale» limite son examen de la demande à ces seules données à caractère personnel.

1 L’EC «EDCTP3 pour la santé mondiale» met en œuvre des garanties afin de prévenir les abus et l’accès ou le transfert illicites des données à caractère personnel pour lesquelles des limitations s’appliquent ou pourraient s’appliquer. Ces garanties comprennent des mesures techniques et organisationnelles et sont détaillées, le cas échéant, dans les décisions, procédures et dispositions d’exécution de l’EC «EDCTP3 pour la santé mondiale». Les garanties comprennent: a) une définition claire des rôles, des responsabilités et des étapes de la procédure; b) les documents en version papier sont conservés dans des armoires sécurisées et ne sont accessibles qu’au personnel habilité; c) toutes les données électroniques sont stockées dans une application informatique sécurisée, conformément aux normes de sécurité de l’EC «EDCTP3 pour la santé mondiale», ainsi que dans des dossiers électroniques spécifiques accessibles uniquement au personnel autorisé. Les niveaux d’accès appropriés sont accordés individuellement; d) toutes les personnes ayant accès aux données sont tenues de respecter l’obligation de confidentialité; e) un suivi approprié des limitations et un réexamen périodique de leur application.

2 Conformément à l’article 5, paragraphe 3, de la présente décision, les garanties visées au paragraphe 1 devraient faire l’objet d’un examen périodique.

3 Les données à caractère personnel sont conservées conformément aux règles de conservation en vigueur de l’EC «EDCTP3 pour la santé mondiale», à définir dans les registres concernant la protection des données tenus en vertu de l’article 31 du règlement (UE) 2018/1725. En tout état de cause, la durée de conservation n’est pas plus longue que nécessaire et elle est appropriée aux finalités pour lesquelles les données sont traitées.

1 Toute limitation fondée sur l’article 3 de la présente décision est nécessaire et proportionnée au regard des risques pour les droits et libertés des personnes concernées et respecte le contenu essentiel des libertés et droits fondamentaux dans une société démocratique.

2 Si l’application de limitations est envisagée, une évaluation de la nécessité et de la proportionnalité est effectuée sur la base des règles en vigueur. L’évaluation est également effectuée dans le cadre de l’examen périodique, après qu’il a été déterminé si les raisons de fait et de droit justifiant la limitation continuent de s’appliquer. Le résultat de cette évaluation est consigné dans une note d’évaluation interne, afin de rendre compte, au cas par cas, des limitations considérées. L’EC «EDCTP3 pour la santé mondiale» établit des rapports périodiques sur l’application de l’article 25 du règlement (UE) 2018/1725.

3 Les limitations sont temporaires. Elles continuent de s’appliquer tant que les raisons les justifiant persistent, en particulier lorsqu’il est considéré que l’exercice du droit limité ne priverait plus d’effet la limitation imposée ou ne porterait plus atteinte aux droits ou aux libertés d’autres personnes concernées. L’EC «EDCTP3 pour la santé mondiale» examine l’application de la limitation tous les six mois à compter de son adoption et à la clôture de l’enquête ou de la procédure en question. Par la suite, le responsable du traitement vérifie la nécessité de maintenir la limitation tous les six mois.

4 Lorsque l’EC «EDCTP3 pour la santé mondiale» applique, en tout ou en partie, les limitations visées à l’article 3 de la présente décision, elle consigne dans un relevé les motifs et la base juridique de la limitation conformément à l’article 3 de la présente décision, accompagnés d’une évaluation de la nécessité et de la proportionnalité de la limitation. Le relevé et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont consignés dans un registre. Ils sont mis à la disposition du CEPD sur demande.

1 L’EC «EDCTP3 pour la santé mondiale» inclut dans les avis relatifs à la protection des données, les déclarations de confidentialité ou les registres, au sens de l’article 31 du règlement (UE) 2018/1725, publiés sur son site web et/ou sur l’intranet informant les personnes concernées de leurs droits dans le cadre d’une procédure donnée, des informations relatives à la limitation potentielle de ces droits. Ces informations portent sur les droits susceptibles d’être limités, les motifs de la limitation ainsi que sa durée potentielle. En outre, sans préjudice des dispositions de l’article 5, paragraphe 4 de la présente décision, l’EC «EDCTP3 pour la santé mondiale» informe individuellement, lorsque cela est proportionné, toutes les personnes concernées, qui sont considérées comme des personnes concernées par l’opération de traitement spécifique, de leurs droits au regard des limitations actuelles ou futures, dans les meilleurs délais et par écrit.

2 Lorsque l’EC «EDCTP3 pour la santé mondiale» limite, en tout ou en partie, les droits visés à l’article 3 de la présente décision, elle informe la personne concernée de la limitation appliquée et des principales raisons qui la motivent, ainsi que de la possibilité d’introduire une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne. La communication des informations visées au paragraphe 2 ci-dessus peut être différée, omise ou refusée si elle prive d’effet la limitation conformément à l’article 25, paragraphe 8, du règlement (UE) 2018/1725.

1 L’EC «EDCTP3 pour la santé mondiale» consulte, sans retard injustifié, le DPD de l’EC «EDCTP3 pour la santé mondiale» avant et pendant la période où le responsable du traitement limite l’application des droits des personnes concernées, ou étend la limitation, conformément à la présente décision. Le responsable du traitement accorde au DPD un accès au registre contenant l’évaluation de la nécessité et de la proportionnalité de la limitation, ainsi qu’à tout document concernant le contexte factuel ou juridique.

2 Le DPD peut demander au responsable du traitement, par écrit, de réexaminer l’application des limitations. Le responsable du traitement informe le DPD par écrit du résultat du réexamen demandé.

3 Le DPD intervient tout au long de la procédure. Le responsable du traitement informe le DPD lorsque la limitation a été levée.

4 L’EC «EDCTP3 pour la santé mondiale» documente par écrit la participation du DPD à l’application des limitations, y compris les informations qui lui sont communiquées.

1 Lorsque l’EC «EDCTP3 pour la santé mondiale» a l’obligation de communiquer une violation de données en vertu de l’article 35, paragraphe 1, du règlement (UE) 2018/1725, elle peut, dans des cas exceptionnels, limiter cette communication en tout ou en partie. Elle documente dans une note les raisons de la limitation, son motif juridique en vertu de l’article 3 de la présente décision et une évaluation de sa nécessité et de sa proportionnalité. La note est communiquée au CEPD au moment de la notification de la violation de données à caractère personnel.

2 Lorsque les raisons de la limitation ne s’appliquent plus, l’EC «EDCTP3 pour la santé mondiale» informe la personne concernée de la violation de données à caractère personnel et des principales raisons de la limitation, ainsi que de son droit de saisir le CEPD.

1 Dans des circonstances exceptionnelles, l’EC «EDCTP3 pour la santé mondiale» peut limiter le droit à la confidentialité des communications électroniques en vertu de l’article 36 du règlement (UE) 2018/1725. Ces limitations sont conformes à la directive 2002/58/CE du Parlement européen et du Conseil.

2 Lorsque l’EC «EDCTP3 pour la santé mondiale» limite le droit à la confidentialité des communications électroniques, elle informe la personne concernée, dans sa réponse à une demande de la personne concernée, des principales raisons qui motivent l’application de la limitation et de son droit de saisir le CEPD.

3 L’EC «EDCTP3 pour la santé mondiale» peut différer, omettre ou refuser la communication d’informations sur les motifs d’une limitation et le droit de saisir le CEPD dès lors que cela priverait d’effet la limitation. L’évaluation visant à déterminer si cela est justifié se fait au cas par cas.

La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.