DÉCISION DU CONSEIL D’ADMINISTRATION DE L’AGENCE DE SOUTIEN À L’ORGANE DES RÉGULATEURS EUROPÉENS DES COMMUNICATIONS ÉLECTRONIQUES (OFFICE DE L’ORECE)

du 10 septembre 2019

portant règles internes relatives aux limitations de certains droits des personnes concernées en matière de traitement des données à caractère personnel dans le cadre des activités menées par l’Office de l’ORECE

LE CONSEIL D’ADMINISTRATION,

vu le règlement (UE) 2018/1971 du Parlement européen et du Conseil du 11 décembre 2018 établissant l’Organe des régulateurs européens des communications électroniques (ORECE) et l’Agence de soutien à l’ORECE (Office de l’ORECE), modifiant le règlement (UE) 2015/2120 et abrogeant le règlement (CE) no 1211/2009 (1), et notamment son article 36, paragraphe 4,

vu le règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (2) (le «règlement»), et notamment son article 25,

considérant ce qui suit:

(1) L’Office de l’ORECE peut, dans le cadre de son fonctionnement, mener des enquêtes administratives, des procédures prédisciplinaires et disciplinaires, et des procédures de suspension en vertu de l’annexe IX du statut des fonctionnaires de l’Union européenne et du régime applicable aux autres agents de l’Union européenne (3) et conformément à la décision MC/2012/3 du comité de gestion de l’Office de l’Organe des régulateurs européens des communications électroniques (l’Office de l’ORECE) fixant les dispositions générales d’exécution relatives à la conduite des enquêtes administratives et des procédures disciplinaires, et donc le traitement d’informations, y compris des données à caractère personnel.

(2) Les membres du personnel de l’Office de l’ORECE ont l’obligation de signaler toute activité illégale éventuelle, y compris la fraude ou la corruption, portant atteinte aux intérêts de l’Union, ou conduite en rapport avec l’exercice d’activités professionnelles pouvant constituer un manquement grave aux obligations des membres du personnel de l’Union. Ce principe est régi par la décision MC/2018/11 du comité de gestion de l’Office de l’Organe des régulateurs européens des communications électroniques (Office de l’ORECE), établissant des lignes directrices relatives au lancement d’alertes de l’Office de l’ORECE.

(3) L’Office de l’ORECE a défini une politique visant à prévenir et à traiter de manière efficace et efficiente les cas réels ou potentiels de harcèlement moral ou sexuel sur le lieu de travail, conformément à la décision MC/2016/15 du comité de gestion de l’Office de l’Organe des régulateurs européens des communications électroniques (Office de l’ORECE) au sujet de la politique relative à la protection de la dignité de la personne et à la prévention du harcèlement psychologique et sexuel.

(4) Dans le cadre des activités susmentionnées, l’Office de l’ORECE collecte et traite les informations pertinentes et plusieurs catégories de données à caractère personnel, y compris les données d’identification de personnes physiques, les coordonnées, les fonctions et rôles professionnels, les informations sur la conduite et les performances professionnelles et privées, ainsi que les données financières. L’Office de l’ORECE agit en qualité de responsable du traitement des données.

(5) Des garanties adéquates sont en place pour protéger les données à caractère personnel et empêcher que celles-ci ne fassent l’objet d’un accès ou d’un transfert accidentel ou illicite, qu’elles soient conservées dans un environnement physique ou électronique. Après leur traitement, les données sont conservées conformément aux règles de l’Office de l’ORECE applicables à la conservation de ces données, telles que définies dans les registres relatifs à la protection des données, conformément à l’article 31 du règlement. Au terme de la durée de conservation, les informations des dossiers, y compris les données à caractère personnel, sont effacées, anonymisées ou transférées aux archives historiques.

(6) Dans ce contexte, l’Office de l’ORECE est tenu de respecter son obligation de fournir des informations aux personnes concernées en ce qui concerne les activités de traitement susmentionnées et de respecter les droits des personnes concernées, comme le prévoit le règlement.

(7) Il peut s’avérer nécessaire de concilier les droits des personnes concernées en vertu du règlement avec les besoins des activités susmentionnées, tout en respectant pleinement les libertés et droits fondamentaux d’autres personnes concernées. À cet effet, l’article 25 du règlement prévoit, dans des conditions strictes, la possibilité de limiter l’application des articles 14 à 20, 35 et 36, ainsi que de l’article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 20. Dans ce cas, il est nécessaire d’adopter des règles internes en vertu desquelles l’Office de l’ORECE peut limiter ces droits conformément au même article du règlement.

(8) Cela peut notamment être le cas lorsqu’il s’agit de fournir des informations sur le traitement de données à caractère personnel à la personne concernée lors de la phase d’évaluation préliminaire d’une enquête administrative ou pendant l’enquête elle-même, préalablement à un classement éventuel de l’affaire ou à une phase prédisciplinaire. Dans certaines circonstances, la communication de ces informations pourrait sérieusement compromettre la capacité de l’Office de l’ORECE de mener l’enquête de manière efficace, lorsque, par exemple, la personne concernée risque de détruire des preuves ou de tenter d’influencer des témoins potentiels avant que ceux-ci ne soient interrogés. En outre, il pourrait être nécessaire que l’Office de l’ORECE protège leurs droits et leurs libertés, ainsi que les droits et libertés d’autres personnes concernées.

(9) Il pourrait également être nécessaire de protéger la confidentialité de l’identité d’un témoin ou d’un lanceur d’alerte qui a demandé à ne pas être identifié. Dans ce cas, l’Office de l’ORECE peut décider de limiter l’accès à l’identité, aux déclarations et aux autres données à caractère personnel du lanceur d’alerte et des autres personnes concernées, afin de protéger leurs droits et libertés.

(10) Il pourrait s’avérer nécessaire de protéger la confidentialité de l’identité d’un membre du personnel qui a contacté les conseillers confidentiels de l’Office de l’ORECE dans le cadre d’une procédure relative au harcèlement. Dans ce cas, l’Office de l’ORECE peut décider de limiter l’accès à l’identité, aux déclarations et aux autres données à caractère personnel de la victime présumée, du harceleur présumé et des autres personnes concernées, afin de protéger leurs droits et libertés.

(11) Les limitations appliquées par l’Office de l’ORECE doivent toujours respecter l’essence des libertés et droits fondamentaux et constituer une mesure strictement nécessaire et proportionnée dans une société démocratique. L’Office de l’ORECE doit justifier ces limitations.

(12) Sur la base du principe de responsabilité, l’Office de l’ORECE doit tenir un registre relatif à l’application de ces limitations.

(13) L’article 25, paragraphe 6, du règlement impose au responsable du traitement d’informer les personnes concernées des principales raisons qui motivent l’application de la limitation et de leur droit de saisir le contrôleur européen de la protection des données (CEPD).

(14) Conformément à l’article 25, paragraphe 8, du règlement, l’Office de l’ORECE peut différer, omettre ou refuser la communication d’informations sur les motifs de l’application d’une limitation à la personne concernée si cela prive d’effet, de quelque manière que ce soit, la limitation imposée. L’Office de l’ORECE doit évaluer au cas par cas si la communication de ces informations prive d’effet la limitation imposée.

(15) L’Office de l’ORECE doit lever la limitation dès que les conditions qui la justifient ne s’appliquent plus et évaluer régulièrement ces conditions.

(16) Afin de garantir une protection optimale des droits et libertés des personnes concernées et conformément à l’article 44, paragraphe 1, du règlement, le délégué à la protection des données (DPD) doit être informé en temps utile de toute limitation appliquée et vérifier le respect de la présente décision.

(17) L’application des limitations susmentionnées est sans préjudice de l’application éventuelle des dispositions de l’article 16, paragraphe 5, et de l’article 17, paragraphe 4, du règlement, qui portent, respectivement, sur le droit à l’information lorsque les données à caractère personnel n’ont pas été recueillies auprès de la personne concernée, et sur le droit d’accès de la personne concernée.

(18) Le Contrôleur européen de la protection des données (CEPD) a été consulté le 27 mai 2019,

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier Objet et champ d’application La présente décision établit les règles relatives aux conditions dans lesquelles l’Office de l’ORECE peut limiter l’application des articles 14 à 20, 35 et 36, ainsi que de l’article 4, du règlement, en vertu de son article 25.

Article 2 Limitations 1. Conformément à l’article 25, paragraphe 1, du règlement, l’Office de l’ORECE peut limiter l’application de ses articles 14 à 20, 35 et 36, ainsi que de son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 20, lorsqu’il: a) mène des enquêtes administratives, des procédures prédisciplinaires et disciplinaires, et des procédures de suspension en vertu de l’annexe IX du statut des fonctionnaires de l’Union européenne et du régime applicable aux autres agents de l’Union européenne et conformément à la décision MC/2012/3 du comité de gestion de l’Office de l’Organe des régulateurs européens des communications électroniques (l’Office de l’ORECE) fixant les dispositions générales d’exécution relatives à la conduite des enquêtes administratives et des procédures disciplinaires, et donc le traitement d’informations, y compris des données à caractère personnel. Les limitations pertinentes peuvent se fonder sur l’article 25, paragraphe 1, points c), g) et h), du règlement; b) fait en sorte que les membres du personnel de l’Office de l’ORECE puissent, à titre confidentiel, communiquer des faits lorsqu’ils estiment qu’il existe de graves irrégularités, conformément à la décision MC/2018/11 du comité de gestion de l’Office de l’Organe des régulateurs européens des communications électroniques (Office de l’ORECE) établissant des lignes directrices relatives au lancement d’alertes de l’Office de l’ORECE. Les limitations pertinentes peuvent se fonder sur l’article 25, paragraphe 1, point h), du règlement; c) veille à ce que les membres du personnel de l’Office de l’ORECE puissent, à titre confidentiel, informer des conseillers confidentiels dans le cadre d’une procédure relative au harcèlement conformément à la décision MC/2016/15 du comité de gestion de l’Office de l’Organe des régulateurs européens des communications électroniques (Office de l’ORECE) au sujet de la politique relative à la protection de la dignité de la personne et à la prévention du harcèlement psychologique et sexuel. Les limitations pertinentes peuvent se fonder sur l’article 25, paragraphe 1, point h), du règlement; 2. Les catégories de données comprennent les données d’identification de personnes physiques, les coordonnées, les fonctions et rôles professionnels, les informations sur la conduite et les performances professionnelles et privées, ainsi que les données financières. 3. Toute limitation doit respecter l’essence des libertés et droits fondamentaux et constituer une mesure nécessaire et proportionnée dans une société démocratique. 4. Une évaluation de la nécessité et de la proportionnalité est effectuée au cas par cas avant l’application des limitations. Les limitations se réduisent à ce qui est strictement nécessaire pour atteindre les objectifs fixés, en tenant compte des risques pour les droits et libertés des personnes concernées. 5. À des fins de responsabilité, l’Office de l’ORECE dépose un dossier décrivant les raisons des restrictions appliquées, les motifs parmi ceux énumérés au paragraphe 1 qui s’appliquent et le résultat de l’évaluation de la nécessité et de la proportionnalité. Ces dossiers font partie d’un registre ad hoc, qui est mis à disposition par le CEPD. Un rapport sur l’application de l’article 25 du règlement est mis à disposition périodiquement.

Article 3 Risques pour les droits et libertés des personnes concernées L’évaluation des risques pour les droits et libertés des personnes concernées dont les données à caractère personnel peuvent faire l’objet de limitations, ainsi que leur durée de conservation, sont mentionnées dans le registre des activités de traitement pertinentes, conformément à l’article 31 du règlement et, le cas échéant, dans les analyses d’impact relatives à la protection des données, en vertu de l’article 39 du règlement.

Article 4 Durée de conservation et garanties L’Office de l’ORECE met en œuvre des garanties afin de prévenir les abus ou l’accès ou le transfert illicites de données à caractère personnel susceptibles de faire l’objet de restrictions. Ces garanties comprennent des mesures techniques et organisationnelles et sont détaillées, le cas échéant, dans les décisions, procédures et dispositions d’application de l’Office de l’ORECE. Les garanties comprennent: a) une définition adéquate des rôles, des responsabilités et des étapes de la procédure; b) le cas échéant, un environnement électronique sécurisé qui empêche l’accès ou le transfert illicites ou accidentels de données électroniques à des personnes non autorisées; c) le cas échéant, la conservation et le traitement sécurisés des documents papier; d) le suivi régulier des limitations et une révision périodique, qui doit être effectuée au moins tous les six mois. Une révision doit également être effectuée en cas de modification d’éléments essentiels du cas d’espèce. Les limitations sont levées dès que les circonstances qui les justifient ne s’appliquent plus.

Article 5 Information et examen par le délégué à la protection des données 1. Le DPD de l’Office de l’ORECE est informé dans les meilleurs délais dès lors que les droits des personnes concernées sont limités conformément à la présente décision et a accès au dossier et à tout document sous-jacent aux éléments de fait et de droit. 2. Le DPD de l’Office de l’ORECE peut demander à examiner l’application de la limitation. L’Office de l’ORECE informe son délégué par écrit du résultat de l’examen demandé. 3. La participation du DPD de l’Office de l’ORECE à la procédure de limitation, y compris aux échanges d’informations, est documentée sous la forme appropriée.

Article 6 Information des personnes concernées sur les limitations de leurs droits 1. L’Office de l’ORECE inclut dans les avis de protection des données publiés sur son site internet des informations générales à l’intention des personnes concernées en ce qui concerne les limitations potentielles de l’ensemble des droits des personnes concernées décrites à l’article 2, paragraphe 1, de la présente décision. Ces informations portent sur les droits susceptibles d’être limités, ainsi que sur les raisons et la durée potentielle de la limitation. 2. En outre, l’Office de l’ORECE informe les personnes concernées individuellement de toute limitation présente ou future de leurs droits dans les meilleurs délais et par écrit, comme précisé aux articles 7, 8 et 9 de la présente décision.

Article 7 Droit à l’information des personnes concernées et communication relative aux violations de données 1. Lorsque, dans le cadre des activités visées dans la présente décision, l’Office de l’ORECE limite, en tout ou en partie, les droits des personnes concernées visés aux articles 14 à 16 et à l’article 35 du règlement, les personnes concernées sont informées des principales raisons qui motivent l’application de la limitation, de leur droit de saisir le CEPD et de former un recours juridictionnel devant la Cour de justice de l’Union européenne. 2. L’Office de l’ORECE peut différer, omettre ou refuser la communication d’informations sur les motifs de la limitation visée au paragraphe 1 dès lors que cela priverait d’effet la limitation. Cette évaluation se fait au cas par cas.

Article 8 Droit d’accès, de rectification, d’effacement et de limitation du traitement des données des personnes concernées 1. Lorsque, dans le cadre des activités visées dans la présente décision, l’Office de l’ORECE limite, en tout ou en partie, le droit d’accès aux données à caractère personnel, le droit de rectification, d’effacement et de limitation du traitement visé aux articles 17 à 20, respectivement, du règlement, il informe la personne concernée, dans la réponse à sa demande, des principales raisons qui motivent l’application de la limitation, de son droit de saisir le CEPD ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne. 2. L’Office de l’ORECE peut différer, omettre ou refuser la communication d’informations sur les motifs de la limitation visée au paragraphe 1 si cela prive d’effet la limitation. Cette évaluation se fait au cas par cas.

Article 9 Confidentialité des communications électroniques 1. L’Office de l’ORECE peut, dans des cas exceptionnels et conformément aux dispositions et au principe de la directive 2002/58/CE du Parlement européen et du Conseil (4), limiter le droit à la confidentialité des communications électroniques, comme le prévoit l’article 36 du règlement. Dans ce cas, l’Office de l’ORECE précise les circonstances, les motifs, les risques pertinents et les garanties connexes dans des règles internes spécifiques. 2. Lorsque l’Office de l’ORECE restreint le droit à la confidentialité des communications électroniques, il informe la personne concernée, dans la réponse à sa demande, des principales raisons qui motivent l’application de la limitation, de son droit de saisir le CEPD et de former un recours juridictionnel devant la Cour de justice de l’Union européenne. 3. L’Office de l’ORECE peut différer, omettre ou refuser la communication d’informations sur les motifs de la limitation visée aux paragraphes 1 et 2 dès lors que cela priverait d’effet la limitation. Cette évaluation se fait au cas par cas.

Article 10 Entrée en vigueur La présente décision entre en vigueur le jour de sa publication au Journal officiel de l’Union européenne.

Fait à Riga, le 10 septembre 2019. Pour l’Agence de soutien à l’ORECE Jeremy GODFREY Président du conseil d’administration

(1) JO L 321 du 17.12.2018, p. 1.

(2) JO L 295 du 21.11.2018, p. 39.

(3) Règlement (CEE, Euratom, CECA) n° 259/68 du Conseil du 29 février 1968 fixant le statut des fonctionnaires des Communautés européennes ainsi que le régime applicable aux autres agents de ces Communautés, et instituant des mesures particulières temporairement applicables aux fonctionnaires de la Commission (JO L 56 du 4.3.1968, p. 1).

(4) Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques) (JO L 201 du 31.7.2002, p. 37).