# Journal officiel L 236/2020

| | ISSN 1977-0693 |
| --- | --- |
| Journal officiel
  de l’Union européenne | L 236 |
| | |
| Édition de langue française | Législation | 63e année22 juillet 2020 |

ISSN 1977-0693

Journal officiel

de l’Union européenne

L 236

Édition de langue française

Législation

63e année22 juillet 2020

---

| Sommaire | | II   Actes non législatifs | page |
| --- | --- | --- | --- |
| | | RÈGLEMENTS INTÉRIEURS ET DE PROCÉDURE |
| | * | Décision du Fonds européen d’investissement du 4 juin 2020 portant règles internes relatives à la limitation de certains droits des personnes concernées en matière de traitement des données à caractère personnel dans le cadre des activités menées par le Fonds européen d’investissement | 1 |
| | * | Décision No 1/2020 du conseil d’administration de l’entreprise commune Shift2Rail du 26 mars 2020 portant règles internes relatives aux limitations de certains droits des personnes concernées en matière de traitement des données à caractère personnel dans le cadre du fonctionnement de l’EC S2R | 7 |

Sommaire

II   Actes non législatifs

page

RÈGLEMENTS INTÉRIEURS ET DE PROCÉDURE

*

Décision du Fonds européen d’investissement du 4 juin 2020 portant règles internes relatives à la limitation de certains droits des personnes concernées en matière de traitement des données à caractère personnel dans le cadre des activités menées par le Fonds européen d’investissement

1

*

Décision No 1/2020 du conseil d’administration de l’entreprise commune Shift2Rail du 26 mars 2020 portant règles internes relatives aux limitations de certains droits des personnes concernées en matière de traitement des données à caractère personnel dans le cadre du fonctionnement de l’EC S2R

o

7

| FR | Les actes dont les titres sont imprimés en caractères maigres sont des actes de gestion courante pris dans le cadre de la politique agricole et ayant généralement une durée de validité limitée.
  Les actes dont les titres sont imprimés en caractères gras et précédés d'un astérisque sont tous les autres actes. |
| --- | --- |

FR

Les actes dont les titres sont imprimés en caractères maigres sont des actes de gestion courante pris dans le cadre de la politique agricole et ayant généralement une durée de validité limitée.

Les actes dont les titres sont imprimés en caractères gras et précédés d'un astérisque sont tous les autres actes.

---

II Actes non législatifs

RÈGLEMENTS INTÉRIEURS ET DE PROCÉDURE

| 22.7.2020 | FR | Journal officiel de l’Union européenne | L 236/1 |
| --- | --- | --- | --- |

22.7.2020

FR

Journal officiel de l’Union européenne

L 236/1

---

DÉCISION DU FONDS EUROPÉEN D’INVESTISSEMENT

du 4 juin 2020

portant règles internes relatives à la limitation de certains droits des personnes concernées en matière de traitement des données à caractère personnel dans le cadre des activités menées par le Fonds européen d’investissement

Le FONDS EUROPÉEN D’INVESTISSEMENT (FEI),

vu le traité sur le fonctionnement de l’Union européenne,

vu le règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (1) (ci-après «le règlement»), et notamment son article 25,

vu l’avis du Contrôleur européen de la protection des données (CEPD) (2),

considérant ce qui suit:

| (1) | Le département Conformité du FEI peut, dans le cadre de son fonctionnement, mener des enquêtes administratives sur la base du Code de conduite du personnel du Groupe BEI, ce qui implique le traitement d’informations, y compris de données à caractère personnel. |
| --- | --- |

(1)

Le département Conformité du FEI peut, dans le cadre de son fonctionnement, mener des enquêtes administratives sur la base du Code de conduite du personnel du Groupe BEI, ce qui implique le traitement d’informations, y compris de données à caractère personnel.

| (2) | Le délégué à la protection des données du FEI (DPD) peut, de sa propre initiative ou à la demande du responsable du traitement ou de toute personne physique, examiner des questions et des faits qui sont directement en rapport avec ses missions et qui ont été portés à sa connaissance, et faire rapport à la personne qui a demandé cet examen ou au responsable du traitement, selon les termes de l’article 45, paragraphe 2, du règlement. |
| --- | --- |

(2)

Le délégué à la protection des données du FEI (DPD) peut, de sa propre initiative ou à la demande du responsable du traitement ou de toute personne physique, examiner des questions et des faits qui sont directement en rapport avec ses missions et qui ont été portés à sa connaissance, et faire rapport à la personne qui a demandé cet examen ou au responsable du traitement, selon les termes de l’article 45, paragraphe 2, du règlement.

| (3) | Le département des ressources humaines du FEI peut, dans le cadre de son fonctionnement, mener des procédures disciplinaires sur la base de la section 6 du règlement du personnel du FEI, titre IV Politique de respect de la dignité de la personne au travail, et des codes de conduite applicables du FEI. |
| --- | --- |

(3)

Le département des ressources humaines du FEI peut, dans le cadre de son fonctionnement, mener des procédures disciplinaires sur la base de la section 6 du règlement du personnel du FEI, titre IV Politique de respect de la dignité de la personne au travail, et des codes de conduite applicables du FEI.

| (4) | Les membres du conseil d’administration du FEI, le directeur général, le directeur général adjoint et les membres du personnel, ainsi que les parties liées à l’opération ou à la transaction ont l’obligation de signaler à la division Enquêtes sur les fraudes («IG/IN») tout cas possible de manœuvre interdite (par exemple fraude ou corruption), préjudiciable aux intérêts du FEI et de l’Union, ou de signaler à d’autres services compétents tout acte lié à l’exercice d’activités professionnelles qui est susceptible de constituer un manquement grave aux obligations en vigueur. En outre, tout membre du public, ainsi que toute personne physique ou morale, peut signaler à IG/IN des cas présumés de manœuvre interdite. |
| --- | --- |

(4)

Les membres du conseil d’administration du FEI, le directeur général, le directeur général adjoint et les membres du personnel, ainsi que les parties liées à l’opération ou à la transaction ont l’obligation de signaler à la division Enquêtes sur les fraudes («IG/IN») tout cas possible de manœuvre interdite (par exemple fraude ou corruption), préjudiciable aux intérêts du FEI et de l’Union, ou de signaler à d’autres services compétents tout acte lié à l’exercice d’activités professionnelles qui est susceptible de constituer un manquement grave aux obligations en vigueur. En outre, tout membre du public, ainsi que toute personne physique ou morale, peut signaler à IG/IN des cas présumés de manœuvre interdite.

| (5) | Les enquêtes sur des manœuvres interdites, telles que définies dans la politique antifraude du FEI, sont menées par IG/IN, qui agit en qualité de sous-traitant, selon les termes de l’accord-cadre relatif à la prestation de services conclu entre le FEI et la BEI. |
| --- | --- |

(5)

Les enquêtes sur des manœuvres interdites, telles que définies dans la politique antifraude du FEI, sont menées par IG/IN, qui agit en qualité de sous-traitant, selon les termes de l’accord-cadre relatif à la prestation de services conclu entre le FEI et la BEI.

| (6) | Le FEI réalise des audits de ses activités. Cet exercice est actuellement réalisé par l’intermédiaire du département de l’Audit interne de la BEI en vertu de l’accord-cadre sur la prestation des services conclu entre le FEI et la BEI. |
| --- | --- |

(6)

Le FEI réalise des audits de ses activités. Cet exercice est actuellement réalisé par l’intermédiaire du département de l’Audit interne de la BEI en vertu de l’accord-cadre sur la prestation des services conclu entre le FEI et la BEI.

| (7) | Dans le cadre des tâches décrites aux considérants 1 à 6, le FEI et les autres institutions, organes ou organismes de l’Union peuvent mutuellement se prêter assistance et coopérer, conformément aux dispositions des accords de niveau de service, des protocoles d’accord et des accords de coopération pertinents. |
| --- | --- |

(7)

Dans le cadre des tâches décrites aux considérants 1 à 6, le FEI et les autres institutions, organes ou organismes de l’Union peuvent mutuellement se prêter assistance et coopérer, conformément aux dispositions des accords de niveau de service, des protocoles d’accord et des accords de coopération pertinents.

| (8) | Le FEI et les pouvoirs publics des États membres de l’Union peuvent mutuellement se prêter assistance et coopérer, à la demande de ceux-ci ou à l’initiative du FEI. |
| --- | --- |

(8)

Le FEI et les pouvoirs publics des États membres de l’Union peuvent mutuellement se prêter assistance et coopérer, à la demande de ceux-ci ou à l’initiative du FEI.

| (9) | Le FEI, les autorités nationales de pays tiers et les organisations internationales peuvent mutuellement se prêter assistance et coopérer, à la demande de celles-ci ou à l’initiative du FEI. |
| --- | --- |

(9)

Le FEI, les autorités nationales de pays tiers et les organisations internationales peuvent mutuellement se prêter assistance et coopérer, à la demande de celles-ci ou à l’initiative du FEI.

| (10) | Dans le cadre des activités susmentionnées, le FEI, agissant en qualité de responsable du traitement, ou un partenaire commercial, quel qu’il soit, du FEI visé au considérant 4 ci-dessus, y compris la division Enquête sur les fraudes de la BEI, agissant en qualité de sous-traitant, ou tout service, quel qu’il soit, peut collecter et traiter des informations et données à caractère personnel, y compris les données d’identification de personnes physiques, les coordonnées, les fonctions et rôles professionnels, les informations sur la conduite et les performances professionnelles et privées, ainsi que les données financières. |
| --- | --- |

(10)

Dans le cadre des activités susmentionnées, le FEI, agissant en qualité de responsable du traitement, ou un partenaire commercial, quel qu’il soit, du FEI visé au considérant 4 ci-dessus, y compris la division Enquête sur les fraudes de la BEI, agissant en qualité de sous-traitant, ou tout service, quel qu’il soit, peut collecter et traiter des informations et données à caractère personnel, y compris les données d’identification de personnes physiques, les coordonnées, les fonctions et rôles professionnels, les informations sur la conduite et les performances professionnelles et privées, ainsi que les données financières.

| (11) | Des garanties adéquates sont en place pour protéger les données à caractère personnel et empêcher que celles-ci ne fassent l’objet d’un accès ou d’un transfert accidentel ou illicite, qu’elles soient conservées dans un environnement physique ou électronique. Après leur traitement, les données sont conservées conformément aux règles du FEI applicables à la conservation de ces données, telles que définies dans les registres relatifs à la protection des données, conformément à l’article 31 du règlement. Au terme de la durée de conservation, les informations des dossiers, y compris les données à caractère personnel, conformément aux principes stipulés dans les règlements européens sur la protection des données et aux dispositions réglementaires y relatives, et conformément aux politiques du FEI, sont effacées, intégralement anonymisées ou transférées aux archives historiques. |
| --- | --- |

(11)

Des garanties adéquates sont en place pour protéger les données à caractère personnel et empêcher que celles-ci ne fassent l’objet d’un accès ou d’un transfert accidentel ou illicite, qu’elles soient conservées dans un environnement physique ou électronique. Après leur traitement, les données sont conservées conformément aux règles du FEI applicables à la conservation de ces données, telles que définies dans les registres relatifs à la protection des données, conformément à l’article 31 du règlement. Au terme de la durée de conservation, les informations des dossiers, y compris les données à caractère personnel, conformément aux principes stipulés dans les règlements européens sur la protection des données et aux dispositions réglementaires y relatives, et conformément aux politiques du FEI, sont effacées, intégralement anonymisées ou transférées aux archives historiques.

| (12) | Dans ce contexte, le FEI s’engage à remplir son obligation de fournir des informations aux personnes concernées en ce qui concerne les activités de traitement susmentionnées et à respecter les droits des personnes concernées, comme le prévoit le règlement. |
| --- | --- |

(12)

Dans ce contexte, le FEI s’engage à remplir son obligation de fournir des informations aux personnes concernées en ce qui concerne les activités de traitement susmentionnées et à respecter les droits des personnes concernées, comme le prévoit le règlement.

| (13) | Il peut s’avérer nécessaire de concilier les droits des personnes concernées en vertu du règlement avec les besoins des activités susmentionnées, tout en respectant pleinement les libertés et droits fondamentaux d’autres personnes concernées. À cet effet, l’article 25 du règlement prévoit, dans des conditions strictes, la possibilité de limiter l’application des articles 14 à 20, 35 et 36, ainsi que de l’article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 20. Dans ce cas, il est nécessaire d’adopter des règles internes en vertu desquelles le FEI peut restreindre les droits précités des personnes concernées conformément au même article du règlement. |
| --- | --- |

(13)

Il peut s’avérer nécessaire de concilier les droits des personnes concernées en vertu du règlement avec les besoins des activités susmentionnées, tout en respectant pleinement les libertés et droits fondamentaux d’autres personnes concernées. À cet effet, l’article 25 du règlement prévoit, dans des conditions strictes, la possibilité de limiter l’application des articles 14 à 20, 35 et 36, ainsi que de l’article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 20. Dans ce cas, il est nécessaire d’adopter des règles internes en vertu desquelles le FEI peut restreindre les droits précités des personnes concernées conformément au même article du règlement.

| (14) | Cela peut notamment être le cas lorsqu’il s’agit de fournir des informations sur le traitement de données à caractère personnel à la personne concernée lors de la phase d’évaluation préliminaire d’une enquête administrative ou pendant l’enquête elle-même, préalablement à un classement éventuel de l’affaire ou à une phase prédisciplinaire. Dans certaines circonstances, la communication de ces informations pourrait sérieusement compromettre la capacité du FEI de mener l’enquête de manière efficace, lorsque, par exemple, la personne concernée risque de détruire des preuves ou de tenter d’influencer des témoins potentiels avant que ceux-ci ne soient interrogés. En outre, il pourrait être nécessaire que le FEI protège leurs droits et leurs libertés, ainsi que les droits et libertés d’autres personnes concernées. Il pourrait en particulier être nécessaire de protéger la confidentialité d’un témoin ou d’un lanceur d’alerte qui a demandé à ne pas être identifié. Dans un tel cas, le FEI peut décider de restreindre l’accès à l’identité, aux déclarations et aux autres données relatives au lanceur d’alerte et/ou aux autres personnes concernées, afin de protéger leurs droits et libertés. |
| --- | --- |

(14)

Cela peut notamment être le cas lorsqu’il s’agit de fournir des informations sur le traitement de données à caractère personnel à la personne concernée lors de la phase d’évaluation préliminaire d’une enquête administrative ou pendant l’enquête elle-même, préalablement à un classement éventuel de l’affaire ou à une phase prédisciplinaire. Dans certaines circonstances, la communication de ces informations pourrait sérieusement compromettre la capacité du FEI de mener l’enquête de manière efficace, lorsque, par exemple, la personne concernée risque de détruire des preuves ou de tenter d’influencer des témoins potentiels avant que ceux-ci ne soient interrogés. En outre, il pourrait être nécessaire que le FEI protège leurs droits et leurs libertés, ainsi que les droits et libertés d’autres personnes concernées. Il pourrait en particulier être nécessaire de protéger la confidentialité d’un témoin ou d’un lanceur d’alerte qui a demandé à ne pas être identifié. Dans un tel cas, le FEI peut décider de restreindre l’accès à l’identité, aux déclarations et aux autres données relatives au lanceur d’alerte et/ou aux autres personnes concernées, afin de protéger leurs droits et libertés.

| (15) | Dans le cadre de l’assistance et de la coopération, relatives aux activités susmentionnées, avec d’autres institutions, organes et organismes de l’Union, les pouvoirs publics des États membres de l’Union, les autorités nationales de pays tiers et les organisations internationales, le FEI pourrait, dans certaines circonstances et sous réserve du maintien du niveau minimum de protection des données requis par le CEPD, devoir préserver l’efficacité de ses enquêtes ou de celles menées par l’entité avec laquelle il coopère et protéger, le cas échéant, les personnes impliquées et leurs droits et libertés. |
| --- | --- |

(15)

Dans le cadre de l’assistance et de la coopération, relatives aux activités susmentionnées, avec d’autres institutions, organes et organismes de l’Union, les pouvoirs publics des États membres de l’Union, les autorités nationales de pays tiers et les organisations internationales, le FEI pourrait, dans certaines circonstances et sous réserve du maintien du niveau minimum de protection des données requis par le CEPD, devoir préserver l’efficacité de ses enquêtes ou de celles menées par l’entité avec laquelle il coopère et protéger, le cas échéant, les personnes impliquées et leurs droits et libertés.

| (16) | Les limitations appliquées par le FEI doivent toujours respecter l’essence des libertés et droits fondamentaux et constituer une mesure strictement nécessaire et proportionnée dans une société démocratique. Le FEI doit justifier ces limitations. |
| --- | --- |

(16)

Les limitations appliquées par le FEI doivent toujours respecter l’essence des libertés et droits fondamentaux et constituer une mesure strictement nécessaire et proportionnée dans une société démocratique. Le FEI doit justifier ces limitations.

| (17) | Sur la base du principe de responsabilité, le FEI doit tenir un registre relatif à l’application de ces limitations. |
| --- | --- |

(17)

Sur la base du principe de responsabilité, le FEI doit tenir un registre relatif à l’application de ces limitations.

| (18) | Lorsqu’il traite des données à caractère personnel échangées avec d’autres organisations dans le cadre de ses missions, le FEI et ces organisations doivent se consulter sur les motifs pertinents de l’imposition des limitations et sur la nécessité et la proportionnalité des limitations, à moins que cela ne compromette les activités du FEI. |
| --- | --- |

(18)

Lorsqu’il traite des données à caractère personnel échangées avec d’autres organisations dans le cadre de ses missions, le FEI et ces organisations doivent se consulter sur les motifs pertinents de l’imposition des limitations et sur la nécessité et la proportionnalité des limitations, à moins que cela ne compromette les activités du FEI.

| (19) | L’article 25, paragraphe 6, du règlement impose au responsable du traitement d’informer les personnes concernées des principales raisons qui motivent l’application de la limitation et de leur droit de saisir le CEPD. |
| --- | --- |

(19)

L’article 25, paragraphe 6, du règlement impose au responsable du traitement d’informer les personnes concernées des principales raisons qui motivent l’application de la limitation et de leur droit de saisir le CEPD.

| (20) | Conformément à l’article 25, paragraphe 8, du règlement, le FEI peut différer, omettre ou refuser la communication d’informations sur les motifs de l’application d’une limitation à la personne concernée si cela prive d’effet, de quelque manière que ce soit, la limitation imposée. Le FEI doit évaluer au cas par cas si la communication des informations prive d’effet la limitation imposée. |
| --- | --- |

(20)

Conformément à l’article 25, paragraphe 8, du règlement, le FEI peut différer, omettre ou refuser la communication d’informations sur les motifs de l’application d’une limitation à la personne concernée si cela prive d’effet, de quelque manière que ce soit, la limitation imposée. Le FEI doit évaluer au cas par cas si la communication des informations prive d’effet la limitation imposée.

| (21) | Le DPD peut procéder à un examen indépendant de l’application des limitations, en vue d’assurer le respect de la présente décision, |
| --- | --- |

(21)

Le DPD peut procéder à un examen indépendant de l’application des limitations, en vue d’assurer le respect de la présente décision,

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier

Objet et champ d’application

La présente décision stipule les conditions dans lesquelles le FEI peut limiter l’application des articles 14 à 20, 35 et 36, ainsi que de l’article 4 du règlement, en vertu de l’article 25 de ce dernier.

Article 2

Limitations

1.   Conformément à l’article 25, paragraphe 1, du règlement, le FEI peut, au cas par cas uniquement, limiter l’application des articles 14 à 20, 35 et 36, ainsi que de l’article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 20, lorsque:

| a) | il mène des enquêtes administratives, sur la base du code de conduite du Groupe BEI et d’autres codes de conduite applicables; |
| --- | --- |

a)

il mène des enquêtes administratives, sur la base du code de conduite du Groupe BEI et d’autres codes de conduite applicables;

| b) | il mène des enquêtes sur des questions et des faits événements directement en rapport avec les missions du DPD, conformément à l’article 45, paragraphe 2, du règlement; |
| --- | --- |

b)

il mène des enquêtes sur des questions et des faits événements directement en rapport avec les missions du DPD, conformément à l’article 45, paragraphe 2, du règlement;

| c) | il mène des procédures disciplinaires en vertu de la section 6 du règlement du personnel du FEI, titre IV de la Politique en matière de dignité au travail, du Code de conduite du personnel du Groupe BEI et d’autres codes de conduite applicables au FEI; |
| --- | --- |

c)

il mène des procédures disciplinaires en vertu de la section 6 du règlement du personnel du FEI, titre IV de la Politique en matière de dignité au travail, du Code de conduite du personnel du Groupe BEI et d’autres codes de conduite applicables au FEI;

| d) | il fait en sorte que les membres du personnel du FEI puissent déclarer de manière confidentielle les faits lorsqu’ils estiment qu’il existe des irrégularités graves, telles que régies par la Politique de signalement du Groupe BEI; |
| --- | --- |

d)

il fait en sorte que les membres du personnel du FEI puissent déclarer de manière confidentielle les faits lorsqu’ils estiment qu’il existe des irrégularités graves, telles que régies par la Politique de signalement du Groupe BEI;

| e) | il fait en sorte que les membres du personnel du FEI puissent, à titre confidentiel, signaler des faits lorsqu’ils estiment qu’il existe des soupçons de manœuvres interdites, y compris la fraude ou la corruption, préjudiciables aux intérêts de l’Union, ou de manœuvres liées à l’exercice d’activités professionnelles et qui sont susceptibles de constituer un manquement grave aux obligations qui leur incombent, conformément à la Politique de signalement du Groupe BEI, à la Politique antifraude du FEI et aux codes de conduite applicables du FEI; |
| --- | --- |

e)

il fait en sorte que les membres du personnel du FEI puissent, à titre confidentiel, signaler des faits lorsqu’ils estiment qu’il existe des soupçons de manœuvres interdites, y compris la fraude ou la corruption, préjudiciables aux intérêts de l’Union, ou de manœuvres liées à l’exercice d’activités professionnelles et qui sont susceptibles de constituer un manquement grave aux obligations qui leur incombent, conformément à la Politique de signalement du Groupe BEI, à la Politique antifraude du FEI et aux codes de conduite applicables du FEI;

| f) | il mène des enquêtes portant sur des manœuvres interdites, conformément à la politique antifraude du FEI; |
| --- | --- |

f)

il mène des enquêtes portant sur des manœuvres interdites, conformément à la politique antifraude du FEI;

| g) | il réalise des audits internes portant sur l’ensemble des activités et des départements du FEI; |
| --- | --- |

g)

il réalise des audits internes portant sur l’ensemble des activités et des départements du FEI;

| h) | il prête assistance ou apporte sa collaboration à d’autres institutions, organes ou organismes de l’Union ou bénéficie de l’assistance ou de la collaboration de ceux-ci, dans le contexte des activités susmentionnées, conformément aux dispositions des accords de niveau de service, des protocoles d’accord et des accords de coopération pertinents; |
| --- | --- |

h)

il prête assistance ou apporte sa collaboration à d’autres institutions, organes ou organismes de l’Union ou bénéficie de l’assistance ou de la collaboration de ceux-ci, dans le contexte des activités susmentionnées, conformément aux dispositions des accords de niveau de service, des protocoles d’accord et des accords de coopération pertinents;

| i) | il prête assistance ou apporte sa collaboration aux pouvoirs publics des États membres de l’Union, ou bénéficie de l’assistance ou de la collaboration de ceux-ci, à leur demande ou de sa propre initiative; |
| --- | --- |

i)

il prête assistance ou apporte sa collaboration aux pouvoirs publics des États membres de l’Union, ou bénéficie de l’assistance ou de la collaboration de ceux-ci, à leur demande ou de sa propre initiative;

| j) | il prête assistance ou apporte sa collaboration aux autorités nationales de pays tiers et aux organisations internationales, ou il bénéficie de l’assistance ou de la collaboration de celles-ci, à leur demande ou de sa propre initiative. |
| --- | --- |

j)

il prête assistance ou apporte sa collaboration aux autorités nationales de pays tiers et aux organisations internationales, ou il bénéficie de l’assistance ou de la collaboration de celles-ci, à leur demande ou de sa propre initiative.

2.   Les catégories de données comprennent les données d’identification de personnes physiques, les coordonnées, les fonctions et rôles professionnels, les informations sur la conduite et les performances professionnelles et privées, les données sur l’implication dans le dossier et les données financières.

3.   L’application des limitations susmentionnées est sans préjudice de l’application éventuelle des dispositions de l’article 16, paragraphe 5, et de l’article 17, paragraphe 4, qui portent, respectivement, sur le droit à l’information lorsque les données à caractère personnel n’ont pas été recueillies auprès de la personne concernée, et sur le droit d’accès de la personne concernée.

4.   Toute limitation doit respecter l’essence des libertés et droits fondamentaux et constituer une mesure nécessaire et proportionnée dans une société démocratique, comme prévu dans le règlement, les actes réglementaires correspondants ou les politiques internes du FEI ou du Groupe BEI.

5.   Toute limitation doit être fondée sur une autorisation expresse s’inscrivant dans le cadre d’une politique ou procédure interne efficace du FEI et porter atteinte le moins possible aux droits des personnes concernées, comme l’a confirmé le DPD.

6.   Une évaluation de la nécessité et de la proportionnalité, que le DPD doit juger satisfaisante, est effectuée au cas par cas avant l’application des limitations. Les limitations se réduisent à ce qui est strictement nécessaire pour atteindre les objectifs fixés. Les limitations ne sont établies que pour la durée requise en raison du motif pertinent au sens du paragraphe 1, qui est désigné comme le motif de la limitation, qui devra être justifiée à la satisfaction du DPD.

7.   Lorsque IG/IN limite, en tout ou en partie, la communication d’informations aux personnes pertinentes pour l’enquête (personne concernée, témoin ou informateur), cette division veille à consigner dans un relevé les motifs de la limitation, accompagnés d’une évaluation de la nécessité et de la proportionnalité de cette dernière. À cette fin, le relevé précise la manière dont la communication des informations compromettrait la finalité des activités d’enquête d’IG/IN ou des limitations appliquées conformément à l’article 2, paragraphe 1, points f), g) et h), de la présente décision, ou dont elle porterait atteinte aux droits et libertés d’autres personnes concernées. Le relevé et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont enregistrés. Ils sont mis à la disposition du Contrôleur européen de la protection des données (CEPD) sur demande.

8.   Dans une optique de responsabilité, le FEI dépose un dossier décrivant les raisons des limitations appliquées, les motifs parmi ceux énumérés au paragraphe 1 qui s’appliquent et le résultat de l’évaluation de la nécessité et de la proportionnalité. Ces dossiers font partie d’un registre ad hoc, qui est mis à la disposition du CEPD sur demande.

9.   Lorsqu’il traite des données à caractère personnel échangées avec d’autres organisations dans le cadre de ses missions, le FEI et ces organisations doivent se consulter sur les motifs pertinents de l’imposition des limitations et sur la nécessité et la proportionnalité des limitations, à moins que cela ne compromette les activités du FEI.

Article 3

Risques pour les droits et libertés des personnes concernées

L’évaluation des risques pour les droits et libertés des personnes concernées dont les données à caractère personnel peuvent faire l’objet de limitations, ainsi que leur durée de conservation, sont mentionnées dans le registre des activités de traitement concernées conformément à l’article 31 du règlement et, le cas échéant, dans les analyses d’impact relatives à la protection des données fondées sur l’article 39 du règlement.

Article 4

Durée de conservation et garanties

Le FEI met en œuvre des garanties afin de prévenir les abus ou l’accès ou le transfert illicites de données à caractère personnel susceptibles de faire l’objet de limitations. Ces garanties comprennent des mesures techniques et organisationnelles et sont détaillées, le cas échéant, dans les décisions, procédures et dispositions d’application du FEI. Il s’agira notamment:

| 1) | d’une définition adéquate des rôles, des responsabilités et des étapes de la procédure; |
| --- | --- |

1)

d’une définition adéquate des rôles, des responsabilités et des étapes de la procédure;

| 2) | le cas échéant, d’un environnement électronique sécurisé qui empêche l’accès ou le transfert illicites ou accidentels de données électroniques à des personnes non autorisées; |
| --- | --- |

2)

le cas échéant, d’un environnement électronique sécurisé qui empêche l’accès ou le transfert illicites ou accidentels de données électroniques à des personnes non autorisées;

| 3) | le cas échéant, de la conservation et du traitement sécurisés des documents papier; |
| --- | --- |

3)

le cas échéant, de la conservation et du traitement sécurisés des documents papier;

| 4) | d’un suivi régulier des limitations et d’une révision périodique, qui doit être effectuée au moins tous les six mois par le DPD. Une révision doit également être effectuée en cas de modification d’éléments essentiels du cas d’espèce. Les limitations sont levées dès que les circonstances qui les justifient ne s’appliquent plus. |
| --- | --- |

4)

d’un suivi régulier des limitations et d’une révision périodique, qui doit être effectuée au moins tous les six mois par le DPD. Une révision doit également être effectuée en cas de modification d’éléments essentiels du cas d’espèce. Les limitations sont levées dès que les circonstances qui les justifient ne s’appliquent plus.

Article 5

Information et examen par le délégué à la protection des données

1.   Le DPD est informé dans les meilleurs délais dès lors que les droits des personnes concernées sont limités conformément à la présente décision et a pleinement accès, sans restriction, au dossier et à tout document contenant des éléments sous-jacents de fait et de droit, qui sont pertinents aux fins de la décision relative à la limitation et au suivi du maintien de la limitation.

2.   Le DPD peut demander à examiner l’application de la limitation.

3.   Si, au cours de ses propres enquêtes, le DPD applique des limitations, il en informe le responsable du traitement dans les meilleurs délais.

4.   La participation du DPD à la procédure de limitation, y compris aux échanges d’informations, est documentée sous la forme appropriée et inscrite dans les dossiers et registres correspondants.

5.   Dans le contexte des enquêtes sur les manœuvres interdites, la division Enquêtes sur les fraudes de la BEI consulte le DPD avant l’application de certains motifs de limitation visés à l’article 25 du règlement, aux opérations de traitement des données effectuées dans le cadre de ses missions définies dans la politique antifraude du FEI, la charte de la division Enquêtes sur les fraudes et les procédures d’enquête.

Article 6

Information des personnes concernées sur les limitations de leurs droits

1.   Le FEI inclut dans les avis de protection des données publiés sur son site internet des informations générales à l’intention des personnes concernées et qui portent sur les limitations potentielles de l’ensemble des droits des personnes concernées décrites à l’article 2, paragraphe 1. Ces informations précisent quels sont les droits susceptibles d’être limités.

2.   Le FEI informe les personnes concernées individuellement de toute limitation présente ou future de leurs droits dans les meilleurs délais et par écrit, comme précisé aux articles 7, 8 et 9.

Article 7

Droit à l’information des personnes concernées et communication relative aux violations de données

1.   Lorsque, dans le cadre des activités visées dans la présente décision, le FEI limite, en tout ou en partie, leurs droits visés aux articles 14 à 16 et à l’article 35 du règlement, les personnes concernées sont informées des principales raisons qui motivent l’application de la limitation, de leur droit de saisir le CEPD et de former un recours juridictionnel devant la Cour de justice de l’Union européenne. Cette limitation est conforme aux règles établies et au processus décrit dans la présente décision.

2.   Le FEI peut différer, omettre ou refuser la communication d’informations sur les motifs de la limitation visée au paragraphe 1 dès lors que cela priverait d’effet la limitation. Cette évaluation se fait au cas par cas. Tout report ou refus doit être dûment justifié, à la satisfaction du DPD, et figurer dans les dossiers et registres pertinents. Afin d’éviter toute ambiguïté, les personnes concernées sont informées de leurs droits d’introduire une réclamation auprès du CEPD et de former un recours juridictionnel devant la Cour de justice de l’Union européenne contre la décision de différer ou de refuser la communication des informations visées au paragraphe 1 ci-dessus.

Article 8

Droit d’accès, de rectification, d’effacement et de limitation du traitement des données des personnes concernées

1.   Lorsque, dans le cadre des activités visées dans la présente décision, le FEI limite, en tout ou en partie, le droit d’accès aux données à caractère personnel, le droit de rectification, d’effacement et de limitation du traitement visé aux articles 17 à 20, respectivement, du règlement, il informe la personne concernée, dans la réponse à sa demande, des principales raisons qui motivent l’application de la limitation, de son droit de saisir le CEPD et de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

2.   Lorsque le droit d’accès est, en tout ou en partie, limité, le FEI, lorsqu’il examine la réclamation, communique uniquement à la personne concernée si les données ont été traitées correctement et, si tel n’est pas le cas, si les corrections nécessaires ont été apportées, conformément à l’article 25, paragraphe 7, du règlement.

3.   Le FEI peut différer, omettre ou refuser la communication d’informations concernant les motifs de la limitation visée aux paragraphes 1 et 2, dans la mesure où et aussi longtemps que cela prive d’effet la limitation. Cette évaluation se fait au cas par cas et suit les règles établies et le processus décrit dans la présente décision.

Article 9

Confidentialité des communications électroniques

1.   Le FEI, peut, dans des cas exceptionnels et conformément aux dispositions et au principe de la directive 2002/58/CE du Parlement européen et du Conseil (3), limiter le droit à la confidentialité des communications électroniques, comme le prévoit l’article 36 du règlement. Dans ce cas, le FEI précise les circonstances, les motifs, les risques pertinents et les garanties connexes dans des règles internes spécifiques.

2.   Lorsque le FEI restreint le droit à la confidentialité des communications électroniques, il informe la personne concernée, dans la réponse à sa demande, des principales raisons qui motivent l’application de la limitation, de son droit de saisir le CEPD et de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

3.   Le FEI peut différer, omettre ou refuser la communication d’informations sur les motifs de la limitation visée aux paragraphes 1 et 2 dès lors que cela priverait d’effet la limitation. Cette évaluation se fait au cas par cas.

Article 10

Entrée en vigueur

La présente décision et toute modification y relative seront approuvées par le conseil d’administration du FEI et entreront en vigueur le vingtième jour à compter de leur publication au Journal officiel de l’Union européenne.

Journal officiel de l’Union européenne

Fait à Luxembourg, le 4 juin 2020.

---

(1)  
  JO L 295 du 21.11.2018, p. 39.

1

(2)  Commentaires et recommandations du CEPD datés du 20 février 2020 [DH/CCP/ALS/D(2020) 0372 C2019-1114].

2

(3)  Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques) (JO L 201 du 31.7.2002, p. 37).

3

---

| 22.7.2020 | FR | Journal officiel de l’Union européenne | L 236/7 |
| --- | --- | --- | --- |

22.7.2020

FR

Journal officiel de l’Union européenne

L 236/7

---

DÉCISION No 1/2020 DU CONSEIL D’ADMINISTRATION DE L’ENTREPRISE COMMUNE SHIFT2RAIL

du 26 mars 2020

portant règles internes relatives aux limitations de certains droits des personnes concernées en matière de traitement des données à caractère personnel dans le cadre du fonctionnement de l’EC S2R

LE CONSEIL D’ADMINISTRATION DE L’ENTREPRISE COMMUNE SHIFT2RAIL (ci-après dénommée l’«EC S2R»),

vu le traité sur le fonctionnement de l’Union européenne (1),

vu le règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (2), et notamment son article 25,

vu le règlement (UE) n° 642/2014 du Conseil du 16 juin 2014 portant création de l’entreprise commune Shift2Rail (3), et notamment l’article 8 des statuts annexés audit règlement,

vu les orientations du Contrôleur européen de la protection des données (CEPD) sur l’article 25 du nouveau règlement et les règles internes,

après consultation du CEPD le 12 novembre 2019, conformément à l’article 41, paragraphe 2, du règlement (UE) 2018/1725,

vu l’avis du CEPD du 18 décembre 2019,

après consultation du comité du personnel de l’EC S2R,

considérant ce qui suit:

| (1) | Seuls les actes juridiques adoptés sur la base des traités prévoient une limitation des droits des personnes concernées. Lorsque ces limitations ne peuvent pas être fondées sur des actes juridiques adoptés sur la base des traités, le règlement (UE) 2018/1725 prévoit que, pour les questions relatives aux activités de l’EC S2R, des limitations peuvent être prévues par des règles internes, y compris les dispositions de celles-ci relatives à l’appréciation de la nécessité et de la proportionnalité d’une limitation. |
| --- | --- |

(1)

Seuls les actes juridiques adoptés sur la base des traités prévoient une limitation des droits des personnes concernées. Lorsque ces limitations ne peuvent pas être fondées sur des actes juridiques adoptés sur la base des traités, le règlement (UE) 2018/1725 prévoit que, pour les questions relatives aux activités de l’EC S2R, des limitations peuvent être prévues par des règles internes, y compris les dispositions de celles-ci relatives à l’appréciation de la nécessité et de la proportionnalité d’une limitation.

| (2) | Conformément à l’article 25, paragraphe 1, du règlement (UE) 2018/1725, les limitations de l’application des articles 14 à 22, 35 et 36, ainsi que de l’article 4 dudit règlement dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 22, devraient être fondées sur des règles internes à adopter par l’EC S2R. |
| --- | --- |

(2)

Conformément à l’article 25, paragraphe 1, du règlement (UE) 2018/1725, les limitations de l’application des articles 14 à 22, 35 et 36, ainsi que de l’article 4 dudit règlement dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 22, devraient être fondées sur des règles internes à adopter par l’EC S2R.

| (3) | L’EC S2R peut, dans le cadre de son fonctionnement administratif, mener des enquêtes administratives, des procédures disciplinaires et des activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’Office européen de lutte antifraude (l’«OLAF»), traiter des cas de dénonciation des dysfonctionnements, traiter des procédures (formelles et informelles) en cas de harcèlement, traiter des plaintes internes et externes, procéder à des audits internes, confier la conduite d’enquêtes au délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725, et mener des enquêtes de sécurité (informatique) interne. |
| --- | --- |

(3)

L’EC S2R peut, dans le cadre de son fonctionnement administratif, mener des enquêtes administratives, des procédures disciplinaires et des activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’Office européen de lutte antifraude (l’«OLAF»), traiter des cas de dénonciation des dysfonctionnements, traiter des procédures (formelles et informelles) en cas de harcèlement, traiter des plaintes internes et externes, procéder à des audits internes, confier la conduite d’enquêtes au délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725, et mener des enquêtes de sécurité (informatique) interne.

| (4) | L’EC S2R traite plusieurs catégories de données à caractère personnel, telles que les données d’identification, les coordonnées, les données professionnelles, les données administratives, les données provenant de sources spécifiques, les communications électroniques et les données relatives au trafic, et les données relatives à l’affaire (telles que le raisonnement, les données comportementales, les évaluations, les données relatives à la performance et à la conduite, ainsi que les données touchant à l’objet de la procédure ou de l’activité, ou soumises en rapport avec celui-ci) (4). |
| --- | --- |

(4)

L’EC S2R traite plusieurs catégories de données à caractère personnel, telles que les données d’identification, les coordonnées, les données professionnelles, les données administratives, les données provenant de sources spécifiques, les communications électroniques et les données relatives au trafic, et les données relatives à l’affaire (telles que le raisonnement, les données comportementales, les évaluations, les données relatives à la performance et à la conduite, ainsi que les données touchant à l’objet de la procédure ou de l’activité, ou soumises en rapport avec celui-ci) (4).

| (5) | L’EC S2R, représentée par son directeur exécutif, agit en qualité de responsable du traitement des données. |
| --- | --- |

(5)

L’EC S2R, représentée par son directeur exécutif, agit en qualité de responsable du traitement des données.

| (6) | Les données à caractère personnel sont conservées de manière sécurisée dans un environnement électronique ou sur papier, ce qui empêche tout accès illicite aux données par des personnes qui n’ont pas besoin d’en connaître ou tout transfert illicite à ces dernières. Les données à caractère personnel traitées ne sont pas conservées plus longtemps que ce qui est nécessaire et approprié aux finalités pour lesquelles elles sont traitées, pendant la période indiquée dans les avis relatifs à la protection des données, les déclarations de confidentialité ou les registres de l’EC S2R. |
| --- | --- |

(6)

Les données à caractère personnel sont conservées de manière sécurisée dans un environnement électronique ou sur papier, ce qui empêche tout accès illicite aux données par des personnes qui n’ont pas besoin d’en connaître ou tout transfert illicite à ces dernières. Les données à caractère personnel traitées ne sont pas conservées plus longtemps que ce qui est nécessaire et approprié aux finalités pour lesquelles elles sont traitées, pendant la période indiquée dans les avis relatifs à la protection des données, les déclarations de confidentialité ou les registres de l’EC S2R.

| (7) | Les règles internes devraient s’appliquer à toutes les opérations de traitement effectuées par l’EC S2R dans la conduite d’enquêtes administratives, de procédures disciplinaires, d’activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF, de procédures de dénonciation des dysfonctionnements, de procédures (formelles et informelles) en cas de harcèlement, dans le traitement de plaintes internes et externes, la réalisation d’audits internes, la conduite d’enquêtes par le délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725, et la conduite d’enquêtes de sécurité (informatique) réalisées en interne ou avec une participation externe (CERT-UE, par exemple). |
| --- | --- |

(7)

Les règles internes devraient s’appliquer à toutes les opérations de traitement effectuées par l’EC S2R dans la conduite d’enquêtes administratives, de procédures disciplinaires, d’activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF, de procédures de dénonciation des dysfonctionnements, de procédures (formelles et informelles) en cas de harcèlement, dans le traitement de plaintes internes et externes, la réalisation d’audits internes, la conduite d’enquêtes par le délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725, et la conduite d’enquêtes de sécurité (informatique) réalisées en interne ou avec une participation externe (CERT-UE, par exemple).

| (8) | Ces règles internes devraient s’appliquer aux opérations de traitement effectuées avant le lancement des procédures visées ci-dessus, au cours de ces procédures et pendant le suivi des mesures prises à l’issue de ces procédures. Elles devraient aussi couvrir l’assistance et la coopération fournies par l’EC S2R aux autorités nationales et organisations internationales en dehors de ses enquêtes administratives. |
| --- | --- |

(8)

Ces règles internes devraient s’appliquer aux opérations de traitement effectuées avant le lancement des procédures visées ci-dessus, au cours de ces procédures et pendant le suivi des mesures prises à l’issue de ces procédures. Elles devraient aussi couvrir l’assistance et la coopération fournies par l’EC S2R aux autorités nationales et organisations internationales en dehors de ses enquêtes administratives.

| (9) | Dans les cas où ces règles internes s’appliquent, l’EC S2R doit justifier les raisons pour lesquelles les limitations sont strictement nécessaires et proportionnées dans une société démocratique et respectent le contenu essentiel des libertés et droits fondamentaux. |
| --- | --- |

(9)

Dans les cas où ces règles internes s’appliquent, l’EC S2R doit justifier les raisons pour lesquelles les limitations sont strictement nécessaires et proportionnées dans une société démocratique et respectent le contenu essentiel des libertés et droits fondamentaux.

| (10) | Dans ce cadre, l’EC S2R est tenue de respecter, dans toute la mesure du possible, les droits fondamentaux des personnes concernées au cours des procédures susmentionnées, notamment ceux relatifs au droit à l’information, au droit d’accès et de rectification, au droit à l’effacement, à la limitation du traitement, au droit à la communication d’une violation de données à caractère personnel à la personne concernée ou à la confidentialité des communications, tels que consacrés par le règlement (UE) 2018/1725. |
| --- | --- |

(10)

Dans ce cadre, l’EC S2R est tenue de respecter, dans toute la mesure du possible, les droits fondamentaux des personnes concernées au cours des procédures susmentionnées, notamment ceux relatifs au droit à l’information, au droit d’accès et de rectification, au droit à l’effacement, à la limitation du traitement, au droit à la communication d’une violation de données à caractère personnel à la personne concernée ou à la confidentialité des communications, tels que consacrés par le règlement (UE) 2018/1725.

| (11) | Toutefois, l’EC S2R peut être obligée de limiter la communication d’informations à la personne concernée et d’autres droits de la personne concernée afin de protéger, en particulier, ses propres enquêtes, les enquêtes et les procédures d’autres autorités publiques, ainsi que les droits d’autres personnes liées à ses enquêtes ou à d’autres procédures. |
| --- | --- |

(11)

Toutefois, l’EC S2R peut être obligée de limiter la communication d’informations à la personne concernée et d’autres droits de la personne concernée afin de protéger, en particulier, ses propres enquêtes, les enquêtes et les procédures d’autres autorités publiques, ainsi que les droits d’autres personnes liées à ses enquêtes ou à d’autres procédures.

| (12) | Lorsque l’EC S2R envisage d’appliquer une limitation, le risque pour les droits et libertés de la personne concernée doit être mis en balance, en particulier, avec le risque pour les droits et libertés d’autres personnes concernées et le risque de priver d’effet les enquêtes ou procédures de l’EC S2R, notamment par la destruction de preuves. Les risques pour les droits et libertés de la personne concernée portent principalement, mais pas seulement, sur les risques pour la réputation et les risques pour les droits de la défense et le droit d’être entendu. |
| --- | --- |

(12)

Lorsque l’EC S2R envisage d’appliquer une limitation, le risque pour les droits et libertés de la personne concernée doit être mis en balance, en particulier, avec le risque pour les droits et libertés d’autres personnes concernées et le risque de priver d’effet les enquêtes ou procédures de l’EC S2R, notamment par la destruction de preuves. Les risques pour les droits et libertés de la personne concernée portent principalement, mais pas seulement, sur les risques pour la réputation et les risques pour les droits de la défense et le droit d’être entendu.

| (13) | L’EC S2R peut donc limiter la communication d’informations dans le but de protéger l’enquête ainsi que les libertés et droits fondamentaux d’autres personnes concernées. |
| --- | --- |

(13)

L’EC S2R peut donc limiter la communication d’informations dans le but de protéger l’enquête ainsi que les libertés et droits fondamentaux d’autres personnes concernées.

| (14) | L’EC S2R devrait vérifier régulièrement que les conditions qui justifient la limitation s’appliquent et lever la limitation dès lors que celles-ci cessent de s’appliquer. |
| --- | --- |

(14)

L’EC S2R devrait vérifier régulièrement que les conditions qui justifient la limitation s’appliquent et lever la limitation dès lors que celles-ci cessent de s’appliquer.

| (15) | Le responsable du traitement devrait informer le délégué à la protection des données au moment de différer la communication d’informations et lors des révisions, |
| --- | --- |

(15)

Le responsable du traitement devrait informer le délégué à la protection des données au moment de différer la communication d’informations et lors des révisions,

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier

Objet et champ d’application

1.   La présente décision fixe les conditions dans lesquelles l’EC S2R peut, dans le cadre de ses procédures visées au point 2, limiter l’application des droits consacrés aux articles 14 à 21, 35 et 36, ainsi qu’à l’article 4, du règlement (UE) 2018/1725, en vertu de son article 25.

2.   La présente décision s’applique, dans le cadre du fonctionnement administratif de l’EC S2R, aux opérations de traitement de données à caractère personnel que le bureau du programme effectue aux fins suivantes: mener des enquêtes administratives, des procédures disciplinaires, des activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF, traiter des cas de dénonciation des dysfonctionnements, des procédures (formelles et informelles) en cas de harcèlement, traiter des plaintes internes et externes, réaliser des audits internes, confier la conduite d’enquêtes au délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725, et mener des enquêtes de sécurité (informatique) en interne ou avec une participation externe (CERT-UE, par exemple).

3.   Les catégories de données concernées incluent les données d’identification, les coordonnées, les données professionnelles, les données administratives, les données provenant de sources spécifiques, les communications électroniques et les données relatives au trafic, et les données relatives à l’affaire, telles que le raisonnement, les données comportementales, les évaluations, les données relatives à la performance et à la conduite, ainsi que les données touchant à l’objet de la procédure ou de l’activité, ou soumises en rapport avec celui-ci.

4.   Lorsque l’EC S2R exerce ses fonctions en ce qui concerne les droits des personnes concernées en vertu du règlement (UE) 2018/1725, elle examine si l’une des dérogations établies dans ledit règlement s’applique.

Article 2

Spécification du responsable du traitement

Le responsable du traitement est l’EC S2R, représentée par son directeur exécutif.

Article 3

Spécification des garanties

1.   L’EC S2R met en place les garanties suivantes visant à empêcher une utilisation abusive ou un accès ou transfert illicites de données à caractère personnel:

| a) | la conservation des documents papier dans des armoires sécurisées et accessibles au seul personnel habilité; |
| --- | --- |

a)

la conservation des documents papier dans des armoires sécurisées et accessibles au seul personnel habilité;

| b) | le stockage de toutes les données électroniques dans une application informatique sécurisée, conformément aux normes de sécurité de l’EC S2R, ainsi que dans des dossiers électroniques spécifiques accessibles au seul personnel habilité. Les niveaux d’accès appropriés sont accordés individuellement; |
| --- | --- |

b)

le stockage de toutes les données électroniques dans une application informatique sécurisée, conformément aux normes de sécurité de l’EC S2R, ainsi que dans des dossiers électroniques spécifiques accessibles au seul personnel habilité. Les niveaux d’accès appropriés sont accordés individuellement;

| c) | la protection de la base de données par un mot de passe dans un système d’authentification unique et la connexion automatique de la base de données à l’identifiant et au mot de passe de l’utilisateur, y compris la «pseudonymisation» et/ou le «chiffrement» le cas échéant. Le remplacement d’utilisateurs est strictement interdit. Les enregistrements électroniques sont conservés en toute sécurité afin de préserver la confidentialité et le caractère privé des données qu’ils contiennent; |
| --- | --- |

c)

la protection de la base de données par un mot de passe dans un système d’authentification unique et la connexion automatique de la base de données à l’identifiant et au mot de passe de l’utilisateur, y compris la «pseudonymisation» et/ou le «chiffrement» le cas échéant. Le remplacement d’utilisateurs est strictement interdit. Les enregistrements électroniques sont conservés en toute sécurité afin de préserver la confidentialité et le caractère privé des données qu’ils contiennent;

| d) | toutes les personnes ayant accès aux données sont tenues de respecter l’obligation de confidentialité. |
| --- | --- |

d)

toutes les personnes ayant accès aux données sont tenues de respecter l’obligation de confidentialité.

2.   Conformément à l’article 6, paragraphe 3, les garanties visées au paragraphe 1 devraient faire l’objet d’un examen périodique.

3.   La durée de conservation des données à caractère personnel visées à l’article 1, paragraphe 3, est indiquée dans les avis relatifs à la protection des données, déclarations de confidentialité ou registres mentionnés à l’article 7, paragraphe 1. En tout état de cause, la durée de conservation n’est pas plus longue que nécessaire et elle est appropriée aux finalités pour lesquelles les données sont traitées (5).

Article 4

Motifs de restrictions

1.   L’EC S2R n’appliquera une limitation que pour sauvegarder:

| a) | la sécurité nationale, la sécurité publique ou la défense des États membres; |
| --- | --- |

a)

la sécurité nationale, la sécurité publique ou la défense des États membres;

| b) | la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces; |
| --- | --- |

b)

la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces;

| c) | d’autres objectifs importants d’intérêt public général de l’Union ou d’un État membre, en particulier les objectifs de la politique étrangère et de sécurité commune de l’Union ou un intérêt économique ou financier important de l’Union ou d’un État membre, y compris dans les domaines monétaire, budgétaire et fiscal, de la santé publique et de la sécurité sociale; |
| --- | --- |

c)

d’autres objectifs importants d’intérêt public général de l’Union ou d’un État membre, en particulier les objectifs de la politique étrangère et de sécurité commune de l’Union ou un intérêt économique ou financier important de l’Union ou d’un État membre, y compris dans les domaines monétaire, budgétaire et fiscal, de la santé publique et de la sécurité sociale;

| d) | la sécurité interne des institutions et organes de l’Union, notamment de leurs réseaux de communications électroniques; |
| --- | --- |

d)

la sécurité interne des institutions et organes de l’Union, notamment de leurs réseaux de communications électroniques;

| e) | la prévention et la détection de manquements à la déontologie des professions réglementées, ainsi que les enquêtes et les poursuites en la matière; |
| --- | --- |

e)

la prévention et la détection de manquements à la déontologie des professions réglementées, ainsi que les enquêtes et les poursuites en la matière;

| f) | une mission de contrôle, d’inspection ou de réglementation liée, même occasionnellement, à l’exercice de l’autorité publique, dans les cas visés aux points a) à c); |
| --- | --- |

f)

une mission de contrôle, d’inspection ou de réglementation liée, même occasionnellement, à l’exercice de l’autorité publique, dans les cas visés aux points a) à c);

| g) | la protection de la personne concernée ou des droits et libertés d’autrui; |
| --- | --- |

g)

la protection de la personne concernée ou des droits et libertés d’autrui;

| h) | l’exécution des demandes de droit civil. |
| --- | --- |

h)

l’exécution des demandes de droit civil.

2.   L’EC S2R peut, à titre d’application spécifique des finalités décrites au paragraphe 1 ci-dessus, appliquer des limitations dans les cas suivants:

| a) | en ce qui concerne les données à caractère personnel échangées avec les services de la Commission ou d’autres institutions, organes et organismes de l’Union;






  — | lorsque ce service de la Commission, cette institution, cet organe ou cet organisme de l’Union est habilité à limiter l’exercice des droits énoncés sur la base d’autres actes prévus à l’article 25 du règlement (UE) 2018/1725 ou conformément au chapitre IX dudit règlement ou aux actes fondateurs d’autres institutions, organes et organismes de l’Union; |
| --- | --- | --- |

a)

en ce qui concerne les données à caractère personnel échangées avec les services de la Commission ou d’autres institutions, organes et organismes de l’Union;

—

lorsque ce service de la Commission, cette institution, cet organe ou cet organisme de l’Union est habilité à limiter l’exercice des droits énoncés sur la base d’autres actes prévus à l’article 25 du règlement (UE) 2018/1725 ou conformément au chapitre IX dudit règlement ou aux actes fondateurs d’autres institutions, organes et organismes de l’Union;

| — | lorsque la finalité de cette limitation fixée par ce service de la Commission, cette institution, cet organe ou cet organisme de l’Union serait compromise si l’EC S2R n’appliquait pas une limitation équivalente à l’égard des mêmes données à caractère personnel; |
| --- | --- |

—

lorsque la finalité de cette limitation fixée par ce service de la Commission, cette institution, cet organe ou cet organisme de l’Union serait compromise si l’EC S2R n’appliquait pas une limitation équivalente à l’égard des mêmes données à caractère personnel;

| b) | en ce qui concerne les données à caractère personnel échangées avec les autorités compétentes des États membres;






  — | lorsque ces autorités compétentes des États membres sont habilitées à limiter l’exercice des droits énoncés sur la base des actes visés à l’article 23 du règlement (UE) 2016/679 du Parlement européen et du Conseil (6) ou en vertu de mesures nationales transposant l’article 13, paragraphe 3, l’article 15, paragraphe 3, ou l’article 16, paragraphe 3, de la directive (UE) 2016/680 du Parlement européen et du Conseil (7); |
| --- | --- | --- |

b)

en ce qui concerne les données à caractère personnel échangées avec les autorités compétentes des États membres;

—

lorsque ces autorités compétentes des États membres sont habilitées à limiter l’exercice des droits énoncés sur la base des actes visés à l’article 23 du règlement (UE) 2016/679 du Parlement européen et du Conseil (6) ou en vertu de mesures nationales transposant l’article 13, paragraphe 3, l’article 15, paragraphe 3, ou l’article 16, paragraphe 3, de la directive (UE) 2016/680 du Parlement européen et du Conseil (7);

| — | lorsque la finalité de cette limitation fixée par cette autorité compétente serait compromise si l’EC S2R n’appliquait pas une limitation équivalente à l’égard des mêmes données à caractère personnel; |
| --- | --- |

—

lorsque la finalité de cette limitation fixée par cette autorité compétente serait compromise si l’EC S2R n’appliquait pas une limitation équivalente à l’égard des mêmes données à caractère personnel;

| c) | en ce qui concerne les données à caractère personnel échangées avec des pays tiers ou des organisations internationales, lorsqu’il existe des preuves manifestes que l’exercice de ces droits et obligations est susceptible de compromettre la coopération de l’EC S2R avec des pays tiers ou des organisations internationales dans l’accomplissement de ses missions. |
| --- | --- |

c)

en ce qui concerne les données à caractère personnel échangées avec des pays tiers ou des organisations internationales, lorsqu’il existe des preuves manifestes que l’exercice de ces droits et obligations est susceptible de compromettre la coopération de l’EC S2R avec des pays tiers ou des organisations internationales dans l’accomplissement de ses missions.

Avant d’appliquer des limitations dans les cas visés aux points a) et b) du premier alinéa, l’EC S2R consulte les services compétents de la Commission, les institutions, organes et organismes de l’Union ou les autorités compétentes des États membres, à moins qu’il ne soit clair pour l’EC S2R que l’application d’une limitation est prévue par l’un des actes visés à ces points.

Article 5

Limitations et droits des personnes concernées

1.   Dans des cas dûment justifiés et dans les conditions stipulées dans la présente décision, les droits suivants peuvent être limités par le responsable du traitement dans le cadre des opérations de traitement énumérées à l’article 1er, paragraphe 2, et au paragraphe 2 ci-dessous lorsque cela est nécessaire et proportionné:

| a) | droit à l’information; |
| --- | --- |

a)

droit à l’information;

| b) | droit d’accès; |
| --- | --- |

b)

droit d’accès;

| c) | droit de rectification, droit à l’effacement et droit à la limitation du traitement; |
| --- | --- |

c)

droit de rectification, droit à l’effacement et droit à la limitation du traitement;

| d) | droit à la communication d’une violation de données à caractère personnel à la personne concernée; |
| --- | --- |

d)

droit à la communication d’une violation de données à caractère personnel à la personne concernée;

| e) | droit à la confidentialité des communications électroniques; |
| --- | --- |

e)

droit à la confidentialité des communications électroniques;

2.   dans des cas dûment justifiés et afin de garantir les finalités visées à l’article 4, paragraphe 1, des limitations peuvent être appliquées par le responsable du traitement dans le cadre des opérations de traitement suivantes visées à l’article 1er, paragraphe 2:

| a) | la conduite d’enquêtes administratives et de procédures disciplinaires; |
| --- | --- |

a)

la conduite d’enquêtes administratives et de procédures disciplinaires;

| b) | les activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF; |
| --- | --- |

b)

les activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF;

| c) | les procédures de dénonciation des dysfonctionnements; |
| --- | --- |

c)

les procédures de dénonciation des dysfonctionnements;

| d) | les procédures (formelles et informelles) en cas de harcèlement; |
| --- | --- |

d)

les procédures (formelles et informelles) en cas de harcèlement;

| e) | le traitement de plaintes internes et externes; |
| --- | --- |

e)

le traitement de plaintes internes et externes;

| f) | les audits internes; |
| --- | --- |

f)

les audits internes;

| g) | les enquêtes menées par le délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725; |
| --- | --- |

g)

les enquêtes menées par le délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725;

| h) | les enquêtes de sécurité (informatique) conduites en interne ou avec une participation externe (par exemple CERT-UE); |
| --- | --- |

h)

les enquêtes de sécurité (informatique) conduites en interne ou avec une participation externe (par exemple CERT-UE);

| i) | dans le cadre de la procédure de gestion des subventions ou de passation de marchés, après la date de clôture pour la soumission des appels à propositions ou le dépôt des offres. |
| --- | --- |

i)

dans le cadre de la procédure de gestion des subventions ou de passation de marchés, après la date de clôture pour la soumission des appels à propositions ou le dépôt des offres.

3.   Dans le cadre d’une procédure en cas de harcèlement, les droits visés au paragraphe 1 peuvent être limités dans les mêmes conditions, à l’exception du droit à la communication d’une violation de données à caractère personnel à la personne concernée, visé au paragraphe 1, point d).

4.   Dans le cadre d’une procédure de gestion des subventions ou de passation de marché, les droits visés au paragraphe 1 peuvent être limités dans les mêmes conditions, à l’exception du droit de rectification, du droit à l’effacement et du droit à la limitation du traitement visés au paragraphe 1, point c).

5.   Dans des cas dûment justifiés et dans les conditions visées dans la présente décision, le droit de rectification, le droit à l’effacement et le droit à la limitation du traitement peuvent être limités par le responsable du traitement, sous réserve des exceptions prévues aux paragraphes 3 et 4.

6.   Lorsque l’EC S2R limite, en tout ou en partie, l’application des droits visés aux paragraphes 1, 3, 4 et 5, elle prend les mesures visées aux articles 6 et 7 de la présente décision.

7.   Dans les cas où les personnes concernées demandent à accéder à leurs données à caractère personnel traitées dans le cadre d’un ou de plusieurs cas spécifiques ou d’une opération de traitement particulière, conformément à l’article 17 du règlement (UE) 2018/1725, l’EC S2R limite son examen de la demande à ces seules données à caractère personnel.

Article 6

Nécessité et proportionnalité des limitations

1.   Toute limitation fondée sur l’article 4 est nécessaire et proportionnée au regard des risques pour les droits et libertés des personnes concernées et respecte le contenu essentiel des libertés et droits fondamentaux dans une société démocratique.

2.   Si l’application de limitations est envisagée, une évaluation de la nécessité et de la proportionnalité est effectuée sur la base des règles en vigueur. L’évaluation est également effectuée dans le cadre de l’examen périodique, après qu’il a été déterminé si les raisons de fait et de droit justifiant la limitation continuent de s’appliquer. Le résultat de cette évaluation est consigné dans une note d’évaluation interne, afin de rendre compte, au cas par cas, des limitations considérées.

3.   Les limitations sont temporaires. Elles continuent de s’appliquer tant que les raisons les justifiant persistent, en particulier, lorsqu’il est considéré que l’exercice du droit limité ne priverait plus d’effet la limitation imposée ou ne porterait plus atteinte aux droits ou aux libertés d’autres personnes concernées.

L’EC S2R examine l’application de la limitation tous les six mois à compter de son adoption et à la clôture de l’enquête ou de la procédure en question. Par la suite, le responsable du traitement vérifie la nécessité de maintenir la limitation tous les six mois.

4.   Lorsque l’EC S2R applique, en tout ou en partie, les limitations visées à l’article 4 de la présente décision, elle consigne dans un relevé les motifs et la base juridique de la limitation conformément au paragraphe 1 ci-dessus, accompagnés d’une évaluation de la nécessité et de la proportionnalité de la limitation.

Le relevé et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont consignés dans un registre. Ils sont mis à la disposition du Contrôleur européen de la protection des données sur demande.

Article 7

Obligation d’informer

1.   L’EC S2R inclut dans les avis relatifs à la protection des données, les déclarations de confidentialité ou les registres, au sens de l’article 31 du règlement (UE) 2018/1725, publiés sur son site web et/ou sur l’intranet pour informer les personnes concernées de leurs droits dans le cadre d’une procédure donnée, des informations relatives à la limitation potentielle de ces droits. Ces informations portent sur les droits susceptibles d’être limités, les motifs de la limitation ainsi que sa durée potentielle.

En outre, sans préjudice des dispositions de l’article 6, paragraphe 4, l’EC S2R informe individuellement, lorsque cela est proportionné, toutes les personnes concernées, qui sont considérées comme des personnes concernées par l’opération de traitement spécifique, de leurs droits au regard des limitations actuelles ou futures, dans les meilleurs délais et par écrit.

2.   Lorsque l’EC S2R limite, en tout ou en partie, les droits visés à l’article 5, elle informe la personne concernée de la limitation appliquée et des principales raisons qui la motivent, ainsi que de la possibilité d’introduire une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

La communication des informations visées au paragraphe 2 ci-dessus peut être différée, omise ou refusée si elle prive d’effet la limitation conformément à l’article 25, paragraphe 8, du règlement (UE) 2018/1725.

Article 8

Réexamen par le délégué à la protection des données

1.   L’EC S2R informe, sans retard injustifié, son délégué à la protection des données (le «DPD») chaque fois que le responsable du traitement limite l’application des droits des personnes concernées, ou étend la limitation, conformément à la présente décision. Le responsable du traitement accorde au DPD un accès au registre contenant l’évaluation de la nécessité et de la proportionnalité de la limitation, et consigne la date à laquelle le DPD a été informé dans le registre.

2.   Le DPD peut demander au responsable du traitement, par écrit, de réexaminer l’application des limitations. Le responsable du traitement informe le DPD par écrit du résultat du réexamen demandé.

3.   Le DPD intervient tout au long de la procédure. Le responsable du traitement informe le DPD lorsque la limitation a été levée.

Article 9

Entrée en vigueur

La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.

Journal officiel de l’Union européenne

Fait à Bruxelles, le 26 mars 2020

Pour le conseil d’administration de l’EC S2R

Henrik HOLOLEI

Le président

---

(1)  
  JO C 202 du 7.6.2016, p. 47.

1

(2)  
  JO L 295 du 21.11.2018, p. 39.

2

(3)  
  JO L 177 du 17.6.2014, p. 9.

3

(4)  En cas de responsabilité conjointe du traitement, les données sont traitées conformément aux moyens et finalités prévus dans l’accord correspondant conclu entre les responsables conjoints du traitement, tel que défini à l’article 28 du règlement (UE) 2018/1725.

4

(5)  La politique de conservation des données de l’EC S2R s’appuie sur la conservation des dossiers au sein de la Commission, qui est régie par la liste commune de conservation [la dernière version est le document SEC(2019) 900], un document à valeur réglementaire structuré comme un tableau de gestion qui définit la durée de conservation des différentes catégories de dossiers de la Commission.

5

(6)  Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1).

6

(7)  Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO L 119 du 4.5.2016, p. 89).

7

---