FR Journal officiel de l'Union européenne L 273/41

DÉCISION DU CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES

du 17 décembre 2012

concernant l’adoption du règlement intérieur

(2013/504/UE)

LE CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES,

vu le règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (1), et notamment son article 46, point k),

considérant ce qui suit:

(1) L’article 8 de la charte des droits fondamentaux et l’article 16 du traité sur le fonctionnement de l’Union européenne prévoient que le respect des règles en matière de protection des personnes physiques à l’égard du traitement des données à caractère personnel les concernant par les institutions, organes et organismes de l’Union, est soumis au contrôle d’une autorité indépendante;

(2) Le règlement (CE) no 45/2001 prévoit l’institution d’une autorité indépendante, dénommée le contrôleur européen de la protection des données, chargée, en ce qui concerne le traitement de données à caractère personnel, de veiller à ce que les libertés et droits fondamentaux des personnes physiques, notamment leur vie privée, soient respectés par les institutions et organes de l’Union;

(3) Le règlement (CE) no 45/2001 prévoit également des dispositions relatives aux fonctions et aux compétences du contrôleur européen de la protection des données ainsi qu’à la nomination du contrôleur européen de la protection des données et d’un contrôleur adjoint;

(4) Le règlement (CE) no 45/2001 prévoit en outre que le contrôleur européen de la protection des données est assisté par un secrétariat et fixe un certain nombre de dispositions relatives au personnel et aux questions budgétaires;

(5) La décision no 1247/2002/CE du Parlement européen, du Conseil et de la Commission du 1er juillet 2002 relative au statut et aux conditions générales d’exercice des fonctions de contrôleur européen de la protection des données fixe un certain nombre de dispositions en la matière (2);

(6) D’autres dispositions du droit de l’Union prévoyant des fonctions et des compétences supplémentaires pour le contrôleur européen de la protection des données,

A ADOPTÉ LE PRÉSENT RÈGLEMENT INTÉRIEUR:

CHAPITRE I

DISPOSITIONS GÉNÉRALES

Article premier

Exercice des fonctions et des compétences

Le contrôleur européen de la protection des données exerce les fonctions et les compétences qui lui sont imposées par le règlement (CE) no 45/2001 et par d’autres dispositions du droit de l’Union.

Article 2

Définitions

Aux fins du présent règlement, on entend par:

a) «le règlement», le règlement (CE) no 45/2001;

b) «l’institution», une institution, un organe ou un organisme de l’Union soumis au règlement (CE) no 45/2001;

c) «le CEPD», le contrôleur européen de la protection des données en tant qu’institution;

d) «le contrôleur», sauf indication contraire, les personnes exerçant la fonction de contrôleur européen de la protection des données et de contrôleur adjoint;

e) «mesure administrative», une décision ou tout autre acte de l’administration de l’Union d’application générale concernant le traitement de données à caractère personnel par l’institution.

CHAPITRE II

INSTITUTION ET SECRÉTARIAT

Article 3

Indépendance, bonne gouvernance et bonne conduite administrative

1. Conformément à l’article 44 du règlement, le contrôleur exerce ses fonctions en toute indépendance.

2. Le contrôleur assure le bon fonctionnement des services disponibles pour l’exécution des missions visées à l’article 1er, dans le respect des principes de bonne gouvernance, de bonne conduite administrative et de bonne gestion.

Article 4

Rôles du contrôleur et du contrôleur adjoint

1. Le contrôleur et le contrôleur adjoint sont, en tant que membres de l’institution, chargés de l’adoption de stratégies, de politiques et de décisions et exécutent ensemble les missions visées à l’article 1er. Le contrôleur adjoint exécute ces missions en cas d’absence ou d’incapacité du contrôleur et inversement.

2. Le contrôleur et le contrôleur adjoint agissent en vue de parvenir à un consensus sur les stratégies et les politiques générales et sur d’autres questions importantes, y compris celles relatives au secrétariat. Lorsqu’un consensus ne peut être obtenu et que la question est urgente, le contrôleur prend une décision.

3. Le contrôleur, agissant en étroite coopération avec le contrôleur adjoint, détermine la répartition du travail entre eux deux, notamment quel est le principal responsable de l’élaboration, de l’adoption et du suivi des décisions, et délègue des missions au contrôleur adjoint, le cas échéant.

Article 5

Secrétariat

1. Conformément à l’article 43, paragraphe 4, du règlement, le contrôleur est assisté par un secrétariat, dont il détermine les missions et les méthodes de travail.

2. Le contrôleur peut déléguer certaines missions à différents membres du personnel et a la possibilité de les remplacer par d’autres membres du personnel.

3. Le contrôleur crée un certain nombre d’unités et de secteurs au sein du secrétariat afin de l’aider dans l’élaboration et l’exécution des missions visées à l’article 1er. Chaque unité ou secteur est dirigé par un chef d’unité ou de secteur.

Article 6

Directeur

1. Le secrétariat est dirigé par un directeur, qui prend toutes les mesures nécessaires pour garantir le bon fonctionnement du secrétariat ainsi que l’utilisation efficace des ressources. Il veille également à son propre remplacement en cas d’absence ou d’incapacité.

2. Le directeur est chargé:

a) d’élaborer et de mettre en œuvre des stratégies et des politiques;

b) de contribuer à leur évaluation et à leur développement;

c) de coordonner et de planifier des activités, de mesurer les résultats et de représenter l’institution dans ses relations avec d’autres institutions et organes, le cas échéant.

Article 7

Conseil d’administration

1. Le conseil d’administration est composé du contrôleur, du contrôleur adjoint et du directeur. Le conseil se réunit régulièrement, généralement une fois par semaine, afin de discuter des stratégies et des politiques générales et d’autres questions importantes, et de contribuer à une bonne coordination des activités importantes.

2. Le directeur assure le bon fonctionnement du secrétariat du conseil d’administration.

Article 8

Réunion des directeurs

Le directeur rencontre régulièrement, généralement une fois par semaine, les chefs d’unité et de secteur afin d’assurer la coordination et la planification des activités ainsi que l’élaboration et la mise en œuvre des stratégies et des politiques. Le directeur assure le bon fonctionnement du secrétariat de la réunion des directeurs.

Article 9

Autorité investie du pouvoir de nomination

1. Le directeur exerce les compétences conférées à l’autorité investie du pouvoir de nomination au sens de l’article 2 du statut des fonctionnaires de l’Union européenne et les compétences conférées à l’autorité habilitée à conclure les contrats d’engagement au sens de l’article 6 du régime applicable aux autres agents de l’Union européenne ainsi que toute autre compétence y relative résultant d’autres décisions administratives tant internes au CEPD que de nature interinstitutionnelle, dans la mesure où la décision du contrôleur relative à l’exercice des compétences conférées à l’autorité investie du pouvoir de nomination et à l’autorité habilitée à conclure les contrats d’engagement ne s’y oppose.

2. Le directeur peut déléguer l’exercice des compétences visées au paragraphe 1 au fonctionnaire chargé de la gestion des ressources humaines.

Article 10

Ordonnateur et comptable

1. Le contrôleur exerce les compétences d’ordonnateur. Les compétences d’ordonnateur délégué et d’ordonnateur subdélégué sont exercées par les personnes nommées respectivement dans la charte des missions et responsabilités des ordonnateurs délégués et dans la charte des missions et responsabilités des ordonnateurs subdélégués.

2. Le comptable de la Commission européenne est le comptable du CEPD.

CHAPITRE III

DÉLÉGATION ET SUPPLÉANCE

Article 11

Délégations

1. Le contrôleur peut déléguer au directeur la compétence d’adopter et de signer le texte définitif d’une décision ou d’un avis dont le contenu a déjà été déterminé.

2. Lorsque des compétences lui ont été déléguées en vertu du paragraphe 1, le directeur peut subdéléguer le pouvoir d’exercer ces compétences en son absence au chef d’unité ou de secteur concerné.

3. Les paragraphes 1 et 2 s’appliquent sans préjudice des règles concernant la délégation des compétences conférées à l’autorité investie du pouvoir de nomination ou de celles relatives aux questions financières conformément aux articles 9 et 10.

Article 12

Suppléances

1. En l’absence du contrôleur et du contrôleur adjoint ou en cas d’empêchement de ceux-ci, le directeur les remplace le cas échéant pour les questions requérant un examen urgent pendant une telle absence ou incapacité.

2. Lorsque le directeur est empêché ou que le poste est vacant et qu’aucun fonctionnaire n’a été désigné par le contrôleur, les fonctions du directeur sont exercées par le chef d’unité ou de secteur présent ayant le grade le plus élevé et, à grade égal, la plus grande ancienneté dans le grade et, à ancienneté égale, le plus âgé.

3. À défaut d’un chef d’unité ou de secteur présent ou de la désignation d’un fonctionnaire, la suppléance est exercée par le fonctionnaire présent dans cette unité ou ce secteur ayant le grade le plus élevé et, à grade égal, la plus grande ancienneté dans le grade et, à ancienneté égale, le plus âgé.

4. Tout autre supérieur hiérarchique empêché ou dont le poste est vacant est suppléé par un fonctionnaire désigné par le directeur, en accord avec le contrôleur. À défaut d’une telle désignation, la suppléance est exercée par le fonctionnaire présent dans l’unité ou le secteur concerné(e) ayant le grade le plus élevé et, à grade égal, la plus grande ancienneté dans le grade et, à ancienneté égale, le plus âgé.

5. Les paragraphes 1 à 4 s’appliquent sans préjudice des règles concernant la délégation des compétences conférées à l’autorité investie du pouvoir de nomination ou de celles relatives aux questions financières conformément aux articles 9 et 10.

CHAPITRE IV

PLANIFICATION

Article 13

Plan de gestion annuel

1. Conformément aux principes de bonne administration et de bonne gestion financière, le CEPD établit chaque année un plan de gestion annuel. Ce plan traduit la stratégie à long terme du CEPD en objectifs généraux et spécifiques. Des indicateurs et des objectifs de performance sont définis et mesurés deux fois par an afin de contrôler et de suivre les réalisations.

2. Une analyse de risque des activités prévues par le CEPD est intégrée au plan de gestion annuel, qui comprend les risques recensés ainsi qu’une planification de mesures d’atténuation de ceux-ci.

Article 14

Rapport annuel

1. Conformément à l’article 48 du règlement, le CEPD présente au Parlement européen, au Conseil et à la Commission un rapport d’activité annuel (le «rapport annuel»), qu’il transmet aux autres institutions.

2. Le rapport annuel est présenté et publié sur le site Internet du CEPD au plus tard le 1er juillet de l’année suivante.

3. Le CEPD examine les observations présentées par les autres institutions visées au paragraphe 1, conformément à l’article 48, paragraphe 2, du règlement, en vue d’un éventuel examen ultérieur du rapport par le Parlement européen.

CHAPITRE V

PROCÉDURES SPÉCIFIQUES

SECTION 1

Dispositions générales

Article 15

Principes directeurs et valeurs fondamentales

1. Le CEPD agit dans l’intérêt public comme un organe expert, indépendant, fiable et faisant autorité en matière de protection des données, à l’échelle de l’Union. Les interventions du CEPD sont fondées sur l’impartialité, l’intégrité, la transparence et le pragmatisme.

2. Le CEPD s’engage auprès des parties prenantes de manière constructive afin de garantir un juste équilibre entre la protection des données et le respect de la vie privée et d’autres intérêts et politiques.

3. Le contrôle des institutions est fondé sur le principe selon lequel les responsables du traitement eux-mêmes sont les principaux responsables de la conformité.

Article 16

Politique relative aux activités

Le CEPD adopte des documents stratégiques afin de définir les éléments principaux de sa politique concernant certaines activités, lorsque de tels documents permettent de donner une orientation à la position du CEPD par rapport à une activité spécifique. Les documents stratégiques sont régulièrement mis à jour.

Article 17

Contrôle du respect du règlement

Le CEPD effectue des exercices de contrôle réguliers afin d’obtenir une bonne vue d’ensemble du respect de la protection des données au sein des institutions. Ces exercices peuvent être généraux ou plus ciblés et sont fondés sur les connaissances et les éléments de preuve collectés lors d’activités de contrôle.

Article 18

Respect des obligations

Le CEPD respecte ses obligations en matière de protection des données en utilisant les compétences qui lui sont conférées par l’article 47 du règlement. Ces compétences sont pleinement utilisées en cas de non-respect grave, délibéré ou répété.

SECTION 2

Contrôles préalables

Article 19

Demande de contrôle préalable

1. Conformément à l’article 27 du règlement, les traitements susceptibles de présenter des risques particuliers au regard des droits et libertés des personnes concernées du fait de leur nature, de leur portée ou de leurs finalités sont soumis au contrôle préalable du CEPD, sur notification du délégué à la protection des données d’une institution.

2. En cas de doute quant à la nécessité d’un contrôle préalable, le CEPD détermine à la demande du délégué à la protection des données si le traitement présente des risques particuliers et, le cas échéant, invite celui-ci à notifier le cas en conséquence.

3. Si le traitement ne présente pas de risque particulier, le CEPD peut néanmoins adresser certaines recommandations à l’institution.

4. Les notifications de contrôle préalable sont envoyées au secrétariat du CEPD par courrier électronique au moyen du formulaire standard du CEPD.

5. Toute autre information pertinente liée au traitement notifié peut être annexée au formulaire de notification.

Article 20

Avis sur la notification d’un contrôle préalable

1. Le CEPD adopte un avis présentant les principaux motifs et conclusions du contrôle préalable.

2. Si le traitement notifié risque d’entraîner une violation d’une disposition du règlement, le CEPD formule, le cas échéant, des propositions afin d’éviter une telle violation.

Article 21

Délais et suspensions pour l’adoption de l’avis sur la notification d’un contrôle préalable

1. Conformément à l’article 27, paragraphe 4, du règlement, le CEPD rend l’avis sur la notification d’un contrôle préalable dans les deux mois qui suivent la réception de la notification. Le CEPD peut demander toute information complémentaire considérée comme nécessaire. Le délai de deux mois peut être suspendu jusqu’à ce que le CEPD ait obtenu les informations demandées. Lorsque la complexité du dossier le rend nécessaire, ce délai peut être prolongé pour une nouvelle période unique de deux mois.

2. Si, au terme du délai de deux mois, éventuellement prolongé, l’avis n’est pas rendu, il est réputé favorable.

3. La date à laquelle commence à courir le délai est le jour suivant celui de la réception du formulaire de notification.

4. Si la date limite est un jour férié ou un autre jour auquel les services du CEPD sont fermés, la date limite pour l’adoption de l’avis est le jour ouvrable suivant.

Article 22

Délais et suspensions

1. Avant d’adopter un avis, le CEPD envoie un projet d’avis à l’institution l’invitant à réagir sur les aspects pratiques et les inexactitudes factuelles. L’institution fait part de ses réactions dans les 10 jours à compter de la réception du projet. Ce délai peut être prolongé sur demande justifiée du responsable du traitement. La demande de réactions suspend le délai visé à l’article 21, paragraphe 1. En l’absence de réactions dans le délai prescrit, le CEPD procède à l’adoption de l’avis.

2. Le CEPD accorde à l’institution un délai de trois mois à compter de la date d’adoption de l’avis pour fournir des informations sur la mise en œuvre des recommandations formulées dans l’avis. Ces informations font l’objet d’un suivi par le CEPD.

Article 23

Registre des contrôles préalables

1. Conformément à l’article 27, paragraphe 5, du règlement, le CEPD tient un registre de tous les traitements qui lui sont notifiés en vertu de l’article 27 du règlement.

2. Le registre exclut toute référence à des mesures sécuritaires. Il contient un lien vers l’avis du CEPD ainsi que des informations sur le délai accordé à l’institution pour fournir des informations conformément à l’article 22, paragraphe 2. Ce registre est accessible sur le site Internet du CEPD.

SECTION 3

Consultation administrative

Article 24

Consultation administrative

1. Conformément à l’article 28, paragraphe 1, du règlement, les institutions informent le CEPD lorsqu’elles élaborent des mesures administratives relatives au traitement de données à caractère personnel.

2. Conformément à l’article 46, point d), du règlement, le CEPD conseille les institutions, en réponse à une consultation, pour toutes les questions concernant le traitement de données à caractère personnel, en particulier avant l’élaboration par ces institutions de règles internes relatives à la protection des libertés et droits fondamentaux des personnes à l’égard du traitement des données à caractère personnel.

3. En principe, le CEPD ne prend en considération que les consultations qui ont d’abord été soumises pour consultation au délégué à la protection des données de l’institution concernée.

Article 25

Avis

1. En principe, le CEPD rend un avis dans les deux mois qui suivent la réception de la consultation. Le CEPD peut demander toute information complémentaire considérée comme nécessaire. Le délai de deux mois peut être suspendu jusqu’à ce que le CEPD ait obtenu les informations demandées.

2. Le CEPD accorde à l’institution un délai de trois mois à compter de la date d’adoption de l’avis pour fournir des informations sur la mise en œuvre des recommandations formulées dans l’avis. Ces informations font l’objet d’un suivi par le CEPD.

SECTION 4

Consultation législative et politique

Article 26

Portée de la consultation

1. Conformément à l’article 41 et à l’article 28, paragraphe 2, du règlement, le CEPD conseille sur des propositions législatives fondées sur les traités et d’autres actes et documents, tels que:

a) les décisions relevant de la politique étrangère et de sécurité commune;

b) les actes d’exécution et les actes délégués;

c) les documents relatifs aux accords conclus avec des pays tiers et des organisations internationales;

d) les initiatives législatives prises par les États membres en vertu des traités;

e) les initiatives de coopération renforcée;

f) les actes non contraignants, tels que les recommandations et les communications, relatifs à la protection des libertés et droits des personnes physiques à l’égard du traitement de données à caractère personnel.

Le CEPD fournit ces conseils en réponse à une consultation de la Commission en vertu de l’article 28, paragraphe 2, du règlement, à la suite de toute autre demande d’une institution ou de sa propre initiative.

2. Le CEPD doit pouvoir être consulté par les institutions impliquées à toutes les étapes du processus législatif.

Article 27

Consultation informelle

1. Comme convenu avec la Commission, le CEPD doit être consulté avant que le collège des commissaires ne décide définitivement d’adopter une mesure, une proposition législative ou un document politique. En réponse à une telle consultation, le CEPD adresse au service responsable de la Commission des observations informelles sur le projet de proposition ou de document connexe.

2. Les observations informelles formulées en vertu du paragraphe 1 respectent la confidentialité du processus de décision interne de la Commission, soumis aux règles applicables en vertu des traités et du droit dérivé. Le CEPD s’efforce de respecter les délais proposés par les services de la Commission, dans la mesure du raisonnable et du possible.

Article 28

Avis législatifs et observations formelles

1. Les conseils du CEPD concernant une proposition législative ou un document connexe peuvent prendre la forme d’un avis, d’observations formelles ou de tout autre instrument jugé approprié.

2. Tout avis du CEPD analyse les aspects relatifs à la protection des données d’une proposition ou d’un document connexe. Il est en principe rendu dans les trois mois qui suivent l’adoption de la proposition ou du document connexe.

3. Un résumé de l’avis est publié au Journal officiel de l’Union européenne (série C) tandis que la version intégrale est publiée sur le site Internet du CEPD.

4. Les observations formelles du CEPD portent essentiellement sur les aspects spécifiques d’une proposition ou d’un document connexe. En principe, elles sont présentées dans les deux mois qui suivent l’adoption du document. Elles sont publiées sur le site Internet du CEPD.

Article 29

Priorités annuelles et inventaire

1. Le CEPD publie ses priorités annuelles sur son site Internet.

2. Trois fois par an, le CEPD publie, sur son site Internet, un inventaire des propositions législatives et des documents connexes pour lesquels il a l’intention de donner des conseils. Cet inventaire classe ces documents selon leur priorité.

3. L’inventaire est fondé sur le programme de travail annuel de la Commission et ses annexes mises à jour ainsi que sur toute autre information pertinente disponible.

Article 30

Suivi des avis législatifs et des observations formelles

1. Après avoir donné des conseils, le CEPD suit activement les développements au Parlement européen, au Conseil et à la Commission.

2. Le contrôleur est disponible pour présenter oralement et discuter des conseils du CEPD lors d’une réunion avec le législateur ou pour apporter toute autre contribution demandée.

3. Lorsque des modifications importantes sont apportées à une mesure législative débattue, le CEPD peut envisager de présenter un nouvel avis, de nouvelles observations ou tout autre instrument jugé approprié.

SECTION 5

Réclamations

Article 31

Réclamations

1. Conformément à l’article 46, point a), du règlement, le CEPD entend et examine les réclamations dans la mesure appropriée, et informe la personne concernée des résultats de son examen dans un délai raisonnable.

2. Les plaintes présentées au CEPD n’interrompent pas les délais de recours dans les procédures parallèles judiciaires ou administratives.

Article 32

Présentation d’une réclamation

1. Toute réclamation identifie la personne qui la présente.

2. Toute réclamation est présentée par écrit dans une des langues officielles de l’Union et fournit toutes les informations nécessaires à la compréhension de son objet.

3. Toute réclamation est en principe présentée dans les deux ans à compter de la date à laquelle le réclamant a eu connaissance des faits qui en sont à la base.

4. Si une réclamation portant sur les mêmes faits a été présentée au Médiateur européen, le CEPD examine sa recevabilité à la lumière des dispositions du Mémorandum d’accord conclu entre le CEPD et le Médiateur européen (3).

Article 33

Traitement des réclamations

1. Le CEPD décide de la forme et des moyens les plus appropriés pour traiter une réclamation, en tenant compte:

a) de la nature et de la gravité de la violation alléguée des règles régissant la protection des données;

b) de l’importance du préjudice qu’une ou plusieurs personnes concernées ont ou peuvent avoir subi du fait de la violation;

c) de l’importance potentielle de l’affaire, en tenant compte des autres intérêts publics et/ou privés en cause;

d) de la probabilité d’établir l’existence de la violation;

e) de la date exacte des événements en cause, de tout comportement ne produisant plus d’effets, de l’élimination de ces effets ou d’une garantie satisfaisante quant à l’élimination de ces effets.

2. Les actions du CEPD peuvent comprendre, en particulier, des demandes d’information écrites, des entretiens avec les personnes concernées, des inspections sur place ou l’examen scientifique des dispositifs concernés.

3. Le CEPD ne divulgue le contenu d’une réclamation et l’identité du réclamant que dans la mesure nécessaire pour la bonne conduite de l’enquête. Pendant et après l’enquête, aucun document relatif à la réclamation, y compris la décision définitive, n’est divulgué par le CEPD à des tiers, à moins que les personnes concernées donnent leur consentement pour une telle divulgation ou que le CEPD y soit contraint en vertu d’une obligation légale.

4. Le CEPD ne publie les informations relatives à la réclamation que sous une forme qui ne permet pas au réclamant ou à d’autres personnes concernées en cause d’être identifiés.

Article 34

Issue des réclamations

1. Le CEPD informe le réclamant, dans les meilleurs délais, de l’issue d’une réclamation et de l’action prise.

2. Lorsqu’une réclamation est jugée irrecevable ou que son examen est terminé, le CEPD conseille au réclamant, le cas échéant, de s’adresser à une autre autorité.

3. Conformément à l’article 32, paragraphe 2, du règlement, l’absence de réponse du CEPD dans un délai de 6 mois équivaut à une décision de rejet de la réclamation.

Article 35

Révision et recours judiciaires

1. Le réclamant et l’institution concernée peuvent demander, par écrit, au CEPD de revoir la décision relative à une réclamation.

2. Toute demande de révision est présentée dans le mois qui suit la date de réception de la décision et se limite à de nouveaux éléments ou à de nouveaux arguments juridiques qui n’ont pas été pris en compte par le CEPD.

3. Indépendamment de la possibilité de demander au CEPD de revoir la décision relative à une réclamation, la décision peut être contestée devant la Cour de justice de l’Union européenne conformément aux conditions fixées à l’article 263 du traité sur le fonctionnement de l’Union européenne.

SECTION 6

Inspections et visites

Article 36

Inspections

1. Le CEPD décide de mener une inspection lorsqu’une vérification sur place est jugée nécessaire à l’exécution de ses missions de contrôle ou pour se conformer à une obligation légale.

2. L’exécution d’une inspection est annoncée par écrit à l’institution concernée quatre semaines avant la date prévue pour l’inspection. La communication décrit l’objectif et la portée de l’inspection, fixe la date de l’inspection ainsi qu’un délai dans lequel l’institution peut demander de modifier la date et dans lequel elle doit fournir au CEPD toute information demandée.

3. Le CEPD rend ensuite une décision sur l’inspection, déterminant l’objectif, la portée, la (les) date(s) et l’heure ainsi que le(s) lieu(x) de l’inspection et exposant la base juridique des activités d’inspection. La décision est accompagnée des mandats de tout membre du personnel participant à l’inspection.

4. Les membres du personnel effectuant l’inspection rassemblent toutes les preuves documentaires de manière sélective et proportionnée. Toutes les preuves documentaires sont sécurisées de manière appropriée.

5. Les entretiens réalisés et les informations obtenues lors d’une inspection ainsi que la procédure suivie sont enregistrés dans un compte-rendu envoyé à l’institution pour observations. En l’absence d’observations dans le délai prescrit, le compte-rendu est réputé approuvé. Une liste des éléments de preuve réunis lors de l’inspection est annexée au compte-rendu.

6. Le CEPD présente les conclusions de l’inspection dans un rapport d’inspection. Le rapport mentionne toute action à entreprendre par l’institution inspectée et fait l’objet d’un suivi par le CEPD.

Article 37

Visites

1. Les visites sont effectuées par le CEPD dans le but d’obtenir l’engagement des cadres supérieurs d’une institution à encourager le respect du règlement.

2. La décision d’une visite est en principe fondée sur un manque d’engagement à se conformer au règlement, un manque de communication ou en vue de sensibiliser l’institution.

3. Le cas échéant, une visite se conclut par la signature d’un accord sur un programme («feuille de route») engageant la direction de l’institution à respecter des obligations spécifiques conformes au règlement dans un délai prescrit. Le programme convenu fait l’objet d’un suivi par le CEPD.

SECTION 7

Surveillance des technologies

Article 38

Technologies et recherche

1. Conformément à l’article 46, point e), du règlement, le CEPD surveille l’évolution des technologies de l’information et des communications. Dans le cadre de cette mission, le CEPD est chargé de déterminer les tendances émergentes ayant une incidence potentielle sur la protection des données, d’établir des relations avec les parties prenantes, de sensibiliser aux éventuels aspects relatifs à la protection des données et de donner des conseils sur la manière d’inclure les préoccupations relatives à la protection des données dans d’importants projets, de promouvoir les principes de prise en compte du respect de la vie privée dès la conception et de respect de la vie privée par défaut et, le cas échéant, d’adapter les méthodes de contrôle à l’évolution des technologies.

2. Le CEPD contribue aux programmes-cadres de l’Union, en participant aux comités consultatifs de recherche, en assistant la Commission dans le processus d’évaluation des propositions ou par tout autre moyen, le cas échéant.

3. Le CEPD peut décider de contribuer, sur demande ou de sa propre initiative, à certaines activités financées par l’UE en matière de recherche, de développement technologique et de démonstration, en adoptant un avis sur l’activité concernée.

SECTION 8

Procédures juridictionnelles

Article 39

Actions contre les institutions

Conformément à l’article 47, paragraphe 1, point h), du règlement, le CEPD peut saisir la Cour de justice de l’Union européenne dans les conditions prévues par le traité. Le CEPD exerce cette compétence, dans la mesure nécessaire, en cas de non-respect du règlement par une institution et en cas d’absence de réaction effective à une mesure répressive prise par la suite par le CEPD conformément à l’article 47 du règlement.

Article 40

Actions contre les décisions du CEPD

Conformément à l’article 32, paragraphe 3, du règlement, les décisions du CEPD peuvent faire l’objet d’un recours devant la Cour de justice de l’Union européenne.

Article 41

Interventions

1. Conformément à l’article 47, paragraphe 1, point i), du règlement, le CEPD peut intervenir dans les affaires portées devant la Cour de justice de l’Union européenne.

2. Le CEPD demande la permission d’intervenir dans une procédure si l’affaire revêt une importance générale en matière de protection des données ou si le CEPD a été directement impliqué dans les faits en cause dans le cadre de ses missions de contrôle.

3. La décision de demander la permission d’intervenir peut également être influencée par le fait que la protection des données occupe une place importante dans l’affaire ou qu’une intervention du CEPD est susceptible d’apporter une valeur ajoutée à la procédure.

4. Le CEPD demande la permission d’intervenir s’il y est formellement invité par la Cour, à moins qu’il n’ait de fortes raisons de ne pas intervenir.

CHAPITRE VI

DÉLÉGUÉS À LA PROTECTION DES DONNÉES

Article 42

Coopération avec les délégués à la protection des données

1. Le CEPD coopère avec les délégués à la protection des données tant sur une base bilatérale qu’en participant aux réunions organisées par le réseau des délégués à la protection des données.

2. Le CEPD fournit un soutien et des orientations aux délégués à la protection des données, lorsque cela est nécessaire pour l’exercice de leurs fonctions.

Article 43.

Registre des nominations des délégués à la protection des données

Conformément à l’article 24, paragraphe 5, du règlement, le CEPD tient un registre des nominations des délégués à la protection des données qui lui sont communiquées. Ce registre contient, en particulier, des informations sur la durée du mandat de chaque délégué à la protection des données.

CHAPITRE VII

COOPÉRATION AVEC LES AUTORITÉS CHARGÉES DE LA PROTECTION DES DONNÉES

Article 44

Coopération avec les autorités chargées de la protection des données

1. Conformément à l’article 46, point f) i), du règlement, le CEPD coopère avec les autorités nationales chargées de la protection des données et d’autres organes de contrôle dans la mesure nécessaire à l’accomplissement de leurs devoirs respectifs.

2. Cette coopération comprend:

a) l’échange de toutes les informations importantes, telles que celles relatives aux meilleures pratiques, les demandes à l’autorité concernée d’exercer ses pouvoirs et les réponses à une demande d’une telle autorité;

b) l’intensification et le maintien des contacts avec les membres et le personnel des autorités concernés;

c) la coopération avec les autorités de contrôle communes et les organes institués par le droit de l’Union, y compris, le cas échéant, la participation aux réunions de ces autorités et organes, en vue de garantir une pratique cohérente.

Article 45

Groupe de travail «Article 29»

1. Conformément à l’article 46, point g), du règlement, le CEPD participe aux activités du groupe de travail institué par l’article 29 de la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (4).

2. Le CEPD contribue activement aux discussions et à l’élaboration de documents publiés par le groupe de travail en vue d’établir une interprétation commune de la législation en matière de protection des données et de fournir des conseils d’expert à la Commission européenne. Le cas échéant, le CEPD exprime le point de vue de l’Union.

3. Le CEPD participe régulièrement aux réunions plénières et de sous-groupe du groupe de travail.

4. Le CEPD encourage les discussions régulières, si possible au moins une fois par an, avec le président du groupe de travail sur leurs priorités respectives, en vue de garantir une bonne coopération dans la pratique.

Article 46

Contrôle coordonné des systèmes d’information à grande échelle

1. Le CEPD participe, avec les autorités nationales de contrôle, au contrôle coordonné des systèmes d’information à grande échelle, conformément au droit de l’Union.

2. Le CEPD organise des réunions de coordination et fournit le secrétariat des groupes de coordination.

3. Le CEPD coopère avec les différentes autorités nationales de contrôle dans la mesure nécessaire et selon leurs priorités, en vue de garantir un contrôle coordonné des aspects nationaux et centraux des systèmes d’information à grande échelle.

Article 47

Coopération internationale

1. Le CEPD participe à la conférence annuelle de printemps des commissaires européens à la protection des données, à la conférence internationale annuelle des commissaires à la protection des données et à la vie privée et au groupe de travail international sur la protection des données dans les télécommunications.

2. Le CEPD participe aux réseaux internationaux pertinents d’application des lois pour la protection de la vie privée.

3. Le CEPD organise régulièrement des ateliers réunissant les représentants des organisations internationales en vue d’échanger les meilleures pratiques et de développer une culture de protection des données au sein de ces organisations.

4. Le CEPD encourage la coopération et le dialogue au niveau international avec d’autres parties prenantes de pays tiers.

CHAPITRE VIII

ADMINISTRATION

Article 48

Sécurité

1. Conformément à l’article 45 du règlement, le contrôleur et les membres du personnel sont, pendant la durée de leurs fonctions et après la cessation de celles-ci, tenus au secret professionnel en ce qui concerne toute information confidentielle dont ils ont eu connaissance dans l’exercice de leurs fonctions.

2. Le CEPD nomme un ou plusieurs des membres de son personnel responsable(s) des questions de sécurité concernant les différents domaines d’activités. Ils sont responsables, en particulier, des questions de sécurité relatives au personnel, de la sécurité physique et de la sécurité informatique. Lorsqu’ils l’estiment nécessaire pour éviter des risques liés à la sécurité pour le CEPD, les membres du personnel ainsi nommés font directement rapport au directeur.

Article 49

Comité de pilotage TI

Un comité de pilotage sur les technologies de l’information est créé afin de conseiller le conseil d’administration sur les conséquences des technologies de l’information pour la sécurité et le développement interne du CEPD.

Article 50

Gestion de la qualité

Afin de garantir une bonne gestion de la qualité, le CEPD met en place des mécanismes appropriés, tels que des normes de contrôle interne, un rapport d’activité annuel et une gestion des risques.

Article 51

Délégué à la protection des données

Conformément à l’article 24 du règlement, le CEPD désigne un délégué à la protection des données qui fait directement rapport au directeur.

Article 52

Information du public

1. Le CEPD sensibilise à la protection des données et informe les personnes physiques de l’existence et du contenu de leurs droits. À cette fin, le CEPD utilise plusieurs moyens de communication (par exemple, site Internet, lettre d’information, médias sociaux et actions de sensibilisation), collabore avec les parties intéressées (par exemple, visites d’étude au bureau du CEPD, réponses aux demandes d’information) et participe à des événements publics, des réunions et des conférences.

2. Le CEPD informe les médias des grands événements relatifs à la protection des données et des publications ou des avis importants, au moyen de communiqués de presse, d’entretiens et de conférences de presse.

Article 53

Documentation

1. Le CEPD tient des registres précis et authentiques de toutes ses activités, procurant ainsi des éléments de preuve fiables et juridiquement vérifiables qui étayent ses décisions et ses actions.

2. Les documents relatifs à des activités spécifiques sont regroupés dans des dossiers. Ces dossiers sont accessibles de manière logique en fonction du type d’activité, selon un plan de classement établi par le CEPD.

3. Les différents types de dossiers sont conservés pour une période déterminée selon un calendrier de conservation établi par le CEPD. À l’expiration de la période de conservation, les dossiers sont évalués et archivés selon la politique d’archivage adoptée par le CEPD.

Article 54

Divulgation active des documents

1. En principe, tous les documents politiques clés, les lignes directrices thématiques, les avis législatifs, les observations formelles, les notes de plaidoirie des audiences des tribunaux et les avis sur la notification d’un contrôle préalable sont publiés sur le site Internet du CEPD.

2. Les avis faisant suite à une consultation administrative sont publiés sur le site Internet du CEPD s’ils sont d’une grande pertinence, s’ils contiennent une nouvelle interprétation ou application de la législation ou s’ils traitent des conséquences des nouvelles technologies sur les droits des personnes concernées.

Article 55

Publication au Journal officiel

Les documents suivants sont publiés au Journal officiel de l’Union européenne:

a) les résumés des avis législatifs visés à l’article 28, paragraphe 3;

b) les décisions et les avis du CEPD, ou leurs résumés, visés à l’article 9, paragraphe 7, à l’article 10, paragraphe 2, point b), à l’article 10, paragraphes 4 à 6, à l’article 12, paragraphe 2, à l’article 19 et à l’article 37, paragraphe 2, du règlement;

c) les autres documents jugés pertinents par le CEPD.

Article 56

Accès du public aux documents

Le public a accès aux documents détenus par le CEPD conformément aux principes établis par le règlement (CE) no 1049/2001 du Parlement européen et du Conseil du 30 mai 2001 relatif à l’accès du public aux documents du Parlement européen, du Conseil et de la Commission (5).

Article 57

Authentification des décisions

1. Les décisions sont authentifiées par l’apposition de la signature du contrôleur sur la version linguistique originale.

2. Cette signature peut être manuscrite ou sous forme électronique.

Article 58

Langues et langues de travail

1. La langue des procédures menées par le CEPD est l’une des langues mentionnées à l’article 55, paragraphe 1, du traité sur l’Union européenne. Dans le cas d’une réclamation, la langue de procédure est la langue dans laquelle la réclamation est rédigée.

2. Les rapports, les avis et les autres documents, y compris ceux destinés à être publiés sur le site Internet du CEPD, sont rédigés au moins en anglais, en français et en allemand.

Article 59

Personnel

1. Les membres du personnel du CEPD sont recrutés conformément au statut des fonctionnaires et au régime applicable aux autres agents de l’Union européenne et sous réserve de ceux-ci.

2. Afin de renforcer la coopération avec les autorités nationales, en particulier avec les autorités nationales chargées de la protection des données, un programme de détachement du personnel est mis en place au sein du CEPD.

3. Un programme de stage est mis en place afin de permettre aux récents diplômés universitaires d’acquérir une expérience pratique sur le fonctionnement du CEPD et de l’Union en général.

4. Le CEPD peut recourir à du personnel intérimaire et à d’autres formes d’assistance extérieure afin de couvrir des besoins temporaires.

Article 60

Comité du personnel

1. Un comité du personnel représentant le personnel du CEPD est consulté en temps utile sur des projets de décisions relatives à la mise en œuvre du statut des fonctionnaires de l’Union européenne et peut être consulté sur toute autre question d’intérêt général concernant le personnel. Le comité du personnel est informé de toute question relative à l’exécution de ses missions. Il rend ses avis dans les quinze jours à compter de sa consultation.

2. Le comité du personnel contribue au bon fonctionnement du CEPD en formulant des propositions sur des questions relatives à l’organisation et aux conditions de travail.

3. Le comité du personnel est composé de trois membres et de trois suppléants, élus pour une période de deux ans par l’assemblée générale.

Article 61

Coopération administrative avec les autres institutions

1. Le directeur, en sa qualité de chef du secrétariat, représente le CEPD dans les différentes instances interinstitutionnelles et peut déléguer cette fonction de représentation aux fonctionnaires chargés des ressources humaines, du budget et de l’administration.

2. Étant donné la taille du CEPD comparée à celle des autres institutions et à des fins de bonne gestion et d’économie budgétaire, le CEPD négocie activement des accords de coopération, des mémorandums d’accord et des accords sur les niveaux de service avec d’autres institutions.

CHAPITRE IX

DISPOSITIONS FINALES

Article 62

Entrée en vigueur

Le présent règlement intérieur entre en vigueur le jour suivant sa signature et est publié au Journal officiel de l’Union européenne.

Fait à Bruxelles, le 17 décembre 2012. Peter HUSTINX Contrôleur européen de la protection des données

(1) JO L 8 du 12.1.2001, p. 1.

(2) JO L 183 du 12.7.2002, p. 1.

(3) JO C 27 du 7.2.2007, p. 21.

(4) JO L 281 du 23.11.1995, p. 31.

(5) JO L 145 du 31.5.2001, p. 43.