Décision de la Banque européenne d’investissement du 9 octobre 2023 établissant les règles internes régissant le traitement des données à caractère personnel par la direction des ressources humaines de la Banque européenne d’investissement en ce qui concerne la communication d’informations aux personnes concernées et la limitation de certains de leurs droits [2023/2717]

1 La présente décision établit les règles à suivre par le/la responsable du traitement des données, au sens de l’article 2, paragraphe 1, afin d’informer les personnes concernées du traitement de leurs données conformément aux articles 14, 15 et 16 du règlement (UE) 2018/1725. Elle établit en outre les conditions dans lesquelles le/la responsable du traitement des données en question peut limiter l’application de l’article 4, des articles 14 à 21 et de l’article 35 du règlement, conformément à l’article 25, paragraphe 1, points c), g) et h), dudit règlement.

2 La présente décision s’applique aux opérations de traitement des données à caractère personnel effectuées par la direction des ressources humaines aux fins des activités qu’elle mène pour s’acquitter des tâches visées dans les articles 40 et 41 des règlements du personnel I et II de la BEI ainsi que dans la politique de la BEI en matière de respect de la dignité de la personne au travail et leurs modifications ultérieures, ou en relation avec ces activités.

3 Dans le cadre de son mandat, la direction des ressources humaines traite plusieurs catégories de données à caractère personnel, en particulier des données d’identification, données professionnelles, données de contact et données relatives au rôle joué dans l’affaire.

1 Le/La responsable du traitement des données est le directeur général/la directrice générale des ressources humaines.

2 Les données à caractère personnel sont conservées dans un environnement électronique et physique sécurisé qui empêche leur consultation ou transfert illicite par ou à des personnes qui n’ont pas besoin d’en connaître.

3 Les données à caractère personnel traitées sont conservées pendant une durée de six mois au minimum à compter du point de départ défini dans le calendrier de conservation. Plus d’informations sur la durée exacte des délais de conservation par procédure peuvent être obtenues en consultant le calendrier de conservation de la direction des ressources humaines.

1 Lorsque la direction des ressources humaines s’acquitte de ses devoirs au regard des droits des personnes concernées en vertu du règlement (UE) 2018/1725, elle examine la question de savoir si l’une des exceptions prévues par ledit règlement s’applique.

2 Sous réserve des dispositions des articles 4 à 7 de la présente décision, la direction des ressources humaines peut limiter l’application des articles 14 à 21 et de l’article 35 du règlement (UE) 2018/1725, ainsi que de l’article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 22 dudit règlement, dans le cas où l’exercice de ces droits et obligations compromettrait la finalité des procédures énoncées aux articles 40 et 41 des règlements du personnel I et II de la BEI ainsi que dans la politique de la BEI en matière de respect de la dignité de la personne au travail, ou porterait atteinte aux droits et libertés d’autres personnes concernées.

3 Sous réserve des dispositions des articles 4 à 7 de la présente décision, la direction des ressources humaines peut limiter les droits et obligations visés au paragraphe 2 du présent article en ce qui concerne les données à caractère personnel obtenues auprès d’autres institutions, organes ou organismes de l’Union européenne, d’autorités compétentes d’États membres ou d’organisations internationales, dans les cas suivants: a) lorsque l’exercice de ces droits et obligations pourrait être limité par d’autres institutions, organes ou organismes de l’Union européenne sur la base d’autres actes prévus à l’article 25 du règlement ou conformément au chapitre IX dudit règlement; b) lorsque l’exercice de ces droits et obligations pourrait être limité par les autorités compétentes des États membres sur la base des actes visés à l’article 23 du règlement (UE) 2016/679 du Parlement européen et du Conseil , ou en vertu de mesures nationales transposant l’article 13, paragraphe 3, l’article 15, paragraphe 3, ou l’article 16, paragraphe 3, de la directive (UE) 2016/680 du Parlement européen et du Conseil ; c) lorsque l’exercice de ces droits et obligations risque de compromettre la coopération de la direction des ressources humaines avec des pays tiers ou des organisations internationales dans l’accomplissement de ses missions. Avant d’appliquer des limitations dans les cas visés aux points a) et b) du premier alinéa, la direction des ressources humaines consulte les institutions, organes ou organismes compétents de l’Union européenne ou les autorités compétentes des États membres, à moins qu’il ne soit clair pour la direction des ressources humaines que l’application d’une limitation est prévue par l’un des actes visés à ces points. Le point c) du premier alinéa ne s’applique pas lorsque les intérêts ou les libertés et droits fondamentaux des personnes concernées prévalent sur l’intérêt de l’Union européenne à coopérer avec des pays tiers ou des organisations internationales.

4 Les paragraphes 1, 2 et 3 sont sans préjudice de l’application d’autres décisions de la BEI établissant des règles internes en ce qui concerne la communication d’informations aux personnes concernées et la limitation de certains droits en vertu de l’article 25 du règlement (UE) 2018/1725.

1 La direction des ressources humaines publie sur le site intranet de la BEI des avis relatifs à la protection des données qui informent toutes les personnes concernées de ses activités nécessitant un traitement de leurs données à caractère personnel, y compris un avis général relatif à la protection des données concernant les éventuelles limitations de leurs droits. Ces informations portent sur les droits susceptibles d’être limités, les motifs pour lesquels des limitations peuvent s’appliquer, ainsi que leur durée potentielle.

2 La direction des ressources humaines informe individuellement les personnes concernées qui sont parties à une procédure, concernées par une procédure ou témoins, au moyen d’un avis spécifique relatif à la protection des données comprenant des informations sur les droits susceptibles d’être limités, les motifs de la limitation et sa durée potentielle.

3 Lorsque la direction des ressources humaines limite, totalement ou partiellement, la communication d’informations aux personnes concernées visées au paragraphe 2, elle consigne dans un relevé les motifs de la limitation, assortis d’une évaluation de sa nécessité et de sa proportionnalité. Cette évaluation contient également des informations sur les risques pour la procédure concernée et pour les droits et libertés des personnes concernées. En particulier, le relevé indique de quelle manière la communication d’informations annulerait l’effet des limitations appliquées conformément à l’article 3, paragraphes 2 et 3, ou porterait atteinte aux droits et libertés d’autres personnes concernées. Le relevé et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont enregistrés. Ils sont mis à la disposition du Contrôleur européen de la protection des données (CEPD) sur demande.

4 Les limitations visées au paragraphe 3 continuent de s’appliquer tant que les motifs les justifiant subsistent. Lorsque les raisons justifiant ces limitations cessent d’exister, la direction des ressources humaines fournit à la personne concernée les informations en question et les motifs de la limitation. Dans le même temps, la direction des ressources humaines informe la personne concernée de la possibilité de déposer plainte auprès du CEPD à tout moment ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne. La direction des ressources humaines examine l’application de la limitation au moins tous les six mois à compter de son adoption et à la clôture de la procédure en question. Par la suite, le/la responsable du traitement des données vérifie tous les six mois la nécessité de maintenir la limitation.

1 Lorsque la direction des ressources humaines limite, totalement ou partiellement, le droit d’accès visé à l’article 17 du règlement (UE) 2018/1725, elle prend les mesures suivantes: a) elle informe la personne concernée, dans sa réponse à la demande d’accès, de la limitation appliquée, des principales raisons qui la motivent, de la durée de la limitation ainsi que de la possibilité d’introduire une plainte auprès du CEPD ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne; b) elle consigne dans un relevé les motifs de la limitation, assortis d’une évaluation de sa nécessité et de sa proportionnalité; à cette fin, le relevé indique de quelle manière l’accès aux informations et l’exercice du droit concerné compromettraient la finalité de la procédure en question ou annuleraient l’effet des limitations appliquées conformément à l’article 3, paragraphes 2 et 3, ou porteraient atteinte aux droits et libertés d’autres personnes concernées. La communication des informations visées au point a) peut être différée, omise ou refusée conformément à l’article 25, paragraphe 8, du règlement (UE) 2018/1725.

2 Le relevé mentionné au paragraphe 2, premier alinéa, point b), et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont enregistrés. Ils sont mis à la disposition du CEPD sur demande. L’article 25, paragraphe 7, du règlement (UE) 2018/1725 s’applique.

3 Les limitations visées au paragraphe 1 continuent de s’appliquer tant que les motifs les justifiant subsistent. Lorsque les raisons justifiant ces limitations cessent d’exister, la direction des ressources humaines fournit à la personne concernée les informations en question et les motifs de la limitation. Dans le même temps, la direction des ressources humaines informe la personne concernée de la possibilité de déposer plainte auprès du CEPD à tout moment ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne. La direction des ressources humaines examine l’application de la limitation au moins tous les six mois à compter de son adoption et à la clôture de la procédure en question. Par la suite, le/la responsable du traitement des données vérifie tous les six mois la nécessité de maintenir la limitation.

Dans le cas où la direction des ressources humaines limite, totalement ou partiellement, l’application du droit de rectification, du droit à l’effacement ou du droit à la limitation du traitement, visés à l’article 18, à l’article 19, paragraphe 1, et à l’article 20, paragraphe 1, du règlement (UE) 2018/1725, elle prend les mesures visées à l’article 5, paragraphes 2 et 3, de la présente décision.

Dans le cas où la direction des ressources humaines limite la communication d’une violation de données à caractère personnel à la personne concernée, visée à l’article 35 du règlement (UE) 2018/1725, elle consigne et enregistre les motifs de cette limitation conformément à l’article 4, paragraphe 3, de la présente décision. L’article 4, paragraphe 4, de la présente décision s’applique.

La direction des ressources humaines informe sans délai le/la DPD de son intention de limiter l’application des droits des personnes concernées conformément à la présente décision. Le relevé et l’évaluation de la nécessité et de la proportionnalité de la limitation sont examinés par le/la DPD. Le réexamen par le/la DPD sera documenté. Le/la DPD peut demander par écrit à la direction des ressources humaines un réexamen de l’application des limitations. La direction des ressources humaines informe le/la DPD par écrit du résultat du réexamen demandé.

La présente décision, approuvée par le Conseil d’administration de la BEI le 9 octobre 2023, remplace la décision de la BEI établissant les règles internes régissant le traitement des données à caractère personnel par la direction des ressources humaines de la Banque européenne d’investissement en ce qui concerne la communication d’informations aux personnes concernées et la limitation de certains de leurs droits, qui a été approuvée par le Conseil d’administration de la BEI le 26 février 2019. La présente décision entre en vigueur le vingtième jour suivant sa publication au Journal officiel de l’Union européenne.