DÉCISION no 20-w-3 DU CONSEIL D’ADMINISTRATION DE L’AGENCE EUROPÉENNE DE CONTRÔLE DES PÊCHES

du 22 avril 2020

établissant des règles internes relatives à la limitation de certains droits des personnes concernées en matière de traitement de données à caractère personnel dans le cadre des activités menées par l’Agence européenne de contrôle des pêches

LE CONSEIL D’ADMINISTRATION DE L’AGENCE EUROPÉENNE DE CONTRÔLE DES PÊCHES,

vu le traité sur le fonctionnement de l’Union européenne,

vu le règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (1), et notamment son article 25,

vu le règlement (UE) 2019/473 du Parlement européen et du Conseil du 19 mars 2019 sur l’Agence européenne de contrôle des pêches (2) (ci-après dénommée l’«Agence»), et notamment son article 32, paragraphe 2, point h),

après consultation du Contrôleur européen de la protection des données, conformément à l’article 41, paragraphe 2, du règlement (UE) 2018/1725,

considérant ce qui suit:

(1) Le règlement (UE) 2019/473 prévoit une agence européenne de contrôle des pêches, dont l’objectif est d’organiser la coordination opérationnelle des activités de contrôle et d’inspection des pêches menées par les États membres et de les aider à coopérer de manière que soient respectées les règles de la politique commune de la pêche, afin de garantir leur application effective et uniforme.

(2) Conformément à l’article 25, paragraphe 1, du règlement (UE) 2018/1725, les limitations de l’application des articles 14 à 22, 35 et 36, ainsi que de l’article 4 dudit règlement, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 22, devraient être fondées sur des règles internes à adopter par l’Agence, lorsque celles-ci ne sont pas fondées sur des actes juridiques adoptés sur la base des traités.

(3) Ces règles internes, y compris les dispositions relatives à l’appréciation de la nécessité et de la proportionnalité d’une limitation, ne devraient pas s’appliquer lorsqu’un acte juridique adopté sur la base des traités prévoit une limitation des droits des personnes concernées.

(4) Lorsque l’Agence exerce ses fonctions au regard des droits des personnes concernées en vertu du règlement (UE) 2018/1725, elle examine si l’une des dérogations établies dans ledit règlement s’applique.

(5) L’Agence peut, dans le cadre de son fonctionnement administratif, mener des enquêtes administratives, des procédures disciplinaires et des activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’Office européen de lutte antifraude (ci-après l’«OLAF»), traiter des cas de dénonciation des dysfonctionnements, traiter des procédures formelles et informelles en cas de harcèlement, traiter des plaintes internes et externes, procéder à des audits internes, confier la conduite d’enquêtes au délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725, et mener des enquêtes de sécurité (informatique) interne.

(6) L’Agence reçoit, dans le cadre de ses activités opérationnelles, des rapports d’inspection des inspecteurs de l’Union conformément à l’article 123 du règlement d’exécution (UE) no 404/2011 de la Commission (3), aux articles 18, 19 et 20 du règlement (UE) no 1236/2010 du Parlement européen et du Conseil (4) et aux articles 30, 33 et 34 du règlement (UE) 2019/833 du Parlement européen et du Conseil (5). L’Agence reçoit également des informations et des données des États membres dans le cadre d’analyses fournies à la Commission européenne pour la préparation et la réalisation de missions sur place dans des pays tiers au titre de l’article 20, paragraphe 4, point c), du règlement (CE) no 1005/2008 du Conseil (6), comme indiqué dans la décision 2009/988/UE de la Commission (7).

(7) L’Agence traite plusieurs catégories de données à caractère personnel, y compris des données vérifiées (données «objectives», telles que les données d’identification, coordonnées, données professionnelles, données administratives, données provenant de sources spécifiques, communications électroniques et données relatives au trafic) et/ou des données non vérifiées (données «subjectives» relatives à l’affaire, telles que le raisonnement, les données comportementales, les évaluations, les données relatives à la performance et à la conduite, ainsi que les données touchant à l’objet de la procédure ou de l’activité, ou soumises en rapport avec celui-ci).

(8) L’Agence, représentée par son directeur général, agit en qualité de responsable du traitement des données, indépendamment de toute délégation ultérieure de la fonction de responsable du traitement en son sein, afin de tenir compte des responsabilités opérationnelles liées à des traitements spécifiques de données à caractère personnel.

(9) Les données à caractère personnel sont conservées de manière sécurisée dans un environnement électronique ou sur un support papier qui empêche leur consultation ou transfert illicite par ou à des personnes qui n’ont pas besoin d’en connaître. Les données à caractère personnel traitées ne sont pas conservées plus longtemps que ce qui est nécessaire et approprié aux finalités pour lesquelles elles sont traitées, pendant la période indiquée dans les avis relatifs à la protection des données, les déclarations de confidentialité ou les registres de l’Agence.

(10) Ces règles internes devraient s’appliquer à toutes les opérations de traitement effectuées par l’Agence dans la conduite d’enquêtes administratives, de procédures disciplinaires, d’activités préliminaires liées à des cas d’irrégularités potentielles signalées à l’OLAF, de procédures de dénonciation des dysfonctionnements, de procédures formelles et informelles en cas de harcèlement, dans le traitement de plaintes internes et externes, la réalisation d’audits internes, la conduite d’enquêtes par le délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725, et la conduite d’enquêtes de sécurité (informatique) réalisées en interne ou avec une participation externe (CERT-UE, par exemple), ainsi qu’aux activités opérationnelles visées au considérant 6 ci-dessus.

(11) Ces règles devraient s’appliquer aux opérations de traitement effectuées avant le lancement des procédures susvisées ci-dessus, au cours de ces procédures, pendant le suivi des mesures prises à l’issue de ces procédures et dans le cadre de la mise en œuvre des activités opérationnelles visées au considérant 6 ci-dessus. Elles devraient également couvrir l’assistance et la coopération fournies par l’Agence aux autorités nationales et aux organisations internationales en dehors de ses enquêtes administratives.

(12) Dans les cas où ces règles internes s’appliquent, l’Agence doit justifier les raisons pour lesquelles les limitations sont strictement nécessaires et proportionnées dans une société démocratique et respectent l’essence des libertés et droits fondamentaux.

(13) Dans ce cadre, l’Agence est tenue de respecter, dans toute la mesure du possible, les droits fondamentaux des personnes concernées au cours des procédures susmentionnées, notamment ceux relatifs au droit à l’information, au droit d’accès et de rectification, au droit à l’effacement, à la limitation du traitement, à la communication d’une violation de données à caractère personnel à la personne concernée ou à la confidentialité des communications, tels que consacrés par le règlement (UE) 2018/1725.

(14) Toutefois, l’Agence peut être obligée de limiter la communication d’informations à la personne concernée et d’autres droits de la personne concernée afin de protéger, en particulier, ses propres enquêtes, les enquêtes et les procédures d’autres autorités publiques, ainsi que les droits d’autres personnes liées à ses enquêtes ou à d’autres procédures.

(15) L’Agence peut donc limiter la communication d’informations dans le but de protéger l’enquête ainsi que les libertés et droits fondamentaux d’autres personnes concernées.

(16) L’Agence devrait vérifier régulièrement que les conditions qui justifient la limitation s’appliquent et lever la limitation dès lors que celles-ci cessent de s’appliquer.

(17) Le responsable du traitement devrait informer le délégué à la protection des données au moment de différer la communication d’informations et lors des révisions,

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier Objet et champ d’application 1. La présente décision établit les règles relatives aux conditions dans lesquelles l’Agence peut, dans le cadre des procédures définies au paragraphe 2, limiter l’application des droits inscrits aux articles 14 à 21, 35 et 36, ainsi qu’à l’article 4, du règlement (UE) 2018/1725, en vertu de son article 25. 2. La présente décision s’applique, dans le cadre du fonctionnement administratif de l’Agence, aux opérations de traitement de données à caractère personnel qu’elle effectue aux fins suivantes: mener des enquêtes administratives, des procédures disciplinaires, des activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF, traiter des cas de dénonciation des dysfonctionnements, des procédures (formelles et informelles) en cas de harcèlement, traiter des plaintes internes et externes, réaliser des audits internes, confier la conduite d’enquêtes au délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725, et mener des enquêtes de sécurité (informatique) en interne ou avec une participation externe (CERT-UE, par exemple). 3. La présente décision s’applique, dans le cadre des activités opérationnelles de l’Agence, aux opérations de traitement de données à caractère personnel effectuées aux fins de l’exécution de son mandat, en particulier la réception de rapports d’inspection conformément à l’article 123 du règlement d’exécution (UE) no 404/2011, aux articles 18, 19 et 20 du règlement (UE) no 1236/2010 et aux articles 30, 33 et 34 du règlement (UE) 2019/833, ainsi que les informations et données reçues des États membres dans le cadre d’analyses fournies à la Commission européenne pour la préparation et la conduite de missions sur place dans des pays tiers au titre de l’article 20, paragraphe 4, point c), du règlement (CE) no 1005/2008, comme indiqué dans la décision 2009/988/UE. 4. Les catégories de données concernées sont les données vérifiées (données «objectives», telles que les données d’identification, coordonnées, données professionnelles, données administratives, données provenant de sources spécifiques, communications électroniques et données relatives au trafic) et/ou les données non vérifiées (les données «subjectives» relatives à l’affaire, telles que le raisonnement, les données comportementales, les évaluations, les données relatives à la performance et à la conduite, ainsi que les données touchant à l’objet de la procédure ou de l’activité, ou soumises en rapport avec celui-ci). 5. Lorsque l’Agence exerce ses fonctions en ce qui concerne les droits des personnes concernées en vertu du règlement (UE) 2018/1725, elle examine si l’une des dérogations établies dans ledit règlement s’applique. 6. Sous réserve des conditions énoncées dans la présente décision, les limitations peuvent s’appliquer aux droits suivants: la communication d’informations aux personnes concernées, le droit d’accès, de rectification, le droit à l’effacement, à la limitation du traitement, à la communication d’une violation de données à caractère personnel à la personne concernée ou à la confidentialité des communications.

Article 2 Spécification du responsable du traitement et garanties 1. L’Agence met en place les garanties suivantes pour empêcher une utilisation abusive ou un accès ou transfert illicites: a) les documents en version papier sont conservés dans des armoires sécurisées et ne sont accessibles qu’au personnel autorisé; b) toutes les données électroniques sont stockées dans une application informatique sécurisée, conformément aux normes de sécurité de l’Agence, ainsi que dans des dossiers électroniques spécifiques accessibles uniquement au personnel autorisé. Les niveaux d’accès appropriés sont accordés individuellement; c) les systèmes informatiques et leurs bases de données sont dotés de mécanismes permettant de vérifier l’identité de l’utilisateur par le biais d’un système d’authentification unique et connecté automatiquement à l’identifiant et au mot de passe de l’utilisateur. Les comptes des utilisateurs finaux sont uniques, personnels et non transférables, le partage de comptes utilisateurs est strictement interdit. Les enregistrements électroniques sont conservés en toute sécurité afin de préserver la confidentialité et le caractère privé des données qu’ils contiennent; d) toutes les personnes ayant accès aux données sont tenues de respecter l’obligation de confidentialité. 2. Le responsable du traitement est l’Agence, représentée par son directeur général, qui peut déléguer la fonction de responsable du traitement. Les personnes concernées sont informées de la délégation de la fonction de responsable du traitement au moyen des avis relatifs à la protection des données, les déclarations de confidentialité ou les registres publiés sur le site web et/ou l’intranet de l’Agence. 3. La durée de conservation des données à caractère personnel visées à l’article 1, paragraphe 3 n’est pas plus longue que nécessaire et elle est appropriée aux finalités pour lesquelles ces données sont traitées. En tout état de cause, elle ne dépasse pas la durée de conservation spécifiée dans les avis relatifs à la protection des données, les déclarations de confidentialité ou les registres mentionnés à l’article 5, paragraphe 1. 4. Lorsque l’Agence envisage d’appliquer une limitation, le risque pour les droits et libertés de la personne concernée doit être mis en balance, en particulier, avec le risque pour les droits et libertés d’autres personnes concernées et le risque de priver d’effet les enquêtes ou procédures de l’Agence, notamment par la destruction de preuves. Les risques pour les droits et libertés de la personne concernée concernent principalement, mais pas seulement, les risques pour la réputation et les risques pour les droits de la défense et le droit d’être entendu.

Article 3 Limitations 1. L’Agence ne peut appliquer une limitation que sur le fondement d’un ou plusieurs des motifs énumérés à l’article 25, paragraphe 1, points a) à i), du règlement (UE) 2018/1725. L’Agence inclut dans les avis relatifs à la protection des données, les déclarations de confidentialité ou les registres, au sens de l’article 31 du règlement (UE) 2018/1725, publiés sur son site web et/ou sur l’intranet pour informer les personnes concernées de leurs droits dans le cadre d’une procédure donnée, des informations relatives à la limitation potentielle de ces droits. Ces informations portent sur les droits susceptibles d’être limités, les motifs de la limitation ainsi que sa durée potentielle. 2. L’Agence peut, à titre d’application spécifique des finalités décrites au paragraphe 1 ci-dessus, appliquer des limitations dans les cas suivants: a) lorsque l’exercice de ces droits et obligations est limité par les services compétents de la Commission ou d’autres institutions, organes et organismes de l’Union sur la base d’autres actes prévus à l’article 25 du règlement (UE) 2018/1725, conformément au chapitre IX dudit règlement ou aux actes fondateurs d’autres institutions, organes et organismes de l’Union, si la finalité d’une telle limitation était compromise si l’Agence n’appliquait pas une limitation équivalente à l’égard des mêmes données à caractère personnel; b) lorsque l’exercice de ces droits et obligations est limité par les autorités compétentes des États membres sur la base des actes visés à l’article 23 du règlement (UE) 2016/679 du Parlement européen et du Conseil (8) ou en vertu de mesures nationales transposant l’article 13, paragraphe 3, l’article 15, paragraphe 3, ou l’article 16, paragraphe 3, de la directive (UE) 2016/680 du Parlement européen et du Conseil (9); c) lorsque l’exercice de ces droits et obligations pourrait compromettre la coopération de l’Agence avec les pays tiers ou les organisations internationales dans l’accomplissement de ses missions, lorsqu’il existe des preuves évidentes que la coopération est susceptible d’être compromise. Avant d’appliquer des limitations dans les cas visés aux points a) et b) du premier alinéa, l’Agence consulte les services compétents de la Commission, les institutions, organes et organismes de l’Union ou les autorités compétentes des États membres, à moins qu’il ne soit clair pour l’Agence que l’application d’une limitation est prévue par l’un des actes visés à ces points. 3. Toute limitation est nécessaire et proportionnée aux risques pour les droits et libertés des personnes concernées et respecte le contenu essentiel des libertés et droits fondamentaux dans une société démocratique. 4. Si l’application de limitations est envisagée, une évaluation de la nécessité et de la proportionnalité est effectuée sur la base des présentes règles. Le résultat de cette évaluation est consigné dans une note d’évaluation interne, afin de rendre compte, au cas par cas, des limitations considérées. Le relevé et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont consignés dans un registre. Ils sont mis à la disposition du Contrôleur européen de la protection des données sur demande. L’Agence applique un cycle de réexamen de six mois à l’application de chaque limitation à compter de son adoption et à la clôture de l’enquête ou de la procédure en question. Dans le cadre du réexamen périodique, une évaluation de la nécessité et de la proportionnalité est effectuée pour évaluer si les motifs factuels et juridiques d’une restriction s’appliquent toujours. 5. Les limitations sont levées dès que les circonstances qui les justifient cessent d’exister, en particulier lorsqu’il est considéré que l’exercice du droit limité ne priverait plus d’effet la limitation imposée ou ne porterait plus atteinte aux droits ou aux libertés d’autres personnes concernées.

Article 4 Réexamen par le délégué à la protection des données 1. L’Agence informe, sans retard injustifié, le délégué à la protection des données de l’Agence chaque fois que le responsable du traitement limite l’application des droits des personnes concernées, ou étend la limitation, conformément à la présente décision. Le responsable du traitement accorde au délégué à la protection des données un accès au registre contenant l’évaluation de la nécessité et de la proportionnalité de la limitation et consigne dans le registre la date à laquelle le délégué à la protection des données a été informé. 2. Le délégué à la protection des données peut demander au responsable du traitement, par écrit, de réexaminer l’application des limitations. Le responsable du traitement informe le délégué à la protection des données par écrit du résultat du réexamen demandé. 3. Le responsable du traitement informe le délégué à la protection des données de chaque limitation appliquée aux droits des personnes concernées, lorsque la limitation a été levée.

Article 5 Communication d’informations aux personnes concernées 1. Dans des cas dûment justifiés et dans les conditions stipulées dans la présente décision, le droit à l’information peut être limité par le responsable du traitement dans le cadre des opérations de traitement suivantes, lorsque cela est nécessaire et proportionné: a) la conduite d’enquêtes administratives et de procédures disciplinaires. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), c), d), f), g) et h), du règlement (UE) 2018/1725; b) les activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), d), f) et h), du règlement (UE) 2018/1725; c) les procédures de dénonciation des dysfonctionnements. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), d), f) et h), du règlement (UE) 2018/1725; d) les procédures formelles et informelles pour les cas de harcèlement. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), d), f) et h), du règlement (UE) 2018/1725; e) le traitement de plaintes internes et externes. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), c), d), f), g) et h), du règlement (UE) 2018/1725; f) les audits internes. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), c), f), g) et h), du règlement (UE) 2018/1725; g) les enquêtes menées par le délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points c), g) et h), du règlement (UE) 2018/1725; h) les enquêtes de sécurité (informatique) conduites en interne ou avec une participation externe (CERT-UE, par exemple). Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), c), d), g) et h), du règlement (UE) 2018/1725; i) l’échange d’informations dans le cadre des activités opérationnelles de l’Agence dans l’exécution de son mandat, en particulier la réception des rapports d’inspection conformément à l’article 123 du règlement d’exécution (UE) no 404/2011, aux articles 18, 19 et 20 du règlement (UE) no 1236/2010 et aux articles 30, 33 et 34 du règlement (UE) 2019/833, ainsi que les informations et données reçues des États membres dans le cadre d’analyses fournies à la Commission européenne pour la préparation et la conduite de missions sur place dans des pays tiers au titre de l’article 20, paragraphe 4, point c), du règlement (CE) no 1005/2008. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), c), d), g) et h), du règlement (UE) 2018/1725. 2. Sans préjudice des dispositions du paragraphe 3, l’Agence informe individuellement, lorsque cela est proportionné, toutes les personnes concernées, qui sont considérées comme des personnes concernées par l’opération de traitement spécifique, de leurs droits au regard des limitations actuelles ou futures, dans les meilleurs délais et par écrit. 3. Lorsque l’Agence limite, en tout ou en partie, la communication d’informations aux personnes concernées visées au paragraphe 2, elle consigne les motifs de la limitation, le fondement juridique conformément à l’article 3 de la présente décision, accompagnés d’une évaluation de sa nécessité et de sa proportionnalité. 4. La limitation visée au paragraphe 3 continue de s’appliquer tant que les raisons la justifiant persistent. Lorsque les raisons de la limitation ne s’appliquent plus, l’Agence fournit des informations à la personne concernée sur les principales raisons sur lesquelles l’application d’une limitation est fondée. Dans le même temps, l’Agence informe la personne concernée de la possibilité de saisir le Contrôleur européen de la protection des données à tout moment ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

Article 6 Droit d’accès de la personne concernée 1. Dans des cas dûment justifiés et dans les conditions stipulées dans la présente décision, le droit d’accès peut être limité par le responsable du traitement dans le cadre des opérations de traitement suivantes, lorsque cela est nécessaire et proportionné: a) la conduite d’enquêtes administratives et de procédures disciplinaires. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), c), d), f), g) et h), du règlement (UE) 2018/1725; b) les activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), d), f) et h) du règlement (UE) 2018/1725; c) les procédures de dénonciation des dysfonctionnements. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), d), f) et h), du règlement (UE) 2018/1725; d) les procédures formelles et informelles pour les cas de harcèlement. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), d), f) et h), du règlement (UE) 2018/1725; e) le traitement de plaintes internes et externes. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), c), d), f), g) et h), du règlement (UE) 2018/1725; f) les audits internes. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), c), f), g) et h), du règlement (UE) 2018/1725; g) les enquêtes menées par le délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points c), g) et h), du règlement (UE) 2018/1725; h) les enquêtes de sécurité (informatique) conduites en interne ou avec une participation externe (CERT-UE, par exemple). Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), c), d), g) et h), du règlement (UE) 2018/1725; i) l’échange d’informations dans le cadre des activités opérationnelles de l’Agence dans l’exécution de son mandat, en particulier la réception des rapports d’inspection conformément à l’article 123 du règlement d’exécution (UE) no 404/2011, aux articles 18, 19 et 20 du règlement (UE) no 1236/2010 et aux articles 30, 33 et 34 du règlement (UE) 2019/833, ainsi que les informations et données reçues des États membres dans le cadre d’analyses fournies à la Commission européenne pour la préparation et la conduite de missions sur place dans des pays tiers au titre de l’article 20, paragraphe 4, point c), du règlement (CE) no 1005/2008. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), c), d), g) et h), du règlement (UE) 2018/1725. Dans les cas où les personnes concernées demandent à accéder à leurs données à caractère personnel traitées dans le cadre d’un ou de plusieurs cas spécifiques ou d’une opération de traitement particulière, conformément à l’article 17 du règlement (UE) 2018/1725, l’Agence limite son examen de la demande à ces seules données à caractère personnel. 2. Lorsque l’Agence limite, en tout ou en partie, le droit d’accès visé à l’article 17 du règlement (UE) 2018/1725, elle prend les mesures suivantes: a) elle informe la personne concernée, dans sa réponse à la demande, de la limitation appliquée et des principales raisons qui la motivent, ainsi que de la possibilité de saisir le Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne; b) elle consigne dans une note d’évaluation interne les motifs de la limitation, accompagnés d’une évaluation de la nécessité de la limitation, de sa proportionnalité et de sa durée. La communication des informations visées au point a) peut être différée, omise ou refusée si elle prive d’effet la limitation conformément à l’article 25, paragraphe 8, du règlement (UE) 2018/1725.

Article 7 Droit de rectification, droit à l’effacement et droit à la limitation du traitement 1. Dans des cas dûment justifiés et dans les conditions stipulées dans la présente décision, les droits de rectification, d’effacement et de limitation peuvent être limités par le responsable du traitement dans le cadre des opérations de traitement suivantes, lorsque cela est nécessaire et proportionné: a) la conduite d’enquêtes administratives et de procédures disciplinaires. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), c), d), f), g) et h), du règlement (UE) 2018/1725; b) les activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), d), f) et h), du règlement (UE) 2018/1725; c) les procédures de dénonciation des dysfonctionnements. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), d), f) et h), du règlement (UE) 2018/1725; d) les procédures formelles et informelles pour les cas de harcèlement. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), d), f) et h), du règlement (UE) 2018/1725; e) le traitement de plaintes internes et externes. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), c), d), f), g) et h), du règlement (UE) 2018/1725; f) les audits internes. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), c), f), g) et h), du règlement (UE) 2018/1725; g) les enquêtes menées par le délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points c), g) et h), du règlement (UE) 2018/1725; h) les enquêtes de sécurité (informatique) conduites en interne ou avec une participation externe (CERT-UE, par exemple). Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), c), d), g) et h), du règlement (UE) 2018/1725; i) l’échange d’informations dans le cadre des activités opérationnelles de l’Agence dans l’exécution de son mandat, en particulier la réception des rapports d’inspection conformément à l’article 123 du règlement d’exécution (UE) no 404/2011, aux articles 18, 19 et 20 du règlement (UE) no 1236/2010 et aux articles 30, 33 et 34 du règlement (UE) 2019/833, ainsi que les informations et données reçues des États membres dans le cadre d’analyses fournies à la Commission européenne pour la préparation et la conduite de missions sur place dans des pays tiers au titre de l’article 20, paragraphe 4, point c), du règlement (CE) no 1005/2008. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), c), d), g) et h), du règlement (UE) 2018/1725. 2. Dans le cas où l’Agence limite, en tout ou en partie, l’application du droit de rectification, du droit à l’effacement ou du droit à la limitation du traitement, visés à l’article 18, à l’article 19, paragraphe 1, et à l’article 20, paragraphe 1, du règlement (UE) 2018/1725, elle prend les mesures visées à l’article 6, paragraphe 2, de la présente décision, et enregistre le relevé conformément à son article 6, paragraphe 3.

Article 8 Communication à la personne concernée d’une violation de données à caractère personnel et confidentialité des communications électroniques 1. Dans des cas dûment justifiés et dans les conditions stipulées dans la présente décision, le droit à la communication d’une violation de données à caractère personnel peut être limité par le responsable du traitement dans le cadre des opérations de traitement suivantes, lorsque cela est nécessaire et proportionné: a) la conduite d’enquêtes administratives et de procédures disciplinaires. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), c), d), f), g) et h), du règlement (UE) 2018/1725; b) les activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), d), f) et h), du règlement (UE) 2018/1725; c) les procédures de dénonciation des dysfonctionnements. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), d), f) et h), du règlement (UE) 2018/1725; d) les procédures formelles et informelles pour les cas de harcèlement. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), d), f) et h), du règlement (UE) 2018/1725; e) le traitement de plaintes internes et externes. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), c), d), f), g) et h), du règlement (UE) 2018/1725; f) les audits internes. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), c), f), g) et h), du règlement (UE) 2018/1725; g) les enquêtes menées par le délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points c), g) et h), du règlement (UE) 2018/1725; h) les enquêtes de sécurité (informatique) conduites en interne ou avec une participation externe (CERT-UE, par exemple). Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), c), d), g) et h), du règlement (UE) 2018/1725; i) l’échange d’informations dans le cadre des activités opérationnelles de l’Agence dans l’exécution de son mandat, en particulier la réception des rapports d’inspection conformément à l’article 123 du règlement d’exécution (UE) no 404/2011, aux articles 18, 19 et 20 du règlement (UE) no 1236/2010 et aux articles 30, 33 et 34 du règlement (UE) 2019/833, ainsi que les informations et données reçues des États membres dans le cadre d’analyses fournies à la Commission européenne pour la préparation et la conduite de missions sur place dans des pays tiers au titre de l’article 20, paragraphe 4, point c), du règlement (CE) no 1005/2008. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), c), d), g) et h), du règlement (UE) 2018/1725. 2. Dans des cas dûment justifiés et dans les conditions stipulées dans la présente décision, le droit à la confidentialité des communications électroniques peut être limité par le responsable du traitement dans le cadre des opérations de traitement suivantes, lorsque cela est nécessaire et proportionné: a) la conduite d’enquêtes administratives et de procédures disciplinaires. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), c), d), f), g) et h), du règlement (UE) 2018/1725; b) les activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), d), f) et h), du règlement (UE) 2018/1725; c) les procédures de dénonciation des dysfonctionnements. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), d), f) et h), du règlement (UE) 2018/1725; d) les procédures formelles et informelles en cas de harcèlement; Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), d), f) et h), du règlement (UE) 2018/1725; e) le traitement de plaintes internes et externes. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), c), d), f), g) et h), du règlement (UE) 2018/1725; f) les enquêtes de sécurité (informatique) conduites en interne ou avec une participation externe (CERT-UE, par exemple). Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), c), d), g) et h), du règlement (UE) 2018/1725; g) l’échange d’informations dans le cadre des activités opérationnelles de l’Agence dans l’exécution de son mandat, en particulier la réception des rapports d’inspection conformément à l’article 123 du règlement d’exécution (UE) no 404/2011, ainsi que les informations et données reçues des États membres dans le cadre d’analyses fournies à la Commission européenne pour la préparation et la conduite de missions sur place dans des pays tiers au titre de l’article 20, paragraphe 4, points c) et d), du règlement (CE) no 1005/2008. Les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), c), d), g) et h), du règlement (UE) 2018/1725. 3. Lorsque l’Agence limite la communication d’une violation de données à caractère personnel à la personne concernée ou la confidentialité des communications électroniques visées aux articles 35 et 36 du règlement (UE) 2018/1725, elle consigne et enregistre les motifs de la limitation conformément à l’article 5, paragraphe 3, de la présente décision. L’article 5, paragraphe 4, de la présente décision s’applique.

Article 9 Entrée en vigueur La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.

Fait à Vigo, le 22 avril 2020. Président du conseil d’administration Reinhard PRIEBE

(1) JO L 295 du 21.11.2018, p. 39.

(2) JO L 83 du 25.3.2019, p. 18.

(3) Règlement d’exécution (UE) no 404/2011 de la Commission du 8 avril 2011 portant modalités d’application du règlement (CE) no 1224/2009 du Conseil instituant un régime communautaire de contrôle afin d’assurer le respect des règles de la politique commune de la pêche (JO L 112 du 30.4.2011, p. 1).

(4) Règlement (UE) no 1236/2010 du Parlement européen et du Conseil du 15 décembre 2010 établissant un régime de contrôle et de coercition dans la zone de la convention sur la future coopération multilatérale dans les pêches de l’Atlantique du Nord-Est et abrogeant le règlement (CE) no 2791/1999 du Conseil (JO L 348 du 31.12.2010, p. 17).

(5) Règlement (UE) 2019/833 du Parlement européen et du Conseil du 20 mai 2019 établissant des mesures de conservation et d’exécution applicables dans la zone de réglementation de l’Organisation des pêches de l’Atlantique du Nord-Ouest, modifiant le règlement (UE) 2016/1627 et abrogeant les règlements (CE) no 2115/2005 et (CE) no 1386/2007 du Conseil (JO L 141 du 28.5.2019, p. 1).

(6) Règlement (CE) no 1005/2008 du Conseil du 29 septembre 2008 établissant un système communautaire destiné à prévenir, à décourager et à éradiquer la pêche illicite, non déclarée et non réglementée, modifiant les règlements (CEE) no 2847/93, (CE) no 1936/2001 et (CE) no 601/2004 et abrogeant les règlements (CE) no 1093/94 et (CE) no 1447/1999 (JO L 286 du 29.10.2008, p. 1).

(7) Décision 2009/988/UE de la Commission du 18 décembre 2009 désignant l’Agence communautaire de contrôle des pêches comme l’organisme chargé d’effectuer certaines tâches au titre du règlement (CE) no 1005/2008 du Conseil (JO L 338 du 19.12.2009, p. 104).

(8) Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1).

(9) Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO L 119 du 4.5.2016, p. 89).