DÉCISION DU CONSEIL D’ADMINISTRATION DU CENTRE EUROPÉEN POUR LE DÉVELOPPEMENT DE LA FORMATION PROFESSIONNELLE (CEDEFOP)

du 6 mai 2020

portant adoption des règles internes relatives à la limitation de certains droits des personnes concernées en ce qui concerne le traitement de données à caractère personnel dans le cadre du fonctionnement du Cedefop

LE CONSEIL D’ADMINISTRATION,

vu le traité sur le fonctionnement de l’Union européenne,

vu le règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (1), et notamment son article 25,

vu le règlement (UE) 2019/128 du Parlement européen et du Conseil du 16 janvier 2019 instituant le Centre européen pour le développement de la formation professionnelle (Cedefop), et abrogeant le règlement (CEE) no 337/75 du Conseil (2), et notamment son article 23, paragraphe 4,

vu l’avis du Contrôleur européen de la protection des données (le «CEPD») du 12 décembre 2019 et les orientations du CEPD sur l’article 25 du nouveau règlement et les règles internes (3),

CONSIDÉRANT CE QUI SUIT:

(1) Le Cedefop exerce ses activités conformément au règlement (UE) 2019/128.

(2) Conformément à l’article 25, paragraphe 1, du règlement (UE) 2018/1725, les limitations de l’application des articles 14 à 22, 35 et 36, ainsi que de l’article 4 dudit règlement, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 22, devraient être fondées sur des règles internes à adopter par le Cedefop, lorsque celles-ci ne sont pas fondées sur des actes juridiques adoptés sur la base des traités.

(3) Ces règles internes, y compris les dispositions relatives à l’appréciation de la nécessité et de la proportionnalité d’une limitation, ne devraient pas s’appliquer lorsqu’un acte juridique adopté sur la base des traités prévoit une limitation des droits des personnes concernées.

(4) Lorsque le Cedefop exerce ses fonctions au regard des droits des personnes concernées en vertu du règlement (UE) 2018/1725, il examine si l’une des dérogations établies dans ledit règlement s’applique.

(5) Le Cedefop peut, dans le cadre de son fonctionnement administratif, mener des enquêtes administratives, des procédures disciplinaires et des activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF, traiter des cas de dénonciation des dysfonctionnements, mener des procédures (formelles et informelles) en cas de harcèlement, traiter des plaintes internes et externes, procéder à des audits internes, confier la conduite d’enquêtes au délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725, mener des enquêtes de sécurité (informatique) interne et traiter des demandes d’accès de membres du personnel à leur dossier médical. Le Cedefop traite plusieurs catégories de données à caractère personnel, y compris des données vérifiées (données «objectives», telles que les données d’identification, coordonnées, données professionnelles, données administratives, données provenant de sources spécifiques, communications électroniques et données relatives au trafic) et/ou des données non vérifiées (données «subjectives» relatives à l’affaire, telles que raisonnement, données comportementales, évaluations, données relatives à la performance et à la conduite, ainsi que données touchant à l’objet de la procédure ou de l’activité, ou soumises en rapport avec celui-ci).

(6) Le Cedefop, représenté par son directeur exécutif, agit en qualité de responsable du traitement (des données), indépendamment de toute délégation ultérieure de la fonction de responsable du traitement, au sein du Cedefop, afin de tenir compte des responsabilités opérationnelles liées à des traitements spécifiques de données à caractère personnel.

(7) Les données à caractère personnel sont conservées de manière sécurisée dans un environnement électronique ou sur un support papier qui empêche les abus ou l’accès ou le transfert illicites par ou à des personnes qui n’ont pas besoin d’en connaître. Les dossiers médicaux sont conservés par le prestataire de services externe utilisé par le Cedefop. Les données à caractère personnel traitées ne sont pas conservées plus longtemps que ce qui est nécessaire et approprié aux finalités pour lesquelles elles sont traitées, pendant la période indiquée dans les avis relatifs à la protection des données ou les registres du Cedefop.

(8) Ces règles internes devraient s’appliquer à toutes les opérations de traitement effectuées par le Cedefop dans la conduite d’enquêtes administratives, de procédures disciplinaires, d’activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF, de procédures de dénonciation des dysfonctionnements, de procédures (formelles et informelles) en cas de harcèlement, pour le traitement de plaintes internes et externes, la réalisation d’audits internes, la conduite d’enquêtes par le délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725, la conduite d’enquêtes de sécurité (informatique) réalisées en interne ou avec une participation externe (p. ex. CERT-UE) et le traitement de demandes d’accès de membres du personnel à leur dossier médical.

(9) Ces règles internes devraient s’appliquer aux opérations de traitement effectuées avant le lancement des procédures visées ci-dessus, au cours de ces procédures et pendant le suivi des suites données à l’issue de ces procédures. Ces règles devraient aussi couvrir l’assistance et la coopération fournies par le Cedefop aux autorités nationales et organisations internationales en dehors de ses enquêtes administratives.

(10) Dans les cas où ces règles internes s’appliquent, le Cedefop doit justifier les raisons pour lesquelles les limitations sont strictement nécessaires et proportionnées dans une société démocratique et respectent le contenu essentiel des libertés et droits fondamentaux.

(11) Dans ce cadre, le Cedefop est tenu de respecter, dans toute la mesure du possible, les droits fondamentaux des personnes concernées au cours des procédures susmentionnées, notamment ceux relatifs au droit d’information et au droit d’accès de la personne concernée, au droit à la rectification, à l’effacement et à la limitation du traitement, au droit à la communication d’une violation de données à caractère personnel à la personne concernée et à la confidentialité des communications électroniques, tels que consacrés par le règlement (UE) 2018/1725.

(12) Toutefois, le Cedefop peut être obligé de limiter le droit à l’information de la personne concernée et d’autres droits de la personne concernée afin de protéger, en particulier, ses propres enquêtes, les enquêtes et procédures d’autres autorités publiques, ainsi que les droits d’autres personnes impliquées dans ses enquêtes ou dans d’autres procédures.

(13) Le Cedefop devrait vérifier régulièrement que les conditions qui justifient la limitation continuent de s’appliquer et lever la limitation dès que celles-ci cessent de s’appliquer.

(14) Le responsable du traitement devrait informer le délégué à la protection des données au moment où l’application d’une limitation est envisagée et lors des réexamens ultérieurs et l’associer à l’ensemble de la procédure jusqu’à la levée de la limitation.

A ARRÊTÉ LA PRÉSENTE DÉCISION:

Article premier Objet et champ d’application 1. La présente décision établit les règles relatives aux conditions dans lesquelles le Cedefop peut limiter l’application des droits prévus aux articles 14 à 21, 35 et 36, ainsi qu’à l’article 4 du règlement (UE) 2018/1725 dans le cadre des procédures visées au paragraphe 2, conformément à l’article 25 dudit règlement. 2. La présente décision s’applique, dans le cadre du fonctionnement administratif du Cedefop, aux opérations de traitement de données à caractère personnel effectuées par le Cedefop aux fins suivantes: mener des enquêtes administratives, des procédures disciplinaires et des activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF; traiter des cas de dénonciation des dysfonctionnements; mener des procédures (formelles et informelles) en cas de harcèlement; traiter des plaintes internes et externes; procéder à des audits internes; confier la conduite d’enquêtes au délégué à la protection des données, conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725; mener des enquêtes de sécurité (informatique) en interne ou avec une participation externe (p. ex. CERT-UE) et traiter les demandes d’accès de membres du personnel à leur dossier médical. 3. Les catégories de données concernées sont les données vérifiées (données «objectives», telles que les données d’identification, coordonnées, données professionnelles, données administratives, données provenant de sources spécifiques, communications électroniques et données relatives au trafic) et/ou les données non vérifiées (les données «subjectives» relatives à l’affaire, telles que le raisonnement, les données comportementales, les évaluations, les données relatives à la performance et à la conduite, ainsi que les données touchant à l’objet de la procédure ou de l’activité, ou soumises en rapport avec celui-ci). 4. Lorsque le Cedefop exerce ses fonctions au regard des droits des personnes concernées en vertu du règlement (UE) 2018/1725, il examine si l’une des dérogations établies dans ledit règlement s’applique. 5. Sous réserve des conditions énoncées dans la présente décision, les limitations peuvent s’appliquer aux droits suivants: droit d’information et droit d’accès de la personne concernée, droit à la rectification, à l’effacement et à la limitation du traitement, droit à la communication d’une violation de données à caractère personnel à la personne concernée ou droit à la confidentialité des communications électroniques.

Article 2 Spécification du responsable du traitement et garanties 1. Le Cedefop met en place les garanties suivantes afin d’éviter les abus ou l’accès ou le transfert illicites: a) les documents en version papier sont conservés dans des armoires sécurisées et ne sont accessibles qu’au personnel autorisé; b) toutes les données électroniques sont stockées dans une application informatique sécurisée, conformément aux normes de sécurité du Cedefop, ainsi que dans des dossiers électroniques spécifiques accessibles au seul personnel habilité. Les niveaux d’accès appropriés sont accordés individuellement; c) l’environnement informatique du Cedefop est accessible par l’intermédiaire d’un système d’authentification unique et est automatiquement connecté à l’identifiant et au mot de passe de l’utilisateur. Les enregistrements électroniques sont conservés en sécurité afin de préserver la confidentialité et le caractère privé des données qu’ils contiennent; d) toutes les personnes ayant accès aux données sont liées par l’obligation de confidentialité; e) le prestataire de services externe qui conserve les dossiers médicaux est lié par des clauses contractuelles concernant la confidentialité et le traitement des données à caractère personnel. 2. Le responsable du traitement est le Cedefop, représenté par son directeur exécutif, qui peut déléguer la fonction de responsable du traitement. Les personnes concernées sont informées de la délégation de la fonction de responsable du traitement au moyen des avis relatifs à la protection des données ou des registres publiés sur le site web et sur l’intranet du Cedefop. 3. La durée de conservation des données à caractère personnel visées à l’article 1, paragraphe 3, de la présente décision n’est pas plus longue que nécessaire et elle est appropriée aux finalités pour lesquelles ces données sont traitées. En tout état de cause, elle ne dépasse pas la durée de conservation spécifiée dans les avis relatifs à la protection de données ou les registres mentionnés à l’article 3, paragraphe 3, de la présente décision. 4. Lorsque le Cedefop envisage d’appliquer une limitation, le risque pour les droits et libertés de la personne concernée doit être mis en balance, en particulier, avec le risque pour les droits et libertés d’autres personnes concernées et le risque de porter atteinte à l’efficacité des enquêtes ou procédures du Cedefop, notamment par la destruction de preuves. Les risques pour les droits et libertés de la personne concernée concernent principalement, mais pas seulement, les risques pour la réputation et les risques pour les droits de la défense et le droit d’être entendu.

Article 3 Limitations 1. Le Cedefop ne peut appliquer une limitation que sur le fondement d’un ou plusieurs des motifs énumérés à l’article 25, paragraphe 1, points a) à i), du règlement (UE) 2018/1725. En particulier, dans le cadre des finalités de traitement des données à caractère personnel visées à l’article 1, paragraphe 2, de la présente décision, des limitations peuvent être fondées sur les motifs suivants: a) pour la conduite d’enquêtes administratives et de procédures disciplinaires, les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), c), g) et h), du règlement (UE) 2018/1725; b) pour les activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF, les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), c), f), g) et h), du règlement (UE) 2018/1725; c) pour les cas de dénonciation des dysfonctionnements, les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), c), f), g) et h), du règlement (UE) 2018/1725; d) pour les procédures (formelles et informelles) en cas de harcèlement, les limitations peuvent être fondées sur l’article 25, paragraphe 1, points b), f), h) et i), du règlement (UE) 2018/1725; e) pour le traitement des plaintes internes et externes, les limitations peuvent être fondées sur l’article 25, paragraphe 1, points c), g) et h), du règlement (UE) 2018/1725; f) pour les audits internes, les limitations peuvent être fondées sur l’article 25, paragraphe 1, points c), g) et h), du règlement (UE) 2018/1725; g) pour la conduite d’enquêtes menées par le délégué à la protection des données, conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725, les limitations peuvent être fondées sur l’article 25, paragraphe 1, points c), g) et h), dudit règlement; h) pour la conduite d’enquêtes de sécurité informatique en interne ou avec une participation externe (CERT-UE, par exemple), les limitations peuvent être fondées sur l’article 25, paragraphe 1, points c), d), g) et h), du règlement (UE) 2018/1725; i) pour le traitement des demandes d’accès de membres du personnel à leur dossier médical, les limitations peuvent être fondées sur l’article 25, paragraphe 1, point h), du règlement (UE) 2018/1725. 2. Le Cedefop peut, à titre d’application spécifique des finalités décrites au paragraphe 1 ci-dessus, appliquer des limitations aux droits visés à l’article 1, paragraphe 5, de la présente décision dans les cas suivants: a) lorsqu’un autre institution, organe ou organisme de l’Union est habilité à limiter l’exercice de ces droits sur le fondement d’autres actes prévus à l’article 25 du règlement (UE) 2018/1725 ou conformément au chapitre IX dudit règlement ou à leur acte fondateur, et que la finalité de cette limitation fixée par cet autre institution, organe ou organisme de l’Union serait compromise si le Cedefop n’appliquait pas une limitation équivalente à l’égard des mêmes données à caractère personnel; b) lorsque l’autorité compétente d’un État membre est habilitée à limiter l’exercice de ces droits sur le fondement d’actes visés à l’article 23 du règlement (UE) 2016/679 du Parlement européen et du Conseil (4), ou en vertu de mesures nationales de transposition de l’article 13, paragraphe 3, de l’article 15, paragraphe 3, ou de l’article 16, paragraphe 3, de la directive (UE) 2016/680 du Parlement européen et du Conseil (5), et que la finalité de cette limitation fixée par cette autorité compétente d’un État membre serait compromise si le Cedefop n’appliquait pas une limitation équivalente à l’égard des mêmes données à caractère personnel; c) lorsque l’exercice de ces droits compromettrait la coopération du Cedefop avec les pays tiers ou les organisations internationales dans l’accomplissement de ses missions. Avant d’appliquer des limitations dans les cas visés aux points a) et b) du premier alinéa, le Cedefop consulte l’institution, l’organe ou l’organisme concerné de l’Union ou les autorités compétentes des États membres, à moins qu’il ne soit manifeste pour le Cedefop que l’application d’une limitation est prévue par l’un des actes visés à ces points. 3. Le Cedefop inclut dans les avis relatifs à la protection des données ou les registres, au sens de l’article 31 du règlement (UE) 2018/1725, publiés sur son site web et sur l’intranet pour informer les personnes concernées de leurs droits dans le cadre d’une procédure donnée, des informations relatives à la limitation potentielle de ces droits. Ces informations portent sur les droits susceptibles d’être limités, les motifs de la limitation ainsi que sa durée potentielle. En outre, sans préjudice des dispositions de l’article 5, paragraphe 2, le Cedefop informe individuellement, lorsque cela est proportionné, toutes les personnes concernées, qui sont considérées comme des personnes concernées par l’opération de traitement spécifique, de leurs droits au regard des limitations actuelles ou futures, dans les meilleurs délais et par écrit. 4. Toute limitation est nécessaire et proportionnée au regard des risques pour les droits et libertés des personnes concernées et respecte l’essence des libertés et droits fondamentaux dans une société démocratique. 5. Si l’application d’une limitation est envisagée, une évaluation de la nécessité et de la proportionnalité est effectuée sur la base des présentes règles. Le résultat de cette évaluation est consigné dans une note d’évaluation interne, afin de rendre compte, au cas par cas, des limitations considérées. 6. Les limitations sont levées dès que les circonstances qui les justifient cessent d’exister.

Article 4 Réexamen par le délégué à la protection des données 1. Le Cedefop informe, dans les meilleurs délais, son délégué à la protection des données (le «DPD») chaque fois que le responsable du traitement envisage de limiter l’application des droits des personnes concernées, ou étend la limitation, conformément à la présente décision. Le responsable du traitement accorde au DPD un accès au registre contenant l’évaluation de la nécessité et de la proportionnalité de la limitation et consigne la date à laquelle le DPD a été informé dans le registre. Le DPD est impliqué dans toute la procédure jusqu’à la levée de la limitation. 2. Le DPD peut demander au responsable du traitement, par écrit, de réexaminer l’application des limitations. Le responsable du traitement informe le DPD par écrit du résultat du réexamen demandé. 3. Le responsable du traitement informe le DPD lorsque la limitation a été levée.

Article 5 Limitation du droit à l’information de la personne concernée 1. Dans des cas dûment justifiés et dans les conditions visées dans la présente décision, le droit d’information de la personne concernée peut être limité par le responsable du traitement dans le cadre des opérations de traitement suivantes: a) la conduite d’enquêtes administratives et de procédures disciplinaires; b) les activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF; c) les procédures de dénonciation des dysfonctionnements; d) les procédures (formelles et informelles) en cas de harcèlement; e) le traitement de plaintes internes et externes; f) les audits internes; g) les enquêtes menées par le délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725; h) les enquêtes de sécurité (informatique) conduites en interne ou avec une participation externe (p. ex. CERT-UE). 2. Lorsque le Cedefop limite, en tout ou en partie, le droit d’information des personnes concernées visé aux articles 14 à 16 du règlement (UE) 2018/1725, il consigne dans un relevé les motifs de la limitation et le(s) fondement juridique (s) conformément à l’article 3 de la présente décision, accompagnés d’une évaluation de sa nécessité et de sa proportionnalité. Le relevé et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont consignés dans un registre. Ils sont mis à la disposition du Contrôleur européen de la protection des données sur demande. 3. La limitation visée au paragraphe 2 continue de s’appliquer tant que les raisons la justifiant persistent. Lorsque les raisons de la limitation ne s’appliquent plus, le Cedefop informe la personne concernée des principales raisons qui motivent l’application d’une limitation. Parallèlement, le Cedefop informe la personne concernée de son droit de saisir le Contrôleur européen de la protection des données à tout moment ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne (la «Cour de justice»). Le Cedefop examine l’application de la limitation tous les six mois à compter de son adoption et à la clôture de l’enquête ou de la procédure en question. Par la suite, le responsable du traitement vérifie la nécessité de maintenir la limitation tous les six mois. L’évaluation de la nécessité et de la proportionnalité visée à l’article 3, paragraphe 5, est réalisée dans le cadre de chaque réexamen périodique, après avoir déterminé si les raisons de fait et de droit justifiant une limitation continuent de s’appliquer.

Article 6 Limitation du droit d’accès de la personne concernée 1. Dans des cas dûment justifiés et dans les conditions visées dans la présente décision, le droit d’accès de la personne concernée peut être limité par le responsable du traitement dans le cadre des opérations de traitement suivantes, lorsque cela est nécessaire et proportionné: a) la conduite d’enquêtes administratives et de procédures disciplinaires; b) les activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF; c) les procédures de dénonciation des dysfonctionnements; d) les procédures (formelles et informelles) en cas de harcèlement; e) le traitement de plaintes internes et externes; f) les audits internes; g) les enquêtes menées par le délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725; h) les enquêtes de sécurité (informatique) conduites en interne ou avec une participation externe (p. ex. CERT-UE). i) le traitement des demandes d’accès de membres du personnel à leur dossier médical. Dans les cas où les personnes concernées demandent à accéder à leurs données à caractère personnel traitées dans le cadre d’un ou de plusieurs cas spécifiques ou d’une opération de traitement particulière, conformément à l’article 17 du règlement (UE) 2018/1725, le Cedefop limite son examen de la demande à ces seules données à caractère personnel. 2. Lorsque le Cedefop limite, en tout ou en partie, le droit d’accès visé à l’article 17 du règlement (UE) 2018/1725, il prend les mesures suivantes: a) il informe la personne concernée, dans sa réponse à la demande, de la limitation appliquée et des principales raisons qui la motivent, ainsi que de la possibilité de saisir le Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice; b) il consigne dans une note d’évaluation interne les motifs de la limitation, accompagnés d’une évaluation de la nécessité de la limitation, de sa proportionnalité et de sa durée. Les limitations imposées au droit d’accès des membres du personnel à leur dossier médical ne concernent que les demandes de membres du personnel d’accéder directement à des données médicales à caractère psychologique ou psychiatrique, lorsqu’une évaluation au cas par cas révèle qu’un accès indirect est nécessaire pour protéger la personne concernée. L’accès à de telles données est donné par l’intermédiaire d’un médecin désigné par la personne concernée. Le médecin choisi par la personne concernée a accès à l’ensemble des informations et dispose d’un pouvoir d’appréciation pour décider quel accès donner à la personne concernée et comment le lui donner. La communication des informations visées au point a) peut être différée, omise ou refusée si elle prive d’effet la limitation conformément à l’article 25, paragraphe 8, du règlement (UE) 2018/1725. Le Cedefop examine l’application de la limitation tous les six mois à compter de son adoption et à la clôture de l’enquête ou de la procédure en question. Par la suite, le responsable du traitement vérifie la nécessité de maintenir la limitation tous les six mois. L’évaluation de la nécessité et de la proportionnalité visée à l’article 3, paragraphe 5, est réalisée dans le cadre de chaque réexamen périodique, après avoir déterminé si les raisons de fait et de droit justifiant une limitation continuent de s’appliquer. 3. Le relevé et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont consignés dans un registre. Ils sont mis à la disposition du Contrôleur européen de la protection des données sur demande.

Article 7 Limitation du droit de la personne concernée à la rectification, à l’effacement et à la limitation du traitement 1. Dans des cas dûment justifiés et dans les conditions visées dans la présente décision, le droit de la personne concernée à la rectification, à l’effacement et à la limitation du traitement peut être limité par le responsable du traitement dans le cadre des opérations de traitement suivantes, lorsque cela est nécessaire et proportionné: a) la conduite d’enquêtes administratives et de procédures disciplinaires; b) les activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF; c) les procédures de dénonciation des dysfonctionnements; d) les procédures (formelles et informelles) en cas de harcèlement; e) le traitement de plaintes internes et externes; f) les audits internes; g) les enquêtes menées par le délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725; h) les enquêtes de sécurité (informatique) conduites en interne ou avec une participation externe (p. ex. CERT-UE). 2. Dans le cas où le Cedefop limite, en tout ou en partie, l’application du droit de la personne concernée à la rectification, à l’effacement ou à la limitation du traitement prévu à l’article 18, à l’article 19, paragraphe 1, et à l’article 20, paragraphe 1, du règlement (UE) 2018/1725, il prend les mesures visées à l’article 6, paragraphe 2, de la présente décision, et enregistre le relevé conformément à son article 6, paragraphe 3.

Article 8 Limitation du droit de la personne concernée à la communication d’une violation de données à caractère personnel et du droit à la confidentialité des communications électroniques 1. Dans des cas dûment justifiés et dans les conditions visées dans la présente décision, le droit d’une personne concernée à la communication d’une violation de données à caractère personnel peut être limité par le responsable du traitement dans le cadre des opérations de traitement suivantes, lorsque cela est nécessaire et proportionné: a) la conduite d’enquêtes administratives et de procédures disciplinaires; b) les activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF; c) les procédures de dénonciation des dysfonctionnements; d) les audits internes; e) les enquêtes menées par le délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725; f) les enquêtes de sécurité (informatique) conduites en interne ou avec une participation externe (p. ex. CERT-UE). 2. Dans des cas dûment justifiés et dans les conditions visées dans la présente décision, le droit à la confidentialité des communications électroniques peut être limité par le responsable du traitement dans le cadre des opérations de traitement suivantes, lorsque cela est nécessaire et proportionné: a) la conduite d’enquêtes administratives et de procédures disciplinaires; b) les activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF; c) les procédures de dénonciation des dysfonctionnements; d) les procédures formelles en cas de harcèlement; e) e) le traitement de plaintes internes et externes; f) les enquêtes de sécurité (informatique) conduites en interne ou avec une participation externe (p. ex. CERT-UE). 3. Dans le cas où le Cedefop limite la communication d’une violation de données à caractère personnel à la personne concernée ou la confidentialité de communications électroniques visées aux articles 35 et 36 du règlement (UE) 2018/1725, il consigne et enregistre les motifs de cette limitation conformément à l’article 5, paragraphe 2, de la présente décision. L’article 5, paragraphe 3, de la présente décision s’applique.

Article 9 Entrée en vigueur La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.

Fait le 6 mai 2020. Pour le conseil d’administration Barbara DORN Présidente du conseil d’administration

(1) JO L 295 du 21.11.2018, p. 39.

(2) JO L 30 du 31.1.2019, p. 90.

(3) https://edps.europa.eu/sites/edp/files/publication/18-12-20_guidance_on_article_25_en.pdf

(4) Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (le «règlement général sur la protection des données») (JO L 119 du 4.5.2016, p. 1).

(5) Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO L 119 du 4.5.2016, p. 89).