# Journal officiel C 258/2022

| | ISSN 1977-0936 |
| --- | --- |
| Journal officiel
  de l’Union européenne | C 258 |
| | |
| Édition de langue française | Communications et informations | 65e année5 juillet 2022 |

ISSN 1977-0936

Journal officiel

de l’Union européenne

C 258

Édition de langue française

Communications et informations

65e année5 juillet 2022

---

| Sommaire | page |
| --- | --- |
| | II   Communications |
| | COMMUNICATIONS PROVENANT DES INSTITUTIONS, ORGANES ET ORGANISMES DE L'UNION EUROPÉENNE |
| | Commission européenne |
| 2022/C 258/01 | Non-opposition à une concentration notifiée (Affaire M.10708 — CURA / OCG / DEUTSCHE EUROSHOP JV) (
  1
  ) | 1 |
| 2022/C 258/02 | Non-opposition à une concentration notifiée (Affaire M.10529 — HEIDELBERGCEMENT / THOMA BRAVO / COMMAND ALKON) (
  1
  ) | 2 |

Sommaire

page

II   Communications

COMMUNICATIONS PROVENANT DES INSTITUTIONS, ORGANES ET ORGANISMES DE L'UNION EUROPÉENNE

Commission européenne

2022/C 258/01

Non-opposition à une concentration notifiée (Affaire M.10708 — CURA / OCG / DEUTSCHE EUROSHOP JV) (
  1
  )

1

1

2022/C 258/02

Non-opposition à une concentration notifiée (Affaire M.10529 — HEIDELBERGCEMENT / THOMA BRAVO / COMMAND ALKON) (
  1
  )

1

2

---

| | IV   Informations |
| --- | --- |
| | INFORMATIONS PROVENANT DES INSTITUTIONS, ORGANES ET ORGANISMES DE L'UNION EUROPÉENNE |
| | Commission européenne |
| 2022/C 258/03 | Taux de change de l’euro — 4 juillet 2022 | 3 |
| | Cour des comptes |
| 2022/C 258/04 | Rapport spécial 14/2022 — Réaction de la Commission à la fraude à la politique agricole commune – Il est temps d'attaquer le problème à la racine | 4 |
| | Contrôleur européen de la protection des données |
| 2022/C 258/05 | Résumé de l’avis du contrôleur européen de la protection des données sur la proposition de règlement concernant protection des indications géographiques pour les produits artisanaux et industriels
  (Le texte complet de l’avis en anglais, français et allemand est disponible sur le site Internet du CEPD www.edps.europa.eu) | 5 |
| 2022/C 258/06 | Résumé de l’avis du contrôleur européen de la protection des données sur la proposition de règlement relatif à la sécurité de l’information dans les institutions, organes et organismes de l’Union
  (Le texte complet de l’avis en anglais, français et allemand est disponible sur le site Internet du CEPD www.edps.europa.eu) | 7 |
| 2022/C 258/07 | Résumé de l’avis du contrôleur européen de la protection des données sur la proposition de règlement établissant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans les institutions, organes et organismes de l’Union
  [Le texte complet de l'avis en anglais, français et allemand est disponible sur le site Internet du CEPD www.edps.europa.eu] | 10 |
| | INFORMATIONS PROVENANT DES ÉTATS MEMBRES |
| 2022/C 258/08 | Mise à jour des montants de référence requis pour le franchissement des frontières extérieures, tels que visés à l’article 6, paragraphe 4, du règlement (UE) 2016/399 du Parlement européen et du Conseil concernant un code de l’Union relatif au régime de franchissement des frontières par les personnes (code frontières Schengen) | 13 |

IV   Informations

INFORMATIONS PROVENANT DES INSTITUTIONS, ORGANES ET ORGANISMES DE L'UNION EUROPÉENNE

Commission européenne

2022/C 258/03

Taux de change de l’euro — 4 juillet 2022

3

Cour des comptes

2022/C 258/04

Rapport spécial 14/2022 — Réaction de la Commission à la fraude à la politique agricole commune – Il est temps d'attaquer le problème à la racine

4

Contrôleur européen de la protection des données

2022/C 258/05

Résumé de l’avis du contrôleur européen de la protection des données sur la proposition de règlement concernant protection des indications géographiques pour les produits artisanaux et industriels
  (Le texte complet de l’avis en anglais, français et allemand est disponible sur le site Internet du CEPD www.edps.europa.eu)

(Le texte complet de l’avis en anglais, français et allemand est disponible sur le site Internet du CEPD www.edps.europa.eu)

5

2022/C 258/06

Résumé de l’avis du contrôleur européen de la protection des données sur la proposition de règlement relatif à la sécurité de l’information dans les institutions, organes et organismes de l’Union
  (Le texte complet de l’avis en anglais, français et allemand est disponible sur le site Internet du CEPD www.edps.europa.eu)

(Le texte complet de l’avis en anglais, français et allemand est disponible sur le site Internet du CEPD www.edps.europa.eu)

7

2022/C 258/07

Résumé de l’avis du contrôleur européen de la protection des données sur la proposition de règlement établissant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans les institutions, organes et organismes de l’Union
  [Le texte complet de l'avis en anglais, français et allemand est disponible sur le site Internet du CEPD www.edps.europa.eu]

[Le texte complet de l'avis en anglais, français et allemand est disponible sur le site Internet du CEPD www.edps.europa.eu]

10

INFORMATIONS PROVENANT DES ÉTATS MEMBRES

2022/C 258/08

Mise à jour des montants de référence requis pour le franchissement des frontières extérieures, tels que visés à l’article 6, paragraphe 4, du règlement (UE) 2016/399 du Parlement européen et du Conseil concernant un code de l’Union relatif au régime de franchissement des frontières par les personnes (code frontières Schengen)

13

---

| | |
| --- | --- |
| | (1)   Texte présentant de l’intérêt pour l’EEE. |

---

(1)   Texte présentant de l’intérêt pour l’EEE.

1

| FR | |
| --- | --- |

FR

---

II Communications

COMMUNICATIONS PROVENANT DES INSTITUTIONS, ORGANES ET ORGANISMES DE L'UNION EUROPÉENNE

Commission européenne

| 5.7.2022 | FR | Journal officiel de l’Union européenne | C 258/1 |
| --- | --- | --- | --- |

5.7.2022

FR

Journal officiel de l’Union européenne

C 258/1

---

Non-opposition à une concentration notifiée

(Affaire M.10708 — CURA / OCG / DEUTSCHE EUROSHOP JV)

(Texte présentant de l’intérêt pour l’EEE)

(2022/C 258/01)

Le 23 juin 2022, la Commission européenne a décidé de ne pas s’opposer à la concentration notifiée susmentionnée et de la déclarer compatible avec le marché intérieur. Cette décision se fonde sur l’article 6, paragraphe 1, point b), du règlement (CE) no 139/2004 du Conseil (1). Le texte intégral de la décision n’est disponible qu’en anglais et sera rendu public après suppression des secrets d’affaires qu’il pourrait contenir. Il pourra être consulté:

| — | dans la section consacrée aux concentrations, sur le site internet de la direction générale de la concurrence de la Commission (http://ec.europa.eu/competition/mergers/cases/). Ce site permet de rechercher des décisions concernant des opérations de concentration à partir du nom de l’entreprise, du numéro de l’affaire, de la date ou du secteur d’activité, |
| --- | --- |

—

dans la section consacrée aux concentrations, sur le site internet de la direction générale de la concurrence de la Commission (http://ec.europa.eu/competition/mergers/cases/). Ce site permet de rechercher des décisions concernant des opérations de concentration à partir du nom de l’entreprise, du numéro de l’affaire, de la date ou du secteur d’activité,

| — | sur le site internet EUR-Lex (http://eur-lex.europa.eu/homepage.html?locale=fr), qui offre un accès en ligne au droit de l’Union européenne, sous le numéro de document 32022M10708. |
| --- | --- |

—

sur le site internet EUR-Lex (http://eur-lex.europa.eu/homepage.html?locale=fr), qui offre un accès en ligne au droit de l’Union européenne, sous le numéro de document 32022M10708.

---

(1)  JO L 24 du 29.1.2004, p. 1.

---

| 5.7.2022 | FR | Journal officiel de l’Union européenne | C 258/2 |
| --- | --- | --- | --- |

5.7.2022

FR

Journal officiel de l’Union européenne

C 258/2

---

Non-opposition à une concentration notifiée

(Affaire M.10529 — HEIDELBERGCEMENT / THOMA BRAVO / COMMAND ALKON)

(Texte présentant de l’intérêt pour l’EEE)

(2022/C 258/02)

Le 11 avril 2022, la Commission européenne a décidé de ne pas s’opposer à la concentration notifiée susmentionnée et de la déclarer compatible avec le marché intérieur. Cette décision se fonde sur l’article 6, paragraphe 1, point b), du règlement (CE) no 139/2004 du Conseil (1). Le texte intégral de la décision n’est disponible qu’en anglais et sera rendu public après suppression des secrets d’affaires qu’il pourrait contenir. Il pourra être consulté:

| — | dans la section consacrée aux concentrations, sur le site internet de la direction générale de la concurrence de la Commission (http://ec.europa.eu/competition/mergers/cases/). Ce site permet de rechercher des décisions concernant des opérations de concentration à partir du nom de l’entreprise, du numéro de l’affaire, de la date ou du secteur d’activité, |
| --- | --- |

—

dans la section consacrée aux concentrations, sur le site internet de la direction générale de la concurrence de la Commission (http://ec.europa.eu/competition/mergers/cases/). Ce site permet de rechercher des décisions concernant des opérations de concentration à partir du nom de l’entreprise, du numéro de l’affaire, de la date ou du secteur d’activité,

| — | sur le site internet EUR-Lex (http://eur-lex.europa.eu/homepage.html?locale=fr), qui offre un accès en ligne au droit de l’Union européenne, sous le numéro de document 32022M10529. |
| --- | --- |

—

sur le site internet EUR-Lex (http://eur-lex.europa.eu/homepage.html?locale=fr), qui offre un accès en ligne au droit de l’Union européenne, sous le numéro de document 32022M10529.

---

(1)  JO L 24 du 29.1.2004, p. 1.

---

IV Informations

INFORMATIONS PROVENANT DES INSTITUTIONS, ORGANES ET ORGANISMES DE L'UNION EUROPÉENNE

Commission européenne

| 5.7.2022 | FR | Journal officiel de l’Union européenne | C 258/3 |
| --- | --- | --- | --- |

5.7.2022

FR

Journal officiel de l’Union européenne

C 258/3

---

Taux de change de l’euro (1)

4 juillet 2022

(2022/C 258/03)

1 euro =

| | Monnaie | Taux de change |
| --- | --- | --- |
| USD | dollar des États-Unis | 1,0455 |
| JPY | yen japonais | 141,51 |
| DKK | couronne danoise | 7,4391 |
| GBP | livre sterling | 0,85960 |
| SEK | couronne suédoise | 10,7658 |
| CHF | franc suisse | 1,0037 |
| ISK | couronne islandaise | 139,30 |
| NOK | couronne norvégienne | 10,2958 |
| BGN | lev bulgare | 1,9558 |
| CZK | couronne tchèque | 24,745 |
| HUF | forint hongrois | 401,52 |
| PLN | zloty polonais | 4,7100 |
| RON | leu roumain | 4,9440 |
| TRY | livre turque | 17,5994 |
| AUD | dollar australien | 1,5205 |
| CAD | dollar canadien | 1,3435 |
| HKD | dollar de Hong Kong | 8,2033 |
| NZD | dollar néo-zélandais | 1,6748 |
| SGD | dollar de Singapour | 1,4587 |
| KRW | won sud-coréen | 1 353,40 |
| ZAR | rand sud-africain | 17,0275 |
| CNY | yuan ren-min-bi chinois | 6,9977 |
| HRK | kuna croate | 7,5301 |
| IDR | rupiah indonésienne | 15 684,13 |
| MYR | ringgit malais | 4,6138 |
| PHP | peso philippin | 57,487 |
| RUB | rouble russe | |
| THB | baht thaïlandais | 37,298 |
| BRL | real brésilien | 5,5663 |
| MXN | peso mexicain | 21,1972 |
| INR | roupie indienne | 82,5067 |

Monnaie

Taux de change

USD

dollar des États-Unis

1,0455

JPY

yen japonais

141,51

DKK

couronne danoise

7,4391

GBP

livre sterling

0,85960

SEK

couronne suédoise

10,7658

CHF

franc suisse

1,0037

ISK

couronne islandaise

139,30

NOK

couronne norvégienne

10,2958

BGN

lev bulgare

1,9558

CZK

couronne tchèque

24,745

HUF

forint hongrois

401,52

PLN

zloty polonais

4,7100

RON

leu roumain

4,9440

TRY

livre turque

17,5994

AUD

dollar australien

1,5205

CAD

dollar canadien

1,3435

HKD

dollar de Hong Kong

8,2033

NZD

dollar néo-zélandais

1,6748

SGD

dollar de Singapour

1,4587

KRW

won sud-coréen

1 353,40

ZAR

rand sud-africain

17,0275

CNY

yuan ren-min-bi chinois

6,9977

HRK

kuna croate

7,5301

IDR

rupiah indonésienne

15 684,13

MYR

ringgit malais

4,6138

PHP

peso philippin

57,487

RUB

rouble russe

THB

baht thaïlandais

37,298

BRL

real brésilien

5,5663

MXN

peso mexicain

21,1972

INR

roupie indienne

82,5067

---

(1)  Source: taux de change de référence publié par la Banque centrale européenne.

---

Cour des comptes

| 5.7.2022 | FR | Journal officiel de l’Union européenne | C 258/4 |
| --- | --- | --- | --- |

5.7.2022

FR

Journal officiel de l’Union européenne

C 258/4

---

Rapport spécial 14/2022

«Réaction de la Commission à la fraude à la politique agricole commune – Il est temps d'attaquer le problème à la racine»

(2022/C 258/04)

La Cour des comptes européenne vous informe que son rapport spécial 14/2022 «Réaction de la Commission à la fraude à la politique agricole commune – Il est temps d'attaquer le problème à la racine» vient d'être publié.

Le rapport peut être consulté ou téléchargé sur le site internet de la Cour des comptes européenne (https://www.eca.europa.eu/fr/Pages/DocItem.aspx?did=61337).

---

Contrôleur européen de la protection des données

| 5.7.2022 | FR | Journal officiel de l’Union européenne | C 258/5 |
| --- | --- | --- | --- |

5.7.2022

FR

Journal officiel de l’Union européenne

C 258/5

---

Résumé de l’avis du contrôleur européen de la protection des données sur la proposition de règlement concernant protection des indications géographiques pour les produits artisanaux et industriels

(Le texte complet de l’avis en anglais, français et allemand est disponible sur le site Internet du CEPD www.edps.europa.eu)

(2022/C 258/05)

Le 13 avril 2022, la Commission européenne a adopté une proposition de règlement concernant la protection des indications géographiques pour les produits artisanaux et industriels et modifiant les règlements (UE) 2017/1001 du Parlement européen et du Conseil et (UE) 2019/1753 du Parlement européen et du Conseil et la décision (UE) 2019/1754 du Conseil (ci-après la «proposition»).

La présente proposition vise à compléter le système de protection de l’UE des indications géographiques, existant déjà pour les produits agricoles et les denrées alimentaires, les vins et les boissons spiritueuses, et à permettre le respect effectif des obligations découlant de l’adhésion de l’UE à l’acte de Genève de l’arrangement de Lisbonne.

Le CEPD note avec satisfaction que la proposition détermine les rôles de la Commission, de l’EUIPO et des autorités compétentes des États membres en ce qui concerne le traitement des données à caractère personnel dans les procédures au titre de la présente proposition.

Le CEPD recommande de préciser si les différents responsables du traitement participant au traitement des données à caractère personnel agiront en tant que responsables conjoints du traitement ou non. Si tel est le cas, le CEPD recommande de prévoir un arrangement tel qu’envisagé par les articles 28 du RPDUE et/ou 26 du RGPD. À cet égard, le CEPD rappelle que les modalités détaillées visant à garantir le respect des exigences en matière de protection des données, si nécessaire, peuvent également être définies au moyen d’un acte d’exécution.

Le CEPD note que la proposition prévoit la création d’un registre électronique accessible au public des indications géographiques pour les produits artisanaux et industriels. À cet égard, le CEPD recommande une délimitation claire des catégories de données qui seront traitées. Le CEPD recommande de préciser dans la proposition elle-même toutes les catégories de données à caractère personnel concernées. Enfin, le CEPD considère que la durée de conservation des données choisie pour la documentation relative à l’annulation des indications géographiques devrait être davantage justifiée.

1.   INTRODUCTION

| 1. | Le 13 avril 2022, la Commission européenne a adopté une proposition de règlement concernant la protection des indications géographiques pour les produits artisanaux et industriels et modifiant les règlements (UE) 2017/1001 du Parlement européen et du Conseil et (UE) 2019/1753 du Parlement européen et du Conseil et la décision (UE) 2019/1754 du Conseil (la «proposition»). |
| --- | --- |

1.

Le 13 avril 2022, la Commission européenne a adopté une proposition de règlement concernant la protection des indications géographiques pour les produits artisanaux et industriels et modifiant les règlements (UE) 2017/1001 du Parlement européen et du Conseil et (UE) 2019/1753 du Parlement européen et du Conseil et la décision (UE) 2019/1754 du Conseil (la «proposition»).

| 2. | L’objectif de la proposition est d’établir une protection des indications géographiques («IG») directement applicable aux produits artisanaux et industriels au niveau de l’UE. Elle vise également à garantir que les producteurs puissent bénéficier du cadre international pour l’enregistrement et la protection des IG (le «système de Lisbonne») (1). |
| --- | --- |

2.

L’objectif de la proposition est d’établir une protection des indications géographiques («IG») directement applicable aux produits artisanaux et industriels au niveau de l’UE. Elle vise également à garantir que les producteurs puissent bénéficier du cadre international pour l’enregistrement et la protection des IG (le «système de Lisbonne») (1).

| 3. | La proposition complète la protection existante des IG dans le domaine agricole au niveau de l’UE. Elle suit des approches similaires adoptées concernant les conditions d’éligibilité et la protection des IG pour les produits agricoles et les denrées alimentaires, les vins et les boissons spiritueuses, telles que définies dans:






  — | le règlement (UE) no 1151/2012 du Parlement européen et du Conseil (2) relatif aux systèmes de qualité applicables aux produits agricoles et aux denrées alimentaires, |
| --- | --- | --- |

3.

La proposition complète la protection existante des IG dans le domaine agricole au niveau de l’UE. Elle suit des approches similaires adoptées concernant les conditions d’éligibilité et la protection des IG pour les produits agricoles et les denrées alimentaires, les vins et les boissons spiritueuses, telles que définies dans:

—

le règlement (UE) no 1151/2012 du Parlement européen et du Conseil (2) relatif aux systèmes de qualité applicables aux produits agricoles et aux denrées alimentaires,

| — | le règlement (UE) 2019/787 du Parlement européen et du Conseil (3) concernant la définition, la désignation, la présentation et l’étiquetage des boissons spiritueuses, et |
| --- | --- |

—

le règlement (UE) 2019/787 du Parlement européen et du Conseil (3) concernant la définition, la désignation, la présentation et l’étiquetage des boissons spiritueuses, et

| — | le règlement (UE) no 1308/2013 du Parlement européen et du Conseil (4) portant organisation commune des marchés des produits agricoles (5). |
| --- | --- |

—

le règlement (UE) no 1308/2013 du Parlement européen et du Conseil (4) portant organisation commune des marchés des produits agricoles (5).

| 4. | La proposition modifierait le règlement (UE) 2017/1001 du Parlement européen et du Conseil sur la marque de l’Union européenne concernant les conflits éventuels entre les IG et les marques et préciserait les tâches supplémentaires de l’Office de l’Union européenne pour la propriété intellectuelle (l’«EUIPO»). Elle propose également une modification de la décision (UE) 2019/1754 du Conseil relative à l’adhésion de l’Union européenne à l’acte de Genève de l’arrangement de Lisbonne sur les appellations d’origine et les indications géographiques, afin d’établir un lien entre le système de protection des IG de l’UE pour les produits artisanaux et industriels et le système de Lisbonne (6). |
| --- | --- |

4.

La proposition modifierait le règlement (UE) 2017/1001 du Parlement européen et du Conseil sur la marque de l’Union européenne concernant les conflits éventuels entre les IG et les marques et préciserait les tâches supplémentaires de l’Office de l’Union européenne pour la propriété intellectuelle (l’«EUIPO»). Elle propose également une modification de la décision (UE) 2019/1754 du Conseil relative à l’adhésion de l’Union européenne à l’acte de Genève de l’arrangement de Lisbonne sur les appellations d’origine et les indications géographiques, afin d’établir un lien entre le système de protection des IG de l’UE pour les produits artisanaux et industriels et le système de Lisbonne (6).

| 5. | Le présent avis du CEPD est émis en réponse à une demande de consultation présentée par la Commission européenne le 13 avril 2022, conformément à l’article 42, paragraphe 1, du RPDUE. Le CEPD se félicite de la référence faite à cette consultation au considérant 63 de la proposition. Les observations et recommandations contenues dans le présent avis se limitent aux dispositions les plus pertinentes de la proposition du point de vue de la protection des données. |
| --- | --- |

5.

Le présent avis du CEPD est émis en réponse à une demande de consultation présentée par la Commission européenne le 13 avril 2022, conformément à l’article 42, paragraphe 1, du RPDUE. Le CEPD se félicite de la référence faite à cette consultation au considérant 63 de la proposition. Les observations et recommandations contenues dans le présent avis se limitent aux dispositions les plus pertinentes de la proposition du point de vue de la protection des données.

4.   CONCLUSION

| 16. | À la lumière de ce qui précède, le CEPD:






  — | se félicite de la désignation explicite des responsables du traitement des données à caractère personnel dans les procédures prévues par la proposition; |
| --- | --- | --- |

16.

À la lumière de ce qui précède, le CEPD:

—

se félicite de la désignation explicite des responsables du traitement des données à caractère personnel dans les procédures prévues par la proposition;

| — | recommande de préciser si les responsables du traitement devraient ou non être considérés comme des «responsables conjoints du traitement» au sens de l’article 28 du RPDUE et de l’article 26 du RGPD; |
| --- | --- |

—

recommande de préciser si les responsables du traitement devraient ou non être considérés comme des «responsables conjoints du traitement» au sens de l’article 28 du RPDUE et de l’article 26 du RGPD;

| — | recommande de préciser, dans la proposition, les catégories de données à inclure dans le registre de l’Union des indications géographiques pour les produits artisanaux et industriels; |
| --- | --- |

—

recommande de préciser, dans la proposition, les catégories de données à inclure dans le registre de l’Union des indications géographiques pour les produits artisanaux et industriels;

| — | considère que la durée de conservation proposée pour la documentation relative à l’annulation de l’enregistrement des IG devrait être davantage justifiée ou réduite dans la mesure où elle concerne des données à caractère personnel. |
| --- | --- |

—

considère que la durée de conservation proposée pour la documentation relative à l’annulation de l’enregistrement des IG devrait être davantage justifiée ou réduite dans la mesure où elle concerne des données à caractère personnel.

Bruxelles, le 2 juin 2022

Wojciech Rafał WIEWIÓROWSKI

---

(1)  COM(2022) 174 final, p. 1.

1

(2)  JO L 343 du 14.12.2012, p. 1.

2

(3)  JO L 130 du 17.5.2019, p. 1.

3

(4)  JO L 347 du 20.12.2013, p. 671.

4

(5)  Le CEPD a été consulté sur le règlement (UE) no 1308/2013 et a adopté son avis le 14 décembre 2011.

5

o

(6)  COM(2022) 174 final, p. 2.

6

---

| 5.7.2022 | FR | Journal officiel de l’Union européenne | C 258/7 |
| --- | --- | --- | --- |

5.7.2022

FR

Journal officiel de l’Union européenne

C 258/7

---

Résumé de l’avis du contrôleur européen de la protection des données sur la proposition de règlement relatif à la sécurité de l’information dans les institutions, organes et organismes de l’Union

(Le texte complet de l’avis en anglais, français et allemand est disponible sur le site Internet du CEPD www.edps.europa.eu)

(2022/C 258/06)

Le 22 mars 2022, la Commission européenne a adopté une proposition de règlement du Parlement européen et du Conseil relatif à la sécurité de l’information dans les institutions, organes et organismes de l’Union (la «proposition»).

Le CEPD se félicite de l’objectif de la proposition qui vise à améliorer la sécurité des informations traitées par les institutions de l’Union, en établissant des règles communes en matière de sécurité de l’information et en favorisant une culture cohérente de la sécurité de l’information dans un instrument juridique spécifique.

Le CEPD observe que la sécurité des données à caractère personnel, telle que prescrite par le RPDUE, a une portée qui n’empiète que partiellement sur celle de la sécurité de l’information prévue par la proposition. Cette dernière porte sur la confidentialité des informations, tandis que le RPDUE garantit également l’intégrité et la disponibilité. En outre, les dispositions relatives à la sécurité des données à caractère personnel du RPDUE traitent spécifiquement des risques pour les droits et libertés des personnes physiques.

La proposition exige des institutions de l’Union qu’elles adoptent des mesures de sécurité de l’information, qui impliqueront inévitablement le traitement de données à caractère personnel et de données de communications électroniques, notamment des données relatives au trafic. Le CEPD estime qu’il convient de mettre en évidence le fait que toutes les mesures de sécurité de l’information impliquant le traitement de données à caractère personnel devraient se conformer au cadre juridique actuel en matière de protection des données et de la vie privée et que les institutions de l’Union devraient prendre les garanties techniques et organisationnelles nécessaires pour garantir ce respect de manière responsable.

Afin de garantir la sécurité juridique et la prévisibilité, ainsi que le respect du RPDUE, le CEPD recommande vivement que la proposition, ou à tout le moins un acte délégué qui sera adopté ultérieurement par la Commission, définisse clairement les activités de traitement de données à caractère personnel autorisées aux fins du présent règlement. Le CEPD attire également l’attention sur la nécessité de veiller au respect des dispositions du RPDUE relatives aux transferts de données à caractère personnel vers des pays tiers et des organisations internationales. En outre, le CEPD recommande d’expliquer dans un considérant que toutes les dispositions du RPDUE s’appliqueront, y compris les règles relatives aux transferts internationaux.

Le CEPD souligne l’importance d’intégrer la dimension de la protection de la vie privée et des données dans la gestion de la sécurité de l’information, pour créer des synergies positives entre la proposition et la législation relative à la protection des données et de la vie privée, et fournit des recommandations spécifiques sur la manière de créer de telles synergies, y compris: l’obligation spécifique pour les fonctionnaires de l’Union chargés de la sécurité de l’information de coopérer étroitement avec le délégué à la protection des données désigné conformément à l’article 43 du RPDUE; l’intégration du chiffrement de bout en bout dans la liste des mesures de sécurité minimales de la proposition, le cas échéant, et en particulier dans le cadre de l’échange d’informations sensibles non classifiées; et la promotion d’une procédure intégrée de gestion des risques liés à la sécurité de l’information et de traitement des incidents qui à la fois garantisse la sécurité de l’information et satisfasse aux obligations en matière de protection des données s’agissant des notifications de violations des données.

1.   INTRODUCTION

| 1. | Le 22 mars 2022, la Commission européenne a adopté une proposition de règlement du Parlement européen et du Conseil relatif à la sécurité de l’information dans les institutions, organes et organismes de l’Union (1) (la «proposition»). |
| --- | --- |

1.

Le 22 mars 2022, la Commission européenne a adopté une proposition de règlement du Parlement européen et du Conseil relatif à la sécurité de l’information dans les institutions, organes et organismes de l’Union (1) (la «proposition»).

| 2. | Le même jour, la Commission européenne a adopté une autre proposition de règlement établissant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans les institutions, organes et organismes de l’Union (2) (la «proposition sur la cybersécurité»). |
| --- | --- |

2.

Le même jour, la Commission européenne a adopté une autre proposition de règlement établissant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans les institutions, organes et organismes de l’Union (2) (la «proposition sur la cybersécurité»).

| 3. | Ces deux propositions avaient été envisagées dans la stratégie de cybersécurité de l’UE pour la décennie numérique présentée le 16 décembre 2020 (3) (la «stratégie»). La stratégie visait principalement à renforcer l’autonomie stratégique de l’Union dans les domaines de la cybersécurité et à améliorer sa résilience et sa réponse collective, ainsi qu’à construire un internet ouvert et mondial doté de solides garde-fous pour faire face aux risques pour la sécurité et les libertés et droits fondamentaux des citoyens en Europe (4). |
| --- | --- |

3.

Ces deux propositions avaient été envisagées dans la stratégie de cybersécurité de l’UE pour la décennie numérique présentée le 16 décembre 2020 (3) (la «stratégie»). La stratégie visait principalement à renforcer l’autonomie stratégique de l’Union dans les domaines de la cybersécurité et à améliorer sa résilience et sa réponse collective, ainsi qu’à construire un internet ouvert et mondial doté de solides garde-fous pour faire face aux risques pour la sécurité et les libertés et droits fondamentaux des citoyens en Europe (4).

| 4. | La proposition constitue l’une des initiatives réglementaires de la stratégie, en particulier dans le domaine de la cybersécurité des institutions, organes et organismes de l’UE (les «institutions de l’Union»). Selon la stratégie, l’objectif de la proposition est double:






  — | faciliter l’interopérabilité des systèmes d’informations classifiées, en permettant un transfert sans heurts d’informations entre les différentes entités, et |
| --- | --- | --- |

4.

La proposition constitue l’une des initiatives réglementaires de la stratégie, en particulier dans le domaine de la cybersécurité des institutions, organes et organismes de l’UE (les «institutions de l’Union»). Selon la stratégie, l’objectif de la proposition est double:

—

faciliter l’interopérabilité des systèmes d’informations classifiées, en permettant un transfert sans heurts d’informations entre les différentes entités, et

| — | permettre une approche interinstitutionnelle du traitement des informations classifiées et des informations sensibles non classifiées de l’UE, qui pourrait également servir de modèle d’interopérabilité entre les États membres, en indiquant que l’UE devrait également développer sa capacité à communiquer de manière sécurisée avec les partenaires concernés, en s’appuyant, dans la mesure du possible, sur les modalités et procédures existantes. |
| --- | --- |

—

permettre une approche interinstitutionnelle du traitement des informations classifiées et des informations sensibles non classifiées de l’UE, qui pourrait également servir de modèle d’interopérabilité entre les États membres, en indiquant que l’UE devrait également développer sa capacité à communiquer de manière sécurisée avec les partenaires concernés, en s’appuyant, dans la mesure du possible, sur les modalités et procédures existantes.

| 5. | Le CEPD fait observer que l’objet de la proposition en question est également directement lié à celui de la proposition de directive du Parlement européen et du Conseil concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, abrogeant la directive (UE) 2016/1148 (la «proposition SRI 2.0»). Le CEPD rappelle qu’il a publié l’avis 5/2021 sur la stratégie en matière de cybersécurité (5) et la directive SRI 2.0 (l’«avis SRI 2.0») (6). C’est pourquoi le présent avis fera référence à l’avis SRI 2.0. |
| --- | --- |

5.

Le CEPD fait observer que l’objet de la proposition en question est également directement lié à celui de la proposition de directive du Parlement européen et du Conseil concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, abrogeant la directive (UE) 2016/1148 (la «proposition SRI 2.0»). Le CEPD rappelle qu’il a publié l’avis 5/2021 sur la stratégie en matière de cybersécurité (5) et la directive SRI 2.0 (l’«avis SRI 2.0») (6). C’est pourquoi le présent avis fera référence à l’avis SRI 2.0.

| 6. | Selon l’exposé des motifs de la proposition, en raison des volumes toujours plus conséquents d’informations sensibles non classifiées (les «ISNC») et d’informations classifiées de l’Union européenne (les «ICUE») que les institutions de l’Union doivent se partager, et compte tenu de l’évolution spectaculaire des menaces, l’administration européenne est exposée à des attaques dans tous ses domaines d’activité. Les informations traitées par les institutions de l’Union intéressent au plus haut point les acteurs malveillants, et elles doivent être correctement protégées. |
| --- | --- |

6.

Selon l’exposé des motifs de la proposition, en raison des volumes toujours plus conséquents d’informations sensibles non classifiées (les «ISNC») et d’informations classifiées de l’Union européenne (les «ICUE») que les institutions de l’Union doivent se partager, et compte tenu de l’évolution spectaculaire des menaces, l’administration européenne est exposée à des attaques dans tous ses domaines d’activité. Les informations traitées par les institutions de l’Union intéressent au plus haut point les acteurs malveillants, et elles doivent être correctement protégées.

| 7. | Selon l’exposé des motifs, la proposition devrait:






  — | définir des catégories d’informations exhaustives et harmonisées, ainsi que des règles communes à toutes les institutions de l’Union; |
| --- | --- | --- |

7.

Selon l’exposé des motifs, la proposition devrait:

—

définir des catégories d’informations exhaustives et harmonisées, ainsi que des règles communes à toutes les institutions de l’Union;

| — | établir un système rationalisé de coopération entre les institutions de l’Union dans le domaine de la sécurité de l’information, capable de favoriser une culture cohérente de la sécurité de l’information dans l’ensemble de l’administration européenne; |
| --- | --- |

—

établir un système rationalisé de coopération entre les institutions de l’Union dans le domaine de la sécurité de l’information, capable de favoriser une culture cohérente de la sécurité de l’information dans l’ensemble de l’administration européenne;

| — | moderniser les politiques en matière de sécurité de l’information à tous les niveaux de classification/de catégorisation, pour l’ensemble des institutions de l’Union, en tenant compte de la transformation numérique et du développement du télétravail en tant que pratique structurelle. |
| --- | --- |

—

moderniser les politiques en matière de sécurité de l’information à tous les niveaux de classification/de catégorisation, pour l’ensemble des institutions de l’Union, en tenant compte de la transformation numérique et du développement du télétravail en tant que pratique structurelle.

| 8. | Le 22 mars 2022, la Commission a consulté le Contrôleur européen de la protection des données conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 du Parlement européen et du Conseil (le «RPDUE») (7). Les observations et recommandations contenues dans le présent avis se limitent aux dispositions les plus pertinentes de la proposition du point de vue de la protection des données et de la vie privée. |
| --- | --- |

8.

Le 22 mars 2022, la Commission a consulté le Contrôleur européen de la protection des données conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 du Parlement européen et du Conseil (le «RPDUE») (7). Les observations et recommandations contenues dans le présent avis se limitent aux dispositions les plus pertinentes de la proposition du point de vue de la protection des données et de la vie privée.

4.   CONCLUSIONS

| 31. | À la lumière des considérations qui précèdent, le CEPD émet les recommandations principales suivantes:






  — | le CEPD recommande vivement que la proposition définisse clairement les activités de traitement des données à caractère personnel qui sont autorisées aux fins du présent règlement, y compris: la ou les finalités du traitement; les catégories de données à caractère personnel; les catégories de personnes concernées; la définition des rôles le cas échéant (responsable du traitement, sous-traitant, responsables conjoints du traitement), les durées de conservation, les destinataires en cas de transmission à des entités qui ne font pas l’objet du RPDUE. Le CEPD estime que ces éléments devraient être explicitement prévus dans la proposition ou, à tout le moins, dans un acte délégué qui sera adopté ultérieurement par la Commission. La proposition devrait prévoir une telle délégation. |
| --- | --- | --- |

31.

À la lumière des considérations qui précèdent, le CEPD émet les recommandations principales suivantes:

—

le CEPD recommande vivement que la proposition définisse clairement les activités de traitement des données à caractère personnel qui sont autorisées aux fins du présent règlement, y compris: la ou les finalités du traitement; les catégories de données à caractère personnel; les catégories de personnes concernées; la définition des rôles le cas échéant (responsable du traitement, sous-traitant, responsables conjoints du traitement), les durées de conservation, les destinataires en cas de transmission à des entités qui ne font pas l’objet du RPDUE. Le CEPD estime que ces éléments devraient être explicitement prévus dans la proposition ou, à tout le moins, dans un acte délégué qui sera adopté ultérieurement par la Commission. La proposition devrait prévoir une telle délégation.

| — | le CEPD recommande d’expliquer dans un considérant que toutes les dispositions du RPDUE s’appliqueront, y compris les règles relatives aux transferts internationaux. Le considérant 6 peut également être utilisé pour inclure toute autre recommandation générale sur la protection des données formulée dans le présent avis qui ne vise pas à modifier les dispositions de fond. |
| --- | --- |

—

le CEPD recommande d’expliquer dans un considérant que toutes les dispositions du RPDUE s’appliqueront, y compris les règles relatives aux transferts internationaux. Le considérant 6 peut également être utilisé pour inclure toute autre recommandation générale sur la protection des données formulée dans le présent avis qui ne vise pas à modifier les dispositions de fond.

| — | le CEPD recommande vivement d’inclure le chiffrement de bout en bout dans la liste des mesures de sécurité minimales de la proposition, le cas échéant, et en particulier lors de l’échange d’informations sensibles non classifiées. |
| --- | --- |

—

le CEPD recommande vivement d’inclure le chiffrement de bout en bout dans la liste des mesures de sécurité minimales de la proposition, le cas échéant, et en particulier lors de l’échange d’informations sensibles non classifiées.

| — | le CEPD recommande d’ajouter à l’article 5, paragraphe 3, que, parmi les facteurs pris en considération dans le processus de gestion des risques liés à la sécurité de l’information, les menaces découlant de l’accès fondé sur la juridiction de pays tiers (par exemple, par leurs pouvoirs publics) doivent également être prises en considération. |
| --- | --- |

—

le CEPD recommande d’ajouter à l’article 5, paragraphe 3, que, parmi les facteurs pris en considération dans le processus de gestion des risques liés à la sécurité de l’information, les menaces découlant de l’accès fondé sur la juridiction de pays tiers (par exemple, par leurs pouvoirs publics) doivent également être prises en considération.

| — | le CEPD recommande vivement d’expliquer dans un considérant pertinent les avantages que présentent une procédure intégrée de gestion des risques liés à la sécurité de l’information et de traitement des incidents qui à la fois garantisse la sécurité de l’information et satisfasse aux obligations en matière de protection des données s’agissant des notifications de violations des données. |
| --- | --- |

—

le CEPD recommande vivement d’expliquer dans un considérant pertinent les avantages que présentent une procédure intégrée de gestion des risques liés à la sécurité de l’information et de traitement des incidents qui à la fois garantisse la sécurité de l’information et satisfasse aux obligations en matière de protection des données s’agissant des notifications de violations des données.

| — | le CEPD recommande vivement que la proposition prévoie l’obligation spécifique pour les fonctionnaires de l’UE chargés de la sécurité de l’information de coopérer étroitement avec le délégué à la protection des données désigné conformément à l’article 43 du RPDUE, dans le cadre d’activités telles que l’application de la protection des données dès la conception et par défaut aux mesures de sécurité de l’information, la sélection de mesures de sécurité impliquant le traitement de données à caractère personnel, la gestion intégrée des risques et le traitement intégré des incidents de sécurité. |
| --- | --- |

—

le CEPD recommande vivement que la proposition prévoie l’obligation spécifique pour les fonctionnaires de l’UE chargés de la sécurité de l’information de coopérer étroitement avec le délégué à la protection des données désigné conformément à l’article 43 du RPDUE, dans le cadre d’activités telles que l’application de la protection des données dès la conception et par défaut aux mesures de sécurité de l’information, la sélection de mesures de sécurité impliquant le traitement de données à caractère personnel, la gestion intégrée des risques et le traitement intégré des incidents de sécurité.

Bruxelles, le 17 mai 2022.

Wojciech Rafał WIEWIÓROWSKI

---

(1)  COM(2022) 119 final.

1

(2)  COM(2022) 122 final.

2

(3)  Stratégie de cybersécurité de l’UE pour la décennie numérique | «Façonner l’avenir numérique de l’Europe» (europa.eu), qui inclut une communication conjointe avec le haut représentant de l’Union pour les affaires étrangères et la politique de sécurité [JOIN(2020)18].

3

(4)  Voir chapitre I. INTRODUCTION, page 4 de la stratégie.

4

(5)  Communication conjointe de la Commission européenne et du haut représentant de l’Union pour les affaires étrangères et la politique de sécurité au Parlement européen et au Conseil, intitulée «La stratégie de cybersécurité de l’UE pour la décennie numérique».

5

(6)  Avis 5/2021 du CEPD sur la stratégie en matière de cybersécurité et la directive SRI 2.0.

6

(7)  Règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (JO L 295 du 21.11.2018, p. 39).

7

o

o

---

| 5.7.2022 | FR | Journal officiel de l’Union européenne | C 258/10 |
| --- | --- | --- | --- |

5.7.2022

FR

Journal officiel de l’Union européenne

C 258/10

---

Résumé de l’avis du contrôleur européen de la protection des données sur la proposition de règlement établissant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans les institutions, organes et organismes de l’Union

[Le texte complet de l'avis en anglais, français et allemand est disponible sur le site Internet du CEPD www.edps.europa.eu]

(2022/C 258/07)

Le 22 mars 2022, la Commission européenne a adopté une proposition de règlement établissant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans les institutions, organes et organismes de l’Union (la «proposition»).

Le CEPD se félicite de l’objectif de la proposition qui vise à améliorer la posture de cybersécurité des institutions, organes et organismes de l’Union (les «institutions de l’Union»), et salue également le nouveau rôle de l’ancienne «équipe d’intervention en cas d’urgence informatique», désormais dénommée «centre de cybersécurité» (CERT-UE), compte tenu de l’intensification de la transformation numérique, de l’évolution rapide du paysage des menaces qui pèsent sur la cybersécurité et de la récente évolution de la transformation numérique due également à la pandémie de COVID-19.

Le CEPD regrette que la proposition ne soit pas alignée sur la directive SRI et sur la proposition SRI 2.0, afin que des règles cohérentes et homogènes soient mises en place pour les États membres et les institutions de l’Union, contribuant ainsi au niveau global de cybersécurité de l’Union. Le CEPD recommande d’ajouter dans la proposition que les exigences minimales en matière de sécurité devraient être au moins égales ou supérieures aux exigences minimales en matière de sécurité des entités visées dans la directive SRI et la proposition SRI 2.0.

Afin de se conformer à la proposition, les institutions de l’Union, ainsi que le CERT-UE, devront déployer certaines procédures et mesures de cybersécurité, qui impliqueront nécessairement un traitement supplémentaire des données à caractère personnel. Afin de garantir la sécurité juridique et la prévisibilité et de veiller au respect du RPDUE, le CEPD recommande vivement que la proposition, ou à tout le moins un acte délégué qui sera adopté ultérieurement par la Commission, définisse clairement une base juridique pour le traitement de données à caractère personnel par le CERT-UE et les institutions de l’Union, notamment les finalités du traitement et les catégories de données à caractère personnel.

Le CEPD souligne l’importance d’intégrer la dimension de la protection de la vie privée et des données dans la gestion de la cybersécurité, afin de créer des synergies positives entre la proposition et la législation en matière de protection de la vie privée et des données, et formule des recommandations spécifiques sur la manière de parvenir à de telles synergies, y compris l’obligation spécifique pour les fonctionnaires de l’UE chargés de la cybersécurité de coopérer étroitement avec le délégué à la protection des données désigné conformément au RPDUE.

Le CEPD recommande vivement que la proposition prévoie une coopération étroite entre le CERT-UE et le CEPD, dans le cadre d’activités telles que le traitement d’incidents donnant lieu à des violations de données à caractère personnel, le traitement de vulnérabilités importantes, d’incidents importants ou d’attaques majeures susceptibles d’entraîner des violations de données à caractère personnel, de même que lorsque le CERT-UE dispose d’éléments indiquant que le non-respect de la proposition entraîne une violation de données à caractère personnel.

Le CEPD recommande également vivement que la proposition prévoie la participation du CEPD au «conseil interinstitutionnel de cybersécurité» (IICB).

1.   INTRODUCTION

| 1. | Le 22 mars 2022, la Commission européenne a adopté une proposition de règlement établissant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans les institutions, organes et organismes de l’Union (1) (la «proposition»). |
| --- | --- |

1.

Le 22 mars 2022, la Commission européenne a adopté une proposition de règlement établissant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans les institutions, organes et organismes de l’Union (1) (la «proposition»).

| 2. | Le même jour, la Commission européenne a adopté une proposition de règlement du Parlement européen et du Conseil relatif à la sécurité de l’information dans les institutions, organes et organismes de l’Union (2) (la «proposition Infosec»). |
| --- | --- |

2.

Le même jour, la Commission européenne a adopté une proposition de règlement du Parlement européen et du Conseil relatif à la sécurité de l’information dans les institutions, organes et organismes de l’Union (2) (la «proposition Infosec»).

| 3. | Ces deux propositions avaient été envisagées dans la stratégie de cybersécurité de l’UE pour la décennie numérique présentée le 16 décembre 2020 (3) (la «stratégie»). La stratégie vise principalement à renforcer l’autonomie stratégique de l’Union dans les domaines de la cybersécurité et à améliorer sa résilience et sa réponse collective, ainsi qu’à construire un internet ouvert et mondial doté de solides garde-fous pour faire face aux risques pour la sécurité et les libertés et droits fondamentaux des citoyens en Europe (4). |
| --- | --- |

3.

Ces deux propositions avaient été envisagées dans la stratégie de cybersécurité de l’UE pour la décennie numérique présentée le 16 décembre 2020 (3) (la «stratégie»). La stratégie vise principalement à renforcer l’autonomie stratégique de l’Union dans les domaines de la cybersécurité et à améliorer sa résilience et sa réponse collective, ainsi qu’à construire un internet ouvert et mondial doté de solides garde-fous pour faire face aux risques pour la sécurité et les libertés et droits fondamentaux des citoyens en Europe (4).

| 4. | La proposition constitue l’une des initiatives réglementaires de la stratégie, en particulier dans le domaine de la cybersécurité des institutions, organes et organismes de l’UE (les «institutions de l’Union»). Selon l’exposé des motifs, l’objectif de la proposition est double:






  — | tenir compte du panorama de plus en plus hostile des cybermenaces et de l’incidence croissante des cyberattaques plus sophistiquées touchant les institutions, organes et organismes de l’UE, rendant indispensable d’accroître les investissements pour atteindre un niveau élevé de cybermaturité, et |
| --- | --- | --- |

4.

La proposition constitue l’une des initiatives réglementaires de la stratégie, en particulier dans le domaine de la cybersécurité des institutions, organes et organismes de l’UE (les «institutions de l’Union»). Selon l’exposé des motifs, l’objectif de la proposition est double:

—

tenir compte du panorama de plus en plus hostile des cybermenaces et de l’incidence croissante des cyberattaques plus sophistiquées touchant les institutions, organes et organismes de l’UE, rendant indispensable d’accroître les investissements pour atteindre un niveau élevé de cybermaturité, et

| — | renforcer l’équipe d’intervention en cas d’urgence informatique de l’UE (CERT-UE) en améliorant le mécanisme de financement nécessaire pour accroître sa capacité à aider les institutions, organes et organismes de l’Union à appliquer les nouvelles règles en matière de cybersécurité et à améliorer leur cyber-résilience. |
| --- | --- |

—

renforcer l’équipe d’intervention en cas d’urgence informatique de l’UE (CERT-UE) en améliorant le mécanisme de financement nécessaire pour accroître sa capacité à aider les institutions, organes et organismes de l’Union à appliquer les nouvelles règles en matière de cybersécurité et à améliorer leur cyber-résilience.

| 5. | Le CEPD fait observer que l’objet de la proposition en question est étroitement lié à celui de la proposition de directive du Parlement européen et du Conseil concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, abrogeant la directive (UE) 2016/1148 (la «proposition SRI 2.0»). Le CEPD rappelle qu’il a publié l’avis 5/2021 sur la stratégie en matière de cybersécurité (5) et la directive SRI 2.0 (l’«avis SRI 2.0») (6). C’est pourquoi le présent avis fera référence à l’avis SRI 2.0. |
| --- | --- |

5.

Le CEPD fait observer que l’objet de la proposition en question est étroitement lié à celui de la proposition de directive du Parlement européen et du Conseil concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, abrogeant la directive (UE) 2016/1148 (la «proposition SRI 2.0»). Le CEPD rappelle qu’il a publié l’avis 5/2021 sur la stratégie en matière de cybersécurité (5) et la directive SRI 2.0 (l’«avis SRI 2.0») (6). C’est pourquoi le présent avis fera référence à l’avis SRI 2.0.

| 6. | Conformément à la stratégie, la proposition vise à améliorer encore la résilience de l’ensemble des institutions, organes et organismes de l’Union, ainsi que leurs capacités de réaction aux incidents. Elle est également conforme aux priorités de la Commission consistant à adapter l’Europe à l’ère du numérique et à bâtir une économie au service des personnes et parée pour l’avenir. Elle souligne par ailleurs que la sûreté et la résilience de l’administration publique constituent une pierre angulaire de la transformation numérique de la société dans son ensemble. |
| --- | --- |

6.

Conformément à la stratégie, la proposition vise à améliorer encore la résilience de l’ensemble des institutions, organes et organismes de l’Union, ainsi que leurs capacités de réaction aux incidents. Elle est également conforme aux priorités de la Commission consistant à adapter l’Europe à l’ère du numérique et à bâtir une économie au service des personnes et parée pour l’avenir. Elle souligne par ailleurs que la sûreté et la résilience de l’administration publique constituent une pierre angulaire de la transformation numérique de la société dans son ensemble.

| 7. | Selon l’exposé des motifs, la proposition:






  — | présente des mesures destinées à assurer un niveau élevé commun de cybersécurité pour les institutions, organes et organismes de l’Union européenne, |
| --- | --- | --- |

7.

Selon l’exposé des motifs, la proposition:

—

présente des mesures destinées à assurer un niveau élevé commun de cybersécurité pour les institutions, organes et organismes de l’Union européenne,

| — | établit le «conseil interinstitutionnel de cybersécurité», qui est chargé de suivre la mise en œuvre du règlement proposé, |
| --- | --- |

—

établit le «conseil interinstitutionnel de cybersécurité», qui est chargé de suivre la mise en œuvre du règlement proposé,

| — | définit le nouveau rôle de l’équipe d’intervention en cas d’urgence informatique pour les institutions, organes et organismes de l’UE («CERT-UE») (7), en tant que «centre de cybersécurité» pour les institutions, organes et organismes de l’Union, pour faire écho à l’évolution observée dans les États membres et au niveau mondial. |
| --- | --- |

—

définit le nouveau rôle de l’équipe d’intervention en cas d’urgence informatique pour les institutions, organes et organismes de l’UE («CERT-UE») (7), en tant que «centre de cybersécurité» pour les institutions, organes et organismes de l’Union, pour faire écho à l’évolution observée dans les États membres et au niveau mondial.

| 8. | Le 22 mars 2022, la Commission européenne a demandé au CEPD d’émettre un avis sur la proposition, conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 du Parlement européen et du Conseil (le «RPDUE») (8). Les observations et recommandations contenues dans le présent avis se limitent aux dispositions les plus pertinentes de la proposition du point de vue de la protection des données et de la vie privée. |
| --- | --- |

8.

Le 22 mars 2022, la Commission européenne a demandé au CEPD d’émettre un avis sur la proposition, conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 du Parlement européen et du Conseil (le «RPDUE») (8). Les observations et recommandations contenues dans le présent avis se limitent aux dispositions les plus pertinentes de la proposition du point de vue de la protection des données et de la vie privée.

4.   CONCLUSIONS

| 48. | À la lumière des considérations qui précèdent, le CEPD émet les recommandations principales suivantes:






  — | Le CEPD recommande d’ajouter dans un considérant que la proposition s’appuie sur la proposition SRI 2.0 et d’expliquer plus en détail le lien entre la proposition et la directive SRI ainsi que la proposition SRI 2.0 aux considérants 4 et 5. En outre, le CEPD recommande d’inclure le libellé suivant dans le texte principal: «Les exigences minimales en matière de sécurité devraient être au moins égales ou supérieures aux exigences minimales en matière de sécurité des entités visées dans la directive SRI 2.0 et la proposition SRI 2.0»; |
| --- | --- | --- |

48.

À la lumière des considérations qui précèdent, le CEPD émet les recommandations principales suivantes:

—

Le CEPD recommande d’ajouter dans un considérant que la proposition s’appuie sur la proposition SRI 2.0 et d’expliquer plus en détail le lien entre la proposition et la directive SRI ainsi que la proposition SRI 2.0 aux considérants 4 et 5. En outre, le CEPD recommande d’inclure le libellé suivant dans le texte principal: «Les exigences minimales en matière de sécurité devraient être au moins égales ou supérieures aux exigences minimales en matière de sécurité des entités visées dans la directive SRI 2.0 et la proposition SRI 2.0»;

| — | le CEPD recommande vivement que la proposition prévoie clairement une base juridique pour le traitement des données à caractère personnel par le CERT-UE et les institutions de l’Union, notamment en ce qui concerne les finalités du traitement et les catégories de données à caractère personnel. En outre, les éléments suivants devraient être explicitement définis: a) Identification du ou des responsables du traitement, des sous-traitants ou des responsables conjoints du traitement, le cas échéant; b) Catégories de personnes concernées; c) Durées de conservation ou, à tout le moins, critères permettant de déterminer ces durées. Le CEPD estime que ces éléments devraient être explicitement prévus dans la proposition ou, à tout le moins, dans un acte délégué qui sera adopté ultérieurement par la Commission. La proposition devrait prévoir une telle délégation; |
| --- | --- |

—

le CEPD recommande vivement que la proposition prévoie clairement une base juridique pour le traitement des données à caractère personnel par le CERT-UE et les institutions de l’Union, notamment en ce qui concerne les finalités du traitement et les catégories de données à caractère personnel. En outre, les éléments suivants devraient être explicitement définis: a) Identification du ou des responsables du traitement, des sous-traitants ou des responsables conjoints du traitement, le cas échéant; b) Catégories de personnes concernées; c) Durées de conservation ou, à tout le moins, critères permettant de déterminer ces durées. Le CEPD estime que ces éléments devraient être explicitement prévus dans la proposition ou, à tout le moins, dans un acte délégué qui sera adopté ultérieurement par la Commission. La proposition devrait prévoir une telle délégation;

| — | Le CEPD recommande vivement d’inclure le «chiffrement au repos», le «chiffrement en transit» ainsi que le «chiffrement de bout en bout» dans la liste des mesures minimales de cybersécurité figurant à l’annexe II de la proposition; |
| --- | --- |

—

Le CEPD recommande vivement d’inclure le «chiffrement au repos», le «chiffrement en transit» ainsi que le «chiffrement de bout en bout» dans la liste des mesures minimales de cybersécurité figurant à l’annexe II de la proposition;

| — | le CEPD recommande vivement que la proposition prévoie l’obligation spécifique pour le responsable local de la cybersécurité défini à l’article 4, paragraphe 5, de coopérer avec le délégué à la protection des données désigné conformément à l’article 43 du RPDUE, lorsqu’il s’agit d’activités qui se chevauchent, telles que l’application de la protection des données dès la conception et par défaut aux mesures de cybersécurité, la sélection de mesures de cybersécurité impliquant le traitement de données à caractère personnel, la gestion intégrée des risques et le traitement intégré des incidents de sécurité; |
| --- | --- |

—

le CEPD recommande vivement que la proposition prévoie l’obligation spécifique pour le responsable local de la cybersécurité défini à l’article 4, paragraphe 5, de coopérer avec le délégué à la protection des données désigné conformément à l’article 43 du RPDUE, lorsqu’il s’agit d’activités qui se chevauchent, telles que l’application de la protection des données dès la conception et par défaut aux mesures de cybersécurité, la sélection de mesures de cybersécurité impliquant le traitement de données à caractère personnel, la gestion intégrée des risques et le traitement intégré des incidents de sécurité;

| — | le CEPD recommande vivement d’ajouter à l’article 12 de la proposition, intitulé «Mission et tâches du CERT-UE», la disposition selon laquelle «le CERT-UE travaille en étroite coopération avec le CEPD lorsqu’il traite des incidents donnant lieu à des violations de données à caractère personnel ou à une violation de la confidentialité des communications électroniques» ; |
| --- | --- |

—

le CEPD recommande vivement d’ajouter à l’article 12 de la proposition, intitulé «Mission et tâches du CERT-UE», la disposition selon laquelle «le CERT-UE travaille en étroite coopération avec le CEPD lorsqu’il traite des incidents donnant lieu à des violations de données à caractère personnel ou à une violation de la confidentialité des communications électroniques» ;

| — | le CEPD recommande d’ajouter l’obligation pour le CERT-UE d’informer le CEPD lorsqu’il traite des vulnérabilités importantes, des incidents importants ou des attaques majeures susceptibles d’entraîner des violations de données à caractère personnel et/ou une violation de la confidentialité des communications électroniques; |
| --- | --- |

—

le CEPD recommande d’ajouter l’obligation pour le CERT-UE d’informer le CEPD lorsqu’il traite des vulnérabilités importantes, des incidents importants ou des attaques majeures susceptibles d’entraîner des violations de données à caractère personnel et/ou une violation de la confidentialité des communications électroniques;

| — | le CEPD recommande de prévoir, à l’article 12, que le CEPD est associé aux activités de sensibilisation des institutions de l’Union en ce qui concerne les services de cybersécurité assurés par le CERT-UE, afin de tenir compte de l’interaction entre la violation de données à caractère personnel et les incidents de cybersécurité; |
| --- | --- |

—

le CEPD recommande de prévoir, à l’article 12, que le CEPD est associé aux activités de sensibilisation des institutions de l’Union en ce qui concerne les services de cybersécurité assurés par le CERT-UE, afin de tenir compte de l’interaction entre la violation de données à caractère personnel et les incidents de cybersécurité;

| — | le CEPD recommande d’ajouter à l’article 12 de la proposition, intitulé «Mission et tâches du CERT-UE», une disposition précisant que le CERT-UE informe sans retard injustifié le CEPD lorsqu’il dispose d’éléments indiquant qu’une violation par les institutions de l’Union des obligations énoncées dans la proposition entraîne une violation de données à caractère personnel; |
| --- | --- |

—

le CEPD recommande d’ajouter à l’article 12 de la proposition, intitulé «Mission et tâches du CERT-UE», une disposition précisant que le CERT-UE informe sans retard injustifié le CEPD lorsqu’il dispose d’éléments indiquant qu’une violation par les institutions de l’Union des obligations énoncées dans la proposition entraîne une violation de données à caractère personnel;

| — | le CEPD recommande vivement que le Contrôleur européen de la protection des données soit ajouté à l’article 9, paragraphe 3, en tant que participant permanent à l’IICB avec un représentant. |
| --- | --- |

—

le CEPD recommande vivement que le Contrôleur européen de la protection des données soit ajouté à l’article 9, paragraphe 3, en tant que participant permanent à l’IICB avec un représentant.

Bruxelles, le 17 mai 2022

Wojciech Rafał WIEWIÓROWSKI

---

(1)  COM(2022) 122 final.

1

(2)  COM(2022) 119 final.

2

(3)  Stratégie de cybersécurité de l’UE pour la décennie numérique | «Façonner l’avenir numérique de l’Europe» (europa.eu), qui inclut une communication conjointe avec le haut représentant de l’Union pour les affaires étrangères et la politique de sécurité [JOIN(2020)18].

3

(4)  Voir chapitre I. INTRODUCTION de la stratégie, page 4.

4

(5)  Communication conjointe de la Commission européenne et du haut représentant de l’Union pour les affaires étrangères et la politique de sécurité au Parlement européen et au Conseil, intitulée «La stratégie de cybersécurité de l’UE pour la décennie numérique».

5

(6)  Avis 5/2021 du CEPD sur la stratégie en matière de cybersécurité et la directive SRI 2.0

6

(7)  Le rôle actuel de la CERT-UE découle de l’accord interinstitutionnel 2018/C 12/01.

7

(8)  Règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (JO L 295 du 21.11.2018, p. 39).

8

o

o

---

INFORMATIONS PROVENANT DES ÉTATS MEMBRES

| 5.7.2022 | FR | Journal officiel de l’Union européenne | C 258/13 |
| --- | --- | --- | --- |

5.7.2022

FR

Journal officiel de l’Union européenne

C 258/13

---

Mise à jour des montants de référence requis pour le franchissement des frontières extérieures, tels que visés à l’article 6, paragraphe 4, du règlement (UE) 2016/399 du Parlement européen et du Conseil concernant un code de l’Union relatif au régime de franchissement des frontières par les personnes (code frontières Schengen) (1)

(2022/C 258/08)

La publication des montants de référence requis pour le franchissement des frontières extérieures, tels que visés à l’article 6, paragraphe 4, du règlement (UE) 2016/399 du Parlement européen et du Conseil du 9 mars 2016 concernant un code de l’Union relatif au régime de franchissement des frontières par les personnes (code frontières Schengen) (2) est fondée sur les informations communiquées par les États membres à la Commission, conformément à l’article 39 du code frontières Schengen.

Outre la publication au Journal officiel, une mise à jour mensuelle est disponible sur le site internet de la direction générale des affaires intérieures.

MONTANTS DE RÉFÉRENCE REQUIS POUR LE FRANCHISSEMENT DES FRONTIÈRES EXTÉRIEURES, FIXÉS PAR LES AUTORITÉS NATIONALES

ISLANDE

Modification des informations publiées au JO C 247 du 13.10.2006, p. 19

En vertu de la loi islandaise, les étrangers doivent prouver qu’ils sont en possession de suffisamment d’argent pour subvenir à leurs besoins en Islande et pour effectuer le voyage retour. En pratique, le montant de référence est de 8 000 ISK par personne et par jour. Pour les personnes dont les frais de séjour sont supportés par un tiers, ce montant est divisé par deux. Le montant total minimum est de 40 000 ISK pour chaque entrée.

Liste des publications précédentes

JO C 247 du 13.10.2006, p. 19.

JO C 77 du 5.4.2007, p. 11.

JO C 153 du 6.7.2007, p. 22.

JO C 164 du 18.7.2007, p. 45.

JO C 182 du 4.8.2007, p. 18.

JO C 57 du 1.3.2008, p. 38.

JO C 134 du 31.5.2008, p. 19.

JO C 331 du 31.12.2008, p. 13.

JO C 33 du 10.2.2009, p. 1.

JO C 36 du 13.2.2009, p. 100.

JO C 37 du 14.2.2009, p. 8.

JO C 98 du 29.4.2009, p. 11.

JO C 35 du 12.2.2010, p. 7.

JO C 304 du 10.11.2010, p. 5.

JO C 24 du 26.1.2011, p. 6.

JO C 157 du 27.5.2011, p. 8.

JO C 203 du 9.7.2011, p. 16.

JO C 11 du 13.1.2012, p. 13.

JO C 72 du 10.3.2012, p. 44.

JO C 199 du 7.7.2012, p. 8.

JO C 298 du 4.10.2012, p. 3.

JO C 56 du 26.2.2013, p. 13.

JO C 98 du 5.4.2013, p. 3.

JO C 269 du 18.9.2013, p. 2.

JO C 57 du 28.2.2014, p. 2.

JO C 152 du 20.5.2014, p. 25.

JO C 224 du 15.7.2014, p. 31.

JO C 434 du 4.12.2014, p. 3.

JO C 447 du 13.12.2014, p. 32.

JO C 38 du 4.2.2015, p. 20.

JO C 96 du 11.3.2016, p. 7.

JO C 146 du 26.4.2016, p. 12.

JO C 248 du 8.7.2016, p. 12.

JO C 111 du 8.4.2017, p. 11.

JO C 21 du 20.1.2018, p. 3.

JO C 93 du 12.3.2018, p. 4.

JO C 153 du 2.5.2018, p. 8.

JO C 186 du 31.5.2018, p. 10.

JO C 264 du 26.7.2018, p. 6.

JO C 366 du 10.10.2018, p. 12.

JO C 459 du 20.12.2018, p. 38.

JO C 140 du 16.4.2019, p. 7.

JO C 178 du 28.5.2020, p. 3.

JO C 102 du 24.3.2021, p. 8.

JO C 486 du 3.12.2021, p. 26.

JO C 139 du 29.3.2022, p. 3.

JO C 143 du 31.3.2022, p. 6.

---

(1)  Voir la liste des précédentes publications à la fin de la présente mise à jour.

(2)  JO L 77 du 23.3.2016, p. 1.

---