RÈGLEMENT INTÉRIEUR D’EUROJUST RELATIF AU TRAITEMENT ET À LA PROTECTION DES DONNÉES À CARACTÈRE PERSONNEL

LE COLLÈGE D’EUROJUST,

vu le règlement (UE) 2018/1727 du Parlement européen et du Conseil du 14 novembre 2018 relatif à l’Agence de l’Union européenne pour la coopération judiciaire en matière pénale (Eurojust) et remplaçant et abrogeant la décision 2002/187/JAI du Conseil, ci-après dénommé le «règlement Eurojust»,

vu le règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE, ci-après dénommé le «règlement 2018/1725»,

vu le règlement intérieur d’Eurojust approuvé par le Conseil le 19 décembre 2019 et adopté par le collège le 20 décembre 2019, et notamment son article 17,

vu les avis rendus par l’organe de contrôle commun le 28 octobre 2019 et le 11 décembre 2019,

vu l’avis rendu par le contrôleur européen de la protection des données le 13 décembre 2019,

compte tenu de la décision d’exécution (UE) 2019/2250 du Conseil du 19 décembre 2019 portant approbation du règlement intérieur d’Eurojust,

A ADOPTÉ LE RÈGLEMENT INTÉRIEUR D’EUROJUST RELATIF AU TRAITEMENT ET À LA PROTECTION DES DONNÉES À CARACTÈRE PERSONNEL LE 20 DÉCEMBRE 2019:

TITRE I

CHAMP D’APPLICATION, STRUCTURE ET DÉFINITIONS

Article 1 Champ d’application et définitions 1. Les dispositions du règlement intérieur d’Eurojust relatives au traitement et à la protection des données à caractère personnel (ci-après dénommées les «dispositions») mettent en œuvre les dispositions du règlement Eurojust et du règlement 2018/1725 relatives à la protection des données. 2. Les dispositions s’appliquent au traitement des données à caractère personnel, automatisé en tout ou en partie, et au traitement non automatisé des données à caractère personnel contenues ou appelées à figurer dans un fichier. 3. Les dispositions s’appliquent à toutes les données à caractère personnel traitées par Eurojust, y compris les données à caractère personnel contenues dans les informations établies ou reçues par Eurojust et en sa possession, concernant des questions liées aux politiques, activités et décisions relevant de sa compétence.

Article 2 Structure 1. Les présentes dispositions s’appliquent aux données à caractère personnel tant opérationnelles qu’administratives traitées par Eurojust. 2. Les données opérationnelles sont traitées conformément au titre II. 3. Les données administratives sont traitées conformément au titre III.

TITRE II

RÈGLES RÉGISSANT LES OPÉRATIONS DE TRAITEMENT DES DONNÉES OPÉRATIONNELLES À CARACTÈRE PERSONNEL

CHAPITRE I

Principes généraux applicables au traitement des données opérationnelles à caractère personnel

Article 3 Responsabilité du traitement des données opérationnelles à caractère personnel au sein d’Eurojust En ce qui concerne le traitement des données opérationnelles à caractère personnel, en tant que responsable du traitement des données, Eurojust agit par l’intermédiaire des membres nationaux, qui, conformément à l’article 24, paragraphe 1, du règlement Eurojust, sont responsables de la gestion des dossiers qu’ils ont ouverts dans le cadre de l’exercice de leurs tâches telles qu’elles sont définies par le règlement Eurojust, ou qu’ils ont initiés dans le cas où Eurojust agit en tant que collège conformément à l’article 5, paragraphe 2, point a), du règlement Eurojust.

Article 4 Conditions spécifiques applicables au traitement Les membres nationaux qui reçoivent des données opérationnelles à caractère personnel des autorités nationales compétentes respectent les conditions spécifiques applicables au traitement imposées par ces autorités conformément à l’article 9, paragraphes 3 et 4, de la directive (UE) 2016/680 et informent également ces autorités nationales de toutes les conditions spécifiques qui leur sont imposées par le droit applicable de l’UE et qui s’appliquent à toutes les données opérationnelles à caractère personnel que les membres nationaux fournissent aux autorités nationales, le cas échéant.

Article 5 Qualité des données Si Eurojust constate une quelconque inexactitude dans les données transmises par un État membre dans le cadre d’une enquête ou de poursuites ou par une institution, un organe ou un organisme de l’Union, le membre national, après consultation des autorités nationales, donne l’instruction de rectifier les informations en question sans tarder et en informe l’État membre concerné ou l’institution, l’organe ou l’organisme de l’Union qui a transmis les informations.

Article 6 Sécurité des données Tous les responsables d’Eurojust sont dûment informés de la politique de sécurité d’Eurojust et sont tenus de recourir aux mesures techniques et organisationnelles mises à leur disposition, y compris après avoir reçu la formation requise, conformément aux exigences applicables en matière de protection et de sécurité des données.

CHAPITRE II

Droits des personnes concernées

Article 7 Procédure permettant aux personnes concernées d’exercer leurs droits en cas de traitement des données opérationnelles à caractère personnel 1. Les demandes relatives à l’exercice des droits des personnes concernées sont traitées par le ou les membres nationaux concernés par ces demandes, qui en fournissent une copie au délégué à la protection des données en vue de son enregistrement. 2. Le ou les membres nationaux concernés consultent les autorités compétentes des États membres en ce qui concerne la décision à prendre en réponse à une demande. 3. Si le dossier l’exige, le délégué à la protection des données procède à des vérifications complémentaires dans le système de gestion des dossiers et informe le ou les membres nationaux concernés de toute information complémentaire pertinente obtenue au moyen de ces vérifications. Le ou les membres nationaux concernés tiennent compte des informations fournies par le délégué à la protection des données et, le cas échéant, réexaminent la décision initiale. 4. Les motifs de fait et de droit sur lesquels se fonde la décision du ou des membres nationaux concernés sont consignés dans le fichier de travail temporaire relatif à la demande dans le système de gestion des dossiers, et ils sont mis à la disposition du Contrôleur européen de la protection des données (CEPD) sur demande. 5. Le délégué à la protection des données communique la décision prise par le ou les membres nationaux concernés au nom d’Eurojust à la personne concernée, et informe ladite personne de la possibilité d’introduire une réclamation auprès du CEPD si elle n’est pas satisfaite de la décision prise, ou de former un recours juridictionnel devant la Cour de justice. 6. Dans le cas où la demande a été reçue par l’intermédiaire d’une autorité de contrôle nationale, Eurojust informe cette autorité de toute décision communiquée par le délégué à la protection des données à la personne concernée.

Article 8 Informations communiquées à des tiers à la suite de la rectification, de la limitation ou de l’effacement de données opérationnelles à caractère personnel Eurojust met en place les mesures techniques appropriées pour garantir que, lorsque Eurojust rectifie, limite ou efface des données à caractère personnel en réponse à une demande, une liste des fournisseurs et des destinataires de ces données est automatiquement établie.

CHAPITRE III

Le système de gestion des dossiers

Article 9 Fichiers de travail temporaires et index dans le système de gestion des dossiers 1. Le système de gestion des dossiers attribue automatiquement un numéro de référence unique (identifiant) à chaque nouveau fichier de travail temporaire créé. 2. Lorsqu’un membre national responsable de la gestion d’un fichier de travail temporaire au sens de l’article 24, paragraphe 1, du règlement Eurojust accorde l’accès intégral ou partiel à un fichier de travail temporaire à un ou plusieurs membres nationaux concernés, le système de gestion des dossiers garantit aux utilisateurs autorisés dans le profil de ce bureau national relevant de la responsabilité du membre national l’accès aux parties pertinentes du fichier mais ne leur permet pas de modifier les données introduites par l’auteur d’origine. Les utilisateurs autorisés peuvent cependant ajouter des informations pertinentes aux nouvelles parties des fichiers de travail temporaires. De même, les informations présentes dans l’index peuvent être consultées par l’ensemble des utilisateurs autorisés du système mais ne peuvent être modifiées que par leur auteur d’origine. 3. Le délégué à la protection des données est automatiquement informé, par le système de gestion des dossiers, de la création de chaque nouveau fichier de travail qui contient des données à caractère personnel. 4. Le système de gestion des dossiers garantit que seules les données opérationnelles à caractère personnel visées au paragraphe 1, points a) à i), et points k) et m), et au paragraphe 2 de l’annexe II du règlement Eurojust puissent être enregistrées dans l’index par le membre national concerné qui a créé un fichier de travail temporaire, conformément à l’article 23, paragraphe 4, et à l’article 24, paragraphe 3, du règlement Eurojust. 5. Lorsque, conformément à l’article 23, paragraphe 6, du règlement Eurojust, des membres nationaux souhaitent stocker temporairement des données à caractère personnel et les analyser afin de déterminer si de telles données sont utiles à l’accomplissement des missions d’Eurojust, ils créent un projet de fichier de travail temporaire qui n’est accessible qu’à eux et aux personnes autorisées par eux dans le profil de leur bureau. Après trois mois, le projet de fichier de travail temporaire devrait soit être converti en fichier de travail temporaire dans le système de gestion des dossiers soit être effacé automatiquement par le système. Le système génère une alerte adressée au membre national concerné avant que ce laps de temps ne soit écoulé afin de lui rappeler qu’une décision doit être prise concernant le projet de fichier. 6. Le ou les membres nationaux concernés veillent à ce que les informations contenues dans l’index suffisent à l’exercice des missions d’Eurojust, telles qu’elles sont définies à l’article 2 du règlement Eurojust.

Article 10 Catégories particulières de données 1. Eurojust prend les mesures techniques appropriées pour garantir que le délégué à la protection des données soit automatiquement informé des cas exceptionnels qui supposent un recours à l’article 27, paragraphe 4, du règlement Eurojust. Le système de gestion des dossiers garantit que les données en question ne peuvent être ajoutées à l’index visé à l’article 23, paragraphes 1 et 4, du règlement Eurojust. 2. Lorsque de telles données concernent des témoins ou victimes au sens de l’article 27, paragraphe 2, du règlement Eurojust, le système de gestion des dossiers n’enregistre pas ces informations, sauf décision contraire des membres nationaux concernés. La décision de traiter de telles données est documentée.

Article 11 Traitement des catégories de données opérationnelles à caractère personnel visées à l’article 27, paragraphes 2 et 3, du règlement Eurojust 1. Eurojust prend les mesures techniques appropriées pour garantir que le délégué à la protection des données soit automatiquement informé des cas exceptionnels qui, pendant un temps limité, supposent un recours à l’article 27, paragraphe 3, du règlement Eurojust. Le système de gestion des dossiers assortit ces données d’une indication servant à rappeler à la personne à l’origine de l’introduction de ces données dans le système l’obligation de ne conserver celles-ci que pour un temps limité. 2. Lorsque de telles données concernent des témoins ou victimes au sens de l’article 27, paragraphe 2, du règlement Eurojust, le système de gestion des dossiers n’enregistre pas ces informations, sauf décision contraire des membres nationaux concernés. La décision de traiter de telles données est documentée.

Article 12 Accès autorisé aux données opérationnelles à caractère personnel 1. Chaque membre national d’Eurojust justifie la politique d’accès qu’il a autorisée, conformément à l’article 34 du règlement Eurojust, au sein de son bureau national en ce qui concerne les données opérationnelles à caractère personnel et en informe le délégué à la protection des données. 2. Les membres nationaux peuvent décider, au cas par cas, d’accorder une autorisation spécifique d’accès, intégral ou partiel, à un fichier de travail temporaire à une personne qui n’est pas membre du personnel d’Eurojust mais qui travaille au nom d’Eurojust et appartient à une catégorie spécifique de responsables ayant reçu, au préalable, du directeur administratif d’Eurojust l’autorisation d’accéder au système de gestion des dossiers, conformément à l’article 24, paragraphe 2, du règlement Eurojust.. 3. Les membres nationaux veillent à l’adoption et au respect de modalités organisationnelles appropriées au sein de leurs bureaux, ainsi qu’à un usage judicieux des mesures techniques et organisationnelles, y compris par la participation à la formation requise, mises à leur disposition par Eurojust. 4. Conformément à l’article 34 du règlement Eurojust, le collège peut permettre à d’autres agents d’Eurojust d’avoir accès aux données opérationnelles à caractère personnel lorsque cela est nécessaire à l’accomplissement des missions d’Eurojust.

Article 13 Registre des activités de traitement 1. Le système de gestion des dossiers d’Eurojust, tel qu’il est défini à l’article 23 du règlement Eurojust, sert de registre de l’ensemble des activités de traitement visées à l’article 35 du règlement Eurojust dans la mesure où des données opérationnelles à caractère personnel sont concernées. 2. Le système de gestion des dossiers d’Eurojust contient un registre complet des opérations de transmission et de réception de données opérationnelles à caractère personnel, permettant d’attester toute transmission de données opérationnelles à caractère personnel et d’identifier l’autorité nationale, l’organisation ou le pays tiers ou l’organisation internationale ayant transmis de telles informations à Eurojust ou ayant reçu de telles informations de la part d’Eurojust.

CHAPITRE IV

Transferts de données vers des pays tiers ou à des organisations internationales

Article 14 Transferts de données vers des pays tiers ou à des organisations internationales moyennant des garanties appropriées 1. Une décision relative au transfert de données à caractère personnel vers des pays tiers ou à des organisations internationales conformément à l’article 58, paragraphe 1, du règlement Eurojust est prise par le collège d’Eurojust à la demande du ou des membres nationaux concernés, à la suite d’une évaluation effectuée par le délégué à la protection des données. 2. L’évaluation visée au paragraphe 1 est fournie par le délégué à la protection des données dans un délai de dix jours ouvrables. Lorsque cela est nécessaire pour des raisons d’urgence, mentionnées par le ou les membres nationaux concernés, l’évaluation est fournie le plus rapidement possible. Dans les cas particulièrement complexes, le délégué à la protection des données peut convenir avec le ou les membres nationaux concernés d’un délai plus long pour mener à bien l’évaluation. 3. Dans son évaluation, le délégué à la protection des données examine en particulier les questions visées aux considérants 51 et 52 du règlement Eurojust. Lorsque, lors de l’évaluation de l’adéquation des garanties dans le cas d’espèce, le délégué à la protection des données a des réserves, il peut consulter le CEPD avant de publier une évaluation portant sur un transfert spécifique.

Article 15 Enregistrement de transferts internationaux vers des pays tiers ou à des organisations internationales dans le système de gestion des dossiers Le système de gestion des dossiers documente tout transfert de données à caractère personnel vers des pays tiers ou à des organisations internationales conformément à l’article 58, paragraphe 3, du règlement Eurojust et à l’article 94, paragraphe 4, du règlement 2018/1725.

CHAPITRE V

Délais

Article 16 Durée de conservation des données opérationnelles à caractère personnel 1. Eurojust met en place les mesures techniques appropriées pour garantir le respect des délais de conservation des données opérationnelles à caractère personnel fixés à l’article 29 du règlement Eurojust et pour garantir que, en l’absence d’une décision motivée, au moment de la vérification, visant à prolonger la conservation des données opérationnelles à caractère personnel, celles-ci sont effacées automatiquement. 2. Le système de gestion des dossiers prévoit en particulier qu’une vérification de la nécessité de conserver les données dans un fichier de travail temporaire doit être effectuée tous les trois ans après leur enregistrement. Cette vérification doit être dûment documentée dans le système, toute décision de prolonger la conservation des données opérationnelles à caractère personnel devant notamment être justifiée, et elle est communiquée automatiquement au délégué à la protection des données. Les résultats d’une telle décision, ou de l’absence d’une telle décision, s’appliquent à l’affaire dans son ensemble, ainsi que le définit l’article 29, paragraphe 2, du règlement Eurojust. 3. Le système de gestion des dossiers prévoit notamment le marquage des données enregistrées pour un temps limité, conformément à l’article 27, paragraphe 3, ainsi que des données visées à l’article 27, paragraphe 4, du règlement Eurojust. Si des données opérationnelles à caractère personnel visées à l’article 27, paragraphe 4, sont conservées pendant une durée supérieure à cinq ans, le système de gestion des dossiers générera une alerte pour garantir que cette information soit automatiquement communiquée au CEPD. 4. Dans des cas exceptionnels, lorsqu’un membre national estime que des données opérationnelles à caractère personnel sont encore nécessaires à des fins archivistiques dans l’intérêt public ou à des fins statistiques visées à l’article 29, paragraphe 7, point e), du règlement Eurojust, le collège statue, après avoir entendu l’avis du délégué à la protection des données, sur la nécessité de conserver les données, dans ce cas particulier, à cette fin spécifique. Le CEPD est informé lorsqu’il est fait recours à cette procédure.

TITRE III

RÈGLES RÉGISSANT LES OPÉRATIONS DE TRAITEMENT DES DONNÉES ADMINISTRATIVES À CARACTÈRE PERSONNEL

Article 17 Procédure permettant aux personnes concernées d’exercer leurs droits en ce qui concerne les opérations de traitement des données administratives à caractère personnel 1. Les demandes relatives à l’exercice des droits sont adressées directement au directeur administratif d’Eurojust ou au délégué à la protection des données. Le délégué à la protection des données reçoit dans tous les cas une copie de la demande, en vue de son enregistrement. 2. Si nécessaire, le délégué à la protection des données porte assistance à la personne concernée et met à disposition des formulaires spécifiques que les personnes peuvent utiliser pour former leur demande. 3. Sur la base des informations fournies par l’entité administrative qui participe directement au traitement des données à caractère personnel et de l’avis du délégué à la protection des données, le directeur administratif prend une décision concernant l’affaire en question. 4. Le délégué à la protection des données communique la décision prise par le directeur administratif à la personne concernée et informe ladite personne de la possibilité d’introduire une réclamation auprès du CEPD si elle n’est pas satisfaite de la décision rendue par Eurojust. 5. La demande fait l’objet d’un traitement complet dans le mois qui suit sa réception. Au besoin, ce délai peut être prolongé de deux mois, compte tenu du nombre et de la complexité de la demande. Le directeur administratif informe la personne concernée de cette prolongation et des motifs du report dans un délai d’un mois à compter de la réception de la demande. La personne concernée peut introduire une réclamation auprès du CEPD si Eurojust n’a pas rendu de décision sur sa demande dans ce délai.

Article 18 Délais applicables aux données administratives à caractère personnel 1. Chaque opération de traitement individuelle de données administratives à caractère personnel effectuée à Eurojust est, compte tenu de sa finalité bien définie et en totale conformité avec l’article 4, paragraphe 1, point d), et l’article 31, paragraphe 1, point f), du règlement 2018/1725, assortie d’un délai de conservation clair et bien défini, afin que les données ne puissent être conservées que pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles les données administratives à caractère personnel sont traitées. Ce délai est fixé pour chaque catégorie de données traitées et inscrit dans le registre des activités de traitement. 2. Eurojust conserve des données administratives à caractère personnel conformément au paragraphe 1, aussi longtemps que nécessaire et en tout état de cause pendant une durée n’excédant pas celle indiquée pour chaque catégorie d’activités de traitement dans le tableau joint à l’annexe des présentes dispositions. 3. Le conseil exécutif, agissant sur proposition du directeur administratif, peut fixer des délais de conservation plus courts que ceux figurant à l’annexe des présentes dispositions.

TITRE IV

DISPOSITIONS FINALES

Article 19 Révision des présentes dispositions 1. Les présentes dispositions sont réexaminées régulièrement afin qu’il soit possible d’évaluer si des modifications sont nécessaires. Toute modification des présentes dispositions est effectuée dans le respect de la même procédure que celle établie pour leur approbation dans le règlement Eurojust. 2. Le CEPD communique au collège toute suggestion ou recommandation concernant des modifications aux présentes dispositions.