DÉCISION No 4/2022 DU BUREAU DU COMITÉ DES RÉGIONS

du 25 janvier 2022

établissant des règles internes relatives à la limitation de certains droits des personnes concernées en matière de traitement de données à caractère personnel dans le contexte des activités et procédures entreprises par le Comité des régions

LE BUREAU DU COMITÉ DES RÉGIONS,

Vu le traité sur le fonctionnement de l’Union européenne (1), et notamment son article 306,

Vu le règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (2) (ci-après le «règlement» ou «RPDUE»), et notamment son article 25,

Vu le règlement intérieur du Comité européen des régions (3), et notamment son article 37, point d),

Vu l’avis D(2021) 0894 (dossier 2021-0345) du Contrôleur européen de la protection des données (ci-après le «CEPD») du 20 avril 2021, consulté conformément à l’article 41, paragraphe 2, du RPDUE,

considérant ce qui suit:

(1) Conformément à l’article 3, paragraphe 1, du RPDUE, toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée «personne concernée») devrait être considérée comme une donnée à caractère personnel.

(2) Le règlement s’applique, de la même manière qu’à toute institution de l’Union, au Comité des régions (ci-après le «Comité») en ce qui concerne le traitement de données à caractère personnel dans le contexte des activités et procédures qu’il entreprend.

(3) Le responsable du traitement au sens de l’article 3, paragraphe 8, du RPDUE est le Comité, qui peut déléguer la responsabilité de déterminer les finalités et les moyens du traitement de données à caractère personnel.

(4) Conformément à l’article 45, paragraphe 3, du RPDUE, le bureau du Comité des régions (ci-après le «bureau») a adopté des dispositions d’application (4) concernant le règlement et le délégué à la protection des données du Comité (ci-après le «DPD»). Conformément à ces dispositions, le service (direction, unité ou secteur) du secrétariat général du Comité ou le secrétariat d’un des groupes politiques du Comité qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel devrait faire office de responsable délégué du traitement de ces données au nom du Comité.

(5) Le Comité et le Comité économique et social européen (ci-après le «CESE») partagent certains services et ressources (ci-après dénommés «services conjoints») dans le cadre de la coopération interinstitutionnelle, et les règles internes applicables relatives à la limitation des droits des personnes concernées en matière de traitement de données à caractère personnel par les services conjoints devraient être définies conformément aux modalités convenues à cette fin entre le Comité et le CESE.

(6) Pour l’accomplissement des missions du Comité, les responsables du traitement des données collectent et traitent des informations et plusieurs catégories de données à caractère personnel, y compris les données d’identification de personnes physiques, les coordonnées, les fonctions et rôles professionnels, les informations sur la conduite et les performances professionnelles et privées, ainsi que les données financières. En vertu du règlement, les responsables du traitement des données sont donc tenus de fournir des informations aux personnes concernées sur les activités de traitement qu’ils effectuent et de respecter les droits desdites personnes.

(7) Les responsables du traitement des données pourraient devoir concilier ces droits avec les objectifs des enquêtes, investigations, vérifications, activités, audits et procédures menés au sein du Comité. Ils pourraient aussi devoir mettre en balance les droits d’une personne concernée avec les libertés et droits fondamentaux d’autres personnes concernées. À cette fin, l’article 25, paragraphe 1, du RPDUE prévoit pour les responsables du traitement des données la possibilité de limiter l’application des articles 14, 15, 16, 17, 18, 19, 20, 21, 22, 35 et 36 du règlement, ainsi que de son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 22.

(8) Les limitations appliquées par les responsables du traitement des données doivent toujours respecter l’essence des libertés et droits fondamentaux et constituer une mesure strictement nécessaire et proportionnée dans une société démocratique.

(9) Les responsables du traitement des données doivent justifier ces limitations et tenir un registre des limitations qu’ils appliquent aux droits des personnes concernées.

(10) Les responsables du traitement des données doivent lever une limitation dès que les conditions qui la justifient cessent de s’appliquer, et évaluer régulièrement ces conditions.

(11) Afin de garantir la plus grande protection des droits et libertés des personnes concernées, le DPD doit être consulté en temps utile au sujet de toute limitation pouvant être appliquée et vérifier sa conformité avec la présente décision.

(12) Il est nécessaire d’adopter des règles internes en vertu desquelles les responsables du traitement des données sont autorisés à limiter les droits des personnes concernées, sauf si des limitations sont prévues dans un acte juridique adopté sur la base des traités (5).

(13) La présente décision ne devrait pas s’appliquer dans les cas où s’applique l’une des exceptions prévues à l’article 15, paragraphe 4, et à l’article 16, paragraphe 5, du RPDUE en ce qui concerne les informations à fournir à une personne concernée,

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier Objet, champ d’application et définitions 1. La présente décision établit les règles relatives aux conditions dans lesquelles, conformément à l’article 25, paragraphe 1, du RPDUE, les responsables du traitement des données peuvent limiter, le cas échéant, l’application des articles 14, 15, 16, 17, 18, 19, 20, 21, 22, 35 et 36 du règlement, ainsi que de son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 22. 2. Aux fins de la présente décision, on entend par: a) «données à caractère personnel»: toute information se rapportant à une personne concernée qui est traitée dans le cadre d’activités ou de procédures ne relevant pas du champ d’application de la troisième partie, titre V, chapitre 4 ou 5, du traité sur le fonctionnement de l’Union européenne, par opposition aux données opérationnelles à caractère personnel au sens de l’article 3, paragraphe 2, du RPDUE; b) «responsable du traitement des données»: l’entité qui, seule ou conjointement avec d’autres, détermine effectivement les finalités et les moyens du traitement de données à caractère personnel dans le contexte des activités et procédures entreprises par le Comité, que la responsabilité de cette détermination ait été déléguée ou non. 3. La présente décision s’applique au traitement de données à caractère personnel effectué aux fins des activités et procédures entreprises par le Comité. Elle ne s’applique pas lorsqu’un acte juridique adopté sur la base des traités prévoit une limitation des droits des personnes concernées. 4. Le responsable du traitement au sens de l’article 3, paragraphe 8, du RPDUE est le Comité, qui peut déléguer la responsabilité de déterminer les finalités et les moyens du traitement de données à caractère personnel. 5. Aux fins de chaque traitement, limitation et report, omission ou refus de communication d’informations, le responsable du traitement des données est déterminé conformément aux décisions, procédures et dispositions d’application internes du Comité en la matière.

Article 2 Exceptions et dérogations 1. Avant d’appliquer toute limitation en vertu de l’article 3, paragraphe 1, les responsables du traitement des données examinent si l’une des exceptions ou dérogations prévues par le règlement s’applique, notamment au titre de l’article 15, paragraphe 4, de l’article 16, paragraphe 5, de l’article 19, paragraphe 3, de l’article 25, paragraphes 3 et 4, et de l’article 35, paragraphe 3, du RPDUE. 2. L’application de dérogations fait l’objet de garanties appropriées conformément à l’article 13 du RPDUE et à l’article 6 de la présente décision.

Article 3 Limitations 1. Les responsables du traitement des données peuvent limiter, le cas échéant, l’application des articles 14, 15, 16, 17, 18, 19, 20, 21, 22, 35 et 36 du RPDUE, ainsi que de son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 22, lorsque l’exercice de leurs droits par les personnes concernées porterait atteinte à la finalité ou au résultat d’une ou de plusieurs activités ou procédures entreprises par le Comité, en particulier: a) conformément à l’article 25, paragraphe 1, points b), c), f), g) et h), du RPDUE, lorsque l’autorité investie du pouvoir de nomination et l’autorité habilitée à conclure les contrats d’engagement du Comité (ci-après dénommées «AIPN») conduisent des procédures disciplinaires, des enquêtes administratives et des enquêtes relatives aux membres du personnel conformément à l’article 86 et à l’annexe IX du statut des fonctionnaires de l’Union européenne (ci-après le «statut») et aux articles 50 bis et 119 du régime applicable aux autres agents de l’Union européenne (6) (ci-après le «RAA»), ainsi que des enquêtes dans le contexte de demandes d’assistance soumises en vertu de l’article 24 du statut et des articles 11 et 81 du RAA, et en ce qui concerne les cas présumés de harcèlement au sens de l’article 12 bis du statut; b) conformément à l’article 25, paragraphe 1, points b), c), f) et h), du RPDUE, lorsque l’AIPN examine les demandes et plaintes présentées par les fonctionnaires et autres agents du Comité (ci-après les «membres du personnel») en vertu de l’article 90 du statut et des articles 46 et 117 du RAA; c) conformément à l’article 25, paragraphe 1, points c) et h), du RPDUE, lorsque l’AIPN met en œuvre la politique du Comité en matière de personnel en menant des procédures de sélection (recrutement), d’évaluation (notation) et de promotion; d) conformément à l’article 25, paragraphe 1, points c), f), g) et h), du RPDUE, lorsque l’ordonnateur du Comité (ci-après l’«ordonnateur») exécute la section du budget général de l’Union européenne relative au Comité en menant des procédures d’attribution conformément aux règles financières applicables au budget général de l’Union (7) (ci-après le «règlement financier»); e) conformément à l’article 25, paragraphe 1, points b), c), f), g) et h), du RPDUE, lorsque l’ordonnateur effectue des contrôles et des enquêtes concernant la légalité des transactions financières réalisées par le Comité et au sein de celui-ci, les droits financiers (8) des membres et des suppléants du Comité (ci-après les «membres du Comité»), ainsi que le financement des activités et manifestations organisées ou coorganisées par le Comité, et traite les irrégularités financières commises par un membre du personnel conformément à l’article 93 du règlement financier; f) conformément à l’article 25, paragraphe 1, points b), c), f), g) et h), du RPDUE, lorsque le Comité fournit des informations et des documents à l’Office européen de lutte antifraude (ci-après l’«OLAF»), soit à la demande dudit Office, soit de sa propre initiative, notifie des cas à l’OLAF ou traite des informations et documents reçus de la part de l’OLAF (9); g) conformément à l’article 25, paragraphe 1, points c), g) et h), du RPDUE, lorsque le Comité procède à des audits internes aux fins des articles 118 et 119 du règlement financier et en relation avec les activités et procédures de ses services; h) conformément à l’article 25, paragraphe 1, points c), d) et h), du RPDUE, lorsque le Comité effectue des évaluations internes des risques et des contrôles d’accès, y compris les vérifications des antécédents, prend des mesures de prévention et d’instruction relatives aux incidents de sécurité et de sûreté, y compris les incidents impliquant des membres du Comité ou du personnel, ainsi que les incidents liés à l’infrastructure du Comité et à ses technologies de l’information et de la communication, et mène des enquêtes de sécurité et des enquêtes auxiliaires, y compris concernant ses réseaux de communications électroniques, de sa propre initiative ou à la demande de tiers; i) conformément à l’article 25, paragraphe 1, points c), d) et h), du RPDUE, lorsque le DPD, de sa propre initiative ou à la demande de tiers, mène des enquêtes sur des questions et des faits qui sont directement en rapport avec ses missions et qui ont été portés à sa connaissance, conformément à l’article 45, paragraphe 2, du règlement; j) conformément à l’article 25, paragraphe 1, point h), du RPDUE, lorsque les responsables du traitement des données traitent des données à caractère personnel obtenues dans le contexte du signalement, de bonne foi, par un membre du personnel, d’éléments factuels révélant l’existence soit d’éventuelles activités illégales, y compris la fraude et la corruption, qui portent atteinte aux intérêts de l’Union («irrégularités graves»), soit d’une conduite en rapport avec l’exercice de fonctions professionnelles pouvant constituer un manquement grave aux obligations des membres du personnel («faute grave»); k) conformément à l’article 25, paragraphe 1, point h), du RPDUE, lorsque les responsables du traitement des données traitent des données à caractère personnel obtenues par des personnes de confiance dans le cadre de la procédure informelle de traitement des cas de harcèlement présumé; l) conformément à l’article 25, paragraphe 1, point h), du RPDUE, lorsque les responsables du traitement des données traitent des données à caractère personnel relatives à la santé («données médicales») d’un membre du Comité ou du personnel, y compris de nature psychologique ou psychiatrique, qui figurent dans le dossier médical que détient le Comité sur la personne concernée; m) conformément à l’article 25, paragraphe 1, point e), du RPDUE, lorsque les responsables du traitement des données traitent des données à caractère personnel contenues dans des documents produits ou obtenus par les parties ou les parties intervenantes dans le cadre de procédures devant la Cour de justice de l’Union européenne (ci-après la «Cour de justice»); n) conformément à l’article 25, paragraphe 1, points b), c), d), g) et h), du RPDUE, lorsque le Comité fournit de l’assistance à d’autres institutions, organes et organismes de l’Union ou en reçoit de leur part, et coopère avec eux dans le cadre des activités ou procédures visées au paragraphe 1, points (a) à (m), et conformément aux dispositions des accords de niveau de service, des protocoles d’accord et des accords de coopération en vigueur; o) conformément à l’article 25, paragraphe 1, points b), c), g) et h), du RPDUE, lorsque le Comité fournit de l’assistance aux autorités des États membres ou à celles de pays tiers ou à des organisations internationales, ou en reçoit de leur part, et coopère avec ces autorités et organisations à leur demande ou de sa propre initiative; p) conformément à l’article 25, paragraphe 1, points a), b), e) et f), du RPDUE, lorsque le Comité fournit aux autorités des États membres ou à celles de pays tiers ou à des organisations internationales les informations et documents dont elles font la demande dans le cadre d’enquêtes. 2. Les limitations visées au paragraphe 1 peuvent concerner des données à caractère personnel objectives (données vérifiées) comme subjectives (données non vérifiées), notamment, mais pas exclusivement, une ou plusieurs des catégories suivantes: a) les données d’identification; b) les coordonnées; c) les données professionnelles (10); d) les données financières; e) les données de surveillance (11); f) les données relatives au trafic (12); g) les données médicales (13); h) les données génétiques (13); i) les données biométriques (13); j) les données relatives à la vie sexuelle ou à l’orientation sexuelle d’une personne physique (13); k) les données qui révèlent l’origine raciale ou ethnique, les convictions religieuses ou philosophiques, les opinions ou l’appartenance politiques, ou l’affiliation à un syndicat (13); l) les données qui révèlent les performances ou le comportement des personnes physiques participant à des procédures de sélection (recrutement), d’évaluation (notation) ou de promotion (14); m) les données relatives à la présence de personnes physiques; n) les données relatives aux activités extérieures des personnes physiques; o) les données relatives aux infractions présumées ou avérées, aux condamnations pénales ou aux mesures de sécurité; p) les communications électroniques; q) toutes les autres données relatives à l’objet de l’activité ou de la procédure concernée impliquant un traitement de ces données. 3. Toute limitation respecte l’essence des libertés et droits fondamentaux, constitue une mesure essentielle et proportionnée dans une société démocratique et se restreint à ce qui est strictement nécessaire pour atteindre son objectif. 4. Toute limitation de l’application de l’article 36 du RPDUE («Confidentialité des communications électroniques»), qu’elle soit totale ou partielle, conformément au paragraphe 1, est conforme au droit de l’Union applicable en matière de respect de la vie privée dans le secteur des communications électroniques (15). 5. Les responsables du traitement des données examinent périodiquement l’application des limitations visées au paragraphe 1, au moins tous les six mois à compter de leur adoption respective, mais aussi en cas de modification d’éléments essentiels et décisifs du dossier et lorsque l’activité ou la procédure à l’origine des limitations s’achève ou qu’il y est mis fin. Par la suite, ils vérifient la nécessité de maintenir la limitation sur une base annuelle. 6. Les limitations visées au paragraphe 1 continuent de s’appliquer tant que les raisons qui les justifient restent valables. Lorsque les motifs d’une limitation visée au paragraphe 1 cessent d’exister, les responsables du traitement des données lèvent cette limitation. 7. Lorsqu’ils traitent des données à caractère personnel reçues de tiers dans le contexte des missions du Comité, les responsables du traitement des données consultent ces tiers sur les motifs potentiels de l’imposition de limitations et sur la nécessité et la proportionnalité des limitations concernées, à moins que cela ne soit préjudiciable aux activités ou procédures du Comité.

Article 4 Évaluation de la nécessité et de la proportionnalité 1. Avant d’appliquer des limitations, les responsables du traitement des données évaluent, au cas par cas, si les limitations envisagées sont nécessaires et proportionnées. 2. Lorsque les responsables du traitement des données évaluent la nécessité et la proportionnalité d’une limitation, ils tiennent compte des risques potentiels pour les droits et libertés de la personne concernée. 3. Les évaluations des risques pour les droits et libertés des personnes concernées découlant de l’imposition de limitations, notamment le risque que leurs données à caractère personnel soient traitées ultérieurement à leur insu et que ces personnes soient empêchées d’exercer leurs droits en vertu du règlement, ainsi que les informations détaillées relatives à la durée d’application de ces limitations sont consignées dans le registre des activités de traitement tenu par les responsables du traitement des données conformément à l’article 31, paragraphe 1, du RPDUE. Elles sont également enregistrées dans les analyses d’impact en matière de protection des données concernant ces limitations qui sont effectuées en vertu de l’article 39 du RPDUE.

Article 5 Enregistrement des limitations et consignation dans un registre 1. Chaque fois que les responsables du traitement des données appliquent des limitations, ils consignent: a) les raisons de l’application des limitations; b) les motifs sur la base desquels les limitations sont appliquées; c) la manière dont l’exercice des droits des personnes concernées porterait atteinte à la finalité ou au résultat d’une ou de plusieurs activités ou procédures entreprises par le Comité; d) les résultats de l’évaluation visée à l’article 4, paragraphe 1. 2. Les registres visés au paragraphe 1 font partie du registre central prévu à l’article 31, paragraphe 5, du RPDUE et sont mis à la disposition du CEPD sur demande. 3. Lorsque les responsables du traitement des données limitent l’application de l’article 35 du RPDUE («Communication à la personne concernée d’une violation de données à caractère personnel»), le registre visé au paragraphe 1 est inclus dans la notification au CEPD prévue à l’article 34, paragraphe 1, du RPDUE.

Article 6 Garanties et durée de conservation 1. Les responsables du traitement des données mettent en œuvre des garanties afin de prévenir les abus et l’accès illicite aux données à caractère personnel pouvant faire l’objet de limitations en vertu de l’article 3, paragraphe 1, ou le transfert illicite de ces données. Ces garanties comprennent des mesures techniques et organisationnelles appropriées et sont détaillées, le cas échéant, dans les décisions, procédures et dispositions d’application internes du Comité en la matière. 2. Les garanties visées au paragraphe 1 comprennent: a) une définition claire des rôles, des responsabilités et des étapes de la procédure; b) le cas échéant, un environnement électronique sécurisé qui empêche l’accès illicite ou accidentel à des données électroniques par des personnes non autorisées ou le transfert illicite ou accidentel desdites données à ces personnes; c) le cas échéant, la conservation et le traitement sécurisés des documents papier; d) un suivi approprié des limitations et un réexamen périodique de leur application. 3. Les données à caractère personnel sont conservées conformément aux règles de conservation en vigueur au Comité (16), à établir dans les registres tenus par les responsables du traitement des données en vertu de l’article 31, paragraphe 1, du RPDUE. À la fin de la durée de conservation, les données à caractère personnel sont, le cas échéant, supprimées, rendues anonymes de telle sorte que la personne concernée n’est pas ou plus identifiable, ou transférées aux archives du Comité conformément à l’article 13 du RPDUE.

Article 7 Information des personnes concernées sur la limitation de leurs droits 1. Les avis relatifs à la protection des données publiés sur le site web public du Comité et sur son intranet comportent une section fournissant aux personnes concernées des informations générales sur la limitation potentielle de leurs droits dans le contexte des activités et procédures du Comité impliquant le traitement de leurs données à caractère personnel. Cette section précise les droits susceptibles d’être limités, les motifs pour lesquels des limitations peuvent s’appliquer, la durée potentielle de ces limitations et les recours administratifs et juridiques dont disposent les personnes concernées. 2. Lorsque les responsables du traitement des données appliquent des limitations, ils informent directement chaque personne concernée, sans délai injustifié et dans le format le plus approprié: a) de toute limitation existante ou à venir de leurs droits; b) des principales raisons qui motivent l’application de la limitation; c) de leur droit de consulter le DPD en vue de contester la limitation; d) de leur droit d’introduire une réclamation auprès du CEPD; e) de leur droit de former un recours juridictionnel devant la Cour de justice. 3. Nonobstant le paragraphe 2, lorsque les responsables du traitement des données limitent, dans des cas exceptionnels, l’application de l’article 35 du RPDUE («Communication à la personne concernée d’une violation de données à caractère personnel»), ils communiquent à la personne concernée la violation de données à caractère personnel et fournissent les informations visées au paragraphe 2, points (b), (d) et (e), dès que les motifs de limitation de cette communication cessent d’exister. 4. Nonobstant le paragraphe 2, lorsque les responsables du traitement des données limitent, dans des cas exceptionnels, l’application de l’article 36 du RPDUE («Confidentialité des communications électroniques»), ils fournissent, dans leur réponse à une demande de la personne concernée, les informations visées au paragraphe 2. 5. Les responsables du traitement des données peuvent différer, omettre ou refuser la communication des informations visées au paragraphe 2 («report, omission ou refus de communication d’informations») aussi longtemps que cela priverait d’effet la limitation. Ils fournissent à la personne concernée les informations visées au paragraphe 2 dès lors que cela ne prive plus d’effet la limitation. 6. Les articles 4 et 5 s’appliquent par analogie dans tous les cas de report, d’omission ou de refus de communication d’informations.

Article 8 Participation du délégué à la protection des données du Comité 1. Les responsables du traitement des données informent le DPD par écrit, sans délai injustifié, de toute limitation des droits d’une personne concernée en vertu de l’article 3, paragraphe 1, effectuent les examens périodiques visés à l’article 3, paragraphe 5, lèvent les limitations comme prévu à l’article 3, paragraphe 6, ou reportent, omettent ou refusent, en vertu de l’article 7, paragraphe 5, la communication des informations visées à l’article 7, paragraphe 2. À sa demande, le DPD se voit accorder l’accès aux registres correspondants et à tout document contenant des éléments factuels ou juridiques sous-jacents. 2. Le DPD peut demander aux responsables du traitement des données de réexaminer toute limitation existante ainsi que tout report, omission ou refus de communication d’informations, de même que leur application. Le DPD est informé par écrit du résultat du réexamen demandé. 3. Les responsables du traitement des données documentent dûment la participation du DPD, y compris les informations partagées avec lui, comme prévu aux paragraphes 1 et 2 en ce qui concerne l’application des limitations et des reports, omissions ou refus de communication d’informations. 4. Sur demande, le DPD donne son avis aux responsables du traitement des données quant à la détermination de leurs responsabilités dans le cadre d’un accord de responsabilité conjointe en vertu de l’article 28, paragraphe 1, du RPDUE.

Article 9 Services conjoints Le DPD coopère avec le délégué à la protection des données du CESE en ce qui concerne le traitement des données à caractère personnel par les services conjoints en vue de garantir la mise en œuvre effective de la présente décision.

Article 10 Dispositions finales 1. Le secrétaire général peut, en tant que de besoin, publier des instructions ou adopter des mesures d’exécution pour, le cas échéant, préciser toute disposition de la présente décision et lui donner effet, dans le respect de cette dernière. 2. La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.

Fait à Bruxelles, le 25 janvier 2022. Pour le bureau du Comité des régions Apostolos TZITZIKOSTAS Président

(1) JO C 202 du 7.6.2016, p. 47.

(2) JO L 295 du 21.11.2018, p. 39.

(3) JO L 472 du 30.12.2021, p. 1.

(4) Décision no 19/2020 du bureau du Comité des régions du 9 octobre 2020 portant adoption de dispositions d’application concernant le règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données (ci-après la «décision no 19/2020»).

(5) Le traité sur l’Union européenne (ci-après le «TUE») (JO C 202 du 7.6.2016, p. 13) et le traité sur le fonctionnement de l’Union européenne (ci-après le «TFUE»).

(6) Annexe au règlement no 31 (C.E.E) 11 (C.E.E.A.) du Conseil fixant le statut des fonctionnaires et le régime applicable aux autres agents de la Communauté économique européenne et de la Communauté européenne de l’énergie atomique (JO P 45 du 14.6.1962, p. 1385), modifié par le règlement (CEE, Euratom, CECA) no 259/68 du Conseil du 29 février 1968 fixant le statut des fonctionnaires des Communautés européennes ainsi que le régime applicable aux autres agents de ces Communautés, et instituant des mesures particulières temporairement applicables aux fonctionnaires de la Commission (JO L 56 du 4.3.1968, p. 1), tel que modifié, mis à jour, complété ou autrement adapté ultérieurement.

(7) Règlement (UE, Euratom) 2018/1046 du Parlement européen et du Conseil du 18 juillet 2018 relatif aux règles financières applicables au budget général de l’Union, modifiant les règlements (UE) no 1296/2013, (UE) no 1301/2013, (UE) no 1303/2013, (UE) no 1304/2013, (UE) no 1309/2013, (UE) no 1316/2013, (UE) no 223/2014, (UE) no 283/2014 et la décision no 541/2014/UE, et abrogeant le règlement (UE, Euratom) no 966/2012 (JO L 193 du 30.7.2018, p. 1).

(8) Notamment, mais pas exclusivement, les indemnités de frais généraux, les indemnités de personnel, les indemnités de matériel et d’équipement, les indemnités de voyage, de séjour et de réunion (à distance), ainsi que les autres indemnités versées en vertu de l’article 238 du règlement financier.

(9) Ce point ne s’applique pas au traitement de données à caractère personnel dont l’OLAF est l’unique responsable du traitement, notamment dans les cas où l’OLAF traite des données à caractère personnel conservées dans les locaux du Comité.

(10) Notamment, mais pas exclusivement, les contrats de travail, les contrats des prestataires de services et les données relatives aux missions.

(11) Notamment, mais pas exclusivement, les enregistrements audio et vidéo ainsi que les registres de pointage.

(12) Notamment, mais pas exclusivement, les heures de connexion et de déconnexion, l’accès aux applications internes et aux ressources sur réseau, et l’utilisation de l’internet.

(13) Dans la mesure où ces données sont traitées conformément à l’article 10, paragraphe 2, du RPDUE.

(14) Notamment, mais pas exclusivement, les épreuves écrites, les discours enregistrés, les fiches d’évaluation et les appréciations, observations ou avis des évaluateurs.

(15) Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques) (JO L 201 du 31.7.2002, p. 37).

(16) Décision no 129/2003 du secrétaire général du Comité des régions du 17 juin 2003 concernant la gestion documentaire du Comité des régions.