Règlement d’exécution (UE) 2023/2117 de la Commission du 12 octobre 2023 établissant les règles nécessaires et les exigences détaillées pour le fonctionnement et la gestion d’un répertoire d’informations en application du règlement (UE) 2018/1139 du Parlement européen et du Conseil

Le présent règlement établit les règles et procédures applicables au fonctionnement et à la gestion d’un répertoire d’informations nécessaires pour garantir une coopération efficace entre l’Agence et les autorités nationales compétentes concernant l’exécution de leurs tâches liées à la certification, à la supervision et au contrôle de l’application en vertu du règlement (UE) 2018/1139.

1 Aux fins du présent règlement, les définitions du règlement (UE) 2018/1139, du règlement (UE) 2016/679, du règlement (UE) 2018/1725, des règlements d’exécution (UE) 2019/947 et (UE) 2021/664 de la Commission s’appliquent.

2 De plus, on entend par: a) «utilisateurs autorisés», la Commission, l’Agence, les autorités nationales compétentes et toute autorité compétente des États membres chargée d’enquêter sur les accidents et incidents dans l’aviation civile, conformément à l’article 74, paragraphe 6, première phrase, du règlement (UE) 2018/1139; b) «interface», le point où des systèmes indépendants et souvent sans rapport entre eux se connectent et agissent ou communiquent les uns avec les autres; c) «personnels autorisés», les personnels des utilisateurs autorisés ayant reçu l’accès au répertoire; d) «catégorie d’objets d’information», le type d’informations relevant du champ d’application de l’article 74, paragraphe 1, du règlement (UE) 2018/1139 devant être échangées et consultées par les utilisateurs autorisés; e) «objet d’information», un élément d’information échangé individuellement, qui correspond toujours à la catégorie d’objets d’information et est compatible avec son format d’information; f) «format d’information», une structure prédéfinie de la catégorie d’objets d’information consistant en un ensemble de champs correspondant à des types détaillés de contenu dans chaque catégorie d’objets d’information et à des vocabulaires composés d’ensembles limités de valeurs autorisées associées à chaque champ; g) «partie intéressée», les autorités publiques des institutions, organes et organismes de l’Union européenne et les autorités publiques des États membres, les personnes physiques et morales qui font l’objet d’un objet d’information tel que défini à l’annexe I du présent règlement et les entités qualifiées accréditées en vertu de l’article 69 du règlement (UE) 2018/1139.

1 Le répertoire est composé d’une interface de stockage, d’une interface d’échange et d’une interface d’accès utilisateur.

2 L’interface de stockage visée au paragraphe 1 se compose comme suit: a) une base de données centrale contenant les informations visées à l’article 74, paragraphe 1, du règlement (UE) 2018/1139, englobant à la fois les informations existantes et les informations nouvelles; et b) un historique des modifications apportées aux informations et leur statut actuel/archivé.

3 L’interface d’échange visée au paragraphe 1 se compose comme suit: a) une infrastructure de communication qui contient des interfaces de programmation (API) sécurisées pour l’émission, la modification, l’interrogation/la lecture et l’archivage d’informations entre les systèmes des utilisateurs autorisés et le répertoire; et b) des règles de vérification de la qualité des informations qui garantissent la cohérence, l’intégrité et l’exactitude des informations stockées.

4 L’interface d’accès utilisateur visée au paragraphe 1 permet de rechercher et de lire en ligne et en toute sécurité les informations stockées. Elle n’est accessible qu’au personnel autorisé.

5 L’Agence élabore la documentation nécessaire à l’appui de l’intégration des utilisateurs autorisés dans le répertoire. Cette documentation comprend: a) des normes API et des mécanismes d’échange; b) des informations relatives à la sécurité, au réseau et à la configuration de l’application nécessaires pour communiquer avec le répertoire; c) des règles spécifiant la structure et le contenu valides des informations échangées avec le répertoire.

6 L’Agence prévoit également un environnement d’essai dans lequel les utilisateurs autorisés peuvent tester la fonctionnalité et les performances de l’interface d’échange entre leurs systèmes et le répertoire.

1 L’Agence est responsable de la gestion opérationnelle du répertoire et stocke les informations dans le répertoire de manière sécurisée.

2 Les utilisateurs autorisés transmettent et échangent les informations par l’intermédiaire du répertoire au moyen des interfaces et assurent une connexion en ligne sécurisée entre leur(s) système(s) et le répertoire.

3 Avant de prendre une décision concernant la gestion opérationnelle du répertoire ou de la rendre publique, l’Agence consulte la Commission et les autorités nationales compétentes.

4 Les personnels autorisés des examinateurs aéromédicaux et des centres aéromédicaux nationaux transmettent et échangent les informations consignées dans le répertoire par l’intermédiaire de leurs autorités nationales compétentes, conformément à l’article 10, paragraphe 4, du présent règlement.

1 L’Agence assure la maintenance du répertoire et veille à ce qu’il fonctionne correctement en ce qui concerne le respect de la vie privée, la confidentialité, l’intégrité et la disponibilité.

2 L’Agence sauvegarde systématiquement le répertoire et ses données.

1 Les utilisateurs autorisés transmettent, mettent à jour régulièrement et échangent des informations par l’intermédiaire du répertoire sur la base de formats d’information communément acceptés et proposés par l’Agence.

2 Les formats d’information sont standardisés par catégorie d’information. Les utilisateurs autorisés ne transmettent les objets d’information au répertoire que dans le format d’information propre à cette catégorie d’information.

3 La liste des catégories d’objets d’information figure à l’annexe I.

1 L’Agence, en coopération avec la Commission et les autorités nationales compétentes, classe les catégories d’objets d’information en fonction des mentions suivantes: a) respect de la vie privée: données à caractère non personnel, données à caractère personnel non sensibles ou données à caractère personnel sensibles; b) confidentialité; aucune incidence, incidence limitée, incidence importante, incidence catastrophique; c) intégrité; aucune incidence, incidence limitée, incidence importante, incidence catastrophique; d) disponibilité: aucune incidence, incidence limitée, incidence importante, incidence catastrophique.

2 Les définitions détaillées des mentions visées au paragraphe 1 figurent à l’annexe II.

3 L’Agence, en coopération avec la Commission et les autorités nationales compétentes, réévalue, chaque fois qu’elle le juge nécessaire, la classification des informations afin de s’assurer qu’elle est toujours appropriée compte tenu de l’évolution de l’utilisation des informations.

1 L’Agence peut, à la demande d’une partie intéressée, fournir à cette dernière les informations contenues dans le répertoire, sous réserve des conditions spécifiques d’utilisation énoncées dans le présent article.

2 Une demande de diffusion des informations contenues dans le répertoire est présentée sous une forme et selon des modalités établies par l’Agence.

3 Lorsqu’elle reçoit une demande, l’Agence vérifie: a) que la demande émane d’une partie intéressée; et b) que la partie intéressée démontre que les informations demandées sont strictement nécessaires à ses propres activités.

4 L’Agence évalue si la demande est justifiée et, si les conditions énoncées au paragraphe 5 sont remplies, elle fournit à la partie intéressée les informations demandées.

5 L’Agence ne fournit les informations demandées à la partie intéressée que dans les conditions suivantes: a) la partie intéressée n’a pas accès à l’intégralité du contenu du répertoire; b) les informations sont strictement nécessaires aux activités de la partie intéressée; c) aucune donnée à caractère personnel n’est diffusée à moins que ces données ne concernent la partie intéressée elle-même ou que cette diffusion soit strictement nécessaire à l’exécution des activités de la partie intéressée.

6 L’Agence met à la disposition des utilisateurs autorisés une liste actualisée des demandes reçues et des suites qu’elle leur a réservées.

7 La partie intéressée: a) n’utilise les informations qu’aux fins précisées dans le formulaire de demande; b) ne divulgue pas les informations reçues sans l’autorisation des utilisateurs autorisés; c) prend les mesures nécessaires pour assurer la confidentialité des informations reçues.

1 L’Agence veille à ce que toutes les opérations de traitement des données soient enregistrées. Les registres fournissent les informations suivantes: a) la finalité de la demande d’accès au répertoire; b) l’identification de l’utilisateur autorisé qui extrait les données; c) la date et l’heure exacte des opérations de traitement des données; d) l’identification du personnel autorisé à effectuer la recherche.

2 L’Agence n’utilise les registres des opérations de traitement des données que pour contrôler la légalité de l’accès aux informations et pour garantir l’intégrité et la sécurité des données. Les registres contiennent les données strictement nécessaires à cette fin, dans le respect du principe de minimisation des données énoncé à l’article 89 du règlement (UE) 2016/679 et à l’article 13 du règlement (UE) 2018/1725. Les registres sont effacés après la fin de la procédure de contrôle ou au plus tard après un an.

3 Sur demande, la Commission et les autorités nationales compétentes se voient accorder l’accès aux registres afin d’évaluer la légalité de l’accès aux informations, de contrôler la légalité des opérations de traitement des données et de garantir l’intégrité et la sécurité des données.

1 Les utilisateurs autorisés veillent à ce que seul le personnel autorisé ait accès au répertoire.

2 Les utilisateurs autorisés veillent à ce que leur personnel ait accès aux informations sur la base des mentions relatives au respect de la vie privée et de la confidentialité de la catégorie d’objets d’information conformément à l’article 7.

3 Les utilisateurs autorisés établissent et maintiennent: a) une liste du personnel autorisé; b) les procédures relatives à l’accès au répertoire; ces procédures sont conformes aux exigences légales appliquées à l’accès et au traitement des informations prévues par le droit de l’Union et le droit national. Les utilisateurs autorisés documentent les conditions d’accès du personnel autorisé au répertoire.

4 Les examinateurs aéromédicaux et les centres aéromédicaux veillent à ce que seul le personnel autorisé par leur autorité nationale compétente ait accès au répertoire.

1 L’Agence protège l’infrastructure du répertoire et ses informations, et élabore: a) un plan de gestion de la sécurité; b) un plan de continuité des activités; c) un plan de reprise des activités.

2 L’Agence empêche le traitement non autorisé des informations et toute lecture, copie, modification, retrait ou suppression non autorisés des informations contenues dans le répertoire ou lors de la diffusion vers le répertoire ou à partir de celui-ci ou lors de la transmission, notamment au moyen de techniques de cryptage appropriées.

3 L’Agence veille à ce que les personnes autorisées à avoir accès au répertoire n’aient accès qu’aux informations couvertes par leur autorisation d’accès, uniquement au moyen d’identifiants individuels et selon des modes d’accès confidentiels.

4 Les utilisateurs autorisés gèrent la sécurité de leurs informations avant et pendant la transmission au répertoire et protègent leur infrastructure en veillant: a) à l’établissement d’interfaces entre leurs systèmes et le répertoire; b) à l’exploitation et à la maintenance des interfaces; c) à la formation appropriée du personnel autorisé à la sécurité des informations, à la législation applicable en matière de protection des données et aux droits fondamentaux avant qu’il ne soit autorisé à traiter les informations stockées dans le répertoire.

5 Les utilisateurs autorisés coopèrent pour assurer la gestion de la sécurité du répertoire.

1 Les données à caractère personnel stockées dans le répertoire ne sont traitées que pour assurer la coopération entre les utilisateurs autorisés, nécessaire à l’exécution de leurs tâches liées à la certification, à la supervision et au contrôle de l’application. Le traitement est limité à ce qui est nécessaire à l’exécution de leurs tâches et à ce qui est strictement nécessaire et proportionné aux objectifs poursuivis.

2 Les données à caractère personnel sont accessibles et traitées conformément aux spécifications techniques du répertoire.

3 Les obligations de protection des données dès la conception et par défaut sont prises en considération tant au moment de la détermination des moyens de traitement qu’au moment du traitement lui-même.

4 L’Agence procède à des examens réguliers pour s’assurer de l’efficacité de toutes les garanties mises en œuvre en matière de protection des données.

1 Les utilisateurs autorisés sont les responsables conjoints du traitement des données à caractère personnel stockées dans le répertoire.

2 Chaque responsable conjoint du traitement est responsable du respect des critères de classification des informations pour chaque objet d’information traité dans le répertoire.

1 La Commission est chargée des tâches suivantes: a) assurer la mise en place, le fonctionnement et l’administration du répertoire; b) assurer la gestion continue du répertoire, en particulier les droits d’accès ainsi que la sécurité et la confidentialité des données à caractère personnel traitées dans le répertoire, conformément aux articles 4, 5, 9 et 12; c) communiquer toute violation de données à caractère personnel au sein du répertoire aux utilisateurs autorisés, au Contrôleur européen de la protection des données et, le cas échéant, aux personnes concernées, conformément à l’article 34 du règlement (UE) 2018/1725; d) définir et mettre en œuvre les moyens techniques permettant aux personnes concernées d’exercer leurs droits conformément au règlement (UE) 2018/1725;

2 Les autorités nationales compétentes et la Commission sont chargées des tâches suivantes: a) traiter les données à caractère personnel dans le répertoire conformément aux interfaces de stockage, d’échange et d’accès utilisateur visées à l’article 3 et aux exigences de sécurité définies à l’article 12, paragraphe 4; b) assurer la sécurité de tout traitement de données à caractère personnel en dehors du répertoire lorsque ces données sont traitées aux fins du traitement par l’intermédiaire du répertoire ou en relation avec celui-ci; c) désigner le personnel autorisé qui aura accès au dépôt conformément à l’article 11 et le communiquer à l’Agence; d) faire office de point de contact pour les personnes concernées relevant de leur responsabilité en tant que responsables uniques du traitement, y compris lorsqu’elles exercent leurs droits, en utilisant si nécessaire les moyens techniques fournis par l’Agence conformément au paragraphe 1, point d), ou par l’intermédiaire des canaux de communication désignés au point 3; e) notifier à l’Agence tout incident de sécurité, y compris les violations de données à caractère personnel, susceptible de compromettre la sécurité, la confidentialité, la disponibilité ou l’intégrité des données à caractère personnel transmises et/ou stockées dans le répertoire; f) notifier toute violation de données à caractère personnel traitées dans le répertoire aux autorités de contrôle compétentes respectives et, le cas échéant, aux personnes concernées, conformément aux articles 33 et 34 du règlement (UE) 2016/679 et à l’article 34 du règlement (UE) 2018/1725, selon le cas.

3 Chaque responsable conjoint du traitement désigne: a) un point de contact avec une boîte fonctionnelle pour la communication entre eux; b) un point de contact pour aider les personnes concernées à exercer leurs droits conformément à la législation applicable en matière de protection des données.

4 Lorsqu’un responsable conjoint du traitement reçoit une demande d’une personne concernée qui ne relève pas de sa responsabilité, il la transmet rapidement au responsable conjoint du traitement compétent. Sur demande, les responsables conjoints du traitement se prêtent mutuellement assistance pour le traitement des demandes des personnes concernées et se répondent dans les meilleurs délais, et au plus tard dans les 15 jours qui suivent la réception d’une demande d’assistance.

5 Si, afin de s’acquitter des obligations qui lui incombent en application des articles 33 et 34 du règlement (UE) 2016/679 ou de l’article 34 du règlement (UE) 2018/1725, un responsable du traitement a besoin de s’informer auprès d’un autre responsable du traitement, il adresse une demande spécifique à la boîte fonctionnelle visée au paragraphe 3, point a). L’autre responsable du traitement met tout en œuvre pour fournir les informations demandées.

1 Les responsables du traitement ne peuvent restreindre l’exercice des droits des personnes concernées que dans la mesure et pour la durée strictement nécessaires à la sauvegarde de la sécurité de l’aviation civile. L’exercice des droits des personnes concernées ne peut être restreint que dans les situations suivantes: a) les enquêtes, inspections ou activités de suivi en cours visées à l’article 75, paragraphe 2, point e), du règlement (UE) 2018/1139 et effectuées par l’Agence dans le cadre de ses responsabilités, ou par les autorités compétentes comme le prévoit le droit national ou le droit de l’Union; b) les procédures en cours devant la Cour de justice de l’Union européenne ou toute autre juridiction compétente en vertu du droit national ou international;

2 lorsque la Commission et l’Agence sont les responsables du traitement, elles peuvent également restreindre l’exercice des droits des personnes concernées uniquement dans la mesure et pour la durée strictement nécessaires à la sauvegarde de la sécurité de l’aviation civile, dans le cas d’enquêtes de sécurité informatique en cours ayant une incidence directe ou indirecte sur le fonctionnement du répertoire.

3 Toutes les restrictions font l’objet d’une évaluation de la nécessité et de la proportionnalité et sont limitées dans leur portée et dans le temps.

4 La personne concernée dont l’exercice des droits est restreint est informée des motifs et de l’étendue de la restriction.

1 Les utilisateurs autorisés: a) conservent les données à caractère personnel au sein du répertoire pendant une durée maximale de 10 ans à compter de la date d’expiration du document ou de la date à laquelle il n’est plus valide, y compris tout document nécessaire aux procédures visées par le règlement (UE) 2018/1139, à moins qu’une durée différente ne soit requise par le droit national. b) suppriment les données à caractère personnel du répertoire dès que la durée de conservation est écoulée.

2 Le répertoire dispose des moyens techniques nécessaires pour permettre: a) l’effacement automatisé des données à caractère personnel à l’expiration de la durée de conservation; b) la pseudonymisation automatisée, ou d’autres solutions techniques d’effet équivalent, des données à caractère personnel stockées à des fins d’archivage.

1 À l’issue de la durée de conservation, l’Agence peut conserver les données à caractère personnel du répertoire dans un registre distinct à des fins d’archivage et de recherche historique.

2 Ces données à caractère personnel sont limitées à ce qui est strictement nécessaire pour atteindre les objectifs d’archivage et de recherche dans l’intérêt de la sécurité aérienne et en respectant le principe de minimisation des données énoncé à l’article 89 du règlement (UE) 2016/679 et à l’article 13 du règlement (UE) 2018/1725

3 L’Agence élabore un protocole d’accès au registre. Les articles 4, 5 et 9 à 12 s’appliquent à ce registre.

1 Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.

2 Les chapitres I et II s’appliquent à partir du 1er avril 2025.

3 Les exigences concernant les objets d’information délivrés après l’entrée en vigueur du présent règlement sont applicables: a) à partir du 1er janvier 2027 pour la catégorie groupe A de l’annexe I; b) à partir du 1er janvier 2028 pour la catégorie groupe B de l’annexe I; c) à partir du 1er janvier 2029 pour la catégorie groupe C de l’annexe I;

4 Les exigences relatives aux objets d’information valables et délivrés avant l’entrée en vigueur du présent règlement, énumérés à l’annexe I, sont applicables à partir du 1er janvier 2029.