Décision de la haute représentante de l’Union pour les affaires étrangères et la politique de sécurité

du 1er octobre 2019

relative aux règles internes concernant les limitations de certains droits des personnes concernées à l’égard du traitement des données à caractère personnel dans le cadre du fonctionnement du Service européen pour l’action extérieure

(2019/C 370/06)

LA HAUTE REPRÉSENTANTE DE L’UNION POUR LES AFFAIRES ÉTRANGÈRES ET LA POLITIQUE DE SÉCURITÉ,

vu le traité sur le fonctionnement de l’Union européenne,

vu la décision du Conseil 2010/427/UE du 26 juillet 2010 fixant l’organisation et le fonctionnement du service européen pour l’action extérieure (1),

vu le règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) n° 45/2001 et la décision n° 1247/2002/CE (2) [«règlement (UE) 2018/1725»], et notamment son article 25,

vu l’avis du Contrôleur européen de la protection des données, rendu conformément à l’article 41, paragraphe 2, du règlement (UE) 2018/1725 le 28 juin 2019,

considérant ce qui suit:

(1) Le Service européen pour l’action extérieure (SEAE) exerce ses activités conformément à la décision 2010/427/UE.

(2) Conformément à l’article 25, paragraphe 1, du règlement (UE) 2018/1725, les limitations de l’application des articles 14 à 21, 35 et 36, ainsi que de l’article 4 dudit règlement, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 21, sont établies par le SEAE dans les règles internes, lorsque celles-ci ne sont pas fondées sur des actes juridiques adoptés sur la base des traités.

(3) Ces règles internes, y compris leurs dispositions relatives à l’évaluation de la nécessité et de la proportionnalité d’une limitation, ne devraient pas s’appliquer lorsqu’un acte juridique adopté sur la base des traités prévoit une limitation des droits des personnes concernées.

(4) Lorsque le SEAE exerce ses fonctions à l’égard des droits des personnes concernées conformément au règlement (UE) 2018/1725, il examine si l’une des exceptions établies dans ledit règlement s’applique.

(5) Ces limitations peuvent s’appliquer à différents droits de la personne concernée, y compris le droit à l’information de la personne concernée, le droit d’accès, le droit de rectification, le droit à l’effacement, le droit à la limitation du traitement, le droit, pour la personne concernée, d’être informée d’une violation de ses données à caractère personnel ou le droit à la confidentialité des communications.

(6) Dans le cadre de son organisation et de son fonctionnement, le SEAE exerce des activités impliquant des données à caractère personnel dans le cadre desquelles il peut être nécessaire et proportionné, dans une société démocratique, d’imposer une limitation conformément à l’article 25, paragraphe 1, du règlement (UE) 2018/1725, afin de préserver un intérêt légitime, tout en respectant le contenu essentiel des libertés et droits fondamentaux des personnes concernées.

(7) Ces limitations peuvent s’appliquer à plusieurs catégories de données à caractère personnel, notamment à des données factuelles et à des données d’évaluation.

(8) Les évaluations, les observations et les avis sont considérés comme des données à caractère personnel au sens de l’article 3, paragraphe 1, du règlement (UE) 2018/1725. Les limitations, notamment en ce qui concerne l’accès, la rectification et l’effacement de ces évaluations, observations ou avis dans le cadre de procédures de sélection et d’évaluation du personnel et d’activités du service médical, du service de médiation et des services d’audit et d’inspection internes des délégations et bureaux de l’Union, sont prévues dans ces procédures administratives spécifiques.

(9) Dans le contexte des procédures de sélection et de recrutement, d’évaluation du personnel et de passation des marchés publics, le droit d’accès, de rectification, d’effacement et de limitation ne peut être exercé qu’à certains moments, conformément à la procédure concernée, afin de préserver les droits des autres personnes concernées et de respecter les principes d’égalité de traitement et de secret des délibérations.

(10) La personne concernée peut exercer son droit de rectification des évaluations ou des avis de médecins-conseils et de conseillers médicaux du SEAE, en soumettant ses observations ou en fournissant un rapport d’un médecin de son choix.

(11) Dans le contexte des procédures de sélection et de recrutement, il n’est pas possible de modifier l’avis ou l’évaluation du jury. Ce droit peut être exercé par voie de recours contre la décision du jury. Les évaluations des différents membres du jury ainsi que les délibérations internes du jury sont couvertes par le secret des délibérations.

(12) Dans le contexte des évaluations du personnel, y compris des procédures de notation, il n’est pas possible de modifier l’avis ou l’évaluation des différents acteurs intervenant dans la procédure d’évaluation. Les personnes concernées peuvent exercer leur droit de rectification en soumettant leurs observations ou en formant un recours dans les termes prévus par la procédure d’évaluation du personnel.

(13) Les limitations des droits et obligations concernant des données à caractère personnel sont appliquées au cas par cas et ne sont maintenues que pendant la durée strictement nécessaire à la réalisation de l’objectif de la limitation.

(14) Le SEAE s’engage à respecter, dans toute la mesure du possible, les droits fondamentaux des personnes concernées, notamment le droit à l’information de la personne concernée, le droit d’accès et de rectification, le droit à l’effacement, le droit à la limitation du traitement, le droit, pour la personne concernée, d’être informée d’une violation de ses données à caractère personnel ou encore le droit à la confidentialité des communications, tels que consacrés par le règlement (UE) 2018/1725. Toutefois, le SEAE peut également être tenu de limiter les droits et obligations aux fins de la protection de ses activités et des libertés et droits fondamentaux d’autrui,

DÉCIDE:

Article premier Objet et champ d’application 1. Conformément à l’article 25 du règlement (UE) 2018/1725 (ci-après le «règlement»), la présente décision établit les règles relatives aux conditions dans lesquelles le SEAE, dans le cadre de ses activités visées au paragraphe 2, peut limiter l’application des droits et obligations prévus aux articles 14 à 21, 35 et 36 dudit règlement, ainsi qu’à son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus auxdits articles 14 à 21. 2. La présente décision s’applique au traitement des données à caractère personnel effectué par le SEAE aux fins des activités suivantes: i) les enquêtes internes, y compris les enquêtes de sécurité, les enquêtes administratives, portant notamment sur des cas de harcèlement ou des irrégularités signalées, les procédures disciplinaires et les procédures de suspension; ii) la notification et la saisine de l’Office d’investigation et de discipline de la Commission (IDOC) et de l’Office européen de lutte antifraude (OLAF); iii) les analyses de sécurité liées à des incidents de cybersécurité ou à l’utilisation abusive de systèmes informatiques, incluant notamment la participation externe de la CERT-UE, le maintien de la sécurité intérieure au moyen de la vidéosurveillance, du contrôle des accès et d’activités d’enquête, la sécurisation des systèmes de communication et d’information et la mise en œuvre de contre-mesures techniques de sécurité; iv) les mesures d’enquête relevant directement des missions du délégué à la protection des données du SEAE (ci-après le «DPD»); v) les audits internes; vi) les inspections des délégations et bureaux de l’UE; vii) les activités du service médical et des conseillers médicaux engagés par le SEAE; viii) les activités du service de médiation; ix) les procédures de passation de marchés; x) les procédures de sélection du personnel et les évaluations du personnel; xi) la collecte de données à des fins de renseignement, y compris d’appréciation de la situation, de contre-espionnage, d’alerte précoce et d’analyse du renseignement à l’appui des différents organes de décision de l’UE dans les domaines de la politique étrangère et de sécurité commune (PESC), de la politique de sécurité et de défense commune (PSDC) et de la lutte contre le terrorisme et les menaces hybrides; xii) les procédures relatives aux mesures restrictives (sanctions) aux fins de certains objectifs de la politique étrangère et de sécurité de l’Union; xiii) les activités visant à protéger d’autres objectifs importants d’intérêt public général de l’Union ou d’un État membre, en particulier les objectifs de la PESC. Aux fins de la présente décision, les activités susmentionnées comprennent les actions de préparation et de suivi qui s’y rapportent directement. 3. Les catégories de données à caractère personnel traitées dans le cadre des activités susmentionnées peuvent inclure des données factuelles et des données d’évaluation. Les données factuelles comprennent les données d’identification personnelle et d’autres données administratives, les métadonnées relatives aux communications électroniques et les données relatives au trafic. Les données d’évaluation incluent la description et l’évaluation de situations et de circonstances, les avis, les observations relatives aux personnes concernées, l’évaluation de la conduite ou de la performance des personnes concernées et le raisonnement qui sous-tend certaines décisions individuelles ayant trait au fonctionnement administratif du SEAE.

Article 2 Spécification du responsable du traitement et garanties 1. Le SEAE met en place des garanties spécifiques pour éviter toute violation, fuite ou divulgation non autorisée de données faisant l’objet d’une limitation, telles que: a) des mesures de sécurité renforcée pour le stockage de supports physiques contenant des données à caractère personnel; b) des mesures de sécurité spécifiques concernant des bases de données et des outils électroniques; c) des limitations en matière d’accès et de fichiers-journaux. 2. Le responsable du traitement des données est le SEAE. Les entités organisationnelles susceptibles de limiter les droits et obligations visés à l’article 1er, paragraphe 1, sont les services chargés des activités décrites à l’article 1er, paragraphe 2. 3. Les limitations des droits et obligations concernant les données à caractère personnel ne doivent être maintenues que pendant la durée strictement nécessaire à la réalisation de l’objectif de la limitation. La durée de conservation des données à caractère personnel faisant l’objet d’une limitation est définie en fonction de la finalité du traitement et comprend le délai nécessaire aux fins d’un contrôle administratif et juridictionnel.

Article 3 Limitations 1. Une limitation aux termes de la présente décision peut être appliquée par le SEAE au cas par cas pour garantir: a) la sécurité nationale, la sécurité publique ou la défense des États membres, y compris, mais pas uniquement, la surveillance et le traitement de données à des fins de renseignement ou de protection de la vie humaine, en particulier en cas de catastrophes naturelles ou d’origine humaine et d’attentats terroristes; b) la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris, mais pas uniquement, la prévention des menaces pour la sécurité publique; de telles enquêtes peuvent comprendre des enquêtes administratives, des procédures disciplinaires ou des enquêtes de l’OLAF dans la mesure où il existe un lien avec la prévention ou la recherche d’infractions pénales; c) des objectifs importants d’intérêt public général de l’Union ou d’un État membre, en particulier des objectifs de la PESC ou des intérêts économiques ou financiers importants de l’Union ou d’un État membre, y compris, mais pas uniquement, dans les domaines monétaire, budgétaire et fiscal, de la santé publique et de la sécurité sociale, ainsi que des procédures de passation de marchés et des enquêtes servant des objectifs d’intérêt public importants de l’Union; d) la sécurité intérieure des institutions et organes de l’Union, y compris, mais pas uniquement, leurs réseaux de communications électroniques et leurs réseaux d’information; e) la protection de l’indépendance de la justice et des procédures judiciaires, y compris des avis juridiques; f) la prévention et la détection de manquements à la déontologie des professions réglementées ou de violations des obligations prévues par le statut (3) et le règlement financier (4), y compris les cas sans lien avec des infractions pénales, ainsi que les enquêtes et les poursuites en la matière; g) les missions de contrôle, d’inspection ou de réglementation liées, même occasionnellement, à l’exercice de l’autorité publique, dans les cas visés aux point a) à c), y compris, mais pas uniquement, dans le cas d’un audit ciblé, d’une inspection ou d’une enquête; h) la protection de la personne concernée ou des droits et libertés d’autrui, y compris, mais pas uniquement, la protection des témoins, des personnes interrogées dans le cadre d’enquêtes de sécurité, d’enquêtes administratives, d’inspections et d’audits, des lanceurs d’alerte et des victimes présumées de harcèlement; i) l’exécution des demandes de droit civil. 2. Sous réserve des articles 4 à 8, le SEAE peut limiter les droits et obligations visés à l’article 1er, paragraphe 1, à l’égard des données à caractère personnel obtenues auprès d’une autre institution, d’un autre organe ou d’un autre organisme de l’Union, d’autorités compétentes d’un État membre ou d’un pays tiers ou d’une organisation internationale, et ce dans les cas suivants: a) lorsque l’exercice de ces droits et obligations pourrait être limité par l’autre institution, organe ou organisme de l’Union sur la base de leurs actes juridiques pertinents adoptés en vertu de l’article 25 ou du chapitre IX du règlement ou de leurs actes fondateurs; b) lorsque l’exercice de ces droits et obligations pourrait être limité par les autorités compétentes des États membres sur la base des actes juridiques adoptés en vertu de l’article 23 du règlement (UE) 2016/679 du Parlement européen et du Conseil (5) ou en vertu des mesures nationales transposant l’article 13, paragraphe 3, l’article 15, paragraphe 3, ou l’article 16, paragraphe 3, de la directive (UE) 2016/680 du Parlement européen et du Conseil (6); c) lorsque l’exercice de ces droits et obligations pourrait compromettre la coopération du SEAE avec des pays tiers ou des organisations internationales dans la conduite de ses activités, à moins que les intérêts ou les libertés et droits fondamentaux des personnes concernées ne prévalent sur cette nécessité de coopérer. Avant d’appliquer une limitation en vertu du présent paragraphe, le SEAE consulte l’institution, organe ou organisme de l’UE, l’organisation internationale ou les autorités compétentes de l’État membre concernés, à moins qu’il ne soit évident que la limitation est prévue par un acte juridique visé au présent paragraphe ou qu’une telle consultation mettrait en péril les activités du SEAE. 3. Avant d’appliquer une limitation, le SEAE examine si elle est nécessaire et proportionnée dans une société démocratique et si elle respecte le contenu essentiel des libertés et droits fondamentaux des personnes concernées. Lors de l’évaluation de la nécessité et de la proportionnalité de chaque cas, le SEAE: i. met en balance le risque pour les droits et libertés de la personne concernée et le risque pour les droits et libertés d’autrui. Les risques pour les droits et libertés de la personne concernée concernent principalement sa vie privée, sa réputation et le moment où elle peut commencer à exercer ses droits de la défense; et ii. examine la nécessité de préserver l’objectif des activités du SEAE visées à l’article 1er, paragraphe 2, en particulier le risque de destruction ou de dissimulation d’éléments de preuve. Cette évaluation de la nécessité et de la proportionnalité, ainsi que les motifs d’une limitation, sont documentés. À cette fin, toute limitation est spécifiquement consignée dans l’inventaire géré par le responsable du traitement et précise comment l’exercice des droits et obligations limités visés à l’article er, paragraphe 1, compromettrait la finalité des activités visées à l’article 1er, paragraphe 2, ou porterait atteinte aux droits et libertés d’autrui. Les documents contenant les éléments factuels et juridiques sous-jacents de la limitation sont également consignés dans un registre. Les registres sont mis à la disposition du Contrôleur européen de la protection des données à sa demande. L’accès aux registres de l’inventaire, y compris la note d’évaluation, est restreint aussi longtemps que la limitation sous-jacente reste valable conformément aux paragraphes 4 et 5. 4. Une limitation est levée dès que les motifs qui la justifient ont cessé d’exister. 5. La nécessité de maintenir une limitation est réexaminée à intervalles appropriés, au moins tous les six mois à compter de son adoption et, en tout état de cause, à la clôture de la procédure en question pour ce qui est des activités visées à l’article 1er, paragraphe 2.

Article 4 Réexamen par le délégué à la protection des données 1. Chaque entité organisationnelle informe le DPD par écrit, sans retard indu, lorsqu’elle limite l’exercice des droits et obligations visés à l’article 1er, paragraphe 1, lorsqu’elle procède au réexamen de la limitation et lorsqu’elle étend ou lève celle-ci. Le DPD a accès aux registres établis conformément à l’article 3, paragraphe 3. 2. Le DPD peut demander au responsable du traitement, par écrit, de réexaminer l’application de la limitation. Le responsable du traitement informe le DPD par écrit du résultat du réexamen demandé. 3. Les documents visés au présent article sont mis à la disposition du CEPD à sa demande.

Article 5 Communication d’informations aux personnes concernées et information concernant les limitations 1. Le SEAE publie sur son site internet ou sur l’intranet ses déclarations de confidentialité et les avis relatifs à la protection des données qui informent les personnes concernées de ses activités impliquant le traitement de données à caractère personnel, de leurs droits et des limitations susceptibles de s’appliquer à ces droits. 2. Le droit à l’information peut être limité par le responsable du traitement en ce qui concerne les activités visées à l’article 1er, paragraphe 2, points i), ii), (iii), iv), v), vi), viii), xi), xii) et xiii). Sans préjudice du paragraphe 4, le SEAE informe individuellement, lorsque cela est proportionné, les personnes concernées de l’application de la limitation sans retard injustifié et par écrit. Si la demande d’une personne concernée est rejetée en raison d’une limitation, cette personne est informée des principales raisons qui motivent cette limitation et de son droit d’introduire une réclamation auprès du Contrôleur européen de la protection des données. 3. Une limitation aux termes du présent article est appliquée conformément aux articles 3 et 4. 4. La communication d’informations sur une limitation aux termes de présente décision peut être différée, omise ou refusée dans l’hypothèse où elle annulerait l’effet de la limitation. Ce report, cette omission ou ce refus est appliqué conformément aux articles 3 et 4.

Article 6 Droit d’accès 1. Le droit d’accès au titre de l’article 17 du règlement peut être limité en ce qui concerne les activités visées à l’article 1er, paragraphe 2, points i), ii), iii), iv), v), vi), vii), viii), x), xi), xii) et xiii). 2. Lorsque les personnes concernées demandent à accéder à leurs données à caractère personnel traitées dans le cadre d’une activité spécifique visée à l’article 1er, paragraphe 2, le SEAE limite sa réponse aux données à caractère personnel traitées pour cette activité. 3. Lorsque le SEAE limite, intégralement ou partiellement, le droit d’accès des personnes concernées aux données à caractère personnel prévu à l’article 17 du règlement (UE) 2018/1725, il informe la personne concernée, par écrit et sans retard injustifié, dans sa réponse à la demande d’accès, de la limitation appliquée et des principaux motifs la justifiant. La communication des informations relatives aux motifs de la limitation peut être différée, omise ou refusée aussi longtemps qu’elle risque de nuire à la finalité de la limitation. 4. Le SEAE peut limiter, au cas par cas, le droit des personnes concernées d’accéder directement aux données médicales à caractère psychologique ou psychiatrique, lorsque l’accès à ces données est susceptible de présenter un risque pour la santé de la personne concernée. Cette limitation est proportionnée à ce qui est strictement nécessaire pour protéger la personne concernée. Dans de tels cas, un médecin du choix de la personne concernée pourra accéder aux informations. 5. Une limitation aux termes du présent article est appliquée conformément aux articles 3, 4 et 5.

Article 7 Droit de rectification, droit à l’effacement et droit à la limitation du traitement 1. Le droit de rectification, le droit à l’effacement et le droit à la limitation du traitement visés aux articles 18, 19, paragraphe 1, et 20, paragraphe 1, du règlement peuvent être limités en ce qui concerne les activités visées à l’article 1er, paragraphe 2, points i), ii), iii), iv), v), vi), vii), viii), ix), x), xi), xii) et xiii). 2. En ce qui concerne les données médicales, les personnes concernées peuvent exercer leur droit de rectification des évaluations ou des avis de médecins-conseils et de conseillers médicaux du SEAE, en soumettant leurs observations ou en fournissant un rapport établi par un médecin de leur choix. 3. Une limitation aux termes du présent article est appliquée conformément aux articles 3, 4 et 5.

Article 8 Communication aux personnes concernées d’une violation de données à caractère personnel 1. Le droit de communiquer une violation de données à caractère personnel à la personne concernée en vertu de l’article 35 du règlement peut être limité en ce qui concerne les activités visées à l’article 1er, paragraphe 2, points i), ii), iii), iv), v), vi), viii), xi), xii) et xiii). 2. Une limitation aux termes du présent article est appliquée conformément aux articles 3, 4 et 5.

Article 9 Confidentialité des communications électroniques 1. L’obligation de garantir la confidentialité des communications électroniques ne peut être limitée qu’en ce qui concerne les activités visées à l’article 1er, paragraphe 2, points i), ii), iii), iv), xi), xii) et xiii), dans les cas exceptionnels suivants: a) si la limitation de l’obligation de garantir la confidentialité de l’identification de la ligne appelante est nécessaire pour détecter des appels incommodants; b) si la limitation de l’obligation de garantir la confidentialité de l’identification de la ligne appelante et des données de localisation est nécessaire pour permettre aux services d’urgence d’intervenir efficacement; c) si la limitation de l’obligation de garantir la confidentialité des communications, des données relatives au trafic et des données de localisation est nécessaire pour préserver la sécurité nationale, la sécurité publique ou la défense des États membres, la sécurité interne des institutions et organes de l’Union, la prévention et la détection d’infractions pénales, de violations du statut et du règlement financier ou d’utilisations non autorisées du système de communication électronique, ainsi que les enquêtes et les poursuites en la matière, tels que visées à l’article 25 du règlement. 2. Une limitation aux termes du présent article est appliquée conformément aux articles 3, 4 et 5.

Article 10 Entrée en vigueur La présente décision entre en vigueur le jour suivant celui de sa publication au Journal officiel de l’Union européenne.

Fait à Bruxelles, le 1er octobre 2019. Federica MOGHERINI La haute représentante

(1) JO L 201 du 3.8.2010, p. 30.

(2) JO L 295 du 21.11.2018, p. 39.

(3) Règlement (CEE, Euratom, CECA) no 259/68 du Conseil, du 29 février 1968, fixant le statut des fonctionnaires des Communautés européennes ainsi que le régime applicable aux autres agents de ces Communautés (JO 45 du 14.6.1962, p. 1385 dans sa version consolidée).

(4) Règlement (UE, Euratom) 2018/1046 du Parlement européen et du Conseil du 18 juillet 2018 relatif aux règles financières applicables au budget général de l’Union, modifiant les règlements (UE) no 1296/2013, (UE) no 1301/2013, (UE) no 1303/2013, (UE) no 1304/2013, (UE) no 1309/2013, (UE) no 1316/2013, (UE) no 223/2014, (UE) no 283/2014 et la décision no 541/2014/UE, et abrogeant le règlement (UE, Euratom) no 966/2012 (JO L 193 du 30.7.2018, p. 1).

(5) Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1).

(6) Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO L 119 du 4.5.2016, p. 89).