DÉCISION (UE) 2018/1927 DE LA COMMISSION

du 5 décembre 2018

portant règles internes relatives au traitement des données à caractère personnel par la Commission européenne dans le domaine de la concurrence en ce qui concerne la communication d'informations aux personnes concernées et la limitation de certains droits

LA COMMISSION EUROPÉENNE,

vu le traité sur le fonctionnement de l'Union européenne, et notamment son article 249, paragraphe 1,

considérant ce qui suit:

(1) La Commission mène des enquêtes administratives afin de contrôler le respect des règles de concurrence conformément au traité et au droit dérivé, ainsi qu'aux accords internationaux adoptés à cet effet (1). À cette fin, elle exerce les pouvoirs d'enquête et de contrôle (y compris les activités opérationnelles qui s'y rapportent) qui lui sont conférés par les actes de l'Union européenne applicables dans les domaines des pratiques anticoncurrentielles, du contrôle des concentrations et du contrôle des aides d'État.

(2) Les enquêtes et les activités de contrôle de la Commission dans le domaine de la concurrence visent les entreprises ou les États membres, qui sont soumis aux règles de concurrence du traité, et non les personnes physiques en tant que telles. Cependant, au cours des enquêtes en matière de concurrence, des données à caractère personnel au sens de l'article 3, point 1, du règlement (UE) 2018/1725 du Parlement européen et du Conseil (2) font inévitablement l'objet d'un traitement au sens de l'article 3, point 3, dudit règlement. La Commission doit traiter ces données à caractère personnel pour s'acquitter des tâches qui lui incombent en tant qu'autorité publique chargée de faire respecter les règles de concurrence de l'Union. Les enquêtes dans les domaines des pratiques anticoncurrentielles, du contrôle des concentrations et du contrôle des aides d'État, ainsi que le contrôle du respect des règles de concurrence constituent des missions de contrôle, d'inspection et de réglementation liées à l'exercice de l'autorité publique dans les cas visés à l'article 25, paragraphe 1, points c) et g), du règlement (UE) 2018/1725. Ces activités contribuent à la promotion et à la protection d'un marché intérieur concurrentiel, préservant ainsi un intérêt économique et financier important de l'Union et des États membres.

(3) Aux fins de ses activités d'enquête et de contrôle dans les domaines des pratiques anticoncurrentielles, du contrôle des concentrations et du contrôle des aides d'État, la Commission traite des données à caractère personnel obtenues ou reçues de personnes morales, de personnes physiques, d'États membres et d'autres entités (telles que des autorités nationales de concurrence, des organismes de régulation et d'autres organes et autorités publics), d'autorités de concurrence de pays tiers et d'instances et organisations internationales. Au cours de ses enquêtes et activités de contrôle dans le domaine de la concurrence, la Commission, agissant de sa propre initiative ou sur la base de contributions reçues, peut également traiter des données à caractère personnel obtenues ou reçues de sources accessibles au public (par exemple, dans le contexte d'activités de surveillance ou d'analyse du marché), de sources anonymes (par exemple, de lanceurs d'alerte ou d'informateurs) ou de sources identifiées (par exemple, de plaignants) dont l'identité doit être protégée.

(4) La Commission peut à son tour transmettre des données à caractère personnel à des personnes morales ou physiques (par exemple, dans le contexte de la procédure d'accès au dossier), à des autorités nationales de concurrence ou à d'autres autorités et instances dans le contexte d'une coopération bilatérale ou multilatérale avec des autorités et organisations d'États membres ou de pays tiers, si cela s'avère nécessaire et approprié pour exercer ses compétences, protéger les droits de la défense des parties visées par une procédure de la Commission et garantir l'application efficace et effective des règles de concurrence de l'Union.

(5) Les activités de traitement de données à caractère personnel au sens de l'article 3, point 3, du règlement (UE) 2018/1725 qui sont exercées dans le cadre d'activités d'enquête et de contrôle dans le domaine de la concurrence peuvent avoir lieu avant même que la Commission n'ouvre formellement une procédure, se poursuivre tout au long de l'enquête et perdurer même après la clôture formelle de cette dernière (par exemple, aux fins d'activités de contrôle ou d'analyse du marché ou de la conformité, de l'évaluation de la nécessité d'entamer de nouvelles activités d'enquête, d'une procédure judiciaire, etc.).

(6) Les données à caractère personnel traitées par la Commission sont, par exemple, des données d'identification, des coordonnées, des données professionnelles et des données ayant trait à l'objet de l'enquête ou de la procédure ou fournies dans ce contexte. Les données à caractère personnel sont conservées dans un environnement électronique sécurisé afin d'empêcher tout accès ou transfert illicite de données à des personnes n'ayant aucun besoin de les connaître. Les données à caractère personnel sont conservées au sein des services de la Commission chargés de l'enquête pendant la durée nécessaire à celle-ci, afin de leur permettre d'évaluer la nécessité d'entamer de nouvelles activités d'enquête, pendant la procédure administrative et tout au long d'éventuels recours juridictionnels ultérieurs, ainsi que pendant la durée d'utilité administrative suivant la clôture définitive du dossier. À l'issue de cette période d'utilité, les informations relatives à l'affaire, y compris les données à caractère personnel, sont transférées aux archives historiques de la Commission (3).

(7) Dans l'exercice de ses missions, la Commission est tenue de respecter les droits des personnes physiques concernant le traitement des données à caractère personnel qui sont consacrés par l'article 8, paragraphe 1, de la charte des droits fondamentaux de l'Union européenne et par l'article 16, paragraphe 1, du traité. La Commission a également la responsabilité de faire respecter les règles de concurrence, ce qui implique qu'elle mène des enquêtes en temps utile, tout en respectant les règles de confidentialité et de secret professionnel (4), ainsi que les droits de la défense des parties visées par ses enquêtes (5) et les droits des personnes dont l'identité doit être protégée.

(8) Dans certains cas, il est nécessaire de concilier les droits des personnes concernées prévus par le règlement (UE) 2018/1725 avec les besoins des activités d'enquête et de contrôle, ainsi qu'avec le plein respect des droits et libertés fondamentaux d'autres personnes concernées. À cet effet, l'article 25 du règlement (UE) 2018/1725 donne à la Commission la possibilité de limiter l'application des articles 14 à 22 et 35, ainsi que de son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 22 dudit règlement.

(9) Ces règles internes devraient s'appliquer à toutes les opérations de traitement effectuées par la Commission dans l'exercice de ses pouvoirs d'enquête - qu'elle agisse de sa propre initiative ou sur la base de contributions reçues - et dans le cadre de ses activités de contrôle et des activités opérationnelles connexes dans les domaines des pratiques anticoncurrentielles, du contrôle des concentrations et du contrôle des aides d'État chaque fois que l'exercice des droits des personnes concernées risque de compromettre la conduite des enquêtes ou des activités de contrôle. Ces règles devraient s'appliquer aux opérations de traitement effectuées avant l'ouverture formelle de la procédure, pendant la réalisation des enquêtes ainsi qu'après la clôture formelle de ces dernières, y compris au traitement de données dans le contexte d'une coopération bilatérale ou multilatérale avec des autorités nationales de concurrence ou des autorités et organisations d'États membres ou de pays tiers.

(10) Pour se conformer aux articles 14, 15 et 16 du règlement (UE) 2018/1725, la Commission devrait informer toutes les personnes des activités impliquant le traitement de leurs données à caractère personnel et de leurs droits de manière transparente et cohérente en publiant des avis relatifs à la protection des données sur son site internet.

(11) Sans préjudice de l'article 14, paragraphe 5, et de l'article 16, paragraphe 5, du règlement (UE) 2018/1725, la Commission peut également limiter, sur la base de l'article 25 dudit règlement, la communication d'informations aux personnes concernées ainsi que l'application d'autres droits des personnes concernées, afin de protéger ses propres enquêtes en matière de concurrence et le contrôle du respect des règles de concurrence, les enquêtes et procédures des autorités de concurrence des États membres, les outils et méthodes d'enquête, ainsi que les droits d'autres personnes liées à ses enquêtes.

(12) En outre, dans un souci d'efficacité de la coopération, la Commission peut avoir à limiter l'application des droits des personnes concernées afin de protéger les opérations de traitement d'autres institutions, organes et organismes de l'Union ou d'autorités d'États membres. À cet effet, la Commission devrait consulter ces services, institutions, organes et organismes et ces autorités sur les motifs justifiant l'application de limitations et sur la nécessité et la proportionnalité de ces dernières.

(13) La Commission peut également avoir à restreindre la communication d'informations aux personnes concernées ainsi que l'application d'autres droits des personnes concernées en ce qui concerne les données à caractère personnel reçues de pays tiers ou d'organisations internationales, afin de coopérer avec ces pays ou organisations et de protéger ainsi un objectif important d'intérêt public général de l'Union. Toutefois, dans certains cas, l'intérêt ou les droits fondamentaux de la personne concernée peuvent prévaloir sur l'intérêt de la coopération internationale.

(14) La Commission a par conséquent identifié les motifs énumérés à l'article 25, paragraphe 1, points c), g) et h), du règlement (UE) 2018/1725 comme des motifs justifiant les limitations prévues par l'article 25 dudit règlement qu'il peut se révéler nécessaire d'appliquer aux opérations de traitement de données effectués dans le cadre des activités d'enquête et de contrôle de la Commission dans le domaine de la concurrence, ce qui englobe la lutte contre les pratiques anticoncurrentielles, le contrôle des concentrations et le contrôle des aides d'État.

(15) La Commission devrait traiter toutes les limitations de manière transparente et enregistrer chaque cas de limitation dans le registre correspondant.

(16) Conformément à l'article 25, paragraphe 8, du règlement (UE) 2018/1725, les responsables du traitement peuvent s'abstenir de communiquer à la personne concernée des informations sur les motifs justifiant l'application d'une limitation ou différer la communication de ces informations si celle-ci risque de compromettre d'une quelconque manière la finalité de la limitation. C'est, en particulier, le cas des limitations des droits prévus aux articles 16 et 35 du règlement (UE) 2018/1725. Afin de veiller à ce que les droits de la personne concernée prévus aux articles 16 et 35 du règlement (UE) 2018/1725 ne sont limités qu'aussi longtemps que les motifs de la limitation restent valables, la Commission devrait réévaluer sa position à intervalles réguliers et lors de la clôture de l'enquête concernée.

(17) En cas de limitation d'autres droits des personnes concernées, le responsable du traitement devrait évaluer au cas par cas si la communication d'informations sur la limitation risque de compromettre sa finalité. Le responsable du traitement est le service de la Commission chargé de la politique de concurrence.

(18) Le délégué à la protection des données de la Commission devrait procéder à un examen indépendant de l'application des limitations afin de garantir le respect de la présente décision.

(19) La présente décision est adoptée aux fins de l'article 25 du règlement (UE) 2018/1725 et, dans un souci de sécurité juridique, elle devrait entrer en vigueur en même temps que ledit règlement.

(20) Le Contrôleur européen de la protection des données a été consulté,

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier Objet et champ d'application 1. La présente décision établit les règles que la Commission doit suivre pour informer les personnes concernées du fait que leurs données seront traitées conformément aux articles 14, 15 et 16 du règlement (UE) 2018/1725 dans le cadre de ses activités dans le domaine de la concurrence. Elle fixe également les conditions dans lesquelles la Commission peut limiter l'application des articles 4, 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725, conformément à l'article 25 dudit règlement. 2. La présente décision s'applique aux opérations de traitement de données à caractère personnel effectuées par la Commission aux fins des activités qu'elle mène pour s'acquitter des tâches qui lui sont conférées par les articles 101 à 109 du traité, ou dans le contexte de ces activités.

Article 2 Exceptions et limitations applicables 1. Lorsque la Commission remplit les obligations relatives aux droits des personnes concernées qui lui incombent en vertu du règlement (UE) 2018/1725, elle examine si l'une des exceptions établies dans ledit règlement s'applique. 2. Sous réserve des articles 3 à 7 de la présente décision, la Commission peut limiter l'application des articles 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725, ainsi que du principe de transparence établi à son article 4, paragraphe 1, point a), dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 17, 19, 20 et 35 dudit règlement, dans le cas où l'exercice de ces droits et obligations compromettrait la finalité des activités d'enquête et de contrôle de la Commission, notamment en révélant ses outils et méthodes d'enquête, ou porterait atteinte aux droits et libertés d'autres personnes concernées. 3. Sous réserve des articles 3 à 7, la Commission peut limiter les droits et obligations visés au paragraphe 2 du présent article en ce qui concerne les données à caractère personnel obtenues auprès d'autres institutions, organes et organismes de l'Union, d'autorités compétentes d'États membres ou de pays tiers ou d'organisations internationales, et ce dans les cas suivants: a) lorsque l'exercice de ces droits et obligations pourrait être limité par d'autres institutions, organes et organismes de l'Union sur la base d'autres actes prévus à l'article 25 du règlement (UE) 2018/1725 ou conformément au chapitre IX dudit règlement, ou en conformité avec le règlement (UE) 2016/794 du Parlement européen et du Conseil (6) ou le règlement (UE) 2017/1939 du Conseil (7); b) lorsque l'exercice de ces droits et obligations pourrait être limité par les autorités compétentes d'États membres sur la base d'actes visés à l'article 23 du règlement (UE) 2016/679 du Parlement européen et du Conseil, (8) ou au titre de mesures nationales transposant l'article 13, paragraphe 3, l'article 15, paragraphe 3, ou l'article 16, paragraphe 3, de la directive (UE) 2016/680 du Parlement européen et du Conseil (9); c) lorsque l'exercice de ces droits et obligations pourrait compromettre la coopération de la Commission avec des pays tiers ou des organisations internationales dans le cadre d'enquêtes en matière de concurrence ou de l'exécution de décisions de concurrence. Avant d'appliquer des limitations dans les cas visés aux points a) et b) du premier alinéa, la Commission consulte les institutions, organes ou organismes concernés de l'Union ou les autorités compétentes des États membres à moins qu'il ne soit manifeste pour elle que l'application d'une limitation est prévue par l'un des actes visés à ces points. Le point c) du premier alinéa ne s'applique pas lorsque les intérêts ou les droits et libertés fondamentaux des personnes concernées prévalent sur l'intérêt de la Commission à coopérer avec des pays tiers ou des organisations internationales. 4. Les paragraphes 1, 2 et 3 sont sans préjudice de l'application d'autres décisions de la Commission établissant des règles internes en ce qui concerne la communication d'informations aux personnes concernées et la limitation de certains droits en vertu de l'article 25 du règlement (UE) 2018/1725 ni de l'article 23 du règlement intérieur de la Commission.

Article 3 Communication d'informations aux personnes concernées 1. La Commission publie sur son site internet des avis relatifs à la protection des données informant toutes les personnes concernées de ses activités impliquant le traitement de leurs données à caractère personnel. 2. Sans préjudice de l'article 14, paragraphe 5, et de l'article 16, paragraphe 5, du règlement (UE) 2018/1725, lorsque la Commission limite, intégralement ou partiellement, la communication d'informations aux personnes concernées dont les données sont traitées aux fins de ses activités d'enquête ou de contrôle dans le domaine de la concurrence (y compris des activités opérationnelles connexes), elle enregistre et consigne dans un registre les motifs de la limitation conformément à l'article 6.

Article 4 Droit d'accès de la personne concernée, droit à l'effacement et à la limitation du traitement 1. Lorsque la Commission limite, intégralement ou partiellement, le droit d'accès des personnes concernées aux données, le droit à l'effacement ou le droit à la limitation du traitement prévus respectivement aux articles 17, 19 et 20 du règlement (UE) 2018/1725, elle informe la personne concernée, dans sa réponse à la demande d'accès, d'effacement ou de limitation du traitement, de la limitation appliquée et de ses principaux motifs, et de la possibilité d'introduire une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l'Union européenne. 2. Les informations relatives aux motifs de la limitation visée au paragraphe 1 peuvent ne pas être fournies aussi longtemps qu'elles risquent de nuire à la finalité de la limitation. 3. La Commission enregistre et consigne dans un registre les motifs de la limitation conformément à l'article 6. 4. Lorsque le droit d'accès est entièrement ou partiellement limité, la personne concernée exerce son droit d'accès par l'intermédiaire du Contrôleur européen de la protection des données, conformément aux paragraphes 6, 7 et 8 de l'article 25 du règlement (UE) 2018/1725.

Article 5 Communication aux personnes concernées de violations de données à caractère personnel Lorsque la Commission limite la communication à la personne concernée d'une violation de données à caractère personnel prévue à l'article 35 du règlement (UE) 2018/1725, elle enregistre et consigne dans un registre les motifs de la limitation conformément à l'article 6 de la présente décision.

Article 6 Enregistrement des limitations et consignation de l'enregistrement dans un registre 1. La Commission enregistre les motifs de toute limitation appliquée en vertu de la présente décision, y compris une évaluation de la nécessité et de la proportionnalité de la limitation. 2. À cette fin, l'enregistrement indique de quelle manière l'exercice du droit concerné risque de compromettre la finalité des activités d'enquête et de contrôle de la Commission ou des limitations appliquées en vertu de l'article 2, paragraphe 2 ou 3, ou de porter atteinte aux droits et libertés d'autres personnes concernées. 3. L'enregistrement et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont consignés dans un registre. Ils sont mis à la disposition du Contrôleur européen de la protection des données si celui-ci en fait la demande.

Article 7 Durée des limitations 1. Les limitations visées aux articles 3, 4 et 5 continuent de s'appliquer aussi longtemps que les motifs qui les justifient restent valables. 2. Lorsque les motifs d'une limitation visée à l'article 3 ou 5 ne sont plus valables, la Commission lève la limitation et communique les motifs de cette dernière à la personne concernée. Elle informe en même temps la personne concernée de la possibilité d'introduire à tout moment une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l'Union européenne. 3. La Commission évalue l'application des limitations visées aux articles 3 et 5 chaque année et à la clôture de l'enquête concernée.

Article 8 Réexamen par le Contrôleur européen de la protection des données 1. Le Contrôleur européen de la protection des données est informé dans les meilleurs délais chaque fois que les droits de personnes concernées sont limités conformément à la présente décision. Il obtient sur demande l'accès à l'enregistrement et à tout document contenant des éléments factuels et juridiques sous-jacents. 2. Le Contrôleur européen de la protection des données peut demander un réexamen de la limitation. Il est informé du résultat du réexamen demandé.

Article 9 Entrée en vigueur La présente décision entre en vigueur à la date d'entrée en vigueur du règlement (UE) 2018/1725.

Fait à Bruxelles, le 5 décembre 2018. Par la Commission Le président Jean-Claude JUNCKER

(1) Voir en particulier, pour les pratiques anticoncurrentielles, le règlement (CE) no 1/2003 du Conseil du 16 décembre 2002 relatif à la mise en œuvre des règles de concurrence prévues par les articles 81 et 82 du traité (JO L 1 du 4.1.2003, p. 1), pour le contrôle des concentrations, le règlement (CE) no 139/2004 du Conseil du 20 janvier 2004 relatif au contrôle des concentrations entre entreprises («le règlement CE sur les concentrations» (JO L 24 du 29.1.2004, p. 1), et pour les aides d'État, le règlement (UE) 2015/1589 du Conseil du 13 juillet 2015 portant modalités d'application de l'article 108 du traité sur le fonctionnement de l'Union européenne (JO L 248 du 24.9.2015, p. 9).

(2) Règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions, organes et organismes de l'Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (JO L 295 du 21.11.2018, p. 39). Le traitement au sens de l'article 3, point 3, du règlement (UE) 2018/1725 englobe également toute situation dans laquelle la Commission reçoit des données à caractère personnel qui lui ont été transmises sur une base volontaire.

(3) La conservation des dossiers au sein de la Commission est régie par la liste commune de conservation [la dernière version est le document SEC(2012) 713], un document à valeur réglementaire structuré comme un tableau de gestion qui définit la durée de conservation des différentes catégories de dossiers de la Commission.

(4) Voir, en particulier, l'article 339 du traité, ainsi que l'article 28 du règlement (CE) no 1/2003; l'article 15, paragraphe 4, du règlement (CE) no 773/2004 de la Commission du 7 avril 2004 relatif aux procédures mises en œuvre par la Commission en application des articles 81 et 82 du traité CE (JO L 123 du 27.4.2004, p. 18); l'article 17 du règlement (CE) no 139/2004 et l'article 18 du règlement (CE) no 802/2004 de la Commission du 21 avril 2004 concernant la mise en œuvre du règlement (CE) no 139/2004 du Conseil relatif au contrôle des concentrations entre entreprises (JO L 133 du 30.4.2004, p. 1); les articles 30 et 31 du règlement (UE) 2015/1589; les déclarations en matière d'informations confidentielles requises dans les formulaires de notification des aides d'État tels qu'annexés au règlement (CE) no 794/2004 dans sa version modifiée.

(5) La mise en œuvre des droits des personnes concernées conformément au règlement (UE) 2018/1725 et le respect des obligations incombant aux responsables du traitement en vertu dudit règlement n'ont aucune incidence sur le traitement des droits de la défense des parties à la procédure en matière de concurrence qui est assuré par la Commission. L'intégrité et l'authenticité des éléments du dossier qui sont collectés au cours des enquêtes en matière de concurrence ne peuvent donc être compromises par une modification des documents reçus ou collectés conformément aux règles de procédure applicables dans le domaine de la concurrence.

(6) Règlement (UE) 2016/794 du Parlement européen et du Conseil du 11 mai 2016 relatif à l'Agence de l'Union européenne pour la coopération des services répressifs (Europol) et remplaçant et abrogeant les décisions du Conseil 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI et 2009/968/JAI (JO L 135 du 24.5.2016, p. 53).

(7) Règlement (UE) 2017/1939 du Conseil du 12 octobre 2017 mettant en œuvre une coopération renforcée concernant la création du Parquet européen (JO L 283 du 31.10.2017, p. 1).

(8) Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1).

(9) Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO L 119 du 4.5.2016, p. 89).