Décision (UE) 2025/628 de la Commission du 31 mars 2025 établissant des règles internes relatives à la communication d’informations aux personnes concernées et à la limitation de certains droits des personnes concernées en ce qui concerne le traitement des données à caractère personnel par la Commission à des fins de surveillance, d’enquête, d’exécution et de contrôle au titre du règlement (UE) 2022/2065

1 La présente décision établit les règles selon lesquelles la Commission informe les personnes concernées du traitement de leurs données à caractère personnel, conformément aux articles 14, 15 et 16 du règlement (UE) 2018/1725, dans l’exercice de ses missions de surveillance, d’enquête, d’exécution et de contrôle au titre du règlement (UE) 2022/2065.

2 La présente décision fixe également les conditions dans lesquelles la Commission peut limiter l’application des articles 4, 14 à 20 et 35 du règlement (UE) 2018/1725, conformément à l’article 25, paragraphe 1, points b), c), g) et h), dudit règlement.

1 La présente décision s’applique au traitement, par la Commission, des données à caractère personnel des catégories suivantes de personnes concernées: a) suspects; b) victimes; c) lanceurs d’alerte; d) informateurs; e) témoins; f) membres du personnel d’une entreprise; g) personnes physiques dont les données à caractère personnel sont contenues dans les documents ou autres supports recueillis dans le cadre d’activités de surveillance, d’enquête, d’exécution et de contrôle menées au titre du règlement (UE) 2022/2065.

2 La présente décision s’applique au traitement des données à caractère personnel des catégories suivantes: a) données d’identification; b) coordonnées; c) données relatives au rôle joué dans un dossier; d) données relatives à un dossier; e) toute autre information jugée nécessaire pour satisfaire aux exigences du règlement (UE) 2022/2065, y compris les données à caractère personnel mentionnées à l’article 10, paragraphe 1, et à l’article 11 du règlement (UE) 2018/1725.

1 Sous réserve des articles 3 à 8 de la présente décision, la Commission peut limiter l’application des articles 14 à 20 et 35 du règlement (UE) 2018/1725, ainsi que du principe de transparence énoncé à l’article 4, paragraphe 1, point a), dudit règlement, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 20 du règlement (UE) 2018/1725 lorsque: a) l’exercice de ces droits compromettrait la finalité des activités de surveillance, d’enquête, d’exécution et de contrôle de la Commission menées au titre du règlement (UE) 2022/2065, conformément à l’article 25, paragraphe 1, points c) et g), du règlement (UE) 2018/1725; b) l’exercice de ces droits et obligations porterait atteinte à la protection de la personne concernée ou aux droits et libertés d’autrui conformément à l’article 25, paragraphe 1, point h), du règlement (UE) 2018/1725; c) l’exercice de ces droits et obligations pourrait compromettre la coopération de la Commission avec les États membres aux fins d’assurer l’application effective du règlement (UE) 2022/2065, conformément à l’article 25, paragraphe 1, points b) et g), du règlement (UE) 2018/1725.

2 Avant d’appliquer des limitations dans les circonstances énoncées au paragraphe 1, point c), la Commission consulte les États membres concernés sur les raisons potentielles d’imposer des limitations ainsi que sur leur nécessité et leur proportionnalité, à moins que cette consultation ne compromette les activités de la Commission.

3 Les paragraphes 1 et 2 du présent article sont sans préjudice de l’application d’autres décisions de la Commission établissant des règles internes en ce qui concerne la communication d’informations aux personnes concernées et la limitation de certains droits en vertu de l’article 25 du règlement (UE) 2018/1725.

4 Avant d’appliquer des limitations mentionnées au paragraphe 1, la Commission évalue et documente au cas par cas leur nécessité et leur proportionnalité. Ces limitations se réduisent à ce qui est strictement nécessaire pour atteindre leur objectif.

1 La Commission publie sur son site internet un avis relatif à la protection des données qui informe toutes les personnes concernées de ses activités impliquant le traitement de leurs données à caractère personnel aux fins de ses missions de surveillance, d’enquête, d’exécution et de contrôle au titre du règlement (UE) 2022/2065. L’avis relatif à la protection des données fournit des informations sur la limitation potentielle des droits des personnes concernées en application de l’article 3. Ces informations portent sur les droits susceptibles d’être limités, les raisons pour lesquelles des limitations peuvent s’appliquer, ainsi que leur durée potentielle.

2 La Commission informe individuellement, par des moyens appropriés, les lanceurs d’alerte, les informateurs, les témoins et, le cas échéant, les membres du personnel de l’entreprise du traitement de leurs données à caractère personnel.

3 Lorsque, conformément à l’article 3, la Commission limite, intégralement ou partiellement, la communication des informations visées au paragraphe 1, elle enregistre et consigne les raisons de cette limitation conformément à l’article 7 de la présente décision. En outre, la Commission informe les personnes concernées de leur droit de saisir le Contrôleur européen de la protection des données.

1 Si la Commission limite, en tout ou en partie, le droit d’accès aux données par les personnes concernées, le droit de rectification, le droit à l’effacement ou le droit à la limitation du traitement visés respectivement aux articles 17 à 20 du règlement (UE) 2018/1725, elle informe la personne concernée, dans sa réponse à la demande d’accès, de rectification, d’effacement ou de limitation du traitement, des aspects suivants: a) la limitation appliquée et les principales raisons de celle-ci; b) la possibilité d’introduire une réclamation auprès du Contrôleur européen de la protection des données.

2 La Commission peut différer, omettre ou refuser la communication d’informations sur les raisons d’une limitation et le droit de saisir le Contrôleur européen de la protection des données dès lors que cela priverait d’effet la limitation. La Commission évalue au cas par cas le caractère justifié d’une telle mesure. Dès lors que cela ne prive plus d’effet la limitation, la Commission communique les informations à la personne concernée.

1 Lorsque la Commission a l’obligation de communiquer une violation de données à caractère personnel en application de l’article 35, paragraphe 1, du règlement (UE) 2018/1725, elle peut, dans des cas exceptionnels, limiter cette communication en tout ou en partie. Elle enregistre et consigne les raisons de la limitation, son motif juridique en vertu de l’article 3 et une évaluation de sa nécessité et de sa proportionnalité. Les informations enregistrées sont transmises au Contrôleur européen de la protection des données au moment de la notification de la violation de données à caractère personnel.

2 Lorsque les raisons de la limitation ne s’appliquent plus, la Commission informe la personne concernée de la violation de données à caractère personnel et des principales raisons de la limitation, ainsi que de son droit de saisir le Contrôleur européen de la protection des données.

3 Lorsque la Commission notifie la violation de données à caractère personnel au Contrôleur européen de la protection des données conformément à l’article 34, paragraphe 1, du règlement (UE) 2018/1725, elle joint à la notification l’enregistrement effectué conformément à l’article 7 de la présente décision.

1 La Commission enregistre les raisons de toute limitation appliquée en vertu de la présente décision, son motif juridique, une évaluation des risques pour les droits et libertés des personnes concernées découlant de l’imposition d’une limitation, ainsi qu’une évaluation de la nécessité et de la proportionnalité de la limitation, qui tient compte des éléments pertinents mentionnés à l’article 25, paragraphe 2, du règlement (UE) 2018/1725.

2 Il est indiqué de quelle manière l’exercice du droit par la personne concernée porte atteinte à un ou plusieurs des motifs applicables énoncés à l’article 25, paragraphe 1, points b), c), g) et h), du règlement (UE) 2018/1725.

3 L’enregistrement et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont consignés dans un registre. Ils sont mis à la disposition du Contrôleur européen de la protection des données si celui-ci en fait la demande.

4 La Commission établit des rapports périodiques sur l’application, au titre de la présente décision, de limitations en application de l’article 25 du règlement (UE) 2018/1725.

1 Les limitations visées aux articles 4, 5 et 6 continuent de s’appliquer aussi longtemps que les motifs qui les justifient restent applicables et sont levées dès que ces motifs ne s’appliquent plus.

2 Lorsque les motifs d’une limitation ne sont plus valables, la Commission lève la limitation.

3 La Commission communique également les motifs de l’application de cette limitation à la personne concernée et l’informe de la possibilité d’introduire à tout moment une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

4 La Commission réexamine tous les six mois et lors de la clôture du dossier l’application des limitations visées aux articles 4, 5 et 6. Le réexamen inclut une évaluation de la nécessité et de la proportionnalité de la limitation, en tenant compte des éléments pertinents énumérés à l’article 25, paragraphe 2, du règlement (UE) 2018/1725.

1 La Commission met en œuvre des garanties afin de prévenir l’utilisation abusive des données à caractère personnel pour lesquelles des limitations ou des exceptions s’appliquent ou pourraient s’appliquer, ainsi que l’accès illicite à ces données ou leur transfert illicite. Ces garanties incluent notamment les mesures techniques et organisationnelles suivantes: a) une définition claire des rôles, des responsabilités, des étapes procédurales et des droits d’accès; b) un environnement électronique sécurisé qui empêche l’accès illicite ou accidentel à des données électroniques par des personnes non autorisées ou le transfert illicite ou accidentel desdites données à ces personnes; c) un stockage et un traitement sécurisés des documents papier, limités à ce qui est strictement nécessaire pour atteindre la finalité du traitement; d) un suivi approprié des limitations et un réexamen périodique de leur application. Ce réexamen est effectué au moins tous les six mois et lors de la clôture du dossier.

2 Les données à caractère personnel sont conservées conformément aux règles de conservation applicables de la Commission, qui sont définies dans les registres des activités de traitement tenus en vertu de l’article 31 du règlement (UE) 2018/1725. À la fin de la durée de conservation, les données à caractère personnel sont supprimées, rendues anonymes ou archivées conformément à l’article 13 du règlement (UE) 2018/1725.

1 Le coordinateur de la protection des données de la direction générale des réseaux de communication, du contenu et des technologies est consulté avant l’application de toute limitation et vérifie la conformité des limitations avec la présente décision.

2 Le délégué à la protection des données de la Commission est informé sans délai chaque fois que les droits d’une personne concernée sont limités conformément à la présente décision. Il obtient sur demande l’accès à l’enregistrement et à tout document contenant les éléments factuels et juridiques sous-jacents.

3 Le délégué à la protection des données peut demander un réexamen de l’application d’une limitation et est informé par écrit du résultat de ce réexamen.

4 La Commission documente l’intervention du délégué à la protection des données de la Commission et du coordinateur de la protection des données, y compris les informations partagées avec ceux-ci, dans chaque cas où les droits et obligations visés à l’article 3, paragraphe 1, sont limités.

La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.