Règlement d’exécution (UE) 2024/607 de la Commission du 15 février 2024 définissant les modalités pratiques et opérationnelles du fonctionnement du système de partage d’informations conformément au règlement (UE) 2022/2065 du Parlement européen et du Conseil (règlement sur les services numériques)

Le présent règlement définit les modalités pratiques et opérationnelles du fonctionnement d’un système fiable et sûr de partage d’informations, ci-après dénommé «AGORA», pour les activités de surveillance, d’enquête, d’exécution et de contrôle au titre du règlement (UE) 2022/2065.

1 Il est institué un système de partage d’informations dénommé AGORA.

2 AGORA est une application logicielle accessible via l’internet; ce système constitue l’outil utilisé pour l’échange d’informations, y compris, le cas échéant, de données à caractère personnel, qui s’effectuerait sinon par d’autres moyens, y compris le courrier ordinaire ou le courrier électronique.

3 AGORA est utilisé pour l’échange d’informations, y compris l’échange d’informations contenant des données à caractère personnel, entre les coordinateurs pour les services numériques, la Commission et le comité européen des services numériques (ci-après le «comité»), ainsi qu’avec d’autres autorités compétentes qui se voient accorder l’accès à AGORA pour l’accomplissement des tâches qui leur sont confiées conformément au règlement (UE) 2022/2065, dans le contexte des activités de surveillance, d’enquête, d’exécution et de contrôle menées au titre dudit règlement.

Aux fins du présent règlement, outre les définitions figurant à l’article 3 et à l’article 49, paragraphe 1, du règlement (UE) 2022/2065, à l’article 4 du règlement (UE) 2016/679 et à l’article 3 du règlement (UE) 2018/1725, on entend par: a) «AGORA», le système de partage d’informations mis en place et maintenu par la Commission pour soutenir toutes les communications qui ont lieu au titre du règlement (UE) 2022/2065 entre les acteurs d’AGORA aux fins des activités de surveillance, d’enquête, d’exécution et de contrôle menées au titre dudit règlement; b) «acteurs d’AGORA», les coordinateurs pour les services numériques, la Commission, le comité ou d’autres autorités compétentes qui se voient ou peuvent se voir accorder un accès à AGORA si nécessaire pour mener à bien les tâches qui leur sont confiées conformément au règlement (UE) 2022/2065; c) «utilisateur d’AGORA», une personne physique travaillant sous l’autorité d’un acteur d’AGORA, et enregistrée en tant que telle dans AGORA, aux fins de l’accomplissement des tâches confiées à l’acteur d’AGORA par le règlement (UE) 2022/2065; d) «administrateur d’AGORA», un utilisateur d’AGORA désigné par un acteur d’AGORA aux fins de la gestion d’AGORA pour cet acteur.

1 La Commission est chargée d’exécuter les tâches suivantes en ce qui concerne AGORA: a) fournir le système AGORA dans toutes les langues officielles de l’Union et assurer la maintenance d’AGORA; b) garantir la fiabilité, la sécurité, la disponibilité, la maintenance et le développement des logiciels et infrastructures informatiques d’AGORA; c) proposer des outils de traduction automatique pour la traduction des documents et messages échangés par l’intermédiaire d’AGORA; d) apporter un soutien aux autres acteurs d’AGORA en ce qui concerne l’utilisation d’AGORA; e) enregistrer au moins un administrateur d’AGORA pour le compte de chaque coordinateur pour les services numériques et du comité, et leur accorder l’accès à AGORA; f) désigner au moins un administrateur d’AGORA; g) effectuer des opérations de traitement de données à caractère personnel dans AGORA, lorsque le présent règlement le prévoit, aux fins des activités de surveillance, d’enquête, d’exécution et de contrôle menées au titre du règlement (UE) 2022/2065; h) assurer l’audit, le contrôle, et la préparation des rapports nécessaires à l’audit et au contrôle d’AGORA au titre du règlement (UE) 2022/2065; i) fournir des connaissances, des formations et un soutien, y compris une assistance technique, aux administrateurs d’AGORA; j) assurer le suivi des performances de tous les autres acteurs d’AGORA au titre du présent règlement, conformément à l’article 15.

2 Afin d’assister la Commission dans l’exécution des tâches énumérées au paragraphe 1, les autres acteurs d’AGORA fournissent à la Commission des informations relatives aux opérations qu’ils effectuent dans AGORA.

1 La Commission est un sous-traitant au sens de l’article 3, point 12), du règlement (UE) 2018/1725 en ce qui concerne le traitement de données à caractère personnel lors de l’enregistrement d’administrateurs d’AGORA.

2 La Commission est un responsable du traitement distinct au sens de l’article 3, point 8), du règlement (UE) 2018/1725 en ce qui concerne le traitement des données à caractère personnel de ses propres administrateurs d’AGORA et de ses propres utilisateurs d’AGORA.

3 Lorsque la Commission traite des données à caractère personnel dans le cadre du fonctionnement d’AGORA aux fins de partages d’informations, de demandes d’informations et d’accès à des informations et aux fins de demandes d’action et de demandes de soutien, elle est considérée comme un responsable du traitement, au sens de l’article 3, point 8), du règlement (UE) 2018/1725, distinct des autres acteurs d’AGORA pour les activités de traitement de données à caractère personnel qu’elle accomplit.

4 Lorsque la Commission traite des données à caractère personnel dans le cadre du fonctionnement d’AGORA pour le compte d’autres acteurs d’AGORA aux fins de partages d’informations, de demandes d’informations et d’accès à des informations et aux fins de demandes d’action et de demandes de soutien, elle est considérée comme un sous-traitant au sens de l’article 3, point 12), du règlement (UE) 2018/1725.

5 Aux fins du présent règlement, les responsabilités de la Commission en tant que sous-traitant pour les activités de traitement de données menées dans AGORA par ces autres acteurs d’AGORA sont définies conformément à l’annexe II.

1 Chaque coordinateur pour les services numériques désigne, pour son État membre, au moins un administrateur d’AGORA.

2 Chaque coordinateur pour les services numériques est chargé de veiller à ce que, dans le cadre de l’exécution des tâches qui lui sont confiées conformément au règlement (UE) 2022/2065, seuls les utilisateurs d’AGORA autorisés aient accès à AGORA.

3 Chaque coordinateur pour les services numériques informe sans retard la Commission de l’administrateur d’AGORA qu’elle a désigné conformément au paragraphe 1. La Commission partage ces informations avec les autres coordinateurs pour les services numériques et le comité.

4 Chaque coordinateur pour les services numériques veille à ce que les obligations de l’administrateur d’AGORA au titre du présent règlement soient remplies.

5 Les coordinateurs pour les services numériques sont des responsables du traitement distincts au sens de l’article 4, point 7), du règlement (UE) 2016/679 en ce qui concerne le traitement des données à caractère personnel lorsqu’ils enregistrent leurs utilisateurs d’AGORA et leur donnent accès à AGORA.

6 Lorsque les coordinateurs pour les services numériques traitent des données à caractère personnel dans le cadre du fonctionnement d’AGORA aux fins de partages d’informations, de demandes d’informations et d’accès à des informations, aux fins de répondre à des demandes de renseignements et aux fins de saisines, de demandes d’action et de demandes de soutien, ils sont des responsables du traitement distincts au sens du règlement (UE) 2016/679 pour les activités de traitement qu’ils accomplissent.

7 Lorsque d’autres autorités compétentes désignées par les États membres au titre de l’article 49, paragraphe 1, du règlement (UE) 2022/2065, qui ne sont pas le coordinateur pour les services numériques, traitent des données à caractère personnel dans le cadre du fonctionnement d’AGORA, ces autorités sont des responsables du traitement distincts au sens du règlement (UE) 2016/679.

1 Le comité désigne un administrateur d’AGORA. L’administrateur d’AGORA fait partie de l’appui administratif et analytique fourni au comité conformément à l’article 62, paragraphe 4, du règlement (UE) 2022/2065.

2 Le comité est chargé de veiller à ce que seuls les utilisateurs d’AGORA autorisés aient accès à AGORA.

3 Le comité informe sans retard la Commission de l’identité de son administrateur d’AGORA désigné conformément au paragraphe 1, et des tâches qui lui incombent au titre de l’article 8 du présent règlement. La Commission partage ces informations avec les coordinateurs pour les services numériques.

Les administrateurs d’AGORA sont chargés: a) d’enregistrer les utilisateurs d’AGORA, ainsi que d’octroyer et de retirer les accès à AGORA; b) d’agir en tant que principal point de contact pour la Commission pour les questions relatives à AGORA, y compris en fournissant des informations sur les aspects liés à la protection des données à caractère personnel conformément au présent règlement, au règlement (UE) 2016/679 et au règlement (UE) 2018/1725; c) de fournir des connaissances, des formations et un soutien, y compris une assistance technique et un service d’assistance, aux utilisateurs d’AGORA qu’ils ont enregistrés; d) de faire en sorte que les acteurs d’AGORA fournissent avec efficacité des réponses adéquates.

1 Les acteurs d’AGORA accordent et retirent les droits d’accès aux administrateurs d’AGORA dont ils sont responsables.

2 Seuls les administrateurs d’AGORA autorisés et les utilisateurs d’AGORA autorisés ont accès à AGORA.

3 Les acteurs d’AGORA mettent en place des moyens appropriés pour garantir que les administrateurs d’AGORA et les utilisateurs d’AGORA ne sont autorisés à accéder aux données à caractère personnel traitées dans AGORA que lorsque cela est strictement nécessaire à des activités de surveillance, d’enquête, d’exécution et de contrôle menées au titre du règlement (UE) 2022/2065.

4 Lorsqu’une procédure liée aux activités de surveillance, d’enquête, d’exécution et de contrôle menées au titre du règlement (UE) 2022/2065 implique le traitement de données à caractère personnel, seuls les administrateurs d’AGORA et les utilisateurs d’AGORA participant à ladite procédure ont accès à ces données à caractère personnel.

1 Les États membres et la Commission appliquent chacun leurs propres règles en matière de secret professionnel, ou autres obligations de confidentialité équivalentes, à leurs administrateurs d’AGORA et à leurs utilisateurs d’AGORA, conformément à leur droit national ou au droit de l’Union.

2 Chaque acteur d’AGORA veille à ce que les administrateurs d’AGORA et les utilisateurs d’AGORA travaillant sous son autorité respectent les demandes présentées par d’autres acteurs d’AGORA de traitement confidentiel d’informations échangées dans AGORA.

1 La transmission, la conservation et tout autre traitement de données à caractère personnel dans AGORA ne peuvent avoir lieu que dans la mesure où cela est nécessaire et proportionné, et uniquement aux fins suivantes: a) la facilitation des communications entre les acteurs d’AGORA dans le cadre de la surveillance, des enquêtes, de l’exécution et du contrôle effectués au titre du règlement (UE) 2022/2065; b) le traitement de dossiers par les acteurs d’AGORA dans l’exercice de leurs propres activités de surveillance, d’enquête, d’exécution et de contrôle au titre du règlement (UE) 2022/2065; c) la conversion commerciale et technique des données énumérées dans le présent règlement, lorsque cela est nécessaire pour permettre l’échange d’informations visé aux points a) et b).

2 Le traitement de données à caractère personnel dans AGORA ne peut avoir lieu que pour les catégories suivantes de personnes concernées: a) les personnes physiques dont les données à caractère personnel sont contenues dans des documents obtenus dans le cadre des activités de surveillance, d’enquête, d’exécution et de contrôle menées au titre du règlement (UE) 2022/2065; b) les administrateurs d’AGORA et les utilisateurs d’AGORA auxquels l’accès à AGORA a été accordé.

3 Le traitement de données à caractère personnel dans AGORA ne peut avoir lieu que pour les catégories suivantes de données à caractère personnel: a) les données d’identification, les coordonnées, les données relatives au rôle joué dans un dossier, les données relatives à un dossier et toute autre information jugée nécessaire aux activités de surveillance, d’enquête, d’exécution et de contrôle menées au titre du règlement (UE) 2022/2065; b) le nom, l’adresse, les coordonnées, le numéro de téléphone et l’identifiant d’utilisateur des administrateurs d’AGORA et des utilisateurs d’AGORA visés au paragraphe 2, point b).

4 AGORA conserve les données à caractère personnel des catégories énumérées au paragraphe 3 et les journaux contenant les informations sur les flux et mouvements des données échangées aux fins des activités de surveillance, d’enquête, d’exécution et de contrôle menées au titre du règlement (UE) 2022/2065.

5 La conservation des données visée au paragraphe 2 s’effectue au moyen d’infrastructures informatiques situées dans l’Espace économique européen.

6 Chaque acteur d’AGORA veille à ce que les personnes concernées puissent exercer leurs droits conformément au règlement (UE) 2016/679 et au règlement (UE) 2018/1725 et est responsable du respect de ces règlements pour les activités de traitement des données à caractère personnel effectuées en son nom.

7 Les autorités de contrôle nationales et le Contrôleur européen de la protection des données, agissant chacun dans le cadre de leurs compétences respectives, assurent une surveillance coordonnée d’AGORA et de son utilisation par les administrateurs d’AGORA et les utilisateurs d’AGORA.

1 Les coordinateurs pour les services numériques sont les responsables conjoints du traitement, au sens de l’article 26, paragraphe 1, du règlement (UE) 2016/679, pour la transmission, la conservation et tout autre traitement de données à caractère personnel dans AGORA en lien avec les activités menées par le comité dans le cadre de la surveillance, des enquêtes, de l’exécution et du contrôle effectués au titre du règlement (UE) 2022/2065.

2 Lorsqu’une enquête conjointe est conduite conformément à l’article 60 du règlement (UE) 2022/2065 dans le cadre des activités de surveillance, d’enquête, d’exécution et de contrôle menées au titre du règlement (UE) 2022/2065, les coordinateurs pour les services numériques concernés sont les responsables conjoints du traitement, au sens de l’article 26, paragraphe 1, du règlement (UE) 2016/679, pour la transmission, la conservation et tout autre traitement de données à caractère personnel dans AGORA dans le contexte de cette enquête conjointe particulière.

3 Aux fins des paragraphes 1 et 2, les responsabilités sont réparties entre les responsables conjoints du traitement conformément à l’annexe I.

4 La Commission est un sous-traitant au sens de l’article 3, point 12), du règlement (UE) 2018/1725 pour le traitement des données à caractère personnel effectué pour le compte des coordinateurs pour les services numériques aux fins des activités du comité et à l’égard des enquêtes conjointes conduites en vertu de l’article 60 du règlement (UE) 2022/2065 dans le cadre des activités de surveillance, d’enquête, d’exécution et de contrôle menées au titre du règlement (UE) 2022/2065.

1 La Commission met en place les mesures de pointe nécessaires pour garantir la sécurité des données à caractère personnel traitées dans AGORA, y compris des mesures appropriées de contrôle de l’accès aux données et un plan de sécurité, qui est tenu à jour.

2 La Commission prend les mesures de pointe nécessaires en cas d’incident de sécurité, prend des mesures correctives et veille à ce qu’il soit possible de vérifier quelles données à caractère personnel ont été traitées dans AGORA, quand, par qui et à quelles fins.

1 La Commission met AGORA à disposition dans toutes les langues officielles de l’Union et propose aux utilisateurs d’AGORA des outils de traduction machine automatique des documents et messages échangés dans AGORA.

2 Un coordinateur pour les services numériques, ou toute autre autorité compétente à laquelle l’accès à AGORA a été accordé, peut produire, en lien avec l’exécution de toute tâche qui lui a été confiée conformément au règlement (UE) 2022/2065, tous documents, informations, constatations, déclarations ou copies certifiées conformes que ce coordinateur ou cette autorité a reçus dans AGORA, sur la même base que des informations similaires obtenues dans son propre pays, à des fins compatibles avec celles pour lesquelles les données ont été initialement collectées et conformément au droit de l’Union et au droit national applicables.

1 La Commission contrôle régulièrement le fonctionnement d’AGORA et évalue régulièrement ses performances.

2 Au plus tard le 17 février 2027, et tous les trois ans par la suite, la Commission présente au Parlement européen, au Conseil et au Contrôleur européen de la protection des données un rapport relatif à l’application du présent règlement. Ce rapport rend compte du contrôle et de l’évaluation effectués conformément au paragraphe 1, ainsi que des performances des acteurs d’AGORA dans le cadre d’AGORA, en vue de garantir un partage efficace de l’information ainsi que des réponses adéquates. Ce rapport traite également des aspects de la mise en œuvre liés à la protection des données à caractère personnel dans AGORA, y compris la sécurité des données.

3 Aux fins de la production du rapport prévu au paragraphe 2, les coordinateurs pour les services numériques, le comité et les autres autorités compétentes auxquelles l’accès est accordé lorsque cela est nécessaire aux fins de l’exécution des tâches qui leur sont confiées conformément au règlement (UE) 2022/2065 fournissent chaque année à la Commission, sous forme de rapports, toutes les informations pertinentes pour l’application du présent règlement, y compris en ce qui concerne l’application des exigences en matière de protection et de sécurité des données que celui-ci prévoit.

1 Les coûts engagés pour la mise en place, la maintenance et l’exploitation d’AGORA sont couverts par les redevances de surveillance annuelles perçues par la Commission conformément à l’article 43, paragraphe 2, du règlement (UE) 2022/2065 et au règlement délégué (UE) 2023/1127 de la Commission .

2 Les coûts des opérations d’AGORA au niveau national, y compris les ressources humaines nécessaires aux activités de formation, de promotion, d’assistance technique et informatique, ainsi qu’à l’administration d’AGORA au niveau national et à toute adaptation à apporter aux réseaux et systèmes d’information nationaux, sont à la charge de l’État membre qui les engage.

Les États membres prennent toutes les mesures nécessaires pour garantir l’application effective du présent règlement par leurs acteurs d’AGORA.

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.