Décision du Contrôleur européen de la protection des données du 18 juillet 2024 portant modification du règlement intérieur du CEPD du 15 mai 2020 [2024/2022]

1 Avant l’adoption d’une décision: a) contenant la constatation d’une violation du règlement et de tout autre acte de l’Union relatif à la protection des libertés et droits fondamentaux des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union; ou b) exerçant des compétences de correction conformément à l’article 58, paragraphe 2, du règlement; ou c) infligeant une amende administrative en vertu de l’article 58, paragraphe 2, point i), et de l’article 66 du règlement, ou en vertu de l’article 43, paragraphe 3, point I), du règlement (UE) 2016/794 du Parlement européen et du Conseil ; ou d) exerçant des compétences à l’encontre de l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) en vertu de l’article 43, paragraphe 3, points b), c), d), e), f), g), j) et k), du règlement (UE) 2016/794; ou e) exerçant des compétences à l’encontre du Parquet européen (EPPO) en vertu de l’article 85, paragraphe 3, points b), d) et e), du règlement (UE) 2017/1939 du Conseil ; ou f) exerçant des compétences à l’encontre de l’Agence de l’Union européenne pour la coopération judiciaire en matière pénale (Eurojust) conformément à l’article 40, paragraphe 3, points b), d) et e), du règlement (UE) 2018/1727 du Parlement européen et du Conseil ; le CEPD rédige une évaluation préliminaire et la communique au responsable du traitement ou au sous-traitant qui fait l’objet de la procédure menée par le CEPD (le “responsable du traitement ou le sous-traitant”).

2 Avant d’adopter une décision dans les cas où le CEPD a l’intention de rejeter partiellement ou totalement une réclamation déposée en vertu: a) des articles 63 et 68 du règlement; ou b) de l’article 47 du règlement (UE) 2016/794; ou c) de l’article 88 du règlement (UE) 2017/1939; ou d) de l’article 43 du règlement (UE) 2018/1727; le CEPD rédige une évaluation préliminaire et la communique au réclamant.

3 L’évaluation préliminaire contient: a) les faits établis pertinents et les références aux éléments de preuve sur lesquels le CEPD entend s’appuyer pour rendre sa décision; b) l’appréciation juridique initiale des faits par le CEPD et toute violation alléguée des règles applicables en matière de protection des données; et c) toute compétence de correction envisagée par le CEPD, après avoir pris en compte les facteurs aggravants ou atténuants.

4 Par dérogation au paragraphe 3, dans les cas d’application de l’article 18, paragraphe 1, point c), l’évaluation préliminaire ne contient que les éléments pertinents sur lesquels le CEPD entend se fonder pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de l’amende administrative, compte tenu des éléments énumérés à l’article 66, paragraphe 1, du règlement.

5 Le CEPD peut restreindre les informations fournies au réclamant dans le cadre de l’évaluation préliminaire visée aux paragraphes 2 et 3, afin de protéger l’un quelconque des intérêts visés: a) à l’article 25, paragraphe 1, du règlement; ou b) à l’article 79, paragraphe 3, à l’article 81, paragraphe 1, ou à l’article 84, paragraphe 2, du règlement; ou c) à l’article 58, paragraphe 3, à l’article 60, paragraphe 1, et à l’article 61, paragraphe 5, du règlement (UE) 2017/1939; ou d) tout autre intérêt légitime lié à la confidentialité ou au secret professionnel et au secret des affaires. Dans de tels cas, le CEPD informe le réclamant, au moins de la ou des parties de la réclamation qu’il a l’intention de rejeter, et, en cas d’application de l’une des restrictions visées au premier alinéa, il lui en communique la justification. En cas de restriction des informations aux fins des intérêts visés au premier alinéa, points b) et c), le CEPD peut omettre des informations concernant la justification de l’application de l’une quelconque des restrictions lorsque leur fourniture est susceptible de porter atteinte à ces intérêts. Dans de tels cas, le CEPD informe le réclamant conformément à l’article 84, paragraphe 3, du règlement et à l’article 62, paragraphe 3, du règlement (UE) 2017/1939.

6 Le CEPD donne au responsable du traitement ou au sous-traitant et au réclamant la possibilité d’être entendus lorsqu’il constate une violation du règlement ou de tout autre acte de l’Union relatif à la protection des libertés et droits fondamentaux des personnes physiques à l’égard du traitement de données à caractère personnel par une institution ou un organe de l’Union, et/ou lorsqu’il exerce des compétences de correction ou inflige une amende administrative, ou lorsqu’il a l’intention de rejeter partiellement ou totalement une réclamation, selon le cas. Le CEPD fixe un délai dans lequel le responsable du traitement ou le sous-traitant et le réclamant peuvent faire connaître leur point de vue par écrit, en tenant compte de l’urgence de la question.

7 Le CEPD peut limiter l’accès au dossier lorsque cela est nécessaire aux fins de protéger l’un quelconque des intérêts visés au point 5 ci-dessus.

8 Le CEPD ne fonde ses décisions que sur des constatations et des mesures au sujet desquelles le responsable du traitement, le sous-traitant ou le réclamant ont pu formuler des observations, sauf dans les cas où les dispositions des points 5 et 7 s’appliquent.

9 Le CEPD, dans le texte de sa décision, informe le responsable du traitement ou le sous-traitant ainsi que le réclamant de leur droit de contester la décision devant la Cour de justice de l’Union européenne conformément à l’article 263 du traité sur le fonctionnement de l’Union européenne.

La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.