DÉCISION DU CONSEIL D’ADMINISTRATION NO 28/2022

du 4 avril 2022

portant sur les règles internes relatives à la limitation de certains droits des personnes concernées en matière de traitement des données à caractère personnel dans le cadre des activités menées par l’Agence européenne de garde-frontières et de garde-côtes

LE CONSEIL D’ADMINISTRATION,

vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 16,

vu le règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (1) (ci-après le «règlement»), et notamment son article 25,

vu le règlement (UE) 2019/1896 du Parlement européen et du Conseil du 13 novembre 2019 relatif au corps européen de garde-frontières et de garde-côtes et abrogeant les règlements (UE) no 1052/2013 et (UE) 2016/1624 (2) (ci-après le «règlement relatif au corps européen de garde-frontières et de garde-côtes»), et notamment son article 86, paragraphe 2,

après consultation du contrôleur européen de la protection des données le 16 novembre 2021,

considérant ce qui suit:

(1) L’Agence européenne de garde-frontières et de garde-côtes (l’«Agence») est habilitée à mener des enquêtes administratives, des procédures prédisciplinaires et disciplinaires et des procédures de suspension, conformément au statut des fonctionnaires de l’Union européenne et au régime applicable aux autres agents de l’Union européenne, définis dans le règlement (CEE, Euratom, CECA) no 259/68 du Conseil (3) (le «statut»), et à la décision no 26/2018 du conseil d’administration du 25 octobre 2018 portant adoption de dispositions d’exécution concernant la conduite des enquêtes administratives et des procédures disciplinaires. Si nécessaire, elle notifie également les cas à l’OLAF.

(2) Les membres du personnel de l’Agence sont tenus de signaler toute activité potentiellement illégale, y compris la fraude et la corruption, qui porte atteinte aux intérêts de l’Union. Les membres du personnel sont également tenus de signaler une conduite en rapport avec l’exercice de fonctions professionnelles pouvant constituer un manquement grave aux obligations des fonctionnaires de l’Union. Ce principe est régi par la décision no 17/2019 du conseil d’administration du 18 juillet 2019 portant adoption des lignes directrices de Frontex relatives au signalement de dysfonctionnements graves («whistleblowing»).

(3) L’Agence a mis en place une politique visant à prévenir et à traiter efficacement les cas réels ou potentiels de harcèlement moral ou sexuel sur le lieu de travail, conformément à la décision no 16/2019 de son conseil d’administration du 18 juillet 2019 portant adoption des mesures d’exécution au titre du statut. Ladite décision établit une procédure informelle dans le cadre de laquelle la victime présumée du harcèlement peut contacter les conseillers «confidentiels» de l’Agence.

(4) L’Agence peut également mener des enquêtes concernant d’éventuelles violations des règles de sécurité relatives aux informations classifiées de l’Union européenne («ICUE»), sur la base de ses règles de sécurité visant à protéger les ICUE.

(5) L’Agence fait l’objet d’audits à la fois internes et externes concernant ses activités, notamment par la Cour des comptes européenne. Les audits internes sont réalisés par la structure d’audit interne de l’Agence, mise en place par la décision no 43/2020 du conseil d’administration du 9 décembre 2020 portant adoption de la structure organisationnelle modifiée de l’Agence et la décision pertinente du directeur exécutif conformément à l’article 80 de la décision no 19/2019 du conseil d’administration du 23 juillet 2019 portant adoption du règlement financier de Frontex.

(6) L’Agence traite les plaintes externes, en particulier celles reçues dans le cadre du mécanisme de traitement des plaintes établi conformément à l’article 111 du règlement relatif au corps européen de garde-frontières et de garde-côtes, afin de contrôler et d’assurer le respect des droits fondamentaux dans toutes les activités de l’Agence.

(7) Les participants aux activités de Frontex sont tenus de signaler tout incident grave conformément à l’article 38, paragraphe 3, point h), du règlement relatif au corps européen de garde-frontières et de garde-côtes et à la décision du directeur exécutif du 19 avril 2021 concernant les procédures opérationnelles permanentes (POP) – Rapport d’incident grave (4). L’Agence a également mis en place un mécanisme de veille pour contrôler l’application des dispositions du règlement relatif au corps européen de garde-frontières et de garde-côtes concernant l’usage de la force par le personnel statutaire, notamment des règles en matière de signalement et des mesures spécifiques telles que des mesures de nature disciplinaire en ce qui concerne le recours à la force pendant les déploiements. Ce mécanisme est régi par la décision no 7/2021 du conseil d’administration du 20 janvier 2021 instituant un mécanisme de veille visant à contrôler l’application des dispositions relatives à l’usage de la force par le personnel statutaire du contingent permanent du corps européen de garde-frontières et de garde-côtes. Conformément à la décision pertinente du directeur exécutif, l’Agence surveille également l’usage de la force par le personnel détaché par les États membres à l’Agence pour une longue durée, le personnel mis à disposition par les États membres pour des déploiements de courte durée et le personnel faisant partie de la réserve de réaction rapide pour les interventions rapides aux frontières, lors d’un recours à la force dans le cadre d’activités opérationnelles de Frontex.

(8) Dans le cadre de ces enquêtes administratives, audits, examens des plaintes et enquêtes, signalements des incidents graves et activités de surveillance, l’Agence coopère avec les autorités compétentes des États membres (5), d’autres institutions, organes et organismes de l’Union.

(9) L’Agence peut coopérer avec les autorités compétentes de pays tiers et les organisations internationales, à la demande de celles-ci ou de sa propre initiative.

(10) L’Agence est impliquée dans des affaires portées devant la Cour de justice de l’Union européenne et les juridictions nationales soit pour saisir la Cour, soit pour défendre une décision qu’elle a prise et qui a été contestée devant la Cour, ou pour intervenir dans des affaires relatives à ses missions. Dans ce contexte, l’Agence pourrait devoir préserver la confidentialité des données à caractère personnel contenues dans les documents obtenus par les parties ou les parties intervenantes.

(11) Pour remplir ses missions, l’Agence collecte et traite des informations et plusieurs catégories de données à caractère personnel, notamment les données d’identification de personnes physiques, les coordonnées, les fonctions et missions professionnelles, les informations sur le comportement et les performances professionnelles et privées, ainsi que des données financières. Par conséquent, l’Agence agit en qualité de responsable du traitement des données.

(12) En vertu du règlement, l’Agence est donc tenue de fournir des informations aux personnes concernées au sujet de ces activités de traitement et de respecter les droits des personnes concernées.

(13) L’Agence peut être amenée à concilier ces droits avec les objectifs des enquêtes administratives, des audits, des investigations, des rapports sur les incidents graves et du contrôle de l’application des dispositions du règlement relatif au corps européen de garde-frontières et de garde-côtes concernant l’usage de la force, ainsi que des procédures judiciaires. Elle peut également être amenée à mettre en balance les droits d’une personne concernée avec les libertés et droits fondamentaux d’autres personnes concernées. À cette fin, l’article 25 du règlement et l’article 86, paragraphe 2, du règlement relatif au corps européen de garde-frontières et de garde-côtes prévoient la possibilité pour l’Agence de limiter, dans des conditions strictes, l’application des articles 14 à 22, 35 et 36 du règlement, ainsi que de son article 4 dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 20. Il est nécessaire d’adopter des règles internes en vertu desquelles l’Agence est autorisée à limiter ces droits, sauf si des limitations sont prévues dans un acte juridique adopté sur la base des traités.

(14) L’Agence pourrait, par exemple, devoir limiter les informations qu’elle fournit à une personne concernée sur le traitement de ses données à caractère personnel pendant la phase d’évaluation préliminaire d’une enquête administrative ou pendant l’enquête elle-même, préalablement à un classement éventuel de l’affaire ou à la phase prédisciplinaire ou lorsque la personne concernée est susceptible de faire l’objet de mesures spécifiques telles que des mesures de nature disciplinaire en ce qui concerne le recours à la force pendant les déploiements. Dans certaines circonstances, la communication de ces informations pourrait sérieusement compromettre la capacité de l’Agence à mener l’enquête ou à exercer son contrôle de l’usage de la force de manière efficace, lorsque, par exemple, la personne concernée risque de détruire des preuves ou de tenter d’influencer des témoins potentiels avant que ceux-ci ne soient interrogés.

(15) En outre, l’Agence pourrait devoir protéger les droits et libertés des témoins ainsi que ceux des autres personnes concernées. De même, l’Agence pourrait devoir limiter les informations qu’elle communique à une personne concernée en rapport avec le traitement de ses données à caractère personnel lorsque la communication desdites informations est susceptible de compromettre sérieusement les phases d’évaluation et de validation du processus de notification des incidents graves conformément à l’article 38, paragraphe 3, point h), du règlement relatif au corps européen de garde-frontières et de garde-côtes.

(16) Il pourrait s’avérer nécessaire de protéger l’anonymat d’un témoin ou d’un lanceur d’alerte qui a demandé à ne pas être identifié. En pareil cas, l’Agence peut décider de limiter l’accès à l’identité, aux déclarations et aux autres données à caractère personnel de ces personnes, afin de protéger leurs droits et libertés. En particulier, l’Agence pourrait devoir protéger l’anonymat des témoins ou d’autres personnes signalant des incidents relatifs à l’usage de la force, conformément au mécanisme de veille visant à contrôler l’application des dispositions du règlement relatif au corps européen de garde-frontières et de garde-côtes concernant l’usage de la force. De même, dans le cadre de la notification d’incidents graves conformément à l’article 38, paragraphe 3, point h), du règlement relatif au corps européen de garde-frontières et de garde-côtes, l’Agence pourrait devoir protéger l’anonymat des participants à une activité de Frontex qui ont signalé un tel incident.

(17) Il pourrait s’avérer nécessaire de protéger les informations confidentielles concernant un membre du personnel qui a contacté les conseillers confidentiels de l’Agence. Dans ce cas, l’Agence pourrait devoir limiter l’accès à l’identité, aux déclarations et aux autres données à caractère personnel de la victime présumée, du harceleur présumé et des autres personnes concernées, afin de protéger les droits et libertés de toutes les personnes concernées.

(18) L’Agence traite les données à caractère personnel de son personnel statutaire relatives à l’aptitude médicale et psychologique, notamment lorsque cela est nécessaire pour l’autorisation de port et d’utilisation d’armes conformément à l’article 82, paragraphe 7, du règlement relatif au corps européen de garde-frontières et de garde-côtes et à la décision no 3/2021 du conseil d’administration du 15 janvier 2021 (6). Compte tenu de la nature sensible des données médicales et afin de protéger la personne concernée d’un accès direct aux dossiers susceptible d’être préjudiciable à la santé et à l’état mental de la personne concernée, l’Agence fournit un accès indirect aux informations médicales pertinentes par l’intermédiaire de son conseiller médical ou d’un prestataire médical externe pour toute information ou tout conseil pertinent.

(19) Les limitations appliquées par l’Agence doivent toujours respecter l’essence des libertés et droits fondamentaux et constituer une mesure strictement nécessaire et proportionnée dans une société démocratique. L’Agence doit justifier ces limitations.

(20) En application du principe de responsabilité, l’Agence doit tenir un registre relatif à son application des limitations.

(21) Lorsqu’elle traite des données à caractère personnel échangées avec d’autres organisations dans le cadre de ses missions, l’Agence et ces organisations doivent se consulter sur les motifs potentiels de l’imposition des limitations et sur la nécessité et la proportionnalité de ces limitations, à moins que cela ne compromette les activités de l’Agence.

(22) L’article 25, paragraphe 6, du règlement impose au responsable du traitement des données d’informer les personnes concernées des principales raisons qui motivent l’application de la limitation et de leur droit de saisir le CEPD.

(23) Conformément à l’article 25, paragraphe 8, du règlement, l’Agence est autorisée à différer, à omettre ou à refuser la communication d’informations sur les motifs de l’application d’une limitation à la personne concernée si cela prive d’effet, de quelque manière que ce soit, la limitation imposée. L’Agence doit évaluer au cas par cas si la communication des informations prive d’effet la limitation imposée.

(24) L’Agence doit lever la limitation dès que les conditions qui la justifient ne s’appliquent plus et évaluer régulièrement ces conditions.

(25) Afin de garantir la plus grande protection des droits et libertés des personnes concernées, et conformément à l’article 44, paragraphe 1, du règlement, le délégué à la protection des données («DPD») de l’Agence doit être informé en temps utile de toute limitation susceptible d’être appliquée et vérifier sa conformité avec la présente décision.

(26) L’Agence a établi des règles distinctes concernant le traitement des données opérationnelles à caractère personnel, conformément à l’article 90 du règlement relatif au corps européen de garde-frontières et de garde-côtes, y compris des règles spécifiques internes relatives à la conservation des données opérationnelles à caractère personnel et des règles sur les limitations appliquées aux droits pertinents des personnes concernées (7),

DÉCIDE:

Article premier Objet, champ d’application et responsabilité du traitement 1. La présente décision établit les règles relatives aux conditions dans lesquelles l’Agence peut limiter l’application des articles 4, 14 à 22, 35 et 36 du règlement, conformément à l’article 25 du règlement et à l’article 86, paragraphe 2, du règlement relatif au corps européen de garde-frontières et de garde-côtes. La présente décision s’applique au traitement des données à caractère personnel par l’Agence aux fins de l’accomplissement de tâches administratives conformément à l’article 87, paragraphe 1, point h), du règlement relatif au corps européen de garde-frontières et de garde-côtes. 2. Conformément au paragraphe 1 et sous réserve des conditions énoncées dans la présente décision, les limitations peuvent être appliquées aux droits suivants: droit relatif aux informations à fournir à la personne concernée, droit d’accès de la personne concernée, droit de la personne concernée à la rectification, à l’effacement et à la limitation du traitement et droits à la communication à la personne concernée d’une violation de données à caractère personnel et à la confidentialité des communications électroniques. 3. Les catégories de données à caractère personnel concernées par la présente décision sont les données objectives/vérifiées (par exemple, les données d’identification, coordonnées, données professionnelles, données administratives, données provenant de sources spécifiques, communications électroniques et données relatives au trafic) et les données subjectives/non vérifiées (par exemple, le raisonnement, les données comportementales, les évaluations, les données relatives à la performance et à la conduite, ainsi que les données touchant à l’objet de la procédure ou de l’activité concernée, ou soumises en rapport avec celui-ci). 4. L’Agence, en sa qualité de responsable du traitement, est représentée par le directeur exécutif. Les règles de l’Agence relatives à la mise en œuvre du règlement à l’égard du traitement des données s’appliquent (8). 5. Les personnes concernées sont informées de l’identité des responsables désignés du traitement des données au moyen d’informations ou de registres publiés sur le site internet et/ou l’intranet de l’Agence.

Article 2 Limitations 1. L’Agence peut limiter l’application des articles 14 à 22, 35 et 36 du règlement ainsi que de l’article 4 dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 22, dans le cadre de la finalité du traitement des données à caractère personnel indiquée à l’article 1er, paragraphe 1, de la décision: a) conformément à l’article 25, paragraphe 1, points b), c), f), g) et h), du règlement, lors d’enquêtes administratives, de procédures prédisciplinaires, disciplinaires ou de suspension en vertu de l’article 86 et de l’annexe IX du statut et de la décision du conseil d’administration no 26/2018 du 25 octobre 2018 portant adoption de dispositions générales d’exécution relatives à la conduite des enquêtes administratives et des procédures disciplinaires, lors de la notification des cas à l’OLAF et conformément à l’article 25, paragraphe 1, points c), g), et h), du règlement, lorsque le DPD enquête sur des affaires directement liées à ses missions, en particulier lorsqu’il mène des enquêtes sur les activités de traitement des données de l’Agence conformément à l’article 5, paragraphe 11, de la décision no 56/2021 du conseil d’administration du 15 octobre 2021 (9). L’Agence peut limiter certains des droits visés à l’article 1er, paragraphe 2, de la décision, d’un membre du personnel, d’une personne concernée ou d’un tiers en ce qui concerne toute information susceptible de compromettre sérieusement des enquêtes, des procédures prédisciplinaires, disciplinaires ou de suspension futures ou en cours, notamment des déclarations de témoins et d’autres documents; b) conformément à l’article 25, paragraphe 1, point h), du règlement, lorsqu’elle veille à ce que les membres du personnel de l’Agence puissent signaler des faits de manière confidentielle lorsqu’ils estiment qu’il existe de graves irrégularités, comme indiqué dans la décision no 17/2019 du conseil d’administration du 18 juillet 2019 portant adoption des lignes directrices de Frontex relatives au signalement de dysfonctionnements graves. L’Agence peut limiter certains des droits visés à l’article 1er, paragraphe 2, de la décision, des personnes concernées susceptibles d’être impliquées dans les actes répréhensibles présumés en ce qui concerne toute information pouvant compromettre l’anonymat de la personne signalant une grave irrégularité; c) conformément à l’article 25, paragraphe 1, point h), du règlement, lorsqu’elle veille à ce que les membres du personnel de l’Agence puissent bénéficier du soutien des conseillers confidentiels, tel que défini dans la décision no 16/2019 du conseil d’administration du 18 juillet 2019 concernant la politique de Frontex relative à la protection de la dignité de la personne et à la lutte contre le harcèlement moral et le harcèlement sexuel. L’Agence peut limiter certains des droits visés à l’article 1er, paragraphe 2, de la décision, des harceleurs présumés, si nécessaire, afin de protéger l’anonymat de la victime de harcèlement présumée et l’anonymat des témoins; d) conformément à l’article 25, paragraphe 1, points c), g) et h), du règlement, lors d’audits internes et externes concernant les activités ou services de l’Agence, en particulier lorsque les audits internes sont menés par la structure d’audit interne de l’Agence. L’Agence peut limiter certains des droits visés à l’article 1er, paragraphe 2, des personnes concernées en ce qui concerne les informations susceptibles de compromettre la confidentialité des informations recueillies dans le cadre de l’audit ou d’interférer avec le déroulement d’un audit en cours; e) conformément à l’article 25, paragraphe 1, points b), e), g) et h), du règlement, dans le cadre d’enquêtes menées par le Parquet européen. L’Agence peut limiter certains des droits visés à l’article 1er, paragraphe 2, de la décision, des personnes concernées en ce qui concerne les informations nécessaires afin de garantir le bon déroulement et la confidentialité des enquêtes du Parquet européen; f) conformément à l’article 25, paragraphe 1, points c), e), g) et h), du règlement, lors du traitement des plaintes, notamment celles reçues par l’Agence dans le cadre du mécanisme de traitement des plaintes mis en place conformément à l’article 111 du règlement relatif au corps européen de garde-frontières et de garde-côtes, afin de contrôler et d’assurer le respect des droits fondamentaux dans toutes les activités de l’Agence et à la décision pertinente du directeur exécutif. L’Agence peut limiter certains des droits visés à l’article 1er, paragraphe 2, de la présente décision, d’un membre du personnel participant à une activité de l’Agence (10), qui fait l’objet d’une plainte, en ce qui concerne toute information susceptible de compromettre sérieusement l’examen et le traitement de la plainte; g) conformément à l’article 25, paragraphe 1, points c), e), g) et h), du règlement, lors du traitement de la notification d’un incident en vertu de l’article 38, paragraphe 3, point h), du règlement relatif au corps européen de garde-frontières et de garde-côtes, et à la décision du directeur exécutif du 19 avril 2021concernant les procédures opérationnelles permanentes (POP) – Rapport d’incident grave. L’Agence peut limiter certains des droits visés à l’article 1er, paragraphe 2, de la présente décision, des personnes concernées figurant dans le rapport d’incident grave en ce qui concerne les informations susceptibles de compromettre sérieusement la validation et l’évaluation du rapport d’incident grave ainsi que les mesures qui en découleront et l’anonymat des témoins ou d’autres personnes signalant des incidents, y compris les migrants et les personnes faisant l’objet d’une décision de retour; h) conformément à l’article 25, paragraphe 1, points b), c), f), g) et h), du règlement, lors du contrôle de l’application des dispositions relatives à l’usage de la force par le personnel statutaire du contingent permanent du corps européen de garde-frontières et de garde-côtes en vertu de l’article 55, paragraphe 5, point a), du règlement relatif au corps européen de garde-frontières et de garde-côtes et de la décision no 7/2021 du conseil d’administration du 20 janvier 2021 et lors du contrôle de l’usage de la force par le personnel détaché à l’Agence par les États membres pour des déploiements de courte durée et le personnel faisant partie de la réserve de réaction rapide pour les interventions rapides aux frontières lorsqu’ils font usage de la force dans le cadre des activités opérationnelles de Frontex, conformément à la décision pertinente du directeur exécutif. L’Agence peut limiter certains des droits visés à l’article 1er, paragraphe 2, de la présente décision, des personnes concernées figurant dans un rapport sur le recours à la force en ce qui concerne les informations (notamment les déclarations de témoins et d’autres documents) susceptibles de compromettre sérieusement la vérification du rapport et toute action future ou en cours qui en découlerait, notamment les enquêtes, les procédures prédisciplinaires, disciplinaires ou de suspension; i) conformément à l’article 25, paragraphe 1, points b), c), d), g) et h), du règlement, lorsqu’elle apporte ou bénéficie de l’assistance ou de la coopération mutuelles avec d’autres institutions, organes et organismes de l’Union dans le cadre des activités visées aux points a) à h) du présent paragraphe et conformément aux dispositions des accords de niveau de service, des protocoles d’accord et des arrangements de travail; j) conformément à l’article 25, paragraphe 1, points b), c), g) et h), du règlement, lorsqu’elle apporte ou bénéficie de l’assistance et de la coopération mutuelles avec les autorités nationales compétentes d’autres États membres, à la demande de celles-ci ou de sa propre initiative, en particulier dans le cadre des activités visées aux points f) à h) du présent paragraphe et en vertu des dispositions du règlement relatif au corps européen de garde-frontières et de garde-côtes et aux décisions du conseil d’administration; k) conformément à l’article 25, paragraphe 1, points b), c), g) et h), du règlement, lorsqu’elle apporte ou bénéficie de l’assistance ou de la coopération mutuelles avec les autorités nationales compétentes de pays tiers et les organisations internationales, en particulier en vertu des protocoles d’accord et arrangements de travail pertinents; l) conformément à l’article 25, paragraphe 1, point e), du règlement, lors du traitement de données à caractère personnel dans le cadre d’une procédure devant la Cour de justice de l’Union européenne ou les cours et tribunaux nationaux; m) conformément à l’article 25, paragraphe 1, point h), du règlement, lors du traitement des demandes d’accès des membres du personnel à leur dossier médical concernant leur aptitude médicale et psychologique, si un accès direct audit dossier est susceptible de nuire à la personne concernée compte tenu de son état de santé ou de son état mental. En pareil cas, l’Agence fournit un accès indirect aux informations médicales pertinentes par l’intermédiaire du conseiller médical de l’Agence ou d’un prestataire médical externe; n) conformément à l’article 25, paragraphe 1, points c), d), g) et h), du règlement, lorsqu’elle effectue des analyses de sécurité pouvant conduire à des enquêtes internes liées à des incidents de cybersécurité ou à l’utilisation abusive de systèmes informatiques, incluant notamment la participation externe du CERT-UE, lorsqu’elle assure la sécurité interne au moyen de la vidéosurveillance, du contrôle des accès et d’activités d’enquête, lorsqu’elle sécurise les systèmes de communication et d’information et lorsqu’elle applique des contre-mesures techniques de sécurité. L’Agence peut limiter certains des droits visés à l’article 1er, paragraphe 2, de la présente décision, des personnes concernées en ce qui concerne les informations susceptibles de compromettre sérieusement lesdites analyses de sécurité, les moyens d’assurer la sécurité interne, y compris le contrôle des accès, les enquêtes de sécurité et les contre-mesures techniques de sécurité. 2. Toute limitation doit respecter l’essence des libertés et droits fondamentaux et constituer une mesure nécessaire et proportionnée dans une société démocratique. 3. Une évaluation de la nécessité et de la proportionnalité est effectuée au cas par cas avant l’application des limitations. Les limitations se réduisent à ce qui est strictement nécessaire pour atteindre leur objectif. 4. À des fins de responsabilité, l’Agence dépose un dossier décrivant les raisons des limitations appliquées, les motifs parmi ceux énumérés au paragraphe 1 qui s’appliquent et le résultat de l’évaluation de la nécessité et de la proportionnalité. Ces dossiers font partie d’un registre, qui est mis à la disposition du CEPD sur demande. L’Agence prépare et publie des rapports périodiques sur l’application de l’article 25 du règlement. 5. Lorsqu’elle traite des données à caractère personnel reçues d’autres organisations dans le cadre de ses missions, l’Agence consulte lesdites organisations sur les motifs potentiels de l’imposition des limitations et sur la nécessité et la proportionnalité des limitations concernées, à moins que cela ne compromette les activités de l’Agence.

Article 3 Risques pour les droits et libertés des personnes concernées 1. Les évaluations des risques pour les droits et libertés des personnes concernées de l’imposition des limitations et les informations relatives à la durée d’application de ces limitations sont enregistrées dans le registre des activités de traitement tenu par l’Agence en vertu de l’article 31 du règlement. Elles sont également enregistrées dans les analyses d’impact relatives à la protection des données concernant ces limitations effectuées en vertu de l’article 39 du règlement. 2. Lorsque l’Agence évalue la nécessité et la proportionnalité d’une limitation, elle tient compte des risques potentiels pour les droits et libertés de la personne concernée. 3. Les limitations ne s’appliquent pas lorsque l’exercice du droit restreint priverait la limitation de son effet ou porterait atteinte aux droits et libertés d’autres personnes concernées.

Article 4 Garanties et durées de conservation 1. L’Agence met en œuvre des garanties afin de prévenir les abus et l’accès ou le transfert illicites des données à caractère personnel pour lesquelles des limitations s’appliquent ou pourraient s’appliquer. Lesdites garanties comprennent des mesures techniques et organisationnelles et sont détaillées, au besoin, dans les décisions du conseil d’administration de l’Agence, les décisions du directeur exécutif, les plans opérationnels établis conformément à l’article 38 du règlement relatif au corps européen de garde-frontières et de garde-côtes, les décisions internes, les procédures internes et les communications administratives. Les garanties sont les suivantes: a) une définition claire des rôles, des responsabilités et des étapes de la procédure; b) s’il y a lieu, un environnement électronique sécurisé empêchant l’accès et le transfert illicites et accidentels de données électroniques à des personnes non autorisées; c) s’il y a lieu, le stockage et le traitement sécurisés des documents en version papier; d) un suivi approprié des limitations et un réexamen périodique de leur application. Les examens visés au point d) sont effectués au moins tous les six mois et peuvent donner lieu à la levée des limitations conformément au paragraphe 2. Les examens sont documentés par le responsable du traitement des données désigné à des fins de responsabilité. 2. Les limitations sont levées dès que les circonstances qui les justifient cessent d’exister. 3. Les données à caractère personnel sont conservées conformément aux règles de conservation en vigueur de l’Agence, à définir dans les registres concernant la protection des données tenus en vertu de l’article 31 du règlement. À la fin de la durée de conservation, les données à caractère personnel sont supprimées, rendues anonymes ou renvoyées dans des archives conformément à l’article 13 du règlement.

Article 5 Participation du délégué à la protection des données 1. Le DPD est informé dans les meilleurs délais dès que les droits des personnes concernées sont limités conformément à la présente décision. Il a accès aux dossiers correspondants et à tout document concernant le contexte factuel ou juridique. 2. Le DPD peut demander un examen de l’application d’une limitation. L’Agence informe le DPD par écrit du résultat de l’examen. 3. L’Agence documente la participation du DPD à l’application des limitations, y compris la nature des informations qui sont échangées avec lui. 4. Les responsables du traitement des données désignés informent le DPD de la levée de toute limitation.

Article 6 Information des personnes concernées sur les limitations de leurs droits 1. L’Agence inclut dans les avis de protection des données publiés sur son site web et son intranet une section fournissant des informations générales aux personnes concernées sur les limitations potentielles des droits des personnes concernées, conformément à l’article 2, paragraphe 1. Ces informations portent sur les droits susceptibles d’être limités, les motifs pour lesquels des limitations peuvent s’appliquer, ainsi que leur durée potentielle. 2. L’Agence informe les personnes concernées individuellement de toute limitation en cours ou future de leurs droits par écrit et dans les meilleurs délais. L’Agence informe la personne concernée des principales raisons qui motivent l’application de la limitation, de son droit de consulter le DPD en vue de contester la limitation et de son droit de saisir le CEPD. 3. L’Agence peut différer, omettre ou refuser la communication d’informations sur les motifs d’une limitation et le droit de saisir le CEPD dès lors que cela priverait d’effet la limitation. L’évaluation visant à déterminer si cela est justifié se fait au cas par cas. Dès lors que cela ne prive plus d’effet la limitation, l’Agence communique les informations à la personne concernée.

Article 7 Communication à la personne concernée d’une violation de données à caractère personnel 1. Lorsque l’Agence a l’obligation de communiquer une violation de données en vertu de l’article 35, paragraphe 1, du règlement, elle peut, dans des cas exceptionnels, limiter cette communication en tout ou en partie. Elle documente dans une note les raisons de la limitation, son motif juridique en vertu de l’article 2 et une évaluation de sa nécessité et de sa proportionnalité. La note est communiquée au CEPD au moment de la notification de la violation de données à caractère personnel. 2. Lorsque les raisons de la limitation ne s’appliquent plus, l’Agence informe la personne concernée de la violation de données à caractère personnel et des principales raisons de la limitation, ainsi que de son droit de saisir le CEPD.

Article 8 Confidentialité des communications électroniques 1. Dans des circonstances exceptionnelles, l’Agence peut limiter le droit à la confidentialité des communications électroniques en vertu de l’article 36 du règlement. Ces limitations sont conformes à la directive 2002/58/CE du Parlement européen et du Conseil (11). 2. Lorsque l’Agence restreint le droit à la confidentialité des communications électroniques, elle informe la personne concernée, dans sa réponse à une demande de la personne concernée, des principales raisons qui motivent l’application de la limitation et de son droit de saisir le CEPD. 3. L’Agence peut différer, omettre ou refuser la communication d’informations sur les motifs d’une limitation et le droit de saisir le CEPD dès lors que cela priverait d’effet la limitation. L’évaluation visant à déterminer si cela est justifié se fait au cas par cas.

Article 9 Entrée en vigueur La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.

Fait par procédure écrite le 4 avril 2022. Pour le conseil d’administration Marko GAŠPERLIN Président

(1) JO L 295 du 21.11.2018, p. 39.

(2) JO L 295 du 14.11.2019, p. 1.

(3) Règlement (CEE, Euratom, CECA) no 259/68 du Conseil du 29 février 1968 fixant le statut des fonctionnaires des Communautés européennes ainsi que le régime applicable aux autres agents de ces Communautés, et instituant des mesures particulières temporairement applicables aux fonctionnaires de la Commission (JO L 56 du 4.3.1968, p. 1).

(4) Décision du directeur exécutif no R-ED-2021-51 du 19.4.2021 concernant les procédures opérationnelles permanentes (POP) – Rapport d’incident grave.

(5) Aux fins de la présente décision, le terme «États membres» désigne également les États participant au développement pertinent de l’acquis de Schengen au sens du traité sur le fonctionnement de l’Union européenne et de son protocole (no 19) sur l’acquis de Schengen intégré dans le cadre de l’Union européenne.

(6) Décision no 3/2021 du conseil d’administration du 15 janvier 2021 portant adoption des règles permettant au directeur exécutif d’autoriser le personnel statutaire à porter et à utiliser des armes, y compris dans le cadre de la coopération obligatoire avec les autorités nationales compétentes, et garantissant que les conditions pour délivrer de telles autorisations continuent d’être remplies par le personnel statutaire.

(7) Décision no 69/2021 du conseil d’administration du 21 décembre 2021 portant adoption des règles relatives au traitement des données opérationnelles à caractère personnel par l’Agence.

(8) Décision no 56/2021 du conseil d’administration du 15 octobre 2021 portant adoption des règles relatives à l’application du règlement (UE) 2018/1725 concernant les missions, les fonctions et les pouvoirs du délégué à la protection des données ainsi que les règles concernant les responsables du traitement des données désignés au sein de Frontex.

(9) Décision no 56/2021 du conseil d’administration du 15 octobre 2021 portant adoption des règles relatives à l’application du règlement (UE) 2018/1725 concernant les missions, les fonctions et les pouvoirs du délégué à la protection des données ainsi que les règles concernant les responsables du traitement des données désignés au sein de Frontex.

(10) Le terme «personnel participant à une activité de l’Agence» comprend les membres des équipes, tels que le personnel de l’Agence ou les membres des catégories 2, 3 et 4 du contingent permanent.

(11) Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive «vie privée et communications électroniques») (JO L 201 du 31.7.2002, p. 37).