Décision no 20/2022 du conseil d’administration de l’AET du 24 novembre 2022 portant règles internes relatives à la limitation de certains droits des personnes concernées en matière de traitement des données à caractère personnel dans le cadre des activités menées par l’Autorité européenne du travail 2023/C 113/10

1 La présente décision établit les règles relatives aux conditions dans lesquelles l’AET peut limiter l’application des articles 4, 14 à 22, 35 et 36, conformément à l’article 25 du règlement.

2 L’AET, en sa qualité de responsable du traitement, est représentée par son directeur exécutif.

1 L’AET peut limiter l’application des articles 14 à 22, 35 et 36, ainsi que de l’article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 20: a) conformément à l’article 25, paragraphe 1, points b), c), f), g) et h), du règlement, lors de la conduite d’enquêtes administratives, de procédures prédisciplinaires, disciplinaires ou de suspension au titre de l’article 86 et de l’annexe IX du statut et de la décision no 22/2021 du conseil d’administration de l’AET du 10 novembre 2021 relative aux conditions et modalités des enquêtes internes au sein de l’Autorité européenne du travail en matière de lutte contre la fraude, la corruption et toute activité illégale préjudiciable aux intérêts de l’Union, et lors du signalement des cas à l’OLAF; b) conformément à l’article 25, paragraphe 1, point h), du règlement, lorsqu’elle fait en sorte que les membres du personnel de l’AET puissent, à titre confidentiel, communiquer des faits lorsqu’ils estiment qu’il existe de graves irrégularités, comme prévu dans la décision no 11/2021 du conseil d’administration de l’AET du 25 mai 2021; c) conformément à l’article 25, paragraphe 1, point h), du règlement, lorsqu’elle veille à ce que les membres du personnel de l’AET puissent informer des «conseillers confidentiels» dans le cadre d’une procédure relative au harcèlement, telle que définie par la décision no 6/2022 du conseil d’administration de l’AET du 15 mars 2022 adoptant des mesures d’exécution en vertu du statut; d) conformément à l’article 25, paragraphe 1, points c), g) et h), du règlement, lorsqu’elle conduit des audits internes relatifs aux activités ou départements de l’AET, des enquêtes menées par le délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725 et des enquêtes de sécurité (informatique) traitées en interne ou avec une participation externe (par exemple CERT-UE); e) conformément à l’article 25, paragraphe 1, points b), c), d), g) et h), du règlement, lorsqu’elle apporte ou bénéficie de l’assistance ou de la coopération mutuelles avec d’autres institutions, organes et organismes de l’Union dans le cadre des activités visées aux points a) à d) du présent paragraphe, en particulier des inspections concertées et communes, et conformément aux dispositions des accords de niveau de service, des protocoles d’accord, des modalités applicables aux inspections concertées et communes et des accords de coopération; f) conformément à l’article 25, paragraphe 1, points c), g) et h), du règlement, lorsqu’elle apporte ou bénéficie de l’assistance ou de la coopération mutuelles avec les autorités nationales de pays tiers et les organisations internationales, à la demande de celles-ci ou à de sa propre initiative; g) conformément à l’article 25, paragraphe 1, points b), c), g) et h), du règlement, lorsqu’elle apporte ou bénéficie de l’assistance et la coopération mutuelles avec les pouvoirs publics des États membres de l’Union, à la demande de ceux-ci ou de sa propre initiative, en particulier dans le cadre des activités d’inspections concertées ou communes; h) conformément à l’article 25, paragraphe 1, point e), du règlement, lorsqu’elle traite les données à caractère personnel contenues dans les documents obtenus par les parties ou les parties intervenantes dans le cadre des procédures devant la Cour de justice de l’Union européenne.

2 Toute limitation doit respecter l’essence des libertés et droits fondamentaux et constituer une mesure nécessaire et proportionnée dans une société démocratique.

3 Une évaluation de la nécessité et de la proportionnalité est effectuée au cas par cas avant l’application des limitations. Les limitations se réduisent à ce qui est strictement nécessaire pour atteindre leur objectif.

4 À des fins de responsabilité, l’AET dépose un dossier décrivant les raisons des limitations appliquées, les motifs parmi ceux énumérés au paragraphe 1 qui s’appliquent et le résultat de l’évaluation de la nécessité et de la proportionnalité. Ces dossiers font partie d’un registre, qui est mis à la disposition du CEPD sur demande. L’AET prépare des rapports périodiques sur l’application de l’article 25 du règlement.

5 Lorsqu’elle traite des données à caractère personnel reçues d’autres organisations dans le cadre de ses missions, l’AET consulte lesdites organisations sur les motifs potentiels de l’imposition des limitations et sur la nécessité et la proportionnalité des limitations concernées, à moins que cela ne compromette les activités de l’AET.

1 Les évaluations des risques pour les droits et libertés des personnes concernées de l’imposition des limitations et les informations relatives à la durée d’application de ces limitations sont enregistrées dans le registre des activités de traitement tenu par l’AET en vertu de l’article 31 du règlement. Elles sont également enregistrées dans les analyses d’impact relatives à la protection des données concernant ces limitations effectuées en vertu de l’article 39 du règlement.

2 Lorsque l’AET évalue la nécessité et la proportionnalité d’une limitation, elle tient compte des risques potentiels pour les droits et libertés de la personne concernée.

1 L’AET met en œuvre des garanties afin de prévenir les abus et l’accès ou le transfert illicites des données à caractère personnel pour lesquelles des limitations s’appliquent ou pourraient s’appliquer. Ces garanties comprennent des mesures techniques et organisationnelles et sont détaillées, le cas échéant, dans les décisions, procédures et dispositions d’application de l’AET. Ces garanties comprennent: a) une définition claire des rôles, des responsabilités et des étapes de la procédure; b) le cas échéant, un environnement électronique sécurisé qui empêche l’accès ou le transfert illicite et accidentel de données électroniques à des personnes non autorisées; c) le cas échéant, la conservation et le traitement sécurisés des documents papier; d) un suivi approprié des limitations et un réexamen périodique de leur application. Les réexamens visés au point d) sont effectués au moins tous les six mois.

2 Les limitations sont levées dès que les circonstances qui les justifient cessent d’exister.

3 Les données à caractère personnel sont conservées conformément aux règles applicables à la conservation de ces données, à définir dans les registres relatifs à la protection des données tenus en vertu de l’article 31 du règlement. À la fin de la durée de conservation, les données à caractère personnel sont supprimées, rendues anonymes ou renvoyées dans des archives conformément à l’article 13 du règlement.

1 Le DPD de l’AET est informé dans les meilleurs délais avant l’adoption de toute décision visant à limiter les droits des personnes concernées conformément à la présente décision. Le DPD de l’AET a accès aux dossiers correspondants et à tout document concernant le contexte factuel ou juridique.

2 Le DPD de l’AET peut demander un réexamen de l’application d’une limitation. Le responsable du traitement informe son DPD par écrit du résultat du réexamen.

3 Le responsable du traitement de l’AET documente la participation du DPD à l’application des limitations, y compris la nature des informations qui sont échangées avec lui.

4 Le responsable du traitement informe le DPD lorsque la limitation a été levée.

1 Dans des cas dûment justifiés et dans les conditions visées dans la présente décision, le droit à l’information peut être limité par le responsable du traitement dans le cadre des opérations de traitement suivantes: a) la conduite d’enquêtes administratives, de procédures prédisciplinaires et disciplinaires; b) les activités liées à des cas d’irrégularités potentielles signalés à l’OLAF; c) les procédures de dénonciation des dysfonctionnements; d) les procédures (formelles et informelles) en cas de harcèlement; e) le traitement de plaintes internes et externes; f) les audits internes et externes; g) les inspections concernées et communes, lorsqu’elle apporte ou bénéficie de l’assistance et de la coopération mutuelles avec les pouvoirs publics des États membres de l’Union, à la demande de ceux-ci ou de sa propre initiative; h) les enquêtes menées par le délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725; i) les enquêtes de sécurité (informatique) conduites en interne ou avec une participation externe (p. ex. CERT-UE); j) le traitement des données à caractère personnel contenues dans les documents obtenus par les parties ou les parties intervenantes dans le cadre des procédures devant la Cour de justice de l’Union européenne. L’AET inclut dans les avis relatifs à la protection des données, les déclarations de confidentialité ou les registres, au sens de l’article 31 du règlement (UE) 2018/1725, publiés sur son site web et/ou sur l’intranet pour informer les personnes concernées de leurs droits dans le cadre d’une procédure donnée, des informations relatives à la limitation potentielle de ces droits. Ces informations portent sur les droits susceptibles d’être limités, les motifs de la limitation ainsi que sa durée potentielle.

2 Sans préjudice des dispositions du paragraphe 1, l’AET informe individuellement, lorsque cela est proportionné, toutes les personnes concernées, qui sont considérées comme des personnes concernées par l’opération de traitement spécifique, de leurs droits au regard des limitations actuelles ou futures, dans les meilleurs délais et par écrit.

3 Lorsque l’AET limite, en tout ou en partie, la communication d’informations aux personnes concernées visées au paragraphe 2, elle consigne dans un relevé les motifs de la limitation, le fondement juridique conformément à l’article 2 de la présente décision, accompagnés d’une évaluation de sa nécessité et de sa proportionnalité. Le relevé et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont consignés dans un registre. Ils sont mis à la disposition du Contrôleur européen de la protection des données si celui-ci en fait la demande.

4 La limitation visée au paragraphe 1 continue de s’appliquer tant que les raisons la justifiant persistent. Lorsque les raisons de la limitation ne s’appliquent plus, l’AET informe la personne concernée des principales raisons qui motivent l’application d’une limitation. Dans le même temps, l’AET informe la personne concernée de son droit de saisir le Contrôleur européen de la protection des données à tout moment ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

1 Dans des cas dûment justifiés et dans les conditions visées dans la présente décision, le droit d’accès peut être limité par le responsable du traitement dans le cadre des opérations de traitement suivantes, lorsque cela est nécessaire et proportionné: a) la conduite d’enquêtes administratives et de procédures disciplinaires; b) les activités liées à des cas d’irrégularités potentielles signalés à l’OLAF; c) les procédures de dénonciation des dysfonctionnements; d) les procédures (formelles et informelles) en cas de harcèlement; e) le traitement de plaintes internes et externes; f) les audits internes et externes; g) les inspections concernées et communes, lorsqu’elle apporte ou bénéficie de l’assistance et de la coopération mutuelles avec les pouvoirs publics des États membres de l’Union, à la demande de ceux-ci ou de sa propre initiative; h) les enquêtes menées par le délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725; i) les enquêtes de sécurité (informatique) conduites en interne ou avec une participation externe (p. ex. CERT-UE); j) le traitement des données à caractère personnel contenues dans les documents obtenus par les parties ou les parties intervenantes dans le cadre des procédures devant la Cour de justice de l’Union européenne. Dans les cas où les personnes concernées demandent à accéder à leurs données à caractère personnel traitées dans le cadre d’un ou de plusieurs cas spécifiques ou d’une opération de traitement particulière, conformément à l’article 17 du règlement (UE) 2018/1725, l’AET limite son examen de la demande à ces seules données à caractère personnel.

2 Lorsque l’AET limite, en tout ou en partie, le droit d’accès visé à l’article 17 du règlement (UE) 2018/1725, elle prend les mesures suivantes: a) elle informe la personne concernée, dans sa réponse à la demande, de la limitation appliquée et des principales raisons qui la motivent, ainsi que de la possibilité de saisir le Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne; b) elle consigne dans une note d’évaluation interne les motifs de la limitation, accompagnés d’une évaluation de la nécessité de la limitation, de sa proportionnalité et de sa durée. La communication des informations visées au point a) peut être différée, omise ou refusée si elle prive d’effet la limitation conformément à l’article 25, paragraphe 8, du règlement (UE) 2018/1725. L’AET examine l’application de la limitation tous les six mois à compter de son adoption et à la clôture de l’enquête en question. Par la suite, le responsable du traitement vérifie la nécessité de maintenir la limitation tous les ans.

3 Le relevé et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont consignés dans un registre. Ils sont mis à la disposition du Contrôleur européen de la protection des données si celui-ci en fait la demande.

1 Dans des cas dûment justifiés et dans les conditions visées dans la présente décision, le droit de rectification, d’effacement et de limitation peut être limité par le responsable du traitement dans le cadre des opérations de traitement suivantes, lorsque cela est nécessaire et proportionné: a) la conduite d’enquêtes administratives et de procédures disciplinaires; b) les activités liées à des cas d’irrégularités potentielles signalés à l’OLAF; c) les procédures de dénonciation des dysfonctionnements; d) les procédures (formelles et informelles) en cas de harcèlement; e) le traitement de plaintes internes et externes; f) les audits internes et externes; g) les inspections concernées et communes, lorsqu’elle apporte ou bénéficie de l’assistance et de la coopération mutuelles avec les pouvoirs publics des États membres de l’Union, à la demande de ceux-ci ou de sa propre initiative; h) les enquêtes menées par le délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725; i) les enquêtes de sécurité (informatique) conduites en interne ou avec une participation externe (p. ex. CERT-UE); j) le traitement des données à caractère personnel contenues dans les documents obtenus par les parties ou les parties intervenantes dans le cadre des procédures devant la Cour de justice de l’Union européenne.

2 Dans le cas où l’AET limite, en tout ou en partie, l’application du droit de rectification, du droit à l’effacement ou du droit à la limitation du traitement visés à l’article 18, à l’article 19, paragraphe 1, et à l’article 20, paragraphe 1, du règlement (UE) 2018/1725, elle prend les mesures visées à l’article 6, paragraphe 2, de la présente décision, et enregistre le relevé conformément à son article 6, paragraphe 3.

L’AET peut différer, omettre ou refuser la communication d’informations sur les motifs d’une limitation et le droit de saisir le CEPD dès lors que cela priverait d’effet la limitation. L’évaluation visant à déterminer si cela est justifié se fait au cas par cas. Dès lors que cela ne prive plus d’effet la limitation, l’AET communique les informations à la personne concernée.

1 Lorsque l’AET a l’obligation de communiquer une violation de données en vertu de l’article 35, paragraphe 1, du règlement, elle peut, dans des cas exceptionnels, limiter cette communication en tout ou en partie. Elle documente dans une note les raisons de la limitation, son motif juridique en vertu de l’article 2 et une évaluation de sa nécessité et de sa proportionnalité. La note est communiquée au CEPD au moment de la notification de la violation de données à caractère personnel.

2 Lorsque les raisons de la limitation ne s’appliquent plus, l’AET informe la personne concernée de la violation de données à caractère personnel et des principales raisons de la limitation, ainsi que de son droit de saisir le CEPD.

1 Dans des circonstances exceptionnelles, l’AET peut limiter le droit à la confidentialité des communications électroniques en vertu de l’article 36 du règlement. Ces limitations sont conformes à la directive 2002/58/CE du Parlement européen et du Conseil .

2 Lorsque l’AET restreint le droit à la confidentialité des communications électroniques, elle informe la personne concernée, dans sa réponse à une demande de la personne concernée, des principales raisons qui motivent l’application de la limitation et de son droit de saisir le CEPD.

3 L’AET peut différer, omettre ou refuser la communication d’informations sur les motifs d’une limitation et le droit de saisir le CEPD dès lors que cela priverait d’effet la limitation. L’évaluation visant à déterminer si cela est justifié se fait au cas par cas.

La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.