DÉCISION DE L’AUTORITÉ BANCAIRE EUROPÉENNE

du 23 avril 2021

portant adoption de règles internes relatives à la limitation de certains droits des personnes concernées en matière de traitement des données à caractère personnel dans le cadre du fonctionnement de l’Autorité bancaire européenne

(2021/C 196/06)

LE CONSEIL D’ADMINISTRATION,

vu le traité sur le fonctionnement de l’Union européenne,

vu le règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (1), et notamment son article 25,

vu le règlement (UE) no 1093/2010 du Parlement européen et du Conseil du 24 novembre 2010 instituant une Autorité européenne de surveillance (Autorité bancaire européenne), modifiant la décision no 716/2009/CE et abrogeant la décision 2009/78/CE de la Commission (2), et notamment son article 47, paragraphe 1, et son article 71,

considérant ce qui suit:

(1) L’Autorité bancaire européenne (ci-après l’«ABE») exerce ses activités conformément au règlement (UE) no 1093/2010, tel que, le cas échéant, modifié, abrogé ou remplacé.

(2) Conformément à l’article 25, paragraphe 1, du règlement (UE) 2018/1725, les limitations de l’application des articles 14 à 22, 35 et 36, ainsi que de l’article 4 dudit règlement, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 22, doivent être fondées sur des règles internes à adopter par l’ABE, lorsque celles-ci ne sont pas fondées sur des actes juridiques adoptés sur la base des traités.

(3) Lorsque l’ABE exerce ses fonctions en ce qui concerne les droits des personnes concernées en vertu du règlement (UE) 2018/1725, elle examine si l’une des exceptions établies dans ledit règlement s’applique.

(4) L’ABE traite plusieurs catégories de données à caractère personnel, y compris des données «objectives» (telles que les données d’identification, les coordonnées, les données professionnelles, les données administratives, les données provenant de sources spécifiques, les communications électroniques et les données relatives au trafic) et/ou des données «subjectives» (concernant le cas d’espèce, telles que la motivation, les données relatives au comportement et les données relatives à l’objet de la procédure ou de l’activité, ou encore les données présentées en lien avec l’objet de la procédure ou de l’activité).

(5) L’ABE, représentée par son directeur exécutif, agit en qualité de responsable du traitement des données, indépendamment de toute délégation ultérieure de la fonction de responsable du traitement au sein de l’ABE, afin de tenir compte des responsabilités opérationnelles liées à des traitements spécifiques de données à caractère personnel.

(6) Les données à caractère personnel sont conservées de manière sécurisée dans un environnement électronique ou sur un support papier, empêchant ainsi tout accès illicite aux données par des personnes qui n’ont pas besoin d’en connaître ou tout transfert illicite à ces dernières. Les données à caractère personnel traitées ne sont pas conservées plus longtemps que ce qui est nécessaire et approprié aux fins pour lesquelles elles sont traitées pendant la période définie dans les registres relatifs à la protection des données et les déclarations de confidentialité de l’ABE.

(7) Dans l’exercice de ses missions, l’ABE est tenue de respecter, dans toute la mesure du possible, les droits fondamentaux des personnes concernées, notamment ceux ayant trait à la communication d’informations, à l’accès et à la rectification, à l’effacement, à la limitation du traitement, à la communication à la personne concernée d’une violation de ses données à caractère personnel ou encore à la confidentialité des communications, conformément au règlement (UE) 2018/1725.

(8) L’ABE peut cependant être dans l’obligation de limiter les informations à la personne concernée ou d’autres droits de la personne concernée en vue de protéger, notamment, la confidentialité et l’efficacité de ses propres enquêtes, les enquêtes et les procédures d’autres autorités publiques, ainsi que les droits d’autres personnes associées à ses enquêtes ou à d’autres procédures.

(9) Dans le cadre de son fonctionnement administratif, l’ABE peut mener un certain nombre d’enquêtes, telles que des enquêtes administratives, des procédures disciplinaires ou encore des activités préliminaires en lien avec la fraude financière, des enquêtes relatives à des cas d’alerte éthique ou de harcèlement, des audits internes, des enquêtes menées par le délégué à la protection des données (ci-après le «DPD») ou des enquêtes sur l’éthique, des enquêtes sur les TIC, des enquêtes sur la sécurité de l’information et des activités réalisées dans le cadre de la gestion des risques et des incidents en matière de sécurité. En outre, dans l’exercice de ses missions, l’ABE peut mener des enquêtes sur des violations potentielles du droit de l’Union, le règlement de différends entre des autorités compétentes et la médiation assurée entre des autorités compétentes, ainsi que des enquêtes liées à la prévention du blanchiment de capitaux et du financement du terrorisme et à la lutte contre ces phénomènes, et des enquêtes portant sur la protection des consommateurs et les activités financières en vue d’évaluer les menaces potentielles pour l’intégrité des marchés financiers ou la stabilité du système financier dans l’Union.

(10) Les règles internes doivent s’appliquer à toutes les opérations de traitement effectuées par l’ABE dans le cadre des enquêtes susmentionnées. Elles doivent également s’appliquer aux opérations de traitement qui sont réalisées avant l’ouverture des enquêtes visées ci-dessus, au cours de ces enquêtes et au cours du suivi des résultats de ces enquêtes. Ces règles doivent aussi couvrir l’assistance, la coordination et/ou la coopération que les autorités nationales et les organisations internationales demandent à l’ABE dans le cadre de leurs propres enquêtes administratives.

(11) Avant de faire usage des limitations prévues dans les présentes règles internes, l’ABE doit examiner si l’une des exceptions établies dans le règlement (UE) 2018/1725 s’applique. Dans les cas où des limitations s’appliquent en vertu des présentes règles internes, l’ABE doit expliquer les raisons pour lesquelles ces limitations sont strictement nécessaires et proportionnées dans une société démocratique et respectent l’essence des libertés et droits fondamentaux.

(12) L’ABE doit vérifier si les conditions qui justifient la limitation continuent de s’appliquer et doit lever la limitation quand celles-ci ne s’appliquent plus.

(13) Le responsable du traitement doit informer le délégué à la protection des données lorsqu’il limite l’application de certains droits des personnes concernées conformément à la présente décision, ainsi que quand il étend ou lève cette limitation,

DECIDE:

Article premier Objet et champ d’application 1. La présente décision fixe les règles internes relatives aux conditions dans lesquelles l’ABE, dans le cadre des activités visées aux paragraphes 2 à 5, peut limiter l’application des droits consacrés aux articles 14 à 21 et 35 du règlement (UE) no 2018/1725, ainsi qu’à son l’article 4, conformément à l’article 25 dudit règlement. Ces limitations sont sans préjudice des exceptions aux droits des personnes concernées fixées par le règlement (UE) no 2018/1725. 2. Dans le cadre du fonctionnement administratif de l’ABE, les limitations fixées au paragraphe 1 s’appliquent au traitement des données à caractère personnel par l’ABE dans le cadre: (a) d’enquêtes administratives et de procédures disciplinaires, conformément à l’article 25, paragraphe 1, point f), du règlement (UE) 2018/1725; (b) du traitement d’irrégularités en liaison avec l’Office européen de lutte antifraude (OLAF), conformément à l’article 25, paragraphe 1, points b) ou f), du règlement (UE) 2018/1725; (c) du traitement des cas d’alerte éthique, des situations (formelles et informelles) de harcèlement et des réclamations internes et externes, conformément à l’article 25, paragraphe 1, point f), du règlement (UE) 2018/1725; (d) d’audits internes, d’enquêtes sur l’éthique, d’examens, de procédures et de recherches effectués par le DPD, conformément à l’article 25, paragraphe 1, points f) ou g), ou à l’article 45, paragraphe 2, du règlement (UE) 2018/1725; (e) d’enquêtes sur les TIC, d’enquêtes sur la sécurité de l’information et d’activités menées dans le cadre de la gestion des incidents et des risques en matière de sécurité, conduites en interne ou impliquant une participation externe, conformément à l’article 25, paragraphe 1, point d), du règlement (UE) 2018/1725. 3. Dans le cadre de l’exercice des missions de l’ABE, les limitations fixées au paragraphe 1 s’appliquent au traitement des données à caractère personnel par l’ABE à l’une des fins suivantes: (a) les enquêtes sur des violations potentielles du droit de l’Union, conformément à l’article 17 du règlement (UE) no 1093/2010; (b) les enquêtes et procédures relatives à la protection des consommateurs et aux activités financières en vue d’évaluer les menaces potentielles pour l’intégrité des marchés financiers ou la stabilité du système financier dans l’Union, conformément aux articles 9 et 22 du règlement (UE) no 1093/2010; (c) les procédures liées au règlement des différends entre autorités compétentes conformément à l’article 19 du règlement (UE) no 1093/2010 et aux actes législatifs visés à l’article 1er, paragraphe 2, dudit règlement; (d) les procédures de médiation non contraignante menées par l’ABE conformément à l’article 31, paragraphe 2, point c), du règlement (UE) no 1093/2010 et aux actes législatifs visés à l’article 1er, paragraphe 2, dudit règlement; (e) les enquêtes liées à la prévention du blanchiment de capitaux et du financement du terrorisme et à la lutte contre ces phénomènes conformément à l’article 9 ter du règlement (UE) no 1093/2010 et aux actes législatifs visés à l’article 1er, paragraphe 2, dudit règlement. 4. En outre, ces limitations s’appliquent à l’assistance, la coordination et/ou la coopération fournies par l’ABE aux autorités compétentes telles que définies à l’article 4, point 2, du règlement (UE) no 1093/2010, y compris les autorités de pays tiers et les organisations internationales dans le cadre des enquêtes menées dans l’exercice de leurs missions statutaires. 5. Les limitations visées au paragraphe 1 s’appliquent également aux opérations de traitement qui sont réalisées avant l’ouverture des enquêtes ou d’autres enquêtes administratives visées aux paragraphes 2 à 4, au cours de ces enquêtes et au cours du suivi des résultats de ces enquêtes. 6. La présente décision s’applique à toute catégorie de données à caractère personnel traitées dans le cadre des activités visées aux paragraphes 2 à 5. 7. Sous réserve des conditions énoncées dans la présente décision, les limitations peuvent s’appliquer aux droits ci-après: la communication d’informations à des personnes concernées, le droit d’accès, la rectification, l’effacement, la limitation du traitement et la communication à la personne concernée d’une violation de ses données à caractère personnel.

Article 2 Responsable du traitement chargé des enquêtes et garanties applicables 1. Les mesures de protection mises en place pour prévenir les abus ou l’accès ou le transfert illicites dans le cadre des enquêtes visées à l’article 1er sont les suivantes: (a) les documents en version papier sont conservés dans des armoires fermées à clé qui ne sont accessibles qu’au personnel habilité en fonction de son besoin d’en connaître. Le système de sécurité des locaux, des politiques internes de gestion des documents, la formation du personnel et des audits sont aussi mis en place pour assurer des garanties adéquates; (b) les fichiers électroniques sont gérés avec les dispositifs, systèmes d’information, applications et ressources de supports de mémoire approuvés de l’ABE. Les données sont conservées dans un environnement électronique sécurisé qui est conçu et entretenu de manière à prévenir la destruction, la perte, l’altération, le transfert et la divulgation non autorisée, accidentels ou illicites, de données à caractère personnel à des partenaires internes et externes qui ne sont pas autorisés à accéder à ces données, ainsi que l’accès accidentel ou illicite de ceux-ci aux données. Les applications de système de gestion des documents de l’ABE sont utilisées pour organiser, retrouver, partager, maintenir et protéger les données électroniques de l’ABE. Le personnel habilité de l’ABE n’est autorisé à accéder aux données électroniques que sur la base du principe du «besoin d’en connaître»; (c) les bases de données et les fichiers électroniques sont protégés par un mot de passe dans un système d’authentification unique et se connectent automatiquement à l’identifiant et au mot de passe de l’utilisateur. Le remplacement d’utilisateurs est strictement interdit. Les enregistrements électroniques sont conservés en toute sécurité afin de préserver la confidentialité et le caractère privé des données qu’ils contiennent; (d) toutes les personnes ayant accès aux données sont tenues par l’obligation de confidentialité et signent un document par lequel elles déclarent reconnaître cette obligation et respecter les exigences prévues au présent paragraphe. 2. Le responsable des opérations de traitement est l’ABE, représentée par son directeur exécutif. Les personnes concernées sont informées de la délégation de la fonction de responsable du traitement au moyen des registres relatifs à la protection des données publiés sur le site internet de l’ABE. 3. La durée de conservation des données à caractère personnel traitées ne doit pas excéder la durée nécessaire et appropriée pour parvenir aux fins pour lesquelles les données sont traitées. La durée de conservation est spécifiée dans les registres relatifs à la protection des données et dans les déclarations de confidentialité visés à l’article 5, paragraphe 1. 4. Lorsque l’ABE envisage d’appliquer une limitation, le risque pour les droits et libertés de la personne concernée est mis en balance, en particulier, avec le risque pour les droits et libertés d’autres personnes concernées et le risque de priver d’effet les enquêtes ou procédures de l’ABE, par exemple par la destruction de preuves. Les risques pour les droits et libertés de la personne concernée concernent principalement, mais pas seulement, les risques pour la réputation et les risques pour les droits de la défense et le droit d’être entendu.

Article 3 Limitations 1. Conformément à l’article 25, paragraphe 1, du règlement (UE) 2018/1725, toute limitation ne peut être appliquée par l’ABE que pour sauvegarder: (a) la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, en particulier au regard des opérations de traitement visées à l’article 1er, paragraphe 2, point b), de la présente décision; (b) d’autres objectifs importants d’intérêt public général de l’Union ou d’un État membre, en particulier les objectifs de la politique étrangère et de sécurité commune de l’Union ou un intérêt économique ou financier important de l’Union ou d’un État membre, y compris dans les domaines monétaire, budgétaire et fiscal, de la santé publique et de la sécurité sociale, en particulier au regard des opérations de traitement visées à l’article 1er, paragraphe 3, de la présente décision; (c) la sécurité interne des institutions et organes de l’Union, notamment de leurs réseaux de communications électroniques, en particulier au regard des opérations de traitement visées à l’article 1er, paragraphe 2, point c), de la présente décision; (d) la prévention et la détection de manquements à la déontologie des professions réglementées, ainsi que les enquêtes et les poursuites en la matière, en particulier au regard des opérations de traitement visées à l’article 1er, paragraphe 2, points a) et c), de la présente décision; (e) une mission de contrôle, d’inspection ou de réglementation liée, même occasionnellement, à l’exercice de l’autorité publique, dans les cas visés aux points a) et b), en particulier au regard des opérations de traitement visées à l’article 1er, paragraphe 2, point d), de la présente décision; (f) la protection de la personne concernée ou des droits et libertés d’autrui. 2. Aux fins de l’application spécifique des finalités énoncées au paragraphe 1 ci-dessus, l’ABE peut appliquer des limitations en ce qui concerne les données à caractère personnel échangées avec les services de la Commission ou d’autres institutions, organes et organismes de l’Union, les autorités compétentes des États membres ou de pays tiers ou les organisations internationales, si une ou plusieurs des circonstances suivantes se présentent: (a) lorsque l’exercice de ces droits et obligations pourrait être limité par les services de la Commission ou d’autres institutions, organes et organismes de l’Union sur la base d’autres actes prévus à l’article 25 du règlement (UE) 2018/1725 ou conformément au chapitre IX dudit règlement ou aux actes fondateurs d’autres institutions, organes et organismes de l’Union; (b) lorsque l’exercice de ces droits et obligations pourrait être limité par les autorités compétentes des États membres sur la base des actes visés à l’article 23 du règlement (UE) 2016/679 du Parlement européen et du Conseil ou en vertu de mesures nationales transposant l’article 13, paragraphe 3, l’article 15, paragraphe 3, ou l’article 16, paragraphe 3, de la directive (UE) 2016/680 du Parlement européen et du Conseil; (c) lorsque l’exercice de ces droits et obligations pourrait compromettre la coopération de l’ABE avec les pays tiers ou les organisations internationales dans l’accomplissement de ses missions, ou des missions des pays tiers ou des organisations internationales. Avant d’appliquer des limitations dans les cas visés aux points a) et b) du premier alinéa, l’ABE consulte les services compétents de la Commission, les institutions, organes et organismes de l’Union ou les autorités compétentes des États membres à moins qu’il ne soit clair pour elle que l’application d’une limitation est prévue par l’un des actes visés à ces points. 3. Toute limitation est nécessaire et proportionnée au regard des risques pour les droits et libertés des personnes concernées et respecte l’essence des libertés et droits fondamentaux dans une société démocratique. 4. Si l’application d’une limitation est envisagée, une évaluation de la nécessité et de la proportionnalité est effectuée sur la base des présentes règles. Le résultat de cette évaluation est consigné dans une note d’évaluation interne, afin de rendre compte, au cas par cas, des limitations considérées. 5. Les limitations sont levées dès que les circonstances qui les justifient cessent d’exister, en particulier lorsqu’il est considéré que l’exercice du droit limité ne priverait plus d’effet la limitation imposée ou ne porterait plus atteinte aux droits ou aux libertés d’autres personnes concernées.

Article 4 Réexamen par le délégué à la protection des données 1. Le responsable du traitement informe, dans les meilleurs délais, le DPD chaque fois qu’il entend limiter l’application des droits des personnes concernées, ou étend la limitation, conformément à la présente décision. Le responsable du traitement fournit au DPD un accès à la note interne contenant l’évaluation de la nécessité et de la proportionnalité de la limitation ainsi que, le cas échéant, des éléments factuels et juridiques sous-jacents, et consigne dans le dossier la date à laquelle le DPD a été informé. 2. Le DPD peut demander au responsable du traitement, par écrit, de réexaminer l’application des limitations. Le responsable du traitement informe le DPD, par écrit, du résultat du réexamen demandé. 3. Le responsable du traitement informe le DPD lorsque la limitation a été levée. 4. Le responsable du traitement documente la participation du DPD tout au long des différentes étapes de la procédure, à compter de la date à laquelle le DPD a été informé. 5. La note interne et, le cas échéant, les éléments factuels et juridiques sous-jacents sont mis à la disposition du Contrôleur européen de la protection des données si ce dernier en fait la demande.

Article 5 Communication d’informations aux personnes concernées 1. L’ABE publie sur son site internet les registres relatifs à la protection des données, qui informent toutes les personnes concernées de ses activités supposant le traitement de données à caractère personnel et qui contiennent notamment des informations relatives à la limitation potentielle des droits des personnes concernées conformément à l’article 3 de la présente décision. Ces informations portent sur les droits susceptibles d’être limités, les motifs pour lesquels des limitations peuvent s’appliquer, ainsi que leur durée potentielle. 2. L’ABE informe individuellement toutes les personnes concernées, qui sont considérées comme des personnes concernées par l’enquête, du registre relatif à la protection des données des opérations de traitement spécifiques en question, dans les meilleurs délais et par écrit. 3. Dans certains cas dûment justifiés et dans les conditions prévues dans la présente décision, l’ABE peut limiter, en tout ou en partie, la communication d’informations aux personnes concernées visée au paragraphe 2. En pareil cas, l’ABE consigne dans une note interne les motifs et la base juridique de la limitation conformément à l’article 3 de la présente décision, accompagnés d’une évaluation de la nécessité et de la proportionnalité de la limitation. 4. La limitation visée au paragraphe 3 continue de s’appliquer tant que les raisons la justifiant persistent. Lorsque les raisons de la limitation ne s’appliquent plus, l’ABE notifie à la personne concernée le registre relatif à la protection des données en question et les principales raisons de la limitation. Cette notification peut être accompagnée d’une invitation à soumettre des observations sur les constatations de l’enquête en cours, dans le cadre de l’exercice des droits de la défense de la personne concernée. Dans le même temps, l’ABE informe la personne concernée de son droit d’introduire une réclamation auprès du Contrôleur européen de la protection des données à tout moment ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne. L’ABE examine l’application de la limitation tous les six mois à compter de son adoption et à la clôture de l’enquête en question.

Article 6 Droit d’accès de la personne concernée 1. Faisant suite à une demande de la personne concernée, l’ABE peut limiter, en tout ou en partie, le droit de cette personne concernée d’obtenir la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées par l’ABE dans le cadre d’une enquête visée à l’article 1er de la présente décision et, lorsqu’elles le sont, le droit d’accès auxdites données et à d’autres informations visé à l’article 17 du règlement (UE) 2018/1725. 2. Lorsque l’ABE limite le droit d’accès, elle informe la personne concernée, dans sa réponse à la demande, de la limitation appliquée et des principales raisons qui la motivent, ainsi que de la possibilité d’introduire une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne. 3. La communication des informations visées au paragraphe 2 peut être différée, omise ou refusée si elle prive d’effet la limitation imposée en vertu de l’article 25, paragraphe 8, du règlement (UE) 2018/1725. Si tel est le cas, l’ABE consigne dans une note d’évaluation interne les motifs de la limitation, accompagnés d’une évaluation de la nécessité de la limitation, de sa proportionnalité et de sa durée. 4. L’ABE examine l’application de la limitation tous les six mois à compter de son adoption et à la clôture de l’enquête en question.

Article 7 Droit de rectification, droit à l’effacement et droit à la limitation du traitement 1. Faisant suite à une demande de la personne concernée, l’ABE peut, dans le cadre d’une enquête visée à l’article 1er de la présente décision, limiter, en tout ou en partie, le droit de cette personne concernée d’obtenir une rectification des données à caractère personnel la concernant, d’effacer ou de limiter le traitement des données à caractère personnel la concernant conformément aux articles 18, 19 et 20 du règlement (UE) 2018/1725. 2. Dans le cas où l’ABE limite l’application du droit de rectification, du droit à l’effacement ou du droit à la limitation du traitement susmentionnés, elle prend les mesures visées à l’article 6, paragraphe 2, et le consigne conformément à l’article 6, paragraphe 3. 3. L’ABE examine l’application de la limitation tous les six mois à compter de son adoption et à la clôture de l’enquête en question.

Article 8 Communication à la personne concernée d’une violation de données à caractère personnel 1. L’ABE communique à la personne concernée une violation de données à caractère personnel dans les meilleurs délais lorsque cette violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique conformément à l’article 35 du règlement (UE) 2018/1725. 2. Dans certains cas dûment justifiés et dans les conditions prévues dans la présente décision, l’ABE peut limiter, en tout ou en partie, la communication d’informations aux personnes concernées visée au paragraphe 1 du présent article. En pareil cas, l’ABE consigne dans une note interne les motifs et la base juridique de la limitation conformément à l’article 3 de la présente décision, accompagnés d’une évaluation de la nécessité et de la proportionnalité de la limitation. 3. La limitation visée au paragraphe 2 continue de s’appliquer tant que les raisons la justifiant persistent. Lorsque les raisons de la limitation ne s’appliquent plus, l’ABE informe la personne concernée de la violation des données à caractère personnel et des principales raisons de la limitation. Dans le même temps, l’ABE informe la personne concernée de son droit d’introduire une réclamation auprès du Contrôleur européen de la protection des données à tout moment ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne. L’ABE examine l’application de la limitation tous les six mois à compter de son adoption et à la clôture de l’enquête en question.

Article 9 Entrée en vigueur La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.

Fait à Paris, le 23 avril 2021. Pour le conseil d’administration José Manuel CAMPA Président

(1) . JO L 295 du 21.11.2018, p. 39.

(2) . JO L 331 du 15.12.2010, p. 12.