DÉCISION DU CONSEIL DE RÉSOLUTION UNIQUE

du 18 septembre 2019

portant règles internes relatives à la limitation de certains droits des personnes concernées en matière de traitement des données à caractère personnel dans le cadre d’enquêtes administratives/de procédures disciplinaires/d’enquêtes/autres effectuées par le Conseil de résolution unique (SRB/ES/2019/32)

LE CONSEIL DE RÉSOLUTION UNIQUE,

vu le traité sur le fonctionnement de l’Union européenne,

vu le règlement (UE) no 806/2014 du Parlement européen et du Conseil du 15 juillet 2014 établissant des règles et une procédure uniformes pour la résolution des établissements de crédit et de certaines entreprises d’investissement dans le cadre d’un mécanisme de résolution unique et d’un Fonds de résolution bancaire unique, et modifiant le règlement (UE) no 1093/2010 (1), et en particulier son article 42, son article 43, paragraphe 5, son article 50, paragraphe 3, son article 56, paragraphes 1 à 3, et ses articles 61, 63 et 64,

vu le règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (2),

vu la consultation avec le Contrôleur européen de la protection des données,

considérant ce qui suit:

(1) Le Conseil de résolution unique (ci-après le «CRU») accomplit les tâches d’une autorité de résolution dans le cadre du mécanisme de résolution unique (ci-après le «MRU») conformément au règlement (UE) no 806/2014. Le CRU a pour mission d’assurer une résolution ordonnée des défaillances bancaires avec une incidence minimale sur l’économie réelle, le système financier et les finances publiques des États membres participants et au-delà.

(2) Le CRU peut mener des enquêtes internes et/ou des enquêtes administratives de sa propre initiative ou à la suite de la communication d’informations confidentielles par des membres de son personnel dans le cadre de la procédure de lancement d’alertes éthiques. Le CRU peut aussi engager une procédure disciplinaire conformément à l’annexe IX du statut.

(3) Le CRU peut, dans le cadre d’enquêtes internes et/ou d’enquêtes administratives et/ou de procédures disciplinaires, notifier des cas à l’Office d’investigation et de discipline de la Commission (IDOC) et à l’Office européen de lutte antifraude (OLAF), conformément à la décision prise par le CRU lors de sa session exécutive du 6 novembre 2015, relative aux conditions applicables aux enquêtes internes concernant la prévention de la fraude, de la corruption et de toute activité illégale portant atteinte aux intérêts de l’Union (SRB/ES/2015/01).

(4) Le CRU, représenté ici par son responsable de la déontologie et de la conformité, respectivement le délégué à la protection des données du CRU, traite plusieurs catégories de données à caractère personnel, en particulier des données d’identification, des coordonnées, des données professionnelles, et il agit en tant que responsable du traitement. Les données à caractère personnel sont conservées dans un environnement électronique sécurisé qui empêche que des personnes qui n’ont pas besoin d’en connaître y aient accès ou que ces données leur soient transférées de manière illicite. Les données à caractère personnel traitées sont conservées conformément aux règles du CRU sur la conservation des documents. À la fin de la période de conservation, les informations relatives au dossier incluant des données à caractère personnel sont transférées vers les archives historiques ou supprimées conformément aux principes de minimisation et d’exactitude des données.

(5) Les règles internes doivent s’appliquer à l’ensemble des opérations de traitement effectuées par le CRU dans l’exercice de ses activités aux fins de la prévention, de la détection et de la poursuite des violations, notamment, du code de déontologie du CRU et du statut, et aux fins des enquêtes en la matière.

(6) Les règles internes doivent s’appliquer aux opérations de traitement effectuées dans le cadre d’enquêtes internes et externes, ainsi que pendant le suivi de la mise en œuvre des conclusions de ces enquêtes. Les règles internes doivent s’appliquer aux opérations de traitement qui font partie des activités associées aux fonctions du responsable de la déontologie et de la conformité du CRU et, le cas échéant, à son délégué à la protection des données. Elles doivent également inclure l’assistance et la coopération fournies par le responsable de la déontologie et de la conformité du CRU, respectivement son délégué à la protection des données, à la demande des autorités nationales et des organisations internationales en dehors de ses enquêtes administratives.

(7) Le CRU doit justifier les raisons pour lesquelles les limitations sont strictement nécessaires et proportionnées dans une société démocratique et expliquer en quoi elles respectent l’essence des libertés et droits fondamentaux.

(8) Dans ce cadre, le CRU est tenu de respecter, dans toute la mesure du possible, les droits fondamentaux des personnes concernées au cours des procédures susmentionnées, notamment ceux relatifs au droit d’accès et de rectification, au droit à l’effacement, à la portabilité des données etc., tels que consacrés par le règlement (UE) 2018/1725.

(9) Toutefois, le CRU peut être contraint de différer la communication d’informations à la personne concernée et d’autres droits de la personne concernée afin de protéger, en particulier, ses propres enquêtes, les enquêtes et les procédures d’autres autorités publiques, dont l’IDOC et l’OLAF, et les droits d’autres personnes liées à ses enquêtes, ainsi que pour protéger ses procédures disciplinaires.

(10) Le CRU peut donc différer la communication d’informations aux fins de protéger les enquêtes et/ou les procédures disciplinaires.

(11) Le CRU doit lever la limitation dès que les conditions qui la justifient ne s’appliquent plus.

(12) Le CRU doit contrôler les conditions de limitation à intervalles réguliers, tous les six mois, et les réviser le cas échéant.

(13) Le CRU doit consulter le DPD pendant les révisions,

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier Objet et champ d’application 1. La présente décision établit les règles internes relatives aux conditions dans lesquelles le CRU, dans le cadre d’enquêtes internes, d’enquêtes administratives et de procédures disciplinaires effectuées par son responsable de la déontologie et de la conformité, ou d’enquêtes effectuées par son délégué à la protection des données en vertu de l’article 45, paragraphe 2, du règlement (UE) 2018/1725, peut limiter l’application des droits consacrés aux articles 14 à 21, 35, ainsi qu’à l’article 4 du règlement (UE) 2018/1725, en vertu de son article 25. 2. La présente décision s’applique aux opérations de traitement des données à caractère personnel effectuées par le CRU aux fins de mener des enquêtes internes, des enquêtes administratives et des procédures disciplinaires. En ce qui concerne les opérations de traitement des données à caractère personnel effectuées par le CRU aux fins de lancer, de mener à bien et de clore une procédure informelle dans le cadre de la politique du CRU relative à la protection de la dignité de la personne et à la prévention du harcèlement moral et du harcèlement sexuel, une décision différente concernant la limitation des droits s’applique (pour référence: SRB/ES/2019/33). 3. Les catégories de données concernées sont les données objectives (détails administratifs, numéro de téléphone, adresse privée, communications électroniques), les données relatives au trafic (utilisation d’applications de TIC, données internet) et/ou les données subjectives (évaluations, ouverture d’enquêtes, rapports d’enquêtes préliminaires), etc. 4. Sous réserve des conditions fixées dans la présente décision, les limitations peuvent s’appliquer aux droits suivants: droits d’accès, de rectification, d’effacement et de portabilité, droit à l’information, confidentialité des communications, et principes relatifs au traitement des données pour autant qu’ils concernent un droit.

Article 2 Spécification du responsable du traitement et garanties 1. Les garanties en place pour éviter les violations de données, les fuites ou la divulgation non autorisée sont les suivantes: limitation des droits d’accès aux dossiers électroniques et à la boîte aux lettres fonctionnelle pour l’introduction de réclamations, armoires sécurisées avec des clés, et formation spécifique sur la confidentialité à l’intention des personnes qui traitent les informations. 2. Le responsable de ces opérations de traitement est le CRU, représenté ici par son responsable de la déontologie et de la conformité, respectivement son délégué à la protection des données. 3. Les données à caractère personnel collectées sont conservées conformément aux règles du CRU sur la conservation des documents. La durée de conservation respecte le principe de conservation pendant une période qui n’excède pas celle nécessaire à la réalisation de la finalité de l’opération de traitement, et, finalement, pour permettre la résolution de litiges judiciaires ou administratifs.

Article 3 Limitations 1. Conformément à l’article 25, paragraphe 1, du règlement (UE) 2018/1725, toute limitation s’applique uniquement pour garantir: — la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, — la sécurité interne des institutions et organes de l’Union, notamment de leurs réseaux de communications électroniques, — la protection des procédures judiciaires, — la prévention et la détection de manquements à la déontologie des professions réglementées, ainsi que les enquêtes et les poursuites en la matière, — la protection de la personne concernée ou des droits et libertés d’autrui. 2. Toute limitation est nécessaire et proportionnée dans une société démocratique et respecte l’essence des libertés et droits fondamentaux. 3. Une évaluation de la nécessité et de la proportionnalité est effectuée sur la base des présentes règles internes. Le résultat de cette évaluation est consigné dans une note d’évaluation interne par le responsable de l’opération de traitement spécifique, afin de rendre compte, au cas par cas, des limitations considérées. 4. Les limitations sont dûment contrôlées et une révision périodique est réalisée tous les six mois. 5. Les limitations sont levées dès lors que les circonstances qui les justifient cessent d’exister. 6. Le risque pour les droits et libertés de la personne concernée est la limitation temporaire de l’exercice effectif des droits de la personne concernée, notamment à l’information, à l’effacement ou à la défense, tels que garantis par le règlement (UE) 2018/1725. Ces risques sont pris en considération dans le cadre de l’évaluation de la nécessité et de la proportionnalité mentionnée au paragraphe 3 du présent article.

Article 4 Participation du délégué à la protection des données 1. Pendant toute procédure de limitation et dans les meilleurs délais, le CRU informe son délégué à la protection des données (ci-après le «DPD») de toute limitation de l’application des droits des personnes concernées conformément à la présente décision. Il fournit un accès au dossier et à l’évaluation de la nécessité et de la proportionnalité de la limitation. 2. Le DPD peut demander au responsable du traitement, par écrit, de réexaminer l’application des limitations. Le CRU informe le DPD par écrit du résultat du réexamen demandé et du moment où la limitation a été levée.

Article 5 Communication d’informations aux personnes concernées 1. Le CRU inclut dans les avis de protection des données publiés sur son intranet informant les personnes concernées de leurs droits dans le cadre d’une procédure donnée, des informations concernant la limitation potentielle de ces droits. Ces informations portent sur les droits susceptibles d’être limités, les motifs de la limitation ainsi que sa durée potentielle. 2. En outre, le CRU informe individuellement les personnes concernées, dans les meilleurs délais et par écrit, de leurs droits concernant des limitations présentes ou futures, sans préjudice du paragraphe suivant. 3. Les personnes concernées sont informées des raisons principales qui justifient l’application d’une limitation et de leur droit de saisir le Contrôleur européen de la protection des données.

Article 6 Droit d’accès de la personne concernée 1. Lorsque les personnes concernées demandent à accéder à leurs données à caractère personnel traitées dans le cadre d’un ou de plusieurs cas spécifiques ou d’une opération de traitement particulière, conformément à l’article 17 du règlement (UE) 2018/1725, le CRU limite son examen de la demande à ces seules données à caractère personnel. 2. Lorsque le CRU limite, en tout ou en partie, le droit d’accès visé à l’article 17 du règlement (UE) 2018/1725, il prend les mesures suivantes: a) il informe la personne concernée, dans sa réponse à la demande, de la limitation appliquée et des principales raisons qui la motivent, ainsi que de la possibilité de saisir le Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne; b) il consigne les raisons de la limitation, dont une évaluation de la nécessité et de la proportionnalité de la limitation; à cette fin, il indique dans le dossier en quoi l’accès nuirait à la finalité des activités d’enquête du CRU ou des limitations appliquées en vertu de l’article 2, paragraphe 3, ou porterait atteinte aux droits et libertés d’autres personnes concernées. La communication des informations visées au point a) peut être différée, omise ou refusée conformément à l’article 25, paragraphe 8, du règlement (UE) 2018/1725. 3. Le dossier mentionné au paragraphe 2, point b) et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont enregistrés. Ils sont mis à la disposition du Contrôleur européen de la protection des données sur demande. L’article 25, paragraphe 7, du règlement (UE) 2018/1725 s’applique.

Article 7 Droit de rectification, droit à l’effacement et droit à la limitation du traitement Lorsque le CRU limite, en tout ou en partie, l’application du droit de rectification, du droit à l’effacement ou du droit à la limitation du traitement visés aux articles 18, 19, paragraphe 1, et 20, paragraphe 1, du règlement (UE) 2018/1725, il prend les mesures visées à l’article 6, paragraphe 2, de la présente décision, et enregistre le dossier conformément à son article 6, paragraphe 3.

Article 8 Communication à la personne concernée d’une violation de données à caractère personnel Lorsque le CRU limite la communication d’une violation de données à caractère personnel à la personne concernée, visée à l’article 35 du règlement (UE) 2018/1725, il consigne et enregistre les motifs de cette limitation conformément à l’article 3, paragraphe 3, de la présente décision. L’article 3, paragraphe 4, de la présente décision s’applique.

Article 9 Entrée en vigueur La présente décision entre en vigueur le jour suivant celui de sa publication au Journal officiel de l’Union européenne.

Fait à Bruxelles, le 18 septembre 2019. Par le Conseil de résolution unique Elke KÖNIG La présidente

(1) JO L 225 du 30.7.2014, p. 1.

(2) JO L 295 du 21.11.2018, p. 39.