Décision (UE) 2024/1245 de la Commission du 2 mai 2024 portant règles internes relatives à la communication d’informations aux personnes concernées et à la limitation, par la Commission, de certains de leurs droits dans le contexte des activités du service de médiation

1 La présente décision s’applique au traitement des données à caractère personnel effectué par la Commission en tant que responsable du traitement pour traiter les demandes au titre de l’article 6 de la décision C(2024) 1420.

2 La présente décision établit les règles selon lesquelles la Commission informe les personnes concernées du traitement de leurs données à caractère personnel, conformément aux articles 14, 15 et 16 du règlement (UE) 2018/1725, lors du traitement des demandes au titre de l’article 6 de la décision C(2024) 1420.

3 Elle fixe également les conditions dans lesquelles la Commission peut limiter l’application des articles 4, 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725 en vertu de l’article 25, paragraphe 1, point h), dudit règlement.

4 Les catégories de données à caractère personnel couvertes par la présente décision comprennent les données d’identification, les coordonnées, les fonctions et tâches professionnelles et les informations sur la conduite et les activités professionnelles et privées. Les demandeurs peuvent également communiquer des données à caractère personnel sensibles relevant des catégories visées aux articles 10 et 11 du règlement (UE) 2018/1725 dans le cadre d’une demande d’assistance adressée au service de médiation dans un cas particulier.

1 Sous réserve des articles 3 à 9 de la présente décision, la Commission peut limiter l’application des articles 14 à 17, 19, 20 et 35, du règlement (UE) 2018/1725, ainsi que du principe de transparence énoncé à l’article 4, paragraphe 1, point a), dudit règlement, dans la mesure où les dispositions de cet article correspondent aux droits et obligations prévus auxdits articles 14 à 17, 19, 20 et 35. La Commission peut exercer ce pouvoir lorsque l’exercice de ces droits et obligations porterait atteinte à la protection de la personne concernée ou aux droits et libertés d’autrui conformément à l’article 25, paragraphe 1, point h), du règlement (UE) 2018/1725.

2 Le paragraphe 1 est sans préjudice de l’application d’autres décisions de la Commission établissant des règles internes en ce qui concerne la communication d’informations aux personnes concernées et la limitation de certains droits en vertu de l’article 25 du règlement (UE) 2018/1725.

3 Toute limitation des droits et obligations visée au paragraphe 1 respecte l’essence des libertés et droits fondamentaux et constitue une mesure nécessaire et proportionnée dans une société démocratique, compte tenu des risques qui pèsent sur les droits et libertés des personnes concernées.

4 Avant d’appliquer des limitations, la Commission procède à une évaluation «au cas par cas» de leur nécessité et de leur proportionnalité. Les limitations se réduisent à ce qui est strictement nécessaire pour atteindre leur objectif.

1 La Commission publie sur son site internet une déclaration relative à la protection des données qui informe toutes les personnes concernées de ses activités impliquant le traitement de leurs données à caractère personnel aux fins du traitement des demandes au titre de l’article 6 de la décision C(2024) 1420. Cette déclaration fournit également des informations sur la possibilité de limiter les droits des personnes concernées conformément aux articles 2, 3, 4 et 5 de la présente décision, ainsi que sur les droits susceptibles d’être limités, les motifs pour lesquels des limitations peuvent s'appliquer et la durée potentielle de ces limitations.

2 La Commission informe individuellement, par des moyens appropriés, les demandeurs du traitement de leurs données à caractère personnel. Elle informe également individuellement, par des moyens appropriés, la personne mentionnée dans le cas où le demandeur a consenti à une médiation informelle avec celle-ci.

3 Lorsque, conformément à l’article 2, la Commission limite, en tout ou en partie, la communication des informations visées au paragraphe 2 aux demandeurs dont les données à caractère personnel sont traitées aux fins du traitement des demandes au titre de l’article 6 de la décision C(2024) 1420, elle enregistre les motifs de la limitation et les consigne dans un registre conformément à l’article 6 de ladite décision.

1 Si la Commission limite, en tout ou en partie, le droit d’accès des personnes concernées à leurs données à caractère personnel, le droit à l’effacement ou le droit à la limitation du traitement respectivement prévus aux articles 17, 19 et 20 du règlement (UE) 2018/1725, elle informe la personne concernée, dans sa réponse à la demande d’accès, d’effacement ou de limitation du traitement, par écrit et dans les meilleurs délais: a) de la limitation appliquée et des principaux motifs de cette limitation; et b) de la possibilité d’introduire une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

2 La communication d’informations relatives aux motifs de la limitation visée au paragraphe 1 peut être différée, omise ou refusée aussi longtemps qu’elle risque de priver la limitation d’effet.

3 La Commission enregistre les motifs de la limitation conformément à l’article 6.

4 Lorsque le droit d’accès est limité, en tout ou en partie, la personne concernée peut exercer son droit d’accès par l’intermédiaire du Contrôleur européen de la protection des données, conformément à l’article 25, paragraphes 6, 7 et 8, du règlement (UE) 2018/1725.

Lorsque la Commission a l’obligation de communiquer une violation de données à caractère personnel à la personne concernée ainsi que le prévoit l’article 35 du règlement (UE) 2018/1725, elle peut, dans des cas exceptionnels, limiter cette communication en tout ou en partie. Elle enregistre les motifs de la limitation et les consigne dans un registre conformément à l’article 6 de la présente décision. La Commission transmet les informations enregistrées au Contrôleur européen de la protection des données au moment de la notification de la violation de données à caractère personnel.

1 La Commission enregistre les raisons de toute limitation appliquée en vertu de la présente décision, y compris une évaluation des risques pour les droits et libertés des personnes concernées découlant de l’imposition d’une limitation, ainsi que de la nécessité et de la proportionnalité de la limitation, qui tient compte des éléments pertinents mentionnés à l’article 25, paragraphe 2, du règlement (UE) 2018/1725.

2 Les informations relatives aux limitations précisent en quoi l’exercice du droit concerné par la personne concernée porterait atteinte à la protection de ladite personne ou aux droits et libertés d’autrui conformément à l’article 25, paragraphe 1, point h), du règlement (UE) 2018/1725.

3 Les informations relatives aux limitations et, le cas échéant, les documents contenant les éléments factuels et juridiques sous-jacents sont consignés dans un registre. Ces informations et documents sont mis à la disposition du Contrôleur européen de la protection des données sur demande.

1 Les limitations visées aux articles 3, 4 et 5 continuent de s’appliquer aussi longtemps que les motifs qui les justifient restent valables.

2 Lorsque les motifs d’une limitation visée à l’article 3, 4 ou 5 ne sont plus valables, la Commission lève la limitation.

3 La Commission communique également les principaux motifs de l’application de cette limitation à la personne concernée et l’informe de la possibilité d’introduire à tout moment une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

4 La Commission réexamine l’application des limitations visées aux articles 3, 4 et 5 de la présente décision lorsque le demandeur consent à engager une médiation informelle avec la personne mentionnée ou, au plus tard, lorsque les demandes présentées au titre de la décision C(2024) 1420 sont clôturées. Par la suite, la Commission vérifie tous les six mois la nécessité de maintenir la limitation. Le réexamen inclut une évaluation de la nécessité et de la proportionnalité de la limitation, qui tient compte des éléments pertinents mentionnés à l’article 25, paragraphe 2, du règlement (UE) 2018/1725.

1 La Commission met en œuvre des garanties afin de prévenir les abus et l’accès illicite aux données à caractère personnel pour lesquelles des limitations s’appliquent ou pourraient s’appliquer, ou le transfert illicite desdites données. Ces garanties comprennent des mesures techniques et organisationnelles et sont détaillées, si nécessaire, dans les procédures internes de la Commission. Les garanties comprennent: a) une définition claire des tâches, des responsabilités, des droits d’accès et des étapes procédurales; b) un environnement électronique sécurisé empêchant l’accès illicite et accidentel aux données électroniques par des personnes non autorisées ou le transfert illicite et accidentel de ces données à de telles personnes; c) un stockage et un traitement sécurisés des documents papier; et d) un suivi approprié des limitations et un réexamen périodique de leur application;

2 Les données à caractère personnel sont conservées conformément à l’article 6, paragraphe 11, de la décision C(2024) 1420. À la fin de la durée de conservation, la Commission supprime les données à caractère personnel.

1 Le coordinateur de la protection des données désigné pour conseiller le service concerné de la Commission est consulté avant l’application de toute limitation et vérifie la conformité des limitations avec la présente décision.

2 Sans préjudice du paragraphe 1, le délégué à la protection des données de la Commission est informé sans délai chaque fois que les droits des personnes concernées sont limités conformément à la présente décision. Il obtient sur demande l’accès aux informations qui ont été enregistrées à ce sujet et à tout document contenant les éléments factuels et juridiques sous-jacents.

3 Le délégué à la protection des données peut demander un réexamen de l’application d’une limitation. La Commission informe par écrit le délégué à la protection des données du résultat du réexamen demandé.

4 La Commission documente l’intervention du délégué à la protection des données et, s’il y a lieu, du coordinateur de la protection des données (y compris les informations partagées avec ceux-ci) dans chaque cas où les droits et obligations visés à l’article 2, paragraphe 2, sont limités.

La présente décision prend effet le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.