Décision (UE) 2024/1043 de la Commission du 9 avril 2024 établissant des règles internes relatives à la limitation de certains droits des personnes concernées dans le contexte du traitement des données à caractère personnel par le conseiller confidentiel en chef et les personnes de confiance dans le cadre de l’exécution des tâches relatives à la prévention du harcèlement moral et sexuel et à la lutte contre celui-ci

1 La présente décision s’applique au traitement de données à caractère personnel effectué par la Commission en tant que responsable du traitement aux fins de l’exécution des tâches du conseiller confidentiel en chef et des personnes de confiance visant à prévenir et à combattre le harcèlement moral ou sexuel, conformément à la décision C(2023) 8630.

2 Les catégories de données à caractère personnel couvertes par la présente décision comprennent les données d’identification, les coordonnées et les données relatives au comportement du harceleur présumé à l’égard de la victime ou d’autres personnes concernées, ainsi que les données à caractère personnel visées à l’article 10, paragraphe 1, et à l’article 11 du règlement (UE) 2018/1725.

3 La présente décision établit les règles à suivre par la Commission pour informer les personnes concernées du traitement de leurs données à caractère personnel, conformément aux articles 14, 15 et 16 du règlement (UE) 2018/1725.

4 Elle fixe également les conditions dans lesquelles la Commission peut limiter l’application des articles 4, 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725, conformément à l’article 25, paragraphe 1, point h), dudit règlement.

1 Sous réserve des articles 3 à 7 de la présente décision, lorsque l’exercice des droits et obligations visés dans les dispositions suivantes porterait atteinte à la protection de la personne concernée ou aux droits et libertés d’autrui conformément à l’article 25, paragraphe 1, point h), du règlement (UE) 2018/1725, la Commission peut limiter l’application: a) des articles 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725; b) du principe de transparence énoncé à l’article 4, paragraphe 1, point a), du règlement (UE) 2018/1725, dans la mesure où les dispositions de cet article correspondent aux droits et obligations prévus aux articles 14 à 17, 19 et 20 dudit règlement. La Commission n’exerce le pouvoir conféré au premier alinéa que dans le but de garantir: a) les objectifs de la procédure informelle énoncés au titre II, chapitre II, de la décision C(2023) 8630; ou b) l’exécution des tâches du conseiller confidentiel en chef et des personnes de confiance de la Commission aux fins de la prévention du harcèlement moral et sexuel et de la lutte contre celui-ci. La Commission n’exerce le pouvoir conféré au premier alinéa qu’à l’égard de l’une des deux catégories de données à caractère personnel suivantes qu’elle traite: a) les données que les victimes signalent au conseiller confidentiel en chef et aux personnes de confiance de la Commission; b) les données détectées par le conseiller confidentiel en chef dans le cadre de sa mission d’informer le directeur général ou le chef de service concerné et, si la victime y consent, l’IDOC, des allégations récurrentes de harcèlement au sein de la direction générale ou du service concernés.

2 La Commission peut exercer ce pouvoir lorsque l’exercice de ces droits et obligations porterait atteinte à la protection des personnes concernées ou aux droits et libertés d’autrui conformément à l’article 25, paragraphe 1, point h), du règlement (UE) 2018/1725.

3 Le paragraphe 1 est sans préjudice de l’application d’autres décisions de la Commission établissant des règles internes en ce qui concerne la communication d’informations aux personnes concernées et les limitations en vertu de l’article 25 du règlement (UE) 2018/1725.

4 Avant d’appliquer des limitations, la Commission procède à une évaluation «au cas par cas» de leur nécessité et de leur proportionnalité. Les limitations se réduisent à ce qui est strictement nécessaire pour atteindre leur objectif.

1 La Commission publie sur son site internet un avis relatif à la protection des données qui informe toutes les personnes concernées de ses activités impliquant le traitement de leurs données à caractère personnel aux fins énoncées à l’article 2, paragraphe 1, deuxième alinéa.

2 L’avis relatif à la protection des données comprend une section fournissant aux personnes concernées des informations générales sur les possibilités de limitation des droits des personnes concernées conformément à l’article 2, paragraphe 1. Ces informations portent sur les droits susceptibles d’être limités, les motifs pour lesquels des limitations peuvent s’appliquer, ainsi que la durée potentielle de ces limitations.

3 La Commission informe individuellement, par les moyens appropriés, les victimes et les témoins qui signalent des cas de harcèlement moral et sexuel au sujet du traitement de leurs données à caractère personnel.

4 À l’issue de la procédure informelle avec le conseiller confidentiel en chef, la Commission informe individuellement, par écrit et dans les meilleurs délais, le harceleur présumé dont les droits en tant que personne concernée ont été limités conformément à la présente décision. La Commission informe la personne concernée des raisons principales sur lesquelles se fonde l’application de la limitation, de son droit de consulter le délégué à la protection des données en vue de contester la limitation et de son droit d’introduire une réclamation auprès du Contrôleur européen de la protection des données. La Commission peut continuer à limiter certains droits des personnes concernées liés aux données à caractère personnel traitées aux fins de la procédure informelle après l’achèvement de ladite procédure si cela est strictement nécessaire à la protection de la victime ou d’autres personnes concernées et fournit, si possible, une indication de la période après laquelle les droits seront pleinement rétablis.

1 Si la Commission limite, en tout ou en partie, le droit d’accès aux données à caractère personnel des personnes concernées, le droit à l’effacement ou le droit à la limitation du traitement prévus aux articles 17, 19 et 20 du règlement (UE) 2018/1725, elle informe la personne concernée, dans sa réponse à la demande d’accès, d’effacement ou de limitation du traitement, par écrit et dans les meilleurs délais: a) de la limitation appliquée et des raisons principales sur lesquelles l’application de la limitation est fondée; b) de la possibilité d’introduire une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

2 La communication d’informations relatives aux raisons principales de la limitation visée au paragraphe 1, point a), peut être différée, omise ou refusée aussi longtemps qu’elle risque d’annuler l’effet de la limitation. La Commission évalue au cas par cas le caractère justifié d’une telle limitation.

1 Lorsque la Commission a l’obligation de communiquer une violation de données à caractère personnel à la personne concernée conformément à l’article 35, paragraphe 1, du règlement (UE) 2018/1725, elle peut, dans des cas exceptionnels, limiter cette communication en tout ou en partie. Elle documente dans une note les raisons de la limitation, son motif juridique en vertu de l’article 2 et une évaluation de sa nécessité et de sa proportionnalité. Cette note est transmise au Contrôleur européen de la protection des données au moment de la notification de la violation de données à caractère personnel.

2 Lorsque les raisons de la limitation ne s’appliquent plus, la Commission informe la personne concernée de la violation de données à caractère personnel et des principales raisons de la limitation, ainsi que de son droit de saisir le Contrôleur européen de la protection des données.

3 Lorsque la Commission notifie la violation de données à caractère personnel au Contrôleur européen de la protection des données conformément à l’article 34, paragraphe 1, du règlement (UE) 2018/1725, elle joint à la notification l’enregistrement effectué conformément à l’article 6 de la présente décision.

1 Les évaluations des risques pour les droits et libertés des personnes concernées découlant de l’imposition des limitations et les informations relatives à la durée d’application de ces limitations sont consignées dans le registre des activités de traitement tenu par la Commission en vertu de l’article 31 du règlement (UE) 2018/1725. L’enregistrement indique de quelle manière l’exercice du droit par la personne concernée porterait atteinte au motif applicable énoncé à l’article 25, paragraphe 1, point h), du règlement (UE) 2018/1725.

2 La Commission enregistre les raisons de toute évaluation individuelle relative à chaque limitation appliquée en vertu de la présente décision, y compris une évaluation des risques pour les droits et libertés des personnes concernées découlant de l’imposition d’une limitation, et de la nécessité et de la proportionnalité de la limitation, en tenant compte des éléments pertinents établis à l’article 25, paragraphe 2, du règlement (UE) 2018/1725.

3 L’enregistrement et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont consignés dans un registre. Ils sont mis à la disposition du Contrôleur européen de la protection des données si celui-ci en fait la demande.

4 La Commission établit des rapports périodiques sur l’application de l’article 25 du règlement (UE) 2018/1725.

1 Les limitations visées aux articles 3, 4 et 5 continuent de s’appliquer aussi longtemps que les raisons qui les motivent restent valables.

2 Lorsque les raisons d’une limitation visée à l’article 3, 4 ou 5 ne sont plus valables, la Commission lève la limitation. Dans le même temps, la Commission communique également les raisons principales de l’application de cette limitation à la personne concernée et l’informe de la possibilité d’introduire à tout moment une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

3 La Commission réexamine tous les six mois l’application des limitations visées aux articles 3, 4 et 5. Le réexamen inclut une évaluation de la nécessité et de la proportionnalité de la limitation, en tenant compte des éléments pertinents établis à l’article 25, paragraphe 2, du règlement (UE) 2018/1725.

1 La Commission met en œuvre des garanties afin de prévenir les abus et l’accès illicite aux données à caractère personnel pour lesquelles des limitations s’appliquent ou pourraient s’appliquer, ou le transfert illicite desdites données. Ces garanties incluent notamment les mesures techniques et organisationnelles suivantes: a) une définition claire des rôles, des responsabilités, des droits d’accès et des étapes procédurales; b) un environnement électronique sécurisé qui empêche l’accès illicite ou accidentel à des données électroniques par des personnes non autorisées ou le transfert illicite ou accidentel desdites données à ces personnes; c) un stockage et un traitement sécurisés des documents papier, limités à ce qui est strictement nécessaire pour atteindre la finalité du traitement; d) un suivi approprié des limitations et un réexamen périodique de leur application, qui sera effectué au moins tous les six mois.

2 Les limitations visées à l’article 2 sont levées dès que les raisons qui les motivent cessent d’exister.

3 Les données à caractère personnel sont conservées conformément aux règles de conservation applicables de la Commission, qui sont définies dans les registres tenus en vertu de l’article 31 du règlement (UE) 2018/1725. À la fin de la durée de conservation, les données à caractère personnel sont supprimées, rendues anonymes ou archivées conformément à l’article 13 du règlement (UE) 2018/1725.

1 Le coordinateur de la protection des données de la direction générale chargée des ressources humaines est consulté au préalable sur toute limitation susceptible d’être appliquée et vérifie sa conformité avec la présente décision.

2 Le délégué à la protection des données de la Commission est informé sans délai chaque fois que les droits des personnes concernées sont limités conformément à la présente décision. Il obtient sur demande l’accès à l’enregistrement et à tout document contenant des éléments factuels et juridiques sous-jacents.

3 Le délégué à la protection des données peut demander un réexamen de l’application d’une limitation. Il est informé par écrit du résultat du réexamen demandé.

4 La Commission documente l’intervention du délégué à la protection des données et du coordinateur de la protection des données, y compris les informations partagées avec ceux-ci, dans chaque cas où les droits et obligations visés à l’article 2, paragraphe 1, premier alinéa, sont limités.

La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.