Décision 22/2023 du comité directeur de l’Institut européen d’innovation et de technologie (EIT) portant règles internes relatives à la limitation de certains droits des personnes concernées en ce qui concerne le traitement de données à caractère personnel dans le cadre du fonctionnement de l’EIT

La présente décision établit les règles relatives aux conditions dans lesquelles l’EIT peut limiter l’application des articles 14 à 20, 35 et 36, ainsi que de l’article 4, du règlement (UE) 2018/1725, en vertu de son article 25.

1 Le responsable du traitement est l’EIT, représenté par son directeur, qui peut déléguer la fonction de responsable du traitement.

2 Les personnes concernées sont informées de la délégation de la fonction de responsable du traitement au moyen des registres relatifs à la protection des données ou des déclarations de confidentialité publiés sur le site web et/ou l’intranet de l’EIT.

1 Lorsque l’EIT exerce ses fonctions au regard des droits des personnes concernées en vertu du règlement (UE) 2018/1725, il examine si l’une des dérogations établies dans ledit règlement s’applique.

2 Conformément à l’article 25, paragraphe 1, du règlement (UE) 2018/1725, l’EIT peut limiter l’application de ses articles 14 à 20, 35 et 36, ainsi que de son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 20 dudit règlement: a) conformément à l’article 25, paragraphe 1, points b), c), f), g) et h), du règlement (UE) 2018/1725, lorsqu’il mène des enquêtes administratives, des procédures prédisciplinaires et disciplinaires ou des procédures de suspension en vertu de l’article 86 et de l’annexe IX du statut et de la décision du comité directeur de l’EIT sur les dispositions d’exécution concernant la conduite des enquêtes administratives et des procédures disciplinaires, et lorsqu’il notifie les cas à l’OLAF; b) conformément à l’article 25, paragraphe 1, point h), du règlement (UE) 2018/1725, dans le cadre des procédures d’alerte éthique afin de garantir que les membres du personnel de l’EIT peuvent signaler en toute confidentialité des faits lorsqu’ils estiment qu’il existe de graves irrégularités, comme indiqué dans la décision 33/2018 du comité directeur de l’EIT relative à l’établissement de lignes directrices sur l’alerte éthique; c) conformément à l’article 25, paragraphe 1, point h), du règlement (UE) 2018/1725, dans le cadre de procédures formelles et informelles pour les cas de harcèlement, en veillant à ce que les membres du personnel de l’EIT puissent faire rapport, en toute confidentialité, aux conseillers confidentiels dans le cadre d’une procédure de harcèlement, telle que définie par la décision 16/2017 du comité directeur de l’EIT portant sur la politique de l’EIT de protection de la dignité de la personne et de prévention du harcèlement moral et sexuel et la décision 28/2019 du directeur de l’EIT relative à l’adoption d’un manuel des procédures informelles pour les cas de harcèlement psychologique et sexuel; d) conformément à l’article 25, paragraphe 1, points c), g) et h), du règlement (UE) 2018/1725, lorsqu’il mène des audits internes ou externes portant sur les activités ou les unités/départements de l’EIT; e) conformément à l’article 25, paragraphe 1, points c), d), g) et h), du règlement (UE) 2018/1725, lorsqu’il apporte ou bénéficie de l’assistance ou de la coopération mutuelles avec d’autres institutions, organes et organismes de l’Union dans le cadre des activités visées aux points a) à d) du présent paragraphe et conformément aux dispositions des accords de niveau de service, des protocoles d’accord et des accords de coopération; f) conformément à l’article 25, paragraphe 1, points c), g) et h), du règlement (UE) 2018/1725, lorsqu’il apporte ou bénéficie de l’assistance ou de la coopération mutuelles avec les autorités nationales de pays tiers et les organisations internationales, à la demande de celles-ci ou à de sa propre initiative; g) conformément à l’article 25, paragraphe 1, points c), g) et h), du règlement (UE) 2018/1725, lorsqu’il apporte ou bénéficie de l’assistance et de la coopération mutuelles avec les pouvoirs publics des États membres de l’Union, à la demande de ceux-ci ou de sa propre initiative; h) conformément à l’article 25, paragraphe 1, point e), du règlement (UE) 2018/1725, lors du traitement de données à caractère personnel contenues dans des documents obtenus par les parties ou les parties intervenantes dans le cadre d’une procédure devant la Cour de justice de l’Union européenne ainsi que dans le cas d’une procédure engagée par les autorités ou juridictions nationales d’un État membre; i) conformément à l’article 25, paragraphe 1, points c), g) et h), du règlement (UE) 2018/1725, lorsque le délégué à la protection des données conduit des enquêtes sur les activités de traitement effectuées au sein de l’EIT conformément à la décision 01/2020 du directeur de l’Institut européen d’innovation et de technologie (EIT) relative aux modalités d’application concernant le délégué à la protection des données de l’Institut européen d’innovation et de technologie , et conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725.

3 Les catégories de données comprennent les données d’identification de personnes physiques, les coordonnées, les fonctions et rôles professionnels, les informations sur la conduite et les performances professionnelles et privées, ainsi que les données financières.

4 Toute limitation respecte l’essence des libertés et droits fondamentaux et constitue une mesure nécessaire et proportionnée dans une société démocratique.

5 Une évaluation de la nécessité et de la proportionnalité est effectuée au cas par cas avant l’application des limitations. Elle doit être dûment documentée. Les limitations se réduisent à ce qui est strictement nécessaire pour atteindre les objectifs fixés.

6 Les limitations doivent être dûment contrôlées par le responsable du traitement des données et un réexamen périodique, assorti d’un contrôle de la nécessité et de la proportionnalité, est effectué tous les six mois suivant leur adoption, en consultation avec le délégué à la protection des données.

7 Les limitations sont levées dès que les circonstances qui les justifient ne sont plus d’application. Le responsable du traitement, en consultation avec le délégué à la protection des données, fournit les informations pertinentes à la personne concernée, assorties des informations sur la possibilité de saisir le CEPD à tout moment ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

8 À des fins de responsabilité, l’EIT dépose un dossier décrivant les raisons des limitations appliquées, les motifs parmi ceux énumérés au paragraphe 1 qui s’appliquent et le résultat de l’évaluation de la nécessité et de la proportionnalité. Ces dossiers font partie d’un registre ad hoc, qui est conservé par le délégué à la protection des données et doit être mis à la disposition du CEPD sur demande. L’EIT prépare des rapports périodiques sur l’application de l’article 25 du règlement (UE) 2018/1725.

9 Lorsqu’il traite des données à caractère personnel reçues d’autres organisations dans le cadre de ses missions, l’EIT consulte lesdites organisations sur les motifs potentiels de l’imposition des limitations et sur la nécessité et la proportionnalité des limitations concernées, à moins que cela ne compromette les activités de l’EIT.

1 L’évaluation des risques pour les droits et libertés des personnes concernées dont les données à caractère personnel peuvent faire l’objet de limitations, ainsi que leur durée de conservation, est consignée dans le registre des activités de traitement tenu par l’EIT en vertu de l’article 31 du règlement (UE) 2018/1725, le cas échéant, dans les analyses d’impact pertinentes relatives à la protection des données en lien avec ces limitations, en vertu de l’article 39 dudit règlement.

2 Lorsque l’EIT évalue la nécessité et la proportionnalité d’une limitation, il tient compte des risques pour les droits et libertés de la personne concernée.

1 L’EIT met en œuvre des garanties afin de prévenir les abus ou l’accès ou le transfert illicites de données à caractère personnel susceptibles de faire l’objet de limitations. Ces garanties incluent les mesures techniques et organisationnelles pour protéger les données à caractère personnel contre la destruction accidentelle ou illicite, la perte accidentelle ou la divulgation, la modification et l’accès non autorisés, ou contre toute autre forme de traitement non autorisé, et sont détaillées, au besoin, dans les décisions internes, les procédures et les modalités d’application de l’EIT. Les garanties comprennent: a) une définition claire des rôles, des responsabilités et des étapes de la procédure; b) s’il y a lieu, un environnement électronique sécurisé empêchant l’accès et le transfert illicites et accidentels de données électroniques à des personnes non autorisées; c) s’il y a lieu, le stockage et le traitement sécurisés des documents en version papier; d) un suivi approprié des limitations et un réexamen périodique de leur application. Les réexamens visés au point d) sont effectués au moins tous les six mois.

2 Les limitations sont levées dès que les circonstances qui les justifient ne sont plus d’application.

3 La durée de conservation des données à caractère personnel pouvant faire l’objet de limitations n’est pas plus longue que nécessaire et elle est appropriée aux finalités pour lesquelles lesdites données sont traitées. En tout état de cause, elle ne dépasse pas la durée de conservation spécifiée dans les avis relatifs à la protection des données, dans les déclarations de confidentialité ou dans les registres relatifs à la protection des données tenus en vertu de l’article 31 du règlement (UE) 2018/1725. À la fin de la durée de conservation, les données à caractère personnel sont supprimées, rendues anonymes ou archivées conformément à l’article 13 du règlement (UE) 2018/1725.

1 Le responsable du traitement informe le délégué à la protection des données dans les meilleurs délais chaque fois que des limitations sont appliquées aux droits de la personne concernée conformément à la présente décision. En outre, le délégué à la protection des données bénéficie d’un accès au registre contenant l’évaluation de la nécessité et de la proportionnalité, ainsi qu’à tous les documents ayant trait aux éléments de fait et de droit.

2 Le délégué à la protection des données peut demander un examen de l’application d’une limitation. L’EIT informe son DPD par écrit du résultat de l’examen réalisé par le responsable du traitement.

3 La participation du délégué à la protection des données à la procédure de limitation, y compris aux échanges d’informations, est consignée par le responsable du traitement sous une forme appropriée.

1 L’EIT inclut dans les avis de protection des données publiés sur son site web/intranet une section informant toutes les personnes concernées des activités de traitement impliquant le traitement de leurs données à caractère personnel susceptibles de faire l’objet de limitations en vertu des présentes règles. Ces informations portent sur les droits susceptibles d’être limités, les motifs pour lesquels des limitations peuvent s’appliquer, ainsi que leur durée potentielle.

2 Les responsables du traitement informent individuellement les personnes concernées qui sont parties à une procédure, les parties concernées par des procédures ou les témoins, par écrit et sans délai, de toute limitation en cours ou à venir de leurs droits.

3 Lorsque, dans le cadre des activités visées dans la présente décision, l’EIT limite, en tout ou en partie, les droits des personnes concernées visés aux articles 14 à 16 et à l’article 35 du règlement (UE) 2018/1725, ces dernières sont informées des principales raisons qui motivent l’application de la limitation, de leur droit de consulter le délégué à la protection des données aux fins de contester ladite limitation ainsi que de leurs droits de saisir le CEPD et de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

4 L’EIT peut différer, omettre ou refuser la communication d’informations sur les motifs de la limitation énoncée au paragraphe 1 et le droit de saisir le CEPD dès lors que cela priverait d’effet la limitation. L’évaluation du bien-fondé de cette mesure est effectuée au cas par cas, en coopération avec le délégué à la protection des données. Dès lors que cela ne prive plus d’effet la limitation, l’EIT communique les informations à la personne concernée.

1 Lorsque l’EIT a l’obligation de communiquer une violation de données en vertu de l’article 35, paragraphe 1, du règlement (UE) 2018/1725, il peut, dans des cas exceptionnels, limiter cette communication en tout ou en partie. Il documente dans une note les raisons de la limitation, son motif juridique en vertu de l’article 2 et une évaluation de sa nécessité et de sa proportionnalité. La note est communiquée au CEPD au moment de la notification de la violation de données à caractère personnel.

2 Lorsque les raisons de la limitation ne s’appliquent plus, l’EIT informe la personne concernée de la violation de données à caractère personnel et des principales raisons de la limitation, ainsi que de son droit de saisir le CEPD.

1 Dans des circonstances exceptionnelles, l’EIT peut limiter le droit à la confidentialité des communications électroniques en vertu de l’article 36 du règlement (UE) 2018/1725. Ces limitations sont conformes à la directive 2002/58/CE du Parlement européen et du Conseil.

2 Lorsque l’EIT restreint le droit à la confidentialité des communications électroniques, il informe la personne concernée, dans la réponse à sa demande, des principales raisons qui motivent l’application de la limitation, de son droit de saisir le CEPD et de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

3 L’EIT peut différer, omettre ou refuser la communication d’informations sur les motifs d’une limitation et le droit de saisir le CEPD dès lors que cela priverait d’effet la limitation. Cette évaluation est effectuée au cas par cas en coopération avec le délégué à la protection des données.

La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.