02020Q0626(01) — FR — 13.11.2022 — 001.001

Ce texte constitue seulement un outil de documentation et n’a aucun effet juridique. Les institutions de l'Union déclinent toute responsabilité quant à son contenu. Les versions faisant foi des actes concernés, y compris leurs préambules, sont celles qui ont été publiées au Journal officiel de l’Union européenne et sont disponibles sur EUR-Lex. Ces textes officiels peuvent être consultés directement en cliquant sur les liens qui figurent dans ce document

►B DÉCISION DU CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES du 15 mai 2020 portant adoption du règlement intérieur du CEPD (JO L 204 du 26.6.2020, p. 49)

Modifié par:









▼B

DÉCISION DU CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES

du 15 mai 2020

portant adoption du règlement intérieur du CEPD







TITRE I

MISSION, DÉFINITIONS, PRINCIPES DIRECTEURS ET ORGANISATION







CHAPITRE I

Mission et définitions

Article premier

Le CEPD

Le CEPD agit conformément aux dispositions du règlement (UE) 2018/1725, de tout autre acte juridique pertinent de l’Union et de la présente décision, et suit les priorités stratégiques que le contrôleur européen de la protection des données est susceptible de fixer.

Article 2

Définitions

Aux fins de la présente décision, on entend par:

a) «le règlement», le règlement (UE) 2018/1725;

b) «le RGPD», le règlement (UE) 2016/679;

c) «institution», une institution, un organe ou un organisme de l’Union soumis au règlement ou à tout autre acte juridique de l’Union prévoyant les missions et compétences du contrôleur européen de la protection des données;

d) «CEPD», le contrôleur européen de la protection des données en tant qu’organe de l’Union;

e) «contrôleur européen de la protection des données», le contrôleur européen de la protection des données nommé par le Parlement européen et le Conseil conformément à l’article 53 du règlement;

f) «EDPB», le comité européen de la protection des données institué en tant qu’organe de l’Union par l’article 68, paragraphe 1, du RGPD;

g) «secrétariat de l’EDPB», le secrétariat de l’EDPB institué par l’article 75 du RGPD.







CHAPITRE II

Principes directeurs

Article 3

Bonne gouvernance, intégrité et bonne conduite administrative

1. Le CEPD agit dans l’intérêt public comme un organe expert, indépendant, fiable, proactif et faisant autorité en matière de respect de la vie privée et de protection des données à caractère personnel.

2. Le CEPD agit conformément au cadre déontologique du CEPD.

Article 4

Responsabilité et transparence

1. Le CEPD publie régulièrement ses priorités stratégiques et un rapport annuel.

2. Le CEPD, en tant que responsable du traitement, montre l’exemple en respectant la législation applicable en matière de protection des données à caractère personnel.

3. Le CEPD communique ouvertement et en toute transparence avec les médias et les parties prenantes et explique ses activités au public dans un langage clair.

Article 5

Efficience et efficacité

1. Le CEPD utilise des moyens administratifs et techniques modernes pour maximiser l’efficience et l’efficacité dans l’accomplissement de ses tâches, y compris la communication interne et la délégation appropriée des tâches.

2. Afin de garantir le plus haut niveau de gestion de la qualité, le CEPD met en place des mécanismes et des outils appropriés, tels que des normes de contrôle interne, un processus de gestion des risques et le rapport d’activité annuel.

Article 6

Coopération

Le CEPD encourage la coopération entre les autorités de contrôle de la protection des données ainsi qu’avec toute autre autorité publique dont les activités sont susceptibles d’avoir une incidence sur le respect de la vie privée et la protection des données à caractère personnel.







CHAPITRE III

Organisation

Article 7

Rôle du contrôleur européen de la protection des données

Le contrôleur européen de la protection des données décide des priorités stratégiques du CEPD et adopte les documents stratégiques correspondant aux missions et compétences du CEPD.

Article 8

Secrétariat du CEPD

Le contrôleur européen de la protection des données détermine la structure organisationnelle du secrétariat du CEPD. Sans préjudice du protocole d’accord conclu entre le CEPD et l’EDPB le 25 mai 2018, en particulier en ce qui concerne le secrétariat de l’EDPB, la structure reflète les priorités stratégiques fixées par le contrôleur européen de la protection des données.

▼M1 —————

▼M1

Article 10

Réunion des dirigeants

1. La réunion des dirigeants assure la surveillance stratégique des travaux du CEPD. Elle comprend le contrôleur européen de la protection des données, le chef du secrétariat du CEPD, l’encadrement supérieur et intermédiaire, ainsi que les autres fonctionnaires qui contribuent à la surveillance stratégique des travaux du CEPD, telle qu’elle est déterminée par le contrôleur européen de la protection des données.

2. Lorsque la réunion des dirigeants porte sur des questions relatives aux ressources humaines, au budget, aux finances ou à l’administration qui présentent un intérêt pour l’EDPB ou le secrétariat de l’EDPB, elle comprend également le chef du secrétariat de l’EDPB.

3. La réunion des dirigeants est présidée par le contrôleur européen de la protection des données, ou en cas d’empêchement, par le chef du secrétariat du CEPD.

4. Le chef du secrétariat assure le bon fonctionnement du secrétariat de la réunion des dirigeants.

5. Les réunions ne sont pas publiques. Les débats sont confidentiels.

Article 11

Délégation des missions et suppléance

1. Le contrôleur européen de la protection des données peut déléguer au chef du secrétariat du CEPD, le cas échéant et conformément au règlement, la compétence d’adopter et de signer des décisions juridiquement contraignantes, dont le contenu a déjà été déterminé par le contrôleur européen de la protection des données.

2. Le contrôleur européen de la protection des données peut aussi déléguer, le cas échéant et conformément au règlement, au chef du secrétariat du CEPD ou au chef d’unité ou au chef de secteur concerné, la compétence d’adopter et de signer d’autres documents.

3. Lorsque des compétences lui ont été déléguées en vertu des paragraphes 1 ou 2, le chef du secrétariat du CEPD peut les subdéléguer au chef d’unité concerné ou au chef de secteur indépendant placé sous l’autorité directe du chef du secrétariat du CEPD.

4. Lorsque le contrôleur européen de la protection des données est empêché ou que le poste est vacant, le chef du secrétariat du CEPD, le cas échéant et conformément au règlement, s’acquitte des missions et fonctions du contrôleur européen de la protection des données qui sont nécessaires et urgentes pour garantir la continuité des activités.

5. Lorsque le chef du secrétariat du CEPD est empêché ou que le poste est vacant et qu’aucun fonctionnaire n’a été désigné par le contrôleur européen de la protection des données, les fonctions du chef du secrétariat du CEPD sont exercées par le chef d’unité ou le chef de secteur indépendant placé sous l’autorité directe du chef du secrétariat du CEPD ayant le grade le plus élevé et, à grade égal, la plus grande ancienneté dans le grade et, à ancienneté égale, le plus âgé. Le chef du secrétariat de l’EDPB ne peut pas suppléer le chef du secrétariat du CEPD.

6. À défaut d’un chef d’unité ou d’un chef de secteur indépendant placé sous l’autorité directe du chef du secrétariat du CEPD disponible pour exercer les fonctions du chef du secrétariat du CEPD comme précisé au paragraphe 5, ou de la désignation d’un fonctionnaire par le contrôleur européen de la protection des données, la suppléance est exercée par le fonctionnaire ayant le grade le plus élevé et, à grade égal, la plus grande ancienneté dans le grade et, à ancienneté égale, le plus âgé. Les membres du personnel du secrétariat de l’EDPB ne peuvent pas suppléer le chef du secrétariat du CEPD.

▼M1 —————

▼B







TITRE II

CONTRÔLER ET GARANTIR L’APPLICATION DU RÈGLEMENT

Article 13

Contrôler et garantir l’application du règlement

Le CEPD garantit la protection effective des droits et libertés des personnes en contrôlant et en faisant appliquer le règlement et tout autre acte juridique de l’Union prévoyant les missions et compétences du contrôleur européen de la protection des données. À cette fin, dans l’exercice de ses compétences d’enquête, de rectification, d’autorisation et de consultation, le CEPD peut réaliser des visites de conformité, des enquêtes, des visites bimensuelles, des consultations informelles ou faciliter le règlement à l’amiable de réclamations.

Article 14

Transparence des réponses aux consultations demandées par les institutions sur leur traitement de données à caractère personnel et aux demandes d’autorisations

Le CEPD peut publier, en tout ou en partie, les réponses aux consultations demandées par les institutions sur leur traitement des données à caractère personnel, en tenant compte des exigences applicables concernant la confidentialité et la sécurité de l’information. Les décisions relatives aux autorisations sont publiées, en tenant compte des exigences applicables concernant la confidentialité et la sécurité de l’information.

Article 15

Délégués à la protection des données communiqués par les institutions

1. Le CEPD tient un registre des nominations des délégués à la protection des données qui lui sont communiquées par les institutions conformément au règlement.

2. La liste actualisée des délégués à la protection des données des institutions est publiée sur le site internet du CEPD.

3. Le CEPD fournit des orientations aux délégués à la protection des données, en particulier en participant aux réunions organisées par le réseau des délégués à la protection des données des institutions.

Article 16

Traitement des réclamations

1. Le CEPD ne traite pas les réclamations anonymes.

2. Le CEPD traite les réclamations soumises par écrit, y compris sous forme électronique, dans toute langue officielle de l’Union, et qui contiennent les détails nécessaires à la compréhension de la réclamation.

3. Lorsqu’une réclamation portant sur les mêmes faits a été présentée par le réclamant au Médiateur européen, le CEPD examine sa recevabilité à la lumière des dispositions du Mémorandum d’accord conclu entre le CEPD et le Médiateur européen.

4. Le CEPD décide comment traiter une réclamation, en tenant compte: a) de la nature et de la gravité des violations alléguées des règles régissant la protection des données; b) de l’importance du préjudice qu’une ou plusieurs personnes concernées ont ou peuvent avoir subi du fait de la violation; c) de l’importance potentielle de l’affaire, en tenant compte des autres intérêts publics et/ou privés en cause; d) de la probabilité d’établir l’existence de la violation; e) de la date exacte à laquelle les événements sous-jacents se sont produits, le comportement en question a cessé de produire des effets, les effets ont été éliminés ou une garantie appropriée de cette élimination a été fournie.

▼M1

Le CEPD déclare irrecevable et ne traite pas les réclamations introduites plus de deux ans après que le réclamant a eu connaissance de la violation alléguée, sauf dans des circonstances dûment justifiées et exceptionnelles.

▼B

5. Le cas échéant, le CEPD facilite un règlement amiable de la réclamation.

6. Le CEPD suspend l’enquête relative à une réclamation dans l’attente d’une décision d’un tribunal ou d’une autre instance judiciaire ou administrative sur la même question.

7. Le CEPD ne divulgue l’identité du réclamant que dans la mesure nécessaire pour la bonne conduite de l’enquête. Le CEPD ne divulgue aucun document relatif à la réclamation, à l’exception d’extraits anonymisés ou de résumés de la décision finale, à moins que la personne concernée donne son consentement pour une telle divulgation.

8. Si les circonstances de la réclamation le requièrent, le CEPD coopère avec les autorités de contrôle compétentes, y compris les autorités de contrôle nationales compétentes qui agissent dans le cadre de leurs compétences respectives.

Article 17

Issue des réclamations

1. Le CEPD informe le réclamant, dans les meilleurs délais, de l’issue d’une réclamation et de l’action prise.

2. Lorsqu’une réclamation est jugée irrecevable ou que l’enquête est abandonnée, le CEPD conseille au réclamant, le cas échéant, de s’adresser à une autre autorité compétente.

3. Le CEPD peut décider de mettre fin à une enquête à la demande du réclamant. Cela n’empêche pas le CEPD de poursuivre son enquête sur l’objet de la réclamation.

4. Le CEPD peut clore une enquête lorsque le réclamant n’a pas fourni les informations demandées. Le CEPD informe le réclamant de la décision.

Article 18

Révision des réclamations et recours judiciaires

1. Lorsque le CEPD prend une décision sur une réclamation, le réclamant ou l’institution concernée peuvent demander au CEPD de revoir sa décision. Une telle demande est présentée dans le mois qui suit la décision. Le CEPD réexamine sa décision lorsque le réclamant ou l’institution avance de nouveaux éléments factuels ou arguments juridiques.

2. Lorsqu’il rend sa décision relative à une réclamation, le CEPD informe le réclamant et l’institution concernée qu’ils ont le droit de demander une révision de la décision et de la contester devant la Cour de justice de l’Union européenne conformément à l’article 263 du traité sur le fonctionnement de l’Union européenne.

3. Lorsque, à la suite d’une demande de révision de sa décision relative à une réclamation, le CEPD rend une nouvelle décision révisée, il informe le réclamant et l’institution concernée qu’ils peuvent contester cette nouvelle décision devant la Cour de justice de l’Union européenne conformément à l’article 263 du traité sur le fonctionnement de l’Union européenne.

Article 19

Notification d’une violation de données à caractère personnel au CEPD par les institutions

1. Le CEPD met à disposition une plateforme sécurisée pour la notification d’une violation de données à caractère personnel par une institution et met en œuvre des mesures de sécurité pour l’échange d’informations relatives à une violation de données à caractère personnel.

2. Dès qu’il a reçu la notification, le CEPD en accuse réception à l’institution concernée.







TITRE III

CONSULTATION LÉGISLATIVE, CONTRÔLE DE LA TECHNOLOGIE, PROJETS DE RECHERCHE, PROCÉDURES

Article 20

Consultation législative

▼M1

1. En réponse aux demandes formulées par la Commission en vertu de l’article 42, paragraphe 1, du règlement, le CEPD rend un avis lorsque la demande concerne une proposition d’acte législatif, une recommandation ou une proposition adressée au Conseil en vertu de l’article 218 TFUE. Lorsque la demande concerne un projet d’acte délégué ou d’acte d’exécution, le CEPD rend des observations formelles.

▼B

2. Les avis sont publiés sur le site internet du CEPD en anglais, en français et en allemand. Les résumés des avis sont publiés au Journal officiel de l’Union européenne (série C). Les observations formelles sont publiées sur le site internet du CEPD.

3. Le CEPD peut refuser de répondre à une consultation lorsque les conditions énoncées à l’article 42 du règlement ne sont pas remplies, y compris en l’absence d’incidence sur la protection des droits et libertés des personnes à l’égard de la protection des données.

4. Lorsque, malgré tous les efforts déployés, un avis conjoint du CEPD et de l’EDPB, conformément à l’article 42, paragraphe 2, du règlement, ne peut être rendu dans le délai imparti, le CEPD peut rendre un avis sur la même question.

5. Lorsque la Commission réduit un délai applicable à une consultation législative en vertu de l’article 42, paragraphe 3, du règlement, le CEPD s’efforce de respecter le délai fixé dans la mesure où cela est raisonnable et possible, compte tenu notamment de la complexité de la question, de la longueur de la documentation et du caractère exhaustif des informations fournies par la Commission.

Article 21

Surveillance des technologies

Le CEPD, dans le cadre de la surveillance de l’évolution des technologies de l’information et des communications, dès lors qu’elles ont une incidence sur la protection des données à caractère personnel, promeut la sensibilisation et donne des conseils en particulier sur les principes de protection des données dès la conception et de protection des données par défaut.

Article 22

Projets de recherche

Le CEPD peut décider de contribuer aux programmes-cadres de l’Union et de participer aux comités consultatifs de projets de recherche.

Article 23

Action contre les institutions en cas de non-respect du règlement

Le CEPD peut saisir la Cour de justice de l’Union européenne, en cas de non-respect du règlement par une institution, en particulier lorsque le CEPD n’a pas été consulté dans les cas prévus à l’article 42, paragraphe 1, du règlement et en cas d’absence de réaction effective à une mesure répressive prise par le CEPD conformément à l’article 58 du règlement.

Article 24

Intervention du CEPD dans les affaires portées devant la Cour de justice de l’Union européenne

1. Le CEPD peut intervenir dans des affaires portées devant la Cour de justice de l’Union européenne conformément à l’article 58, paragraphe 4, du règlement, à l’article 43, paragraphe 3, point i), du règlement (UE) 2016/794, à l’article 85, paragraphe 3, point g), du règlement (UE) 2017/1939, et à l’article 40, paragraphe 3, point g), du règlement (UE) 2018/1727.

2. Lorsqu’il décide de demander la permission d’intervenir ou d’accepter une invitation de la Cour de justice de l’Union européenne à intervenir, le CEPD examine notamment: a) si le CEPD a été directement impliqué dans les faits en cause dans le cadre de ses missions de contrôle; b) si l’affaire soulève des questions de protection des données qui sont soit substantielles en elles-mêmes soit déterminantes pour son issue; et c) si l’intervention du CEPD risque d’affecter l’issue de la procédure.







TITRE IV

COOPÉRATION AVEC LES AUTORITÉS DE CONTRÔLE NATIONALES ET COOPÉRATION INTERNATIONALE

Article 25

Le CEPD en tant que membre du comité européen de la protection des données

Le CEPD, en tant que membre de l’EDPB, s’efforce de promouvoir la perspective de l’Union, et en particulier les valeurs communes visées à l’article 2 du traité sur l’Union européenne.

Article 26

Coopération avec les autorités de contrôle nationales en vertu de l’article 61 du règlement

1. Le CEPD coopère avec les autorités de contrôle nationales ainsi qu’avec l’autorité de contrôle commune instituée en vertu de l’article 25 de la décision 2009/917/JAI du Conseil ( 1 ) en vue notamment: a) d’échanger toutes les informations importantes, y compris les bonnes pratiques, ainsi que les informations relatives aux demandes d’exercer des pouvoirs de contrôle, d’enquête et d’exécution par les autorités de contrôle nationales compétentes; b) d’intensifier et de maintenir des contacts avec les membres et le personnel concernés des autorités de contrôle nationales.

2. Le cas échéant, le CEPD se prête à une assistance mutuelle et prend part à des opérations conjointes avec des autorités de contrôle nationales, chacun agissant dans le cadre de ses compétences respectives comme prévu dans le règlement, le RGPD et d’autres actes pertinents du droit de l’Union.

3. Le CEPD, sur invitation, peut prendre part à une enquête menée par une autorité de contrôle ou inviter une autorité de contrôle à prendre part à une enquête conformément aux règles juridiques et procédurales applicables à la partie invitante.

Article 27

Coopération internationale

1. Le CEPD encourage les bonnes pratiques, la convergence et les synergies en matière de protection des données à caractère personnel entre l’Union européenne, les pays tiers et les organisations internationales, y compris par la participation à des réseaux et des événements internationaux et régionaux.

2. Le cas échéant, le CEPD se prête à l’assistance mutuelle dans les actions d’enquête et d’exécution des autorités de contrôle de pays tiers ou d’organisations internationales.







TITRE V

DISPOSITIONS GÉNÉRALES

Article 28

Consultation du comité du personnel

▼M1

1. Le comité du personnel, représentant le personnel du CEPD, y compris le secrétariat de l’EDPB, est consulté sur des projets de décisions relatives à la mise en œuvre du statut des fonctionnaires de l’Union européenne et du régime applicable aux autres agents de l’Union européenne fixés par le règlement (CEE, Euratom, CECA) n o 259/68 et peut être consulté sur toute autre question d’intérêt général concernant le personnel. Le comité du personnel est informé de toute question relative à l’exécution de ses missions.

▼B

2. Le comité du personnel contribue au bon fonctionnement du CEPD, y compris le secrétariat de l’EDPB, en formulant des propositions sur des questions relatives à l’organisation et aux conditions de travail.

▼M1 —————

▼B

Article 29

Délégué à la protection des données

1. Le CEPD désigne un délégué à la protection des données (DPD).

2. Le DPD est consulté, en particulier lorsque le CEPD, en tant que responsable du traitement, entend appliquer une limitation fondée sur les règles internes mettant en œuvre l’article 25 du règlement.

3. Conformément au point IV, paragraphe 2, point viii), du protocole d’accord conclu entre le CEPD et l’EDPB, l’EDPB dispose d’un DPD distinct. Conformément au point IV, paragraphe 4, du protocole d’accord conclu entre le CEPD et l’EDPB, le DPD du CEPD et celui de l’EDPB se réunissent régulièrement pour veiller à ce que leurs décisions restent cohérentes.

Article 30

Accès du public aux documents et responsable de la transparence du CEPD

Le CEPD désigne un responsable de la transparence pour garantir le respect du règlement (CE) no 1049/2001 du Parlement européen et du Conseil ( 2 ), sans préjudice du traitement des demandes d’accès du public aux documents par le secrétariat de l’EDPB conformément au point IV, paragraphe 2, point iii), du protocole d’accord conclu entre le CEPD et l’EDPB.

Article 31

Langues

1. Le CEPD s’engage à appliquer le principe du multilinguisme, la diversité linguistique et culturelle faisant partie des pierres angulaires et atouts de l’Union européenne. Le CEPD s’efforce de trouver un équilibre entre le principe du multilinguisme et l’obligation de garantir une bonne gestion financière et des économies pour le budget de l’Union européenne, faisant ainsi une utilisation pragmatique de ses ressources limitées.

2. Le CEPD répond à toute personne qui s’adresse à lui sur une question relevant de sa compétence dans une des langues officielles de l’Union européenne dans la même langue que celle utilisée pour s’adresser à lui. Toutes les réclamations, demandes d’information et autres requêtes peuvent être adressées au CEPD dans une des langues officielles de l’Union européenne, et une réponse doit être fournie dans la même langue.

3. Le site internet du CEPD est disponible en anglais, en français et en allemand. Les documents stratégiques du CEPD, comme la stratégie pour le mandat du contrôleur européen de la protection des données, sont publiés en anglais, en français et en allemand.

Article 32

Services de soutien

Le CEPD peut conclure des accords de coopération ou des accords de niveau de service avec d’autres institutions, et peut participer à des appels d’offres interinstitutionnels aboutissant à des contrats-cadres avec des tiers pour la prestation de services de soutien au CEPD et à l’EDPB. Le CEPD peut aussi signer un contrat avec des prestataires de services externes conformément aux règles de passation des marchés publics applicables aux institutions.

Article 33

Authentification des décisions

▼M1

1. Les décisions du CEPD sont authentifiées par l’apposition de la signature du contrôleur européen de la protection des données ou du chef du secrétariat du CEPD conformément aux dispositions de la présente décision. Cette signature peut être manuscrite ou sous forme électronique.

▼B

2. En cas de délégation ou de suppléance conformément à l’article 11, les décisions sont authentifiées par l’apposition de la signature de la personne à laquelle la compétence a été déléguée ou de la personne suppléante. Cette signature peut être manuscrite ou sous forme électronique.

Article 34

Travail à distance au CEPD et documents électroniques

1. Par décision du contrôleur européen de la protection des données, le CEPD peut mettre en œuvre un système de travail à distance pour l’ensemble ou une partie de son personnel. Cette décision est communiquée au personnel et publiée sur les sites internet du CEPD et de l’EDPB.

2. Par décision du contrôleur européen de la protection des données, le CEPD peut déterminer les conditions de validité de documents électroniques, les procédures électroniques et les moyens électroniques de transmission des documents aux fins du CEPD. Cette décision est communiquée au personnel et publiée sur le site internet du CEPD.

3. Le président de l’EDPB est consulté lorsque ces décisions concernent le secrétariat de l’EDPB.

Article 35

Règles relatives au calcul des délais, dates et termes

Le CEPD applique les règles relatives au calcul des délais, dates et termes fixées par le règlement (CEE, Euratom) no 1182/71 du Conseil ( 3 ).







TITRE VI

DISPOSITIONS FINALES

Article 36

Mesures supplémentaires

Le contrôleur européen de la protection des données peut préciser les dispositions de la présente décision en adoptant des modalités d’exécution et des mesures supplémentaires relatives au fonctionnement du CEPD.

Article 37

Abrogation de la décision 2013/504/UE du contrôleur européen de la protection des données

La décision 2013/504/UE du contrôleur européen de la protection des données ( 4 ) est abrogée et remplacée par la présente décision.

Article 38

Entrée en vigueur

La présente décision entre en vigueur le jour suivant celui de sa publication au Journal officiel de l’Union européenne.