Décision no 160/21 A du CESE établissant des règles internes relatives à la limitation de certains droits des personnes concernées en matière de traitement des données à caractère personnel dans le cadre des activités du Comité économique et social européen

LE COMITÉ ÉCONOMIQUE ET SOCIAL EUROPÉEN,

vu le traité sur le fonctionnement de l’Union européenne,

vu le règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (1) (ci-après dénommé le «règlement»), et notamment son article 25,

après consultation du contrôleur européen de la protection des données (ci-après dénommé le «CEPD»),

CONSIDÉRANT CE QUI SUIT:

(1) Le Comité économique et social européen (ci-après dénommé le «CESE») est habilité à mener des enquêtes administratives, des procédures prédisciplinaires et disciplinaires et des procédures de suspension, conformément au statut des fonctionnaires de l’Union européenne (ci-après dénommé le «statut») et au régime applicable aux autres agents de l’Union européenne (ci-après dénommé le «RAA»), fixés par le règlement (CEE, Euratom, CECA) no 259/68 du Conseil (2), et conformément à la décision du CESE no 635/05 A du 7 décembre 2005 portant dispositions générales d’exécution relatives aux procédures disciplinaires et aux enquêtes administratives.

(2) En vertu du règlement (UE, Euratom) no 883/2013 du Parlement européen et du Conseil (3), l’Office européen de lutte antifraude (ci-après dénommé l’«OLAF») mène des enquêtes internes dans l’ensemble des institutions, organes et organismes de l’Union. Le 13 janvier 2016, le CESE et l’OLAF ont conclu des accords administratifs conjoints prévoyant un cadre structuré de coopération et facilitant l’échange d’informations en temps utile.

(3) Conformément aux articles 22 bis et 22 ter du statut et aux articles 11 et 81 du RAA, les membres du personnel du CESE sont tenus de signaler toute activité potentiellement illégale, y compris la fraude et la corruption, qui porte atteinte aux intérêts de l’Union. Les membres du personnel sont également tenus de signaler une conduite en rapport avec l’exercice de fonctions professionnelles pouvant constituer un manquement grave aux obligations des fonctionnaires de l’Union. Cette obligation est réglementée en interne par la décision du CESE no 053/16 A du 2 mars 2016 relative à la procédure de lancement d’alerte éthique.

(4) Le CESE a mis en place une politique visant à prévenir et à traiter de manière efficace les cas réels ou potentiels de harcèlement moral ou sexuel sur le lieu de travail, définie dans à la décision du CESE no 200/14 A du 26 septembre 2014 concernant les procédures de prévention et de traitement du harcèlement moral et sexuel au travail au sein du secrétariat du Comité économique et social européen. Cette décision prévoit une procédure informelle et une procédure formelle. Dans le cadre de la procédure informelle, toute personne qui s’estime victime de harcèlement peut contacter les personnes de confiance du CESE, et l’autorité investie du pouvoir de nomination peut prendre des mesures avant d’ouvrir une enquête administrative formelle, le cas échéant.

(5) Conformément à l’article 24 du statut et aux articles 11 et 81 du RAA, les membres du personnel du CESE ont droit à une assistance dans toute poursuite contre les auteurs de menaces, outrages, injures, diffamations ou attentats contre la personne et les biens, dont eux-mêmes ou les membres de leur famille sont l’objet, en raison de leur qualité et de leurs fonctions. Les membres du personnel du CESE ont le droit de saisir l’autorité investie du pouvoir de nomination en vertu de l’article 25 du statut et des articles 11 et 81 du RAA, ou de l’article 90, paragraphe 1, du statut, et des articles 46 et 124 du RAA. En vertu de l’article 90, paragraphe 2, du statut, et des articles 46 et 124 du RAA, les membres du personnel du CESE ont en outre le droit d’introduire une réclamation dirigée contre des actes leur faisant grief.

(6) Le CESE mène des procédures en vue de la sélection, du recrutement, de la nomination et de l’évaluation de son personnel, conformément aux articles 29 et 43 du statut et aux articles 12 et 82 du RAA.

(7) Les membres du personnel du CESE ont le droit de prendre connaissance de leur dossier médical, conformément à l’article 26 bis du statut et aux articles 11 et 81 du RAA.

(8) Conformément à l’article 74, paragraphe 8, du règlement (UE, Euratom) 2018/1046 du Parlement européen et du Conseil (4) (ci-après dénommé le «règlement financier»), le CESE est habilité à mener des enquêtes internes et à procéder à des vérifications au sens de l’article 116, paragraphe 4, dudit règlement.

(9) Le CESE fait l’objet d’audits internes concernant ses activités, lesquels sont effectués par l’auditeur interne, conformément à l’article 118 du règlement financier.

(10) Le CESE mène des procédures de passation de marchés publics en application du titre VII du règlement financier.

(11) Dans le cadre de ces enquêtes administratives, audits et vérifications, le CESE coopère avec d’autres institutions, organes et organismes de l’Union.

(12) Le CESE peut coopérer avec les autorités nationales de pays tiers et les organisations internationales, à la demande de celles-ci ou de sa propre initiative.

(13) Le CESE peut également coopérer avec les pouvoirs publics des États membres de l’Union, à la demande de ceux-ci ou de sa propre initiative. Cette coopération peut notamment inclure un échange d’informations dans le cadre d’enquêtes pénales ou financières.

(14) Le CESE est impliqué dans des affaires portées devant la Cour de justice de l’Union européenne pour saisir la Cour, pour défendre une décision qu’il a prise et qui est attaquée devant la Cour ou pour intervenir dans des affaires relatives à ses missions. Dans ce contexte, le CESE pourrait devoir préserver la confidentialité des données à caractère personnel contenues dans les documents obtenus par les parties ou les parties intervenantes.

(15) Le CESE mène les activités nécessaires pour garantir la sécurité des personnes, des biens et des informations. Ces activités, par exemple les enquêtes visant à déterminer s’il y a eu violation de la décision no 222/19 A (5), peuvent être traitées en interne ou avec une participation externe.

(16) Conformément à l’article 45, paragraphe 2, deuxième phrase, du règlement, le délégué à la protection des données (ci-après dénommé le «DPD») peut, de sa propre initiative ou à la demande du responsable du traitement ou du sous-traitant, du comité du personnel ou de toute personne physique concernée, examiner des questions et des faits qui sont directement en rapport avec ses missions et qui ont été portés à sa connaissance.

(17) Pour s’acquitter de ses tâches, le CESE collecte et traite les informations pertinentes et plusieurs catégories de données à caractère personnel, y compris les données d’identification de personnes physiques, les coordonnées, les fonctions et rôles professionnels, les informations sur la conduite et les performances professionnelles et privées, ainsi que les données financières. Le CESE, représenté par son président, agit en qualité de responsable du traitement des données.

(18) En vertu du règlement, le CESE est donc tenu de fournir des informations aux personnes concernées sur ces activités de traitement et de respecter les droits desdites personnes.

(19) Le CESE pourrait devoir concilier ces droits avec les objectifs des enquêtes administratives, des audits, des vérifications et des procédures judiciaires. Il pourrait également s’avérer nécessaire de mettre en balance les droits d’une personne concernée avec les libertés et droits fondamentaux d’autres personnes concernées. À cette fin, l’article 25 du règlement prévoit la possibilité pour le CESE de limiter, dans des conditions strictes, l’application des articles 4, 14 à 22 et 35 du règlement, ainsi que, dans des circonstances exceptionnelles, celle de son article 36, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 22. Il est nécessaire d’adopter des règles internes en vertu desquelles le CESE est autorisé à limiter ces droits, sauf si des limitations sont prévues dans un acte juridique adopté sur la base des traités.

(20) Le CESE pourrait, par exemple, devoir limiter les informations qu’il fournit à une personne concernée sur le traitement de ses données à caractère personnel dans le cadre des activités préalables à la décision d’ouvrir une enquête administrative ou pendant l’enquête elle-même, préalablement à un classement éventuel de l’affaire ou à la phase prédisciplinaire. Dans certaines circonstances, la communication de ces informations pourrait sérieusement compromettre la capacité du CESE de mener l’enquête de manière efficace, par exemple lorsque la personne concernée risque de détruire des preuves ou de tenter d’influencer des témoins potentiels avant que ceux-ci ne soient interrogés. En outre, le CESE pourrait devoir protéger les droits et libertés des témoins ainsi que ceux des autres personnes concernées.

(21) Il pourrait s’avérer nécessaire de protéger l’anonymat d’un témoin ou d’un lanceur d’alerte qui a demandé à ne pas être identifié. En pareil cas, le CESE pourrait décider de limiter l’accès à l’identité, aux déclarations et aux autres données à caractère personnel de ces personnes, afin de protéger leurs droits et libertés.

(22) Il pourrait s’avérer nécessaire de protéger des informations confidentielles concernant un membre du personnel qui a contacté les personnes de confiance du CESE dans le cadre de la procédure informelle. Dans ce cas, le CESE pourrait devoir limiter l’accès à l’identité, aux déclarations et aux autres données à caractère personnel de la personne qui estime être victime de harcèlement, de la personne mise en cause et des autres personnes concernées, afin de protéger les droits et libertés de toutes les personnes concernées. La même restriction pourrait également s’avérer nécessaire dans le cas de la procédure formelle.

(23) En ce qui concerne les procédures de sélection, de recrutement, de nomination et d’évaluation du personnel, ainsi que les procédures de passation de marchés publics, le droit d’accès, de rectification, d’effacement et de limitation du traitement pourrait n’être exercé qu’à certains moments et dans les conditions prévues dans les procédures pertinentes afin de sauvegarder les droits des autres personnes concernées et de respecter les principes d’égalité de traitement et le secret des délibérations.

(24) Les limitations appliquées par le CESE doivent toujours respecter l’essence des libertés et droits fondamentaux et constituer une mesure strictement nécessaire et proportionnée dans une société démocratique. La décision du CESE d’imposer de telles restrictions doit être motivée.

(25) En application du principe de responsabilité, le CESE doit tenir un registre relatif à son application des limitations.

(26) Lorsqu’il traite des données à caractère personnel échangées avec d’autres organisations dans le cadre de ses missions, le CESE et ces organisations doivent se consulter sur les motifs potentiels de l’imposition des limitations et sur la nécessité et la proportionnalité de ces limitations, à moins que cela ne compromette les activités du CESE.

(27) L’article 25, paragraphe 6, du règlement impose au responsable du traitement d’informer les personnes concernées des principales raisons qui motivent l’application de la limitation et de leur droit de saisir le CEPD.

(28) En vertu de l’article 25, paragraphe 8, du règlement, le CESE est autorisé à différer, à omettre ou à refuser la communication d’informations sur les motifs de l’application d’une limitation à la personne concernée si cela prive d’effet, de quelque manière que ce soit, la limitation imposée. Le CESE doit évaluer au cas par cas si la notification à la personne concernée de la limitation prive celle-ci d’effet.

(29) Le CESE doit lever la limitation dès que les conditions qui la justifient ne s’appliquent plus et évaluer régulièrement ces conditions.

(30) Afin de garantir la plus grande protection des droits et libertés des personnes concernées et conformément à l’article 44, paragraphe 1, du règlement, le DPD doit être informé en temps utile de toute limitation qui peut être appliquée et vérifier sa conformité avec la présente décision.

(31) L’article 15, paragraphe 4, et l’article 16, paragraphe 5, du règlement prévoient des exceptions au droit à l’information des personnes concernées. Si ces exceptions s’appliquent, le CESE n’a pas besoin d’appliquer une limitation en vertu de la présente décision,

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier Objet et champ d’application 1.1. La présente décision établit les règles relatives aux conditions dans lesquelles le CESE peut limiter l’application des articles 4, 14 à 22 et 35, ainsi que, dans des circonstances exceptionnelles, de l’article 36 du règlement, en vertu de son article 25. 1.2. Le CESE, en tant que responsable du traitement, est représenté par son président.

Article 2 Limitations 2.1. Le CESE peut limiter l’application des droits consacrés aux articles 4, 14 à 22 et 35, ainsi que, dans des circonstances exceptionnelles, à l’article 36 du règlement, pour les motifs suivants et aux fins indiquées ci-après: a) conformément à l’article 25, paragraphe 1, points b), c), f), g) et h), du règlement, lorsqu’il mène des enquêtes administratives, des activités préalables à la décision d’ouvrir une enquête administrative, des procédures prédisciplinaires et disciplinaires ou des procédures de suspension en vertu de l’article 86 et de l’annexe IX du statut et de la décision du CESE no 635/05 A du 7 décembre 2005 portant dispositions générales d’exécution relatives aux procédures disciplinaires et aux enquêtes administratives; b) conformément à l’article 25, paragraphe 1, points b), c), f), g) et h), du règlement, lorsqu’il coopère avec l’OLAF, notamment lorsqu’il fournit à celui-ci des informations et des documents, qu’il lui signale des cas ou qu’il traite des informations et documents de l’OLAF; c) conformément à l’article 25, paragraphe 1, point h), du règlement, lorsqu’il fait en sorte que les membres du personnel du CESE puissent, à titre confidentiel, communiquer des faits lorsqu’ils estiment qu’il existe de graves irrégularités, comme prévu dans la décision du CESE no 053/16 A du 2 mars 2016 concernant les règles internes relative à la procédure de lancement d’alerte éthique; d) conformément à l’article 25, paragraphe 1, point h), du règlement, lorsqu’il veille à ce que les membres du personnel du CESE puissent s’adresser aux personnes de confiance dans le cadre de la procédure informelle puis, le cas échéant, à l’autorité investie du pouvoir de nomination dans le cadre de la procédure formelle, comme le prévoit la décision du CESE no 200/14 A du 26 septembre 2014 concernant les procédures de prévention et de traitement du harcèlement moral et sexuel au travail au sein du secrétariat du Comité économique et social européen; e) conformément à l’article 25, paragraphe 1, point h), du règlement, lorsqu’il traite une demande d’assistance au sens de l’article 24 du statut, une demande au sens de l’article 25 du statut, une demande au sens de l’article 90, paragraphe 1, du statut ou une réclamation au sens de l’article 90, paragraphe 2, du statut; f) conformément à l’article 25, paragraphe 1, points c) et h), du règlement, lorsqu’il mène des procédures de sélection, de recrutement, de nomination et d’évaluation du personnel; g) conformément à l’article 25, paragraphe 1, points c) et h), du règlement, lorsqu’il mène des procédures de passation des marchés publics; h) conformément à l’article 25, paragraphe 1, point h), du règlement, lorsqu’il traite des données médicales figurant dans les dossiers médicaux des personnes concernées, gérés par le service médico-social du CESE; i) conformément à l’article 25, paragraphe 1, points c), g) et h), du règlement, lorsqu’il procède à des vérifications au sens de l’article 116, paragraphe 4, du règlement financier ou lorsqu’il traite des irrégularités financières au sens de l’article 93 du règlement financier; j) conformément à l’article 25, paragraphe 1, points c), g) et h), du règlement, lorsqu’il mène des audits internes portant sur les activités ou les services du CESE, en application de l’article 118 du règlement financier; k) conformément à l’article 25, paragraphe 1, points c), d), g) et h), du règlement, lorsqu’il apporte ou bénéficie de l’assistance ou de la coopération mutuelles avec d’autres institutions, organes et organismes de l’Union dans le cadre des activités visées aux points a) à j) du présent paragraphe et conformément aux dispositions des accords de niveau de service, des protocoles d’accord et des accords de coopération; l) conformément à l’article 25, paragraphe 1, points c), g) et h), du règlement, lorsqu’il apporte ou bénéficie de l’assistance ou de la coopération mutuelles avec les autorités nationales de pays tiers et les organisations internationales, à la demande de celles-ci ou de sa propre initiative; m) conformément à l’article 25, paragraphe 1, points c), g) et h), du règlement, lorsqu’il apporte ou bénéficie de l’assistance et de la coopération mutuelles avec les pouvoirs publics des États membres de l’Union, à la demande de ceux-ci ou de sa propre initiative; n) conformément à l’article 25, paragraphe 1, point e), du règlement, lorsqu’il traite des données à caractère personnel contenues dans les documents obtenus par les parties ou les parties intervenantes dans le cadre des procédures devant la Cour de justice de l’Union européenne; o) conformément à l’article 25, paragraphe 1, points c), d) et h), du règlement, lorsqu’il exerce des activités visant à assurer la sécurité des personnes, des biens et des informations en lien avec ses propres activités ou services; p) conformément à l’article 25, paragraphe 1, points c), g) et h), du règlement, lorsqu’il mène des enquêtes sur des questions et des faits en rapport avec la protection des données, conformément à la dernière phrase de l’article 45, paragraphe 2, du règlement. 2.2. Toute limitation doit respecter l’essence des libertés et droits fondamentaux et constituer une mesure nécessaire et proportionnée dans une société démocratique. 2.3. Une évaluation de la nécessité et de la proportionnalité est effectuée au cas par cas avant l’application des limitations. Les limitations se réduisent à ce qui est strictement nécessaire pour atteindre leur objectif. 2.4. À des fins de responsabilité, le CESE dépose un dossier décrivant les raisons des limitations appliquées, les motifs parmi ceux énumérés au paragraphe 1 qui s’appliquent et le résultat de l’évaluation de la nécessité et de la proportionnalité. Ces dossiers font partie d’un registre, qui est mis à la disposition du CEPD sur demande. 2.5. Lorsqu’il traite des données à caractère personnel reçues d’autres organisations dans le cadre de ses missions, le CESE consulte lesdites organisations sur les motifs potentiels de l’imposition des limitations et sur la nécessité et la proportionnalité des limitations concernées, à moins que cela ne compromette les activités.

Article 3 Risques pour les droits et libertés des personnes concernées 3.1. Lorsque le CESE évalue la nécessité et la proportionnalité d’une limitation, il tient compte des risques potentiels pour les droits et libertés de la personne concernée. 3.2. Les évaluations des risques de l’imposition des limitations pour les droits et libertés des personnes concernées et les informations relatives à la durée d’application de ces limitations sont enregistrées dans le registre des activités pertinentes de traitement tenu par le CESE en vertu de l’article 31 du règlement. Elles sont également enregistrées dans les analyses d’impact relatives à la protection des données concernant ces limitations effectuées en vertu de l’article 39 du règlement.

4.Article 4 Garanties et durées de conservation 4.1. Le CESE met en œuvre des garanties afin de prévenir les abus et l’accès illicite aux données à caractère personnel pour lesquelles des limitations s’appliquent ou pourraient s’appliquer, ou le transfert illicite desdites données. Ces garanties comprennent des mesures techniques et organisationnelles et sont précisées, le cas échéant, dans les décisions, procédures et dispositions d’application du CESE. Les garanties comprennent: a) une définition claire des rôles, des responsabilités et des étapes de la procédure; b) le cas échéant, un environnement électronique sécurisé qui empêche l’accès illicite ou accidentel à des données électroniques par des personnes non autorisées ou le transfert illicite ou accidentel desdites données à ces personnes; c) le cas échéant, la conservation et le traitement sécurisés des documents papier; d) un suivi approprié des limitations et un réexamen périodique de leur application. Les réexamens visés au point d) sont effectués au moins tous les six mois. 4.2. Les limitations sont levées dès que les circonstances qui les justifient cessent d’exister. 4.3. Les données à caractère personnel sont conservées conformément aux règles de conservation en vigueur du CESE, à définir dans les registres tenus en vertu de l’article 31 du règlement. À la fin de la durée de conservation, les données à caractère personnel sont supprimées, rendues anonymes ou renvoyées dans des archives conformément à l’article 13 du règlement.

Article 5 Participation du délégué à la protection des données 5.1. Le DPD du CESE est informé dans les meilleurs délais dès que les droits des personnes concernées sont limités conformément à la présente décision. Il a accès aux dossiers correspondants et à tout document concernant le contexte factuel ou juridique. 5.2. Le DPD du CESE peut demander un examen de l’application d’une limitation. Le CESE informe son délégué par écrit du résultat de l’examen. 5.3. Le CESE documente la participation du DPD à l’application des limitations, y compris la nature des informations qui sont échangées avec lui.

Article 6 Information des personnes concernées sur les limitations de leurs droits 6.1. Le CESE inclut, dans les avis de protection des données publiés sur son site intranet ou internet, une section fournissant des informations générales aux personnes concernées sur les limitations potentielles de leurs droits, conformément à l’article 2, paragraphe 1. Ces informations portent sur les droits susceptibles d’être limités, les motifs pour lesquels des limitations peuvent s’appliquer, ainsi que leur durée potentielle. 6.2. Le CESE informe les personnes concernées individuellement de toute limitation en cours ou future de leurs droits, par écrit et dans les meilleurs délais. Le CESE informe la personne concernée des principales raisons qui motivent l’application de la limitation, de son droit de consulter le DPD en vue de contester la limitation et de son droit de saisir le CEPD. 6.3. Le CESE peut différer, omettre ou refuser la communication d’informations sur les motifs d’une limitation et le droit de saisir le CEPD aussi longtemps que nécessaire pour ne pas priver d’effet la limitation. L’évaluation visant à déterminer si cela est justifié se fait au cas par cas. Dès lors que cela ne prive plus d’effet la limitation, le CESE communique les informations à la personne concernée.

Article 7 Notification à la personne concernée d’une violation de ses données à caractère personnel 7.1. Lorsque le CESE a l’obligation de notifier une violation de données à la personne concernée en vertu de l’article 35, paragraphe 1, du règlement, il peut, dans des cas exceptionnels, limiter cette notification en tout ou en partie. Il documente dans une note les raisons de la limitation, ses motifs juridiques en vertu de l’article 2 et une évaluation de sa nécessité et de sa proportionnalité. La note est transmise au CEPD au moment de la notification de la violation de données à caractère personnel. 7.2. Lorsque les raisons de la limitation ne s’appliquent plus, le CESE informe la personne concernée de la violation de ses données à caractère personnel et des principales raisons de la limitation et de son droit d’introduire une réclamation auprès du CEPD.

Article 8 Confidentialité des communications électroniques 8.1. Dans des circonstances exceptionnelles, le CESE peut limiter le droit à la confidentialité des communications électroniques en vertu de l’article 36 du règlement. Ces limitations sont conformes à la directive 2002/58/CE du Parlement européen et du Conseil (6). 8.2. Sans préjudice de l’article 6, paragraphe 3, de la présente décision, lorsque le CESE restreint, dans des circonstances exceptionnelles, le droit à la confidentialité des communications électroniques, il informe la personne concernée, dans sa réponse à une demande de la personne concernée, des principales raisons qui motivent l’application de la limitation et de son droit de saisir le CEPD.

Article 9 Entrée en vigueur La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.

Fait à Bruxelles, le 21 juin 2021. Christa SCHWENG La présidente

(1) JO L 295 du 21.11.2018, p. 39.

(2) Règlement (CEE, Euratom, CECA) no 259/68 du Conseil, du 29 février 1968, fixant le statut des fonctionnaires des Communautés européennes ainsi que le régime applicable aux autres agents de ces Communautés, et instituant des mesures particulières temporairement applicables aux fonctionnaires de la Commission (JO L 56 du 4.3.1968, p. 1).

(3) Règlement (UE, Euratom) no 883/2013 du Parlement européen et du Conseil du 11 septembre 2013 relatif aux enquêtes effectuées par l’Office européen de lutte antifraude (OLAF) et abrogeant le règlement (CE) no 1073/1999 du Parlement européen et du Conseil et le règlement (Euratom) no 1074/1999 du Conseil (JO L 248 du 18.9.2013, p. 1).

(4) Règlement (UE, Euratom) 2018/1046 du Parlement européen et du Conseil du 18 juillet 2018 relatif aux règles financières applicables au budget général de l’Union, modifiant les règlements (UE) no 1296/2013, (UE) no 1301/2013, (UE) no 1303/2013, (UE) no 1304/2013, (UE) no 1309/2013, (UE) no 1316/2013, (UE) no 223/2014, (UE) no 283/2014 et la décision no 541/2014/UE, et abrogeant le règlement (UE, Euratom) no 966/2012 (JO L 193 du 30.7.2018, p. 1).

(5) Décision du secrétaire général du CESE (no 229/19 A) et du secrétaire général du CdR (no 177/2019) du 4 septembre 2019 relative aux règles générales d’utilisation du système informatique.

(6) Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (JO L 201 du 31.7.2002, p. 37).