DÉCISION (UE) 2020/1502 DE LA COMMISSION

du 15 octobre 2020

établissant des règles internes en ce qui concerne la communication d’informations aux personnes concernées et la limitation de certains de leurs droits dans le contexte du traitement des données à caractère personnel par la Commission dans le cadre du dispositif de coopération instauré par le règlement (UE) 2019/452 du Parlement européen et du Conseil

LA COMMISSION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 249, paragraphe 1,

considérant ce qui suit:

(1) Le règlement (UE) 2019/452 du Parlement européen et du Conseil (1) a instauré un dispositif de coopération entre la Commission et les États membres en ce qui concerne les investissements directs étrangers. Ce dispositif est fondé sur un échange d’informations pouvant inclure des données à caractère personnel au sens de l’article 3, paragraphe 1, du règlement (UE) 2018/1725 du Parlement européen et du Conseil (2). L’objectif du dispositif de coopération est de permettre à chaque État membre d’examiner si un investissement direct étranger dans un autre État membre est susceptible de porter atteinte à sa sécurité ou à son ordre public, et à la Commission d’examiner si un tel investissement est susceptible de porter atteinte à la sécurité ou à l’ordre public de plus d’un État membre.

(2) Les catégories de données à caractère personnel traitées par la Commission aux fins du filtrage des investissements directs étrangers par les États membres et pour assurer l’efficacité du dispositif de coopération instauré par le règlement (UE) 2019/452 comprennent les données d’identification et les coordonnées, les données professionnelles et les données relatives à l’investissement direct étranger.

(3) Les données à caractère personnel seront conservées par les services de la Commission chargés de l’activité de filtrage aussi longtemps que nécessaire aux fins du filtrage des investissements directs étrangers par les États membres et du bon fonctionnement du dispositif de coopération. Elles seront conservées dans un environnement électronique sécurisé afin d’empêcher leur consultation illicite par des personnes extérieures à la Commission ou leur transfert illicite à ces personnes (3).

(4) Dans l’exercice de ses missions, la Commission est tenue de respecter les droits des personnes physiques concernant le traitement des données à caractère personnel, qui sont consacrés par l’article 8, paragraphe 1, de la charte des droits fondamentaux de l’Union européenne et par l’article 16, paragraphe 1, du traité sur le fonctionnement de l’Union européenne, ainsi que les droits prévus par le règlement (UE) 2018/1725. Dans le même temps, la Commission est tenue, conformément à l’article 10 du règlement (UE) 2019/452, de se conformer à des règles strictes en matière de confidentialité.

(5) Dans certains cas, il est nécessaire de concilier les droits des personnes concernées prévus par le règlement (UE) 2018/1725 avec le besoin d’efficacité du dispositif de coopération ainsi qu’avec le plein respect des libertés et droits fondamentaux d’autres personnes concernées. À cet effet, l’article 25, paragraphe 1, du règlement (UE) 2018/1725 donne à la Commission la possibilité de limiter l’application des articles 14 à 17, 19, 20 et 35, dudit règlement, ainsi que du principe de transparence énoncé à l’article 4, paragraphe 1, point a), de ce même règlement, dans la mesure où les dispositions de cet article correspondent aux droits et obligations prévus auxdits articles 14 à 17, 19 et 20.

(6) La politique commerciale commune de l’Union exige de la Commission qu’elle s’acquitte de manière efficace et efficience des tâches qui lui incombent dans le cadre du dispositif de coopération. Pour ce faire, tout en respectant les normes de protection des données à caractère personnel prévues par le règlement (UE) 2018/1725, il est nécessaire d’adopter des règles internes en vertu desquelles la Commission peut limiter les droits des personnes concernées conformément à l’article 25 du règlement (UE) 2018/1725.

(7) Ces règles internes devraient couvrir toutes les opérations de traitement de données effectuées par la Commission dans l’exercice de ses fonctions dans le cadre du dispositif de coopération instauré par le règlement (UE) 2019/452, à partir du moment où elle reçoit des informations sur les investissements directs étrangers concernés.

(8) Pour se conformer aux articles 14, 15 et 16 du règlement (UE) 2018/1725, la Commission devrait informer toutes les personnes de ses activités qui nécessitent un traitement de leurs données à caractère personnel et de leurs droits de manière transparente et cohérente en publiant des avis relatifs à la protection des données sur son site internet. S’il y a lieu, la Commission devrait apporter des garanties supplémentaires pour s’assurer que les personnes concernées sont informées individuellement dans un format approprié.

(9) Sans préjudice de l’article 14, paragraphe 5, et de l’article 16, paragraphe 5, du règlement (UE) 2018/1725, la Commission a la possibilité, sur la base de l’article 25 dudit règlement, de limiter la communication d’informations aux personnes concernées à propos du traitement de leurs données à caractère personnel et l’application de leurs autres droits afin de préserver les pouvoirs de la Commission en matière de conduite des analyses et des procédures relatives au filtrage des investissements directs étrangers ou au dispositif de coopération instauré par le règlement (UE) 2019/452. À cet égard, il peut être nécessaire que la Commission limite l’application de ces droits et obligations en vertu de l’article 25, paragraphe 1, points a), c), d), g) et h), dudit règlement, lorsque la finalité de ses analyses et de ses procédures relatives au filtrage des investissements directs étrangers ou au dispositif de coopération en ce qui concerne la mise en œuvre efficace de la politique commerciale commune de l’Union serait autrement compromise.

(10) En outre, dans un souci d’efficacité de la coopération, la Commission peut avoir à limiter l’application des droits des personnes concernées afin de protéger les opérations de traitement d’autres institutions, organes et organismes de l’Union ou d’autorités d’États membres. La Commission peut avoir recours à cette possibilité lorsque la finalité d’une telle limitation par une autre institution, un autre organe ou un autre organisme de l’Union ou par une autorité d’un État membre serait compromise si la Commission n’appliquait pas une limitation équivalente en ce qui concerne les mêmes données à caractère personnel. À cet effet, la Commission devrait consulter ces institutions, organes et organismes et ces autorités sur les motifs justifiant l’application de limitations et sur la nécessité et la proportionnalité de ces dernières.

(11) La Commission peut avoir à limiter la communication d’informations aux personnes concernées ainsi que l’application d’autres droits des personnes concernées en ce qui concerne les données à caractère personnel reçues des États membres ou d’autres sources, qu’elles soient anonymes ou identifiées, lorsqu’il y a lieu de garantir la sécurité nationale, la sécurité publique ou la défense des États membres, comme indiqué à l’article 25, paragraphe 1, point a), du règlement (UE) 2018/1725, ou de garantir la sécurité interne des institutions et organes de l’Union, comme indiqué à l’article 25, paragraphe 1, point d), dudit règlement. La sécurité interne des institutions et organes de l’Union peut notamment être en jeu dans les cas d’investissements directs étrangers susceptibles de porter atteinte à des projets ou à des programmes présentant un intérêt pour l’Union pour des motifs de sécurité ou d’ordre public.

(12) La Commission peut également avoir à limiter la communication d’informations aux personnes concernées ainsi que l’application d’autres droits des personnes concernées en ce qui concerne les données à caractère personnel reçues des États membres, de pays tiers ou d’organisations internationales, afin de coopérer avec ces États membres, ces pays tiers ou ces organisations et donc de protéger un objectif important d’intérêt public général de l’Union, comme indiqué à l’article 25, paragraphe 1, point c), du règlement (UE) 2018/1725. Toutefois, dans certains cas, l’intérêt des droits fondamentaux de la personne concernée peut prévaloir sur l’intérêt de la coopération internationale.

(13) Par conséquent, lorsque cela est nécessaire pour une mission de contrôle, d’inspection ou de réglementation liée à l’exercice de son autorité publique dans l’accomplissement de ses tâches dans le cadre du dispositif de coopération instauré par le règlement (UE) 2019/452, la Commission peut avoir à limiter la communication d’informations aux personnes concernées ainsi que l’application d’autres droits, comme indiqué à l’article 25, paragraphe 1, point g), du règlement (UE) 2018/1725.

(14) En outre, la Commission peut avoir à limiter la communication d’informations aux personnes concernées et l’application d’autres droits des personnes concernées en ce qui concerne les données à caractère personnel reçues de sources anonymes ou de sources identifiées, telles que des informateurs, qui demandent une protection de leurs droits et libertés, conformément à l’article 25, paragraphe 1, point h), du règlement (UE) 2018/1725.

(15) La Commission a par conséquent identifié les motifs énumérés à l’article 25, paragraphe 1, points a), c), d), g) et h), du règlement (UE) 2018/1725 comme des motifs justifiant les limitations qu’il peut être nécessaire d’appliquer aux opérations de traitement de données effectuées dans le cadre des analyses et des procédures de la Commission relatives au filtrage des investissements directs étrangers ou au dispositif de coopération instauré par le règlement (UE) 2019/452.

(16) Toute limitation, appliquée sur la base de la présente décision, devrait être nécessaire et proportionnée, compte tenu des risques qui pèsent sur les droits et libertés des personnes concernées.

(17) La Commission devrait traiter toutes les limitations de manière transparente et enregistrer chaque cas dans le registre correspondant.

(18) La Commission traite les données à caractère personnel dans le cadre du règlement (UE) 2019/452 conjointement avec les autorités compétentes des États membres. L’évaluation et les procédures de la Commission relatives au filtrage des investissements directs étrangers ou au dispositif de coopération sont menées par différents services, mais la responsabilité principale de la coordination incombe à la direction générale chargée du commerce.

(19) Conformément à l’article 25, paragraphe 8, du règlement (UE) 2018/1725, les responsables du traitement peuvent omettre ou refuser de communiquer à la personne concernée des informations sur les motifs de l’application d’une limitation ou différer la communication de ces informations si celles-ci risquent, de quelque manière que ce soit, de priver d’effet ladite limitation. C’est, en particulier, le cas des limitations prévues aux articles 16 et 35 dudit règlement.

(20) La Commission devrait réexaminer à intervalles réguliers les limitations imposées afin de veiller à ce que les droits de la personne concernée à être informée conformément aux articles 16 et 35 du règlement (UE) 2018/1725 ne soient limités qu’aussi longtemps que ces limitations sont nécessaires pour permettre à la Commission de mener les analyses et les procédures relatives au filtrage des investissements directs étrangers ou au dispositif de coopération.

(21) Lorsque d’autres droits des personnes concernées sont limités, le responsable du traitement devrait évaluer au cas par cas si la communication de la limitation risque de compromettre sa finalité.

(22) Le délégué à la protection des données de la Commission devrait procéder à un examen indépendant de l’application des limitations afin de garantir le respect de la présente décision.

(23) Afin de permettre immédiatement à la Commission de limiter l’application de certains droits et de certaines obligations conformément à l’article 25, du règlement (UE) 2018/1725 et de ne pas compromettre les analyses et les procédures relatives au filtrage des investissements directs étrangers ou au dispositif de coopération instauré par le règlement (UE) 2019/452, la présente décision devrait entrer en vigueur le troisième jour suivant celui de sa publication au Journal officiel de l’Union européenne.

(24) Le Contrôleur européen de la protection des données a été consulté et a rendu un avis le 29 juillet 2020,

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier Objet et champ d’application 1. La présente décision établit les règles que la Commission doit suivre lorsqu’elle informe les personnes concernées du fait que leurs données à caractère personnel seront traitées conformément aux articles 14, 15 et 16 du règlement (UE) 2018/1725 dans le cadre du dispositif de coopération instauré par le règlement (UE) 2019/452. Elle fixe également les conditions dans lesquelles la Commission peut limiter l’application des articles 4, 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725, conformément à l’article 25, paragraphe 1, points a), c), d), g) et h), dudit règlement, dans le cadre de ce dispositif de coopération. 2. La présente décision est applicable au traitement des données à caractère personnel par la Commission aux fins des activités, ou en rapport avec les activités, qu’elle exerce afin de s’acquitter des missions prévues par le règlement (UE) 2019/452.

Article 2 Exceptions et limitations applicables 1. Lorsque la Commission exerce ses fonctions en ce qui concerne les droits des personnes concernées en vertu du règlement (UE) 2018/1725, elle examine si l’une des exceptions établies dans ledit règlement s’applique. 2. Sous réserve des articles 3 à 7 de la présente décision, lorsque l’exercice des droits et obligations prévus aux articles 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725 en ce qui concerne les données à caractère personnel traitées par la Commission compromettrait la finalité des analyses et des procédures de la Commission relatives au filtrage des investissements directs étrangers ou au dispositif de coopération instauré par le règlement (UE) 2019/452, y compris en révélant ses outils et méthodes, ou porterait atteinte aux droits et aux libertés d’autres personnes concernées, la Commission peut limiter l’application: a) des articles 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725; et b) du principe de transparence énoncé à l’article 4, paragraphe 1, point a), dudit règlement, dans la mesure où les dispositions de cet article correspondent aux droits et obligations prévus aux articles 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725. 3. Sous réserve des articles 3 à 7, la Commission peut limiter les droits et obligations visés au paragraphe 2 du présent article: a) lorsque l’exercice de ces droits et obligations à l’égard des données à caractère personnel obtenues auprès d’une autre institution, d’un autre organe ou d’un autre organisme de l’Union pourrait être limité par cette autre institution, cet autre organe ou cet autre organisme de l’Union sur la base des actes juridiques visés à l’article 25 du règlement (UE) 2018/1725, ou conformément au chapitre IX dudit règlement, ou conformément au règlement (UE) 2016/794 du Parlement européen et du Conseil (4) ou au règlement (UE) 2017/1939 du Conseil (5); b) lorsque l’exercice de ces droits et obligations à l’égard des données à caractère personnel obtenues auprès d’une autorité compétente d’un État membre pourrait être limité par les autorités compétentes de cet État membre sur la base des actes visés à l’article 23 du règlement (UE) 2016/679 du Parlement européen et du Conseil (6) ou en vertu de mesures nationales transposant l’article 13, paragraphe 3, l’article 15, paragraphe 3, ou l’article 16, paragraphe 3, de la directive (UE) 2016/680 du Parlement européen et du Conseil (7); c) lorsque l’exercice de ces droits et obligations compromettrait la coopération de la Commission avec des pays tiers ou des organisations internationales en matière de filtrage des investissements directs étrangers. Avant d’appliquer des limitations dans les cas visés aux points a) et b) du premier alinéa, la Commission consulte les institutions, organes ou organismes concernés de l’Union ou les autorités compétentes des États membres, à moins qu’il ne soit manifeste pour elle que l’application d’une limitation est prévue par l’un des actes visés à ces points. Le point c) du premier alinéa ne s’applique pas lorsque les intérêts ou les libertés et droits fondamentaux de la personne concernée prévalent sur l’intérêt de la Commission à coopérer avec des pays tiers ou des organisations internationales. 4. Les paragraphes 1, 2 et 3 sont sans préjudice: a) de l’application d’autres décisions de la Commission établissant des règles internes en ce qui concerne la communication d’informations aux personnes concernées et les limitations de certains droits en vertu de l’article 25 du règlement (UE) 2018/1725; b) de l’article 23 du règlement intérieur de la Commission (8). 5. Toute limitation des droits et obligations visés au paragraphe 2 est nécessaire et proportionnée, compte tenu des risques qui pèsent sur les droits et libertés des personnes concernées.

Article 3 Communication d’informations aux personnes concernées 1. La Commission publie sur son site internet des avis relatifs à la protection des données qui informent toutes les personnes concernées de ses activités qui nécessitent un traitement de leurs données à caractère personnel aux fins des analyses et des procédures relatives au filtrage des investissements directs étrangers ou au dispositif de coopération instauré par le règlement (UE) 2019/452. Lorsqu’il est possible de le faire sans compromettre le fonctionnement du dispositif de coopération, la Commission veille à ce que les personnes concernées soient informées individuellement dans un format approprié. 2. Lorsque la Commission limite, en tout ou en partie, la communication d’informations aux personnes concernées dont les données sont traitées aux fins des analyses et des procédures relatives au filtrage des investissements directs étrangers ou au dispositif de coopération instauré par le règlement (UE) 2019/452, elle enregistre et consigne dans un registre les motifs de cette limitation conformément à l’article 6 de la présente décision.

Article 4 Droit d’accès de la personne concernée, droit à l’effacement et droit à la limitation du traitement 1. Si la Commission limite, en tout ou en partie, le droit d’accès aux données à caractère personnel des personnes concernées, le droit à l’effacement ou le droit à la limitation du traitement visés respectivement aux articles 17, 19 et 20 du règlement (UE) 2018/1725, elle informe la personne concernée, dans sa réponse à la demande d’accès, d’effacement ou de limitation du traitement: a) de la limitation appliquée et des principaux motifs de celle-ci; et b) de la possibilité d’introduire une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne. 2. La communication d’informations concernant les motifs de la limitation visée au paragraphe 1 peut être différée, omise ou refusée aussi longtemps qu’elle porterait atteinte à la finalité de la limitation. 3. La Commission enregistre et consigne dans un registre les motifs de la limitation conformément à l’article 6. 4. Lorsque le droit d’accès est entièrement ou partiellement limité, la personne concernée peut exercer son droit d’accès par l’intermédiaire du Contrôleur européen de la protection des données, conformément à l’article 25, paragraphes 6, 7 et 8, du règlement (UE) 2018/1725.

Article 5 Communication aux personnes concernées de violations de données à caractère personnel Lorsque la Commission limite la communication à la personne concernée d’une violation de données à caractère personnel, telle que visée à l’article 35 du règlement (UE) 2018/1725, elle enregistre et consigne dans un registre les motifs de la limitation conformément à l’article 6 de la présente décision.

Article 6 Enregistrement des limitations et consignation dans un registre 1. La Commission enregistre les motifs de toute limitation appliquée en vertu de la présente décision, ainsi qu’une évaluation de la nécessité et de la proportionnalité de la limitation, en tenant compte des éléments pertinents établis à l’article 25, paragraphe 2, du règlement (UE) 2018/1725. 2. L’enregistrement indique de quelle manière l’exercice d’un droit par la personne concernée compromettrait la finalité des analyses et des procédures de la Commission relatives au filtrage des investissements directs étrangers ou au dispositif de coopération instauré par le règlement (UE) 2019/452 ou des limitations appliquées en vertu de l’article 2, paragraphe 2 ou 3, de la présente décision, ou porterait atteinte aux droits et libertés d’autres personnes concernées. 3. L’enregistrement et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont consignés dans un registre. Ils sont mis à la disposition du Contrôleur européen de la protection des données sur demande.

Article 7 Durée des limitations 1. Les limitations visées aux articles 3, 4 et 5 continuent de s’appliquer aussi longtemps que les motifs qui les justifient restent valables. 2. Lorsque les motifs d’une limitation visée à l’article 3 ou 5 cessent de s’appliquer, la Commission lève la limitation et communique les principaux motifs de cette dernière à la personne concernée. Dans le même temps, elle informe la personne concernée de la possibilité de déposer à tout moment une plainte auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne. 3. La Commission réexamine l’application des limitations visées aux articles 3 et 5 un an après l’adoption et à la clôture des analyses et des procédures pertinentes de la Commission relatives au filtrage des investissements directs étrangers ou au dispositif de coopération instauré par le règlement (UE) 2019/452. Par la suite, la Commission assure un suivi de la nécessité de maintenir la limitation. Le réexamen inclut une évaluation de la nécessité et de la proportionnalité de la limitation, en tenant compte des éléments pertinents établis à l’article 25, paragraphe 2, du règlement (UE) 2018/1725.

Article 8 Réexamen par le délégué à la protection des données de la Commission 1. Le délégué à la protection des données de la Commission est informé sans délai chaque fois que les droits des personnes concernées sont limités conformément à la présente décision. Il obtient sur demande l’accès à l’enregistrement et à tout document contenant des éléments factuels et juridiques sous-jacents. 2. Le délégué à la protection des données peut demander un réexamen de la limitation. Il est informé du résultat du réexamen demandé. 3. La Commission documente l’intervention du délégué à la protection des données dans chaque cas où l’application des droits et obligations visés à l’article 2, paragraphe 2, est limitée.

Article 9 Entrée en vigueur La présente décision entre en vigueur le troisième jour suivant celui de sa publication au Journal officiel de l’Union européenne.

Fait à Bruxelles, le 15 octobre 2020. Par la Commission La présidente Ursula VON DER LEYEN

(1) Règlement (UE) 2019/452 du Parlement européen et du Conseil du 19 mars 2019 établissant un cadre pour le filtrage des investissements directs étrangers dans l’Union (JO L 79 I du 21.3.2019, p. 1).

(2) Règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (JO L 295 du 21.11.2018, p. 39).

(3) La conservation des dossiers au sein de la Commission est régie par la liste commune de conservation des dossiers de la Commission européenne [SEC(2019) 900]. La durée de conservation sera définie dans les registres relatifs à la protection des données pour ce traitement particulier.

(4) Règlement (UE) 2016/794 du Parlement européen et du Conseil du 11 mai 2016 relatif à l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) et remplaçant et abrogeant les décisions du Conseil 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI et 2009/968/JAI (JO L 135 du 24.5.2016, p. 53).

(5) Règlement (UE) 2017/1939 du Conseil du 12 octobre 2017 mettant en œuvre une coopération renforcée concernant la création du Parquet européen (JO L 283 du 31.10.2017, p. 1).

(6) Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1).

(7) Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO L 119 du 4.5.2016, p. 89).

(8) C(2000) 3614 (JO L 308 du 8.12.2000, p. 26).