FR Journal officiel de l'Union européenne C 308/1

Dispositions d'application en ce qui concerne le règlement (CE) no 45/2001 du Parlement européen et du Conseil relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données

Décision du Bureau du 22 juin 2005

(2005/C 308/01)

LE BUREAU,

vu le traité instituant la Communauté européenne, et notamment son article 286,

vu le règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données, et notamment son article 24, paragraphe 8,

vu l'article 22, paragraphe 2, du règlement du Parlement européen,

considérant ce qui suit:

(1) Le règlement (CE) no 45/2001, (ci-après dénommé «règlement»), définit les principes et les règles applicables à toutes les institutions et organes communautaires et prévoit la désignation, par chaque institution et organe communautaire, d'un délégué à la protection des données.

(2) L'article 24, paragraphe 8, du règlement prévoit que des dispositions complémentaires d'application sont adoptées par chaque institution ou organe communautaire conformément aux dispositions figurant à l'annexe du règlement. Ces dispositions complémentaires concernent en particulier les tâches, les fonctions et les compétences du délégué à la protection des données.

(3) Les dispositions d'application visent à préciser les procédures permettant aux personnes concernées d'exercer leurs droits, et, à toutes les personnes qui, au sein des institutions ou organes communautaires, interviennent dans le domaine du traitement des données à caractère personnel, de remplir leurs obligations,

DÉCIDE:

Article premier

Objet

1. La présente décision établit les dispositions générales d'exécution du règlement, pour ce qui concerne le Parlement européen. En particulier, elle complète les dispositions du règlement en ce qui concerne les tâches, fonctions et compétences du (ou des) délégué(s) à la protection des données du Parlement européen.

2. En outre, sont fixées les modalités d'exercice des droits de la personne concernée ainsi que la procédure de notification de traitement et la procédure d'accès au registre des traitements, tenu par le délégué à la protection des données.

Article 2

Nomination, statut et indépendance

1. Le Secrétaire général désigne le délégué à la protection des données, choisi parmi les fonctionnaires des institutions et organes communautaires, en fonction de ses qualités personnelles et professionnelles et, en particulier, de ses connaissances spécialisées dans le domaine de la protection des données. Le délégué à la protection des données est nommé conformément à la procédure prévue à l'article 29 du statut des fonctionnaires.

2. Le Secrétaire général communique au contrôleur européen de la protection des données le nom du délégué à la protection des données.

3. Pour l'exercice de ses fonctions, le délégué à la protection des données est déchargé de toute autre activité au sein du Parlement européen. Il peut exercer d'autres fonctions pourvu qu'elles ne donnent pas lieu à un conflit d'intérêts avec la fonction de délégué, en particulier, dans le cadre de l'application des dispositions du règlement.

4. Le délégué à la protection des données est nommé pour une période de cinq ans renouvelable une seule fois. Il ne peut pas être démis de ses fonctions sans le consentement du contrôleur européen de la protection des données, et ceci uniquement s'il ne remplit plus les conditions requises pour l'exercice de ses fonctions. La consultation du contrôleur européen de la protection des données est faite par écrit, avec copie adressée au délégué.

5. Le délégué à la protection des données est indépendant dans l'exercice de ses fonctions. Il ne peut recevoir aucune instruction à ce sujet, que ce soit de la part de l' autorité investie du pouvoir de nomination (AIPN), du Secrétaire général ou de toute autre source en ce qui concerne l'application interne des dispositions du règlement ou sa coopération avec le contrôleur européen pour la protection des données. Le délégué à la protection des données s'abstient de tout acte incompatible avec la nature de ses fonctions.

6. Le délégué à la protection des données indique aux autorités compétentes du Parlement européen le nombre de membres du personnel et les ressources nécessaires pour l'exécution de sa mission. En outre, il peut avoir recours à du personnel externe spécialisé pour l'assister dans l'accomplissement de ses fonctions.

7. Le délégué à la protection des données et son personnel sont soumis à tout moment aux règlements et dispositions du statut des fonctionnaires et du régime applicable aux autres agents.

8. Le délégué à la protection des données et son personnel, auxquels s'applique l'article 287 du traité, sont tenus, même après la cessation de leurs fonctions, au secret professionnel en ce qui concerne tous documents ou informations confidentiels obtenus dans l'exercice de leurs fonctions .

Article 2 bis

Délégués adjoints

1. Le Secrétaire général peut désigner des délégués adjoints à la protection des données. L'article 2, paragraphes 4, 5, 7 et 8 s'applique également aux délégués adjoints.

2. Le délégué, les délégués adjoints et le personnel d'appui font partie intégrante du service «Protection des données». Celui-ci est dirigé par le délégué.

3. Le délégué peut être assisté dans l'ensemble de ses fonctions ou suppléé, en cas d'absence ou d'empêchement, par un adjoint.

Article 3

Fonctions

1. Le délégué à la protection des données veille, au sein du Parlement européen, à l'application des dispositions du règlement. Il exécute ses tâches en coopération avec le contrôleur européen de la protection des données.

2. Le délégué peut être consulté à tout moment par toute personne et notamment par les personnes concernées sur toute question se rapportant à l'application du règlement. En particulier, le délégué est tenu de conseiller le service du Registre afin de respecter les dispositions de la décision du Bureau du 28 novembre 2001 relative à l'accès du public aux documents du Parlement européen.

3. Le délégué à la protection des données représente le Secrétariat général du Parlement pour toutes les questions liées à la protection des données; il peut notamment participer aux réunions des comités ou instances pertinentes au niveau international.

Article 4

Tâches

Les attributions du délégué à la protection des données sont les suivantes:

— Information: le délégué informe les responsables du traitement du Parlement européen et les personnes concernées de leurs droits et obligations au titre du règlement. À cette fin, il fournira les informations nécessaires concernant la législation en vigueur, les procédures en cours, les fichiers notifiés existants et facilitera l'exercice desdits droits et obligations.

— Demandes du contrôleur européen de la protection des données:le délégué répond aux demandes du contrôleur européen.

— Coopération avec le contrôleur européen de la protection des données: le délégué coopère avec le contrôleur européen, dans son domaine de compétence, à la demande de ce dernier ou de sa propre initiative, notamment dans le traitement des réclamations et l'exercice des fonctions d'inspection.

— Information du contrôleur européen de la protection des données: le délégué informe le contrôleur européen des faits nouveaux survenus au Parlement européen ayant un intérêt pour la protection des données à caractère personnel.

— Tenue du registre des traitements: le délégué tient, conformément à l'article 26 du règlement, un registre des traitements effectués par les responsables du traitement et facilite la consultation de ce registre à toute personne.

— Notification des traitements susceptibles de présenter des risques particuliers: le délégué notifie au contrôleur européen de la protection des données toute opération de traitement susceptible de présenter des risques particuliers au sens de l'article 27 du règlement. En cas de doute quant à la nécessité d'un contrôle préalable, le délégué à la protection des données consulte le contrôleur européen de la protection des données.

— Garantie des droits et libertés des personnes concernées: le délégué à la protection des données veille à ce que les traitements ne risquent pas de porter atteinte aux droits et aux libertés des personnes concernées et à assurer qu'aucune personne ne subisse de préjudice pour avoir porté à l'attention du délégué à la protection des données un fait dont elle allègue qu'il constitue une violation des dispositions du règlement.

Article 5

Compétences

1. Pour l'accomplissement de sa mission et dans les conditions prévues par le règlement, le délégué à la protection des données peut:

— formuler de sa propre initiative des recommandations aux responsables du traitement ou au Secrétaire général concernant des questions touchant à l'application des dispositions relatives à la protection des données ou comprises dans les présentes dispositions d'application;

— examiner des questions et des faits de sa propre initiative ou à la demande du responsable du traitement, du Comité du personnel du Parlement européen ou de toute personne physique, qui sont directement en rapport avec ses attributions et qui ont été portés à sa connaissance. Cet examen doit respecter le principe d'impartialité et les droits de la personne concernée. Le délégué à la protection des données transmet le résultat de son examen à la personne qui le lui a demandé et au responsable du traitement;

— porter à la connaissance du Secrétaire général tout manquement aux dispositions du règlement;

— participer régulièrement à des réunions avec le contrôleur européen de la protection des données et/ou les délégués à la protection des données des autres institutions et organes, afin d'établir un échange réciproque d'informations, d'assurer une coopération interinstitutionnelle et d'harmoniser l'application des procédures en vigueur.

— élaborer un rapport d'activité annuel à l'intention du Secrétaire général et du contrôleur européen de la protection des données sur les activités dans le domaine de la protection des données au Parlement européen, rapport qu'il rend accessible au personnel du Parlement européen.

— émettre un avis sur la licéité d'opérations de traitement, existantes ou en projet, sur les mesures requises pour garantir la licéité de ces dernières, ou sur la pertinence ou l'inadéquation de données ou de mesures de sécurité. L'avis peut, en particulier, porter sur toute question liée à la notification des opérations de traitement des données.

2. Le délégué à la protection des données a accès, à tout moment, aux données qui font l'objet des opérations de traitement, à tous les locaux, à toutes les installations de traitement de données et à tous les supports d'information.

Article 6

Procédure de notification des traitements

1. Avant d'entreprendre un traitement de données, et suffisamment tôt pour permettre l'exécution d'un éventuel contrôle préalable au sens de l'article 27, paragraphe 3, du règlement, le responsable du traitement en informe le délégué à la protection des données. À cette fin, il peut utiliser le formulaire de notification disponible sur la rubrique intranet du Parlement européen. En tout cas, la notification doit respecter les dispositions du paragraphe 3. La notification doit être signée par le responsable du traitement et transmise au service «Protection des données» par courrier interne, par courrier électronique ou par télécopie. Dans les deux derniers cas, l'original signé en support papier doit parvenir au service «Protection des données» dans le délai de 10 jours calendrier après la transmission.

2. Le responsable du traitement notifie sans délai les traitements déjà en cours à la date d'entrée en vigueur du règlement, à savoir le 1er février 2002, selon la procédure de notification décrite au paragraphe 1.

3. Les informations à fournir comprennent, au minimum:

a) le nom et l'adresse du responsable du traitement et l'indication des services du Parlement européen chargés du traitement des données à caractère personnel dans un but spécifique;

b) la ou les finalités du traitement;

c) une description de la catégorie ou des catégories de personnes concernées et des données ou catégories de données s'y rapportant;

d) la base juridique du traitement auquel les données sont destinées;

e) les destinataires ou les catégories de destinataires auxquels les données sont susceptibles d'être communiquées;

f) une indication générale des dates limites pour le verrouillage et l'effacement des différentes catégories de données;

g) les transferts de données envisagés à destination de pays tiers ou d'organisations internationales, ainsi qu'à des destinataires soumis à la législation nationale d'un État membre;

h) une description générale permettant une évaluation préliminaire du caractère approprié des mesures prises pour assurer la sécurité du traitement en application de l'article 22 du règlement.

4. Le responsable du traitement informe immédiatement le délégué à la protection des données de tout changement affectant les informations visées au paragraphe 3.

Article 7

Registre des traitements

1. Le délégué à la protection des données tient un registre des traitements notifiés en vertu de l'article 6. Ce registre détaille tous les traitements notifiés effectués au Parlement européen et indique, notamment, le service responsable du traitement, les données traitées et la finalité poursuivie.

Ce registre est destiné à l'information de toute personne et, en outre, il facilite l'exercice des droits reconnus à la personne concernée qui sont mentionnés aux articles 13 à 19 du règlement.

2. Le registre contient les informations visées à l'article 6, paragraphe 3, points a) à g), de la présente décision.

3. Le délégué peut prendre des initiatives qui visent la rectification des données contenues dans le registre s'il le considère nécessaire, dans le but d'assurer l'exactitude de celles-ci.

Article 8

Dispositions générales sur l'exercice des droits par les personnes concernées

1. Les droits d'accès, de rectification, de verrouillage, d'effacement et d'opposition ne peuvent être exercés que par la personne concernée ou par son représentant dûment mandaté.

2. La demande d'exercice d'un de ces droits doit être adressée au responsable du traitement. Un formulaire est disponible sous forme électronique sur la rubrique intranet du Parlement européen. La demande doit contenir:

— nom, prénom et coordonnées de la personne concernée;

— mention du droit exercé;

— le cas échéant, documents accréditant sa demande;

— la (les) catégorie(s) des données concernées;

— sa signature et la date de la demande.

La demande peut être transmise par courrier interne ou externe, par courrier électronique ou par télécopie permettant de certifier la transmission et la réception de la demande. En cas d'erreurs ou d'omissions dans la demande, le responsable du traitement peut demander des renseignements complémentaires. Le responsable du traitement est tenu de vérifier la légitimation du demandeur.

3. Le responsable du traitement est tenu de répondre à la demande d'exercice des droits, même en l'absence des données personnelles traitées dans le fichier. Un accusé de réception est envoyé au demandeur dans un délai de 5 jours ouvrables à partir de la réception de la demande. Toutefois, le responsable n'est pas tenu d'envoyer un accusé de réception en cas de réponse substantielle à la demande dans un même délai de 5 jours ouvrables. La réponse est transmise par le même moyen de transmission que celui utilisé par la personne concernée.

4. Le responsable du traitement est tenu d'indiquer à la personne concernée son droit de présenter une réclamation au contrôleur européen de la protection des données si cette personne estime que les droits qui lui sont reconnus à l'article 286 du Traité ont été violés lors du traitement des données à caractère personnel la concernant.

5. L'exercice de tous ces droits est gratuit pour la personne concernée.

6. La demande d'exercice d'un droit peut être refusée dans les cas prévus à l'article 20 du règlement, sous réserve de l'application de l'article 17 de la présente décision.

Article 9

Droit d'accès

1. La personne concernée a le droit d'obtenir, sans contrainte, à tout moment, dans un délai de trois mois à partir de la réception de la demande et gratuitement de la part du responsable du traitement:

— la confirmation que les données la concernant sont ou ne sont pas traitées;

— des informations au moins sur les finalités du traitement, les catégories des données sur lesquelles il porte et les destinataires ou les catégories de destinataires auxquels les données sont communiquées;

— la communication, sous une forme intelligible, des données faisant l'objet des traitements, ainsi que de toute information disponible sur l'origine de ces données;

— la connaissance de la logique qui sous-tend tout traitement automatisé des données la concernant.

2. La personne concernée pourra accéder à ses données personnelles par:

— consultation sur place;

— délivrance d'une copie certifiée établie par le responsable du traitement;

— délivrance d'une copie électronique;

— d'autres moyens à la disposition du responsable du traitement et adaptés à la configuration du fichier.

Article 10

Droit de rectification

1. La personne concernée a le droit d'obtenir du responsable du traitement la rectification sans délai des données à caractère personnel inexactes ou incomplètes.

2. La demande de rectification doit préciser les données à rectifier et la correction qui doit être effectuée. Le cas échéant, la demande peut être accompagnée des pièces justificatives.

3. Si la demande de rectification est acceptée, celle-ci doit être exécutée sans délai et la personne concernée en est informée. Dans le cas de refus d'une demande de rectification, le responsable du traitement dispose d'un délai de 15 jours ouvrables pour en informer la personne concernée par lettre motivée.

Article 11

Droit de verrouillage

1. La personne concernée a le droit d'obtenir du responsable du traitement le verrouillage des données:

a) lorsque leur exactitude est contestée par la personne concernée, pendant un délai permettant au responsable du traitement de vérifier l'exactitude, y compris l'exhaustivité, des données, ou

b) lorsqu'elles ne sont plus utiles au responsable du traitement pour qu'il s'acquitte de sa mission, mais qu'elles doivent être conservées à titre probatoire, ou

c) lorsque leur traitement est illicite et que la personne concernée s'oppose à leur effacement et exige à la place leur verrouillage.

2. La demande de verrouillage doit préciser les données à verrouiller. La personne concernée qui a demandé et obtenu le verrouillage en est informée par le responsable du traitement. Elle est également informée de la levée du verrouillage, au moins 15 jours ouvrables avant que celle-ci n'ait lieu.

3. Le responsable du traitement doit se prononcer dans le délai de 15 jours ouvrables à partir de la réception de la demande de verrouillage. Si la demande est acceptée, elle doit être exécutée dans un délai de 30 jours ouvrables et la personne concernée en est informée. Dans le cas de refus d'une demande de verrouillage, le responsable du traitement dispose d'un délai de 15 jours ouvrables pour en informer la personne concernée par lettre motivée.

4. En ce qui concerne les fichiers automatisés, le verrouillage est assuré par des dispositifs techniques. Le fait que les données à caractère personnel sont verrouillées est indiqué dans le système, de façon à ce qu'il apparaisse clairement que ces données ne peuvent pas être utilisées.

5. Des données à caractère personnel ayant été verrouillées, en application de cet article, ne font l'objet d'un traitement — à l'exception de leur stockage — qu'à des fins probatoires, ou avec le consentement de la personne concernée ou dans un but de protection des droits des tiers.

Article 12

Droit d'effacement

1. La personne concernée a le droit d'obtenir du responsable du traitement l'effacement des données si leur traitement est illicite.

2. La demande d'effacement doit préciser les données à effacer. Si le caractère illicite du traitement est contesté par le responsable du traitement, celui-ci est tenu d'apporter la preuve de la licéité du traitement.

3. Le responsable du traitement doit répondre dans le délai de 15 jours ouvrables à partir de la réception de la demande d'effacement. Si la demande est acceptée, celle-ci doit être exécutée sans délai. Si le responsable du traitement considère que la demande n'est pas justifiée, il dispose d'un délai de 15 jours ouvrables pour en informer, par lettre motivée, la personne concernée.

4. L'effacement suppose la disparition physique des données sans qu'il faille les remplacer par un code ni par la création d'un autre fichier alternatif avec les données effacées. Si l'effacement s'avère impossible pour des raisons techniques, le responsable du traitement procédera à son verrouillage immédiat. La personne concernée est dûment informée de cette procédure.

Article 12 bis

Notification aux tiers

La personne concernée a le droit d'obtenir du responsable du traitement que soit notifié à un tiers, auquel les données ont été communiquées, toute rectification, tout effacement ou tout verrouillage de celles-ci conformément aux articles 10 à 12, si cela ne s'avère pas impossible ou ne suppose pas un effort disproportionné. Dans le cas de refus de notification à un tiers pour cause d'impossibilité ou d'effort disproportionné, le responsable du traitement dispose d'un délai de 15 jours ouvrables pour en informer, par lettre motivée, la personne concernée.

Article 13

Droit d'opposition

1. La personne concernée a le droit de s'opposer à tout moment, pour des raisons impérieuses et légitimes tenant à sa situation particulière, à ce que des données la concernant fassent l'objet d'un traitement, sauf pour les cas relevant de l'article 5, points b), c), et d), du règlement.

2. La personne concernée a le droit d'être informée avant que des données à caractère personnel ne soient, pour la première fois, communiquées à des tiers ou utilisées pour le compte de tiers à des fins de prospection, et de se voir expressément offrir le droit de s'opposer, gratuitement, à ladite communication ou utilisation.

3. La demande d'opposition doit préciser la (les) donnée(s) concernée(s).

4. Le responsable du traitement doit répondre à la personne concernée dans le délai de 15 jours ouvrables à partir de la réception de la demande d'opposition. Si le responsable du traitement considère que la demande n'est pas justifiée, il en informe, par lettre motivée, la personne concernée.

5. En cas d'opposition justifiée, le traitement mentionné au paragraphe 1 ne peut plus porter sur ces données.

Article 14

Procédure de contrôle

1. Tout responsable du traitement concerné est tenu d'aider le délégué à la protection des données dans l'exécution de ses missions et de lui fournir les informations qu'il sollicite dans un délai de 20 jours ouvrables. Dans l'accomplissement de ses missions, le délégué à la protection des données a accès, à tout moment, aux données qui font l'objet des opérations de traitement, à tous les locaux, à toutes les installations de traitement des données et à tous les supports d'information.

2. Le délégué à la protection des données peut décider d'effectuer tout autre type de contrôle à tout moment afin d'assurer la bonne application du règlement par le Parlement européen.

Article 15

Voies de recours

1. Toute personne employée par le Parlement européen peut présenter une réclamation au sens de l'article 33 du règlement auprès du contrôleur européen pour la protection des données. L'introduction d'une telle réclamation n'a pas pour effet de suspendre les délais pour introduire une réclamation au sens de l'article 90 du statut des fonctionnaires.

2. Indépendamment du droit visé au paragraphe 1, toute personne employée par le Parlement européen peut présenter une réclamation au sens de l'article 90 du statut des fonctionnaires sur une question relative au traitement des données à caractère personnel auprès de l'AIPN. Dans ce cas, le délégué à la protection des données est consulté pour avis par les services compétents.

Article 16

Limitations

1. Le responsable du traitement peut limiter les droits prévus aux articles 9 à 13 de la présente décision pour les raisons visées à l'article 20, premier paragraphe, du règlement. Le responsable de traitement consulte préalablement le délégué à la protection des données.

2. Si une limitation est imposée, le responsable informe, conformément au droit communautaire, la personne concernée des principales raisons qui motivent cette limitation et de son droit de saisir le contrôleur européen pour la protection des données ainsi que la Cour de justice.

3. Le responsable du traitement répond sans délai aux demandes relatives à l'application de limitations à l'exercice des droits et motive la décision prise en ce sens.

Article 17

Responsables de traitement

1. Le Secrétaire général peut, par décision spécifique, nommer une autorité dépendant de lui en tant que responsable du traitement, au sens de l'article 2, point d), du règlement.

2. Le responsable du traitement est chargé de veiller à ce que les traitements effectués sous son contrôle soient conformes au règlement et, en particulier, il est chargé:

— d'assister le délégué à la protection des données ainsi que le contrôleur européen de la protection des données dans l'exercice de leurs fonctions respectives, notamment en leur communiquant des informations en réponse à leurs demandes dans un délai maximum de 20 jours ouvrables;

— de mettre en œuvre les mesures techniques et organisationnelles appropriées et de donner au personnel du Parlement européen, ou aux autres personnes sous leur autorité, des instructions adéquates pour assurer à la fois la confidentialité du traitement et un niveau de sécurité approprié au regard des risques présentés par le traitement;

— de notifier au délégué à la protection des données tout traitement de données avant de l'entreprendre, conformément à l'article 6.

Article 17 bis

Accès aux documents

1. Le registre des traitements est public et accessible sous une forme électronique. Toute personne peut le consulter directement et demander une copie conforme de l'inscription d'un traitement spécifique au délégué à la protection des données du Parlement européen. Un accès indirect est également possible par l'intermédiaire du contrôleur européen à la protection des données.

2. Les documents du délégué à la protection des données et de ses services sont soumis à l'application du règlement (CE) no 1049/2001 du Parlement européen et du Conseil du 30 mai 2001, relatif à l'accès du public aux documents du Parlement européen, du Conseil et de la Commission.

Article 18

Entrée en vigueur

La présente décision entre en vigueur le jour suivant celui de sa publication au Journal officiel de l'Union européenne.