DÉCISION (UE) 2020/655 DE LA BANQUE CENTRALE EUROPÉENNE

du 5 mai 2020

portant adoption de dispositions d’application en ce qui concerne la protection des données à la Banque centrale européenne et abrogeant la décision BCE/2007/1 (BCE/2020/28)

LE DIRECTOIRE DE LA BANQUE CENTRALE EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne,

vu les statuts du Système européen de banques centrales et de la Banque centrale européenne, et notamment leur article 11.6,

vu le règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (1), et notamment son article 45, paragraphe 3,

considérant ce qui suit:

(1) Le règlement (UE) 2016/679 du Parlement européen et du Conseil (2) définit les règles générales visant à protéger les personnes physiques à l’égard du traitement des données à caractère personnel et à garantir la libre circulation de ces données dans l’Union.

(2) Le règlement (UE) 2018/1725 abroge le règlement (CE) no 45/2001 du Parlement européen et du Conseil (3) et définit les principes relatifs à la protection des données et les règles applicables à l’ensemble des institutions, organes et organismes de l’Union.

(3) Afin de garantir une approche cohérente de la protection des données à caractère personnel dans l’ensemble de l’Union et la libre circulation de ces données au sein de l’Union, il est nécessaire d’aligner autant que possible les règles en matière de protection des données applicables aux institutions et organes de l’Union sur les règles en matière de protection des données adoptées pour le secteur public dans les États membres. Chaque fois que les dispositions du règlement (UE) 2018/1725 suivent les mêmes principes que les dispositions du règlement (UE) 2016/679, ces deux ensembles de dispositions devraient être interprétés de manière homogène, notamment du fait que le régime du règlement (UE) 2018/1725 devrait être compris comme étant équivalent au régime du règlement (UE) 2016/679.

(4) L’article 43 du règlement (UE) 2018/1725 requiert que chaque institution ou organe de l’Union désigne un délégué à la protection des données. En vertu de l’article 45, paragraphe 3, du règlement (UE) 2018/1725, chaque institution ou organe de l’Union adopte des dispositions complémentaires d’application concernant le délégué à la protection des données. Les dispositions d’application concernent en particulier les missions, les fonctions et les compétences du délégué à la protection des données.

(5) Par souci d’efficacité et conformément à la pratique antérieure, le délégué à la protection des données de la Banque centrale européenne (BCE) peut également être autorisé à s’occuper des questions de protection des données en ce qui concerne le Comité européen du risque systémique (CERS) si le conseil général dudit comité décide de le désigner comme son délégué à la protection des données.

(6) Les dispositions d’application devraient également définir les modalités selon lesquelles les personnes concernées exercent leurs droits, ainsi que les modalités d’exécution, par les personnes responsables du traitement des données à caractère personnel, de leurs obligations au sein des institutions et organes de l’Union.

(7) Même si, concernant le traitement des données à caractère personnel, la BCE est l’entité juridique responsable de la protection des personnes physiques, tant en vertu du règlement (UE) 2018/1725 que de la présente décision, les opérations de traitement peuvent être effectuées, en pratique, par différentes unités organisationnelles au sein de la BCE.

(8) Le règlement (UE) 2018/1725 prévoit les recours offerts à une personne concernée pour des réclamations en matière de protection des données introduites à l’encontre d’une institution de l’Union, y compris le droit d’introduire une réclamation auprès du Contrôleur européen de la protection des données prévu par les articles 63 et 68 dudit règlement. Par conséquent, les membres du personnel de la BCE devraient utiliser ces recours, pour les réclamations en matière de protection des données qu’ils introduisent en tant que personnes concernées après la date d’application de la présente décision, plutôt que les recours prévus dans les conditions d’emploi des membres du personnel de la Banque centrale européenne.

(9) La BCE entend apporter séparément des limitations à certains principes, droits et obligations spécifiques en matière de protection des données dans des cas bien définis prévus par l’article 25 du règlement (UE) 2018/1725. Par conséquent, la date d’application de la présente décision devrait être le 1er novembre 2020 afin que ces limitations puissent être apportées séparément.

(10) Étant donné l’abrogation du règlement (CE) no 45/2001 par le règlement (UE) 2018/1725, il convient d’abroger la décision BCE/2007/1 (4) et de la remplacer par la présente décision,

A ADOPTÉ LA PRÉSENTE DÉCISION:

SECTION 1

DISPOSITIONS GÉNÉRALES

Article premier Objet et champ d’application 1. La présente décision établit les règles générales d’application du règlement (UE) 2018/1725 pour ce qui concerne la BCE. Elle précise notamment les règles relatives à la désignation et au rôle du délégué à la protection des données de la BCE, y compris ses tâches, ses fonctions et ses compétences. 2. La présente décision détaille également les rôles, tâches et fonctions des responsables du traitement des données ainsi que ceux du coordinateur de la protection des données, et met en œuvre les règles en vertu desquelles les personnes concernées peuvent exercer leurs droits.

Article 2 Définitions Aux fins de la présente décision, on entend par: 1) «responsable du traitement»: la BCE, notamment l’unité organisationnelle de la BCE, qui seule ou conjointement avec d’autres, détermine les finalités et les moyens du traitement des données à caractère personnel; 2) «coordinateur de la protection des données»: un membre du personnel de la BCE qui aide le responsable du traitement et le délégué à la protection des données à s’acquitter de leurs tâches et de leurs responsabilités conformément au règlement (UE) 2018/1725 et à la présente décision; 3) «personne concernée»: une personne physique identifiée ou identifiable; une personne identifiable est une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale; 4) «traitement»: le traitement au sens de l’article 3, point 3), du règlement (UE) 2018/1725; 5) «institutions et organes de l’Union»: les institutions et organes de l’Union au sens de l’article 3, point 10), du règlement (UE) 2018/1725; 6) «sous-traitant»: un sous-traitant au sens de l’article 3, point 12), du règlement (UE) 2018/1725; 7) «données à caractère personnel»: les données à caractère personnel au sens de l’article 3, point 1), du règlement (UE) 2018/1725; 8) «consentement»: le consentement au sens de l’article 3, point 15), du règlement (UE) 2018/1725.

SECTION 2

DÉLÉGUÉ À LA PROTECTION DES DONNÉES

Article 3 Désignation, statut et questions organisationnelles 1. Le directoire: a) désigne le délégué à la protection des données sur la base de ses qualités personnelles et professionnelles et, en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données, et de sa capacité à accomplir les missions visées à l’article 45 du règlement (UE) 2018/1725 et à la présente décision; b) établit un contrat à durée déterminée non convertible pour le poste de délégué à la protection des données pour une durée de trois à cinq ans, pouvant être prolongée jusqu’à dix ans maximum, ainsi que le prévoient les conditions d’emploi du personnel de la BCE; et c) communique le nom du délégué à la protection des données au Contrôleur européen de la protection des données conformément à l’article 44, paragraphe 9, du règlement (UE) 2018/1725. 2. Le directoire veille à ce que le délégué à la protection des données puisse s’acquitter des missions et exercer les fonctions visées à l’article 45 du règlement (UE) 2018/1725 en toute indépendance, sans recevoir aucune instruction en ce qui concerne l’exercice de ses missions. Sans préjudice de cette indépendance: a) le délégué à la protection des données est soumis aux conditions d’emploi du personnel de la BCE; b) le délégué à la protection des données est affecté, à des fins administratives et afin d’appliquer le cadre en matière d’emploi de la BCE, à la direction générale des affaires juridiques de la BCE; c) la personne chargée de l’évaluation du délégué à la protection des données consulte le Contrôleur européen de la protection des données et peut également solliciter l’avis d’autres parties prenantes de la BCE avant de procéder à l’évaluation de la manière dont le délégué à la protection des données s’acquitte de ses tâches et exerce ses fonctions. Le délégué à la protection des données ne doit subir aucun préjudice du fait du bon exercice de ses tâches et fonctions; d) le délégué à la protection des données peut être relevé de ses fonctions par le directoire s’il ne remplit plus les conditions requises pour l’exercice de ses fonctions, avec le consentement préalable du Contrôleur européen de la protection des données, conformément à l’article 44, paragraphe 8, du règlement (UE) 2018/1725. 3. Le directoire peut désigner un délégué adjoint à la protection des données, auquel les paragraphes 1 et 2 sont applicables. Le délégué adjoint assiste le délégué dans l’accomplissement de ses tâches et l’exercice de ses fonctions, et le remplace en cas d’absence. 4. Tout membre du personnel de la BCE qui assiste le délégué à la protection des données concernant des questions de protection des données agit uniquement sur instruction dudit délégué et est soumis au secret professionnel ou à une obligation de confidentialité conformément à l’article 44, paragraphe 5, du règlement (UE) 2018/1725, lu conjointement avec l’article 37 des statuts du Système européen de banques centrales et de la Banque centrale européenne. 5. En vertu de l’article 43, paragraphe 2, du règlement (UE) 2018/1725, le délégué à la protection des données peut être autorisé à exercer aussi les missions visées à l’article 45 du règlement (UE) 2018/1725 en ce qui concerne le CERS et à la demande de celui-ci.

Article 4 Missions du délégué à la protection des données Le délégué à la protection des données accomplit les missions visées à l’article 45 du règlement (UE) 2018/1725 et, en particulier,: a) informe et conseille le directoire, les responsables du traitement, le comité du personnel ainsi que les coordinateurs de la protection des données et répond à leurs consultations ainsi qu’à celles des personnes concernées sur des questions concernant l’interprétation ou l’application des dispositions relatives à la protection des données à la BCE; b) examine les questions et les incidents en rapport avec la protection des données, que ce soit à sa propre initiative ou à la demande du directoire, d’un responsable du traitement, du comité du personnel ou de toute personne concernée et en rend compte à la personne qui a demandé cet examen; c) tient un registre central des activités de traitement effectuées à la BCE conformément à l’article 31 du règlement (UE) 2018/1725 et l’article 9 de la présente décision; d) aide un responsable du traitement des données, sur demande, à rédiger les analyses d’impact relatives à la protection des données et les demandes de consultation préalables du Contrôleur européen de la protection des données conformément aux articles 39 et 40 du règlement (UE) 2018/1725; e) répond aux demandes du Contrôleur européen de la protection des données et, dans son domaine de compétence, coopère avec lui; f) coopère avec les délégués à la protection des données des autres institutions et organes de l’Union, des banques centrales nationales et des autorités compétentes nationales, notamment en: i) échangeant les connaissances et le savoir-faire acquis grâce à l’expérience; ii) en représentant la BCE dans toutes les discussions pertinentes relatives à la protection des données, à l’exception des affaires portées devant un juge; et iii) en participant aux comités et organes interinstitutionnels; g) assure, d’une manière indépendante, l’application du règlement (UE) 2018/1725 à la BCE en contrôlant le respect dudit règlement, des autres textes législatifs de l’Union applicables contenant des dispositions en matière de protection des données ainsi que des règles de la BCE et de ses sous-traitants en matière de protection des données à caractère personnel, y compris en ce qui concerne la répartition des responsabilités, la sensibilisation et la formation des membres du personnel de la BCE participant aux opérations de traitement et tout audit s’y rapportant.

Article 5 Compétences du délégué à la protection des données Lorsqu’il accomplit ses missions prévues à l’article 4, le délégué à la protection des données: a) peut demander à tout service de la BCE des informations sur toute question se rapportant à ses tâches et fonctions de délégué; b) a accès, à tout moment, aux données à caractère personnel en cours de traitement, à tous les locaux de la BCE ainsi qu’à toutes les informations, opérations de traitement de données et bases de données; c) peut émettre un avis sur la licéité de toute opération de traitement en cours ou envisagée, sur les mesures requises afin de garantir la licéité de telles opérations ainsi que sur la pertinence ou l’adéquation des mesures de protection des données ou sur toute question relative aux opérations de traitement; d) peut porter à l’attention du directoire toute question liée à la protection des données, y compris tout manquement d’un membre du personnel de la BCE aux dispositions du règlement (UE) 2018/1725 ou à toute autre disposition du droit de l’Union, relative à la protection des données, applicable à la BCE; e) peut demander l’ajout de points, relatifs à la protection des données, à l’ordre du jour du directoire et, à cette fin, fournir à ce dernier les documents correspondants; f) peut procéder à des contrôles de conformité des opérations de traitement des données effectuées par un responsable du traitement ou au nom d’un responsable du traitement; g) peut limiter tout traitement de données qui n’est pas conforme aux dispositions du règlement (UE) 2018/1725, à la présente décision ou à toute autre disposition du droit de l’Union relative à la protection des données; h) peut informer le Contrôleur européen de la protection des données de toute question liée à la protection des données qui nécessite son avis ou ses instructions.

Article 6 Délégué à la protection des données et procédure d’examen 1. Toute demande d’examen en application de l’article 4, point b), doit être adressée par écrit au délégué à la protection des données. 2. Le délégué à la protection des données envoie un accusé de réception au demandeur dans un délai de sept jours ouvrés à compter de la réception de la demande visée au paragraphe 1. 3. Le délégué à la protection des données peut procéder sur place à l’examen de l’objet de la demande et demander une déclaration écrite à un responsable du traitement. Celui-ci répond au délégué de la protection des données dans un délai de vingt jours ouvrés à compter de la réception de la demande de déclaration. Le délégué peut, à tout moment, demander des informations supplémentaires ou solliciter l’aide de tout service de la BCE. Le service concerné fournit les informations supplémentaires demandées et apporte l’aide requise dans un délai de vingt jours ouvrés à compter de la demande du délégué. 4. Le délégué à la protection des données examine les questions et les faits relatifs à la procédure d’examen de manière impartiale et en respectant les droits des personnes concernées. Si cela est jugé opportun et sous réserve du paragraphe 5, le délégué à la protection des données informe toutes les parties concernées de la procédure d’examen. 5. Le délégué à la protection des données veille à ce que la demande demeure confidentielle et soit uniquement divulguée si cela est nécessaire à la procédure d’examen, sauf si la personne concernée accepte que sa demande ne demeure pas confidentielle. 6. Le délégué à la protection des données rend compte au demandeur au plus tard trois mois civils à compter de la réception de la demande.

SECTION 3

DÉLÉGUÉ À LA PROTECTION DES DONNÉES, RESPONSABLES DU TRAITEMENT ET COORDINATEURS DE LA PROTECTION DES DONNÉES

Article 7 Tâches et fonctions d’un responsable du traitement 1. Un responsable du traitement veille à ce que toutes les opérations de traitement de données à caractère personnel qui sont effectuées dans son domaine de responsabilité soient conformes aux dispositions du règlement (UE) 2018/1725 ainsi qu’à toute autre disposition de droit de l’Union, relative à la protection des données, applicable à la BCE. 2. Un responsable du traitement veille à ce que le délégué à la protection des données soit informé dans les meilleurs délais: a) de toute question qui a, ou pourrait avoir, des conséquences en matière de protection des données; b) avant son adoption, de tout avis ou document ou de toute règle ou décision interne qui pourrait avoir une incidence sur le respect de la protection des données par la BCE; c) de toute violation de données à caractère personnel ou de tout autre incident lié à la protection des données: d) de toute interaction directe d’un responsable du traitement avec le Contrôleur européen de la protection des données. 3. Un responsable du traitement est notamment tenu de: a) consulter le délégué à la protection des données, en temps voulu, à propos de toute activité relative au traitement de données à caractère personnel ou à propos de toute autre question liée à la protection des données; b) mener et approuver les analyses d’impact relatives à la protection des données conjointement avec le délégué à la protection des données et conformément à l’article 39 du règlement (UE) 2018/1725; c) respecter toutes les règles internes applicables relatives au traitement des données à caractère personnel ou à toute autre question liée à la protection des données; d) tenir, en collaboration avec les coordinateurs de la protection des données, des registres, régulièrement mis à jour, des activités de traitement conformément à l’article 31, paragraphe 5, du règlement (UE) 2018/1725, en utilisant le modèle approuvé par le délégué à la protection des données. 4. Lorsqu’un responsable du traitement aide le délégué à la protection des données et le Contrôleur européen de la protection des données dans l’exercice de leurs fonctions, il leur fournit des informations complètes, leur donne accès aux données à caractère personnel et répond à leurs questions dans un délai de vingt jours ouvrés à compter de la réception de la demande.

Article 8 Coordinateurs de la protection des données 1. Les coordinateurs de la protection des données aident les responsables du traitement à s’acquitter de leurs obligations, soit à la demande des responsables du traitement, soit à leur propre initiative. Les coordinateurs de la protection des données se concertent avec les responsables du traitement, qui leur fournissent toutes les informations nécessaires. 2. Les coordinateurs de la protection des données aident le délégué à la protection des données: a) à identifier quel est le responsable du traitement des données à caractère personnel concerné; b) à promouvoir les conseils qu’il délivre, à sensibiliser à ces conseils et à soutenir le responsable du traitement concerné, conformément aux instructions du délégué; c) à prêter son concours au responsable du traitement concerné pour tenir les registres des activités de traitement conformément à l’article 31 du règlement (UE) 2018/1725 et à s’assurer que ces registres sont exacts et à jour; d) à traiter des autres questions relatives aux missions du délégué à la protection des données, tel qu’il a été convenu entre le délégué et les supérieurs des coordinateurs. 3. Un coordinateur de la protection des données est, en général, un spécialiste de la gestion de l’information et possède l’expertise nécessaire et/ou a reçu la formation appropriée.

Article 9 Registre central 1. Les responsables du traitement des données communiquent leurs registres des activités de traitement au délégué à la protection des données, qui conserve ces registres dans un registre central. 2. Le registre central représente un recueil de toutes les activités de traitement des données à caractère personnel effectuées à la BCE. Il constitue une source d’informations pour les personnes concernées et facilite l’exercice de leurs droits conformément aux articles 17 à 24 du règlement (UE) 2018/1725. Le registre central est mis à la disposition du public. Il comporte au moins les informations énumérées à l’article 31, paragraphe 1, points a) à g), du règlement (UE) 2018/1725.

Article 10 Responsables conjoints du traitement 1. Les obligations incombant à chaque responsable conjoint en matière de protection des données sont définies conformément à l’article 28 du règlement (UE) 2018/1725. 2. Dans le cas où la BCE remplit la fonction de responsable conjoint avec un ou plusieurs autres responsables de traitement, les responsabilités de chacun concernant le respect des obligations de protection des données sont définies par un accord entre eux, sauf si, et dans la mesure où, ces responsabilités sont définies par le droit de l’Union ou par le droit de l’État membre dont relèvent les responsables conjoints du traitement.

SECTION 4

DROITS DES PERSONNES CONCERNÉES

Article 11 Exercice des droits des personnes concernées 1. Les personnes concernées peuvent s’adresser au responsable du traitement concerné afin d’exercer les droits que leur confèrent les articles 17 à 24 du règlement (UE) 2018/1725. 2. Les droits des personnes concernées ne peuvent être exercés que par la personne concernée ou par leur représentant dûment mandaté. L’exercice de tous ces droits est gratuit pour ces personnes. 3. Les demandes visant à l’exercice des droits des personnes concernées sont adressées par écrit au responsable du traitement concerné ou, lorsque c’est approprié, par voie électronique. Lorsqu’il reçoit une demande d’une personne concernée, le responsable du traitement concerné envoie un accusé de réception à celle-ci dans un délai de cinq jours ouvrés, lui fournit les coordonnées du délégué à la protection des données et l’informe de la possibilité d’introduire une réclamation auprès du Contrôleur européen de la protection des données ainsi que de former un recours juridictionnel. 4. Si le responsable du traitement concerné a des doutes raisonnables quant à l’identité de la personne concernée ou de son représentant dûment mandaté, il peut demander que lui soient fournies des informations supplémentaires, nécessaires pour confirmer l’identité de la personne concernée ou de son représentant. Lorsque la personne concernée est représentée par un représentant dûment mandaté, le responsable du traitement concerné vérifie également le mandat en question. Le responsable du traitement concerné peut demander des informations supplémentaires à la personne concernée afin de clarifier la demande de cette dernière et d’y répondre de manière efficace. 5. Conformément à l’article 14, paragraphes 3 et 4, du règlement (UE) 2018/1725, le responsable du traitement concerné fournit à la personne concernée des informations sur toute mesure prise à la suite d’une demande, dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois, au vu de la complexité et du nombre de demandes reçues par le responsable du traitement concerné de la part de personnes concernées. Le responsable du traitement concerné informe la personne concernée de toute prolongation dans un délai d’un mois à compter de la réception de la demande, en communiquant les motifs du report. 6. Le responsable du traitement concerné répond à la personne concernée par écrit lorsque c’est approprié. Si la personne concernée a présenté sa demande par voie électronique, le responsable du traitement concerné fournit également les informations demandées par voie électronique. 7. Les personnes concernées peuvent à tout moment s’adresser au délégué à la protection des données, notamment si: a) le responsable du traitement concerné ne respecte pas les délais prévus aux paragraphes 3 et 5; b) la personne concernée n’est pas satisfaite des mesures prises par le responsable du traitement concerné; ou c) la personne concernée souhaite introduire une réclamation auprès du Contrôleur européen de la protection des données. Le délégué à la protection des données conseille le responsable du traitement des données concerné sur les mesures appropriées à prendre. 8. Lorsque les demandes d’une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement concerné peut refuser, après avoir consulté le délégué à la protection des données, de donner suite à la demande, en vertu de l’article 14, paragraphe 5, du règlement (UE) 2018/1725, et en informe la personne concernée.

Article 12 Recours Les recours dont disposent les membres du personnel de la BCE en vertu des conditions d’emploi du personnel de la BCE ne sont pas disponibles pour les réclamations relatives à la protection des données.

SECTION 5

DISPOSITIONS FINALES

Article 13 Abrogation La décision BCE/2007/1 est abrogée avec effet au 1er novembre 2020. Les références à la décision BCE/2007/1 s’entendent comme faites à la présente décision et sont à lire selon le tableau de correspondance figurant en annexe.

Article 14 Entrée en vigueur La présente décision entre en vigueur le vingtième jour qui suit celui de sa publication au Journal officiel de l’Union européenne.

Elle s’applique à compter du 1er novembre 2020. Fait à Francfort-sur-le-Main, le 5 mai 2020. La présidente de la BCE Christine LAGARDE

(1) JO L 295 du 21.11.2018, p. 39.

(2) Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1).

(3) Règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (JO L 8 du 12.1.2001, p. 1).

(4) Décision BCE/2007/1 du 17 avril 2007 portant adoption de dispositions d’application en ce qui concerne la protection des données à la Banque centrale européenne (JO L 116 du 4.5.2007, p. 64).