DÉCISION DU CONSEIL DE RÉSOLUTION UNIQUE

du 18 septembre 2019

portant règles internes relatives à la limitation de certains droits des personnes concernées en matière de traitement des données à caractère personnel dans le cadre des enquêtes sur les incidents de sécurité interne effectuées par le Conseil de résolution unique (SRB/ES/2019/34)

LE CONSEIL DE RÉSOLUTION UNIQUE,

vu le traité sur le fonctionnement de l’Union européenne,

vu le règlement (UE) no 806/2014 du Parlement européen et du Conseil du 15 juillet 2014 établissant des règles et une procédure uniformes pour la résolution des établissements de crédit et de certaines entreprises d’investissement dans le cadre d’un mécanisme de résolution unique et d’un Fonds de résolution bancaire unique, et modifiant le règlement (UE) no 1093/2010 (1), et notamment son article 42, son article 43, paragraphe 5, son article 50, paragraphe 3, son article 56, paragraphes 1 à 3, et ses articles 61, 63 et 64,

vu le règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (2),

vu la consultation avec le Contrôleur européen de la protection des données,

considérant ce qui suit:

(1) Le Conseil de résolution unique (ci-après le «CRU») accomplit les tâches d’une autorité de résolution dans le cadre du mécanisme de résolution unique (ci-après le «MRU») conformément au règlement (UE) no 806/2014. Le CRU a pour mission d’assurer une résolution ordonnée des défaillances bancaires avec une incidence minimale sur l’économie réelle, le système financier et les finances publiques des États membres participants et au-delà.

(2) Le CRU peut traiter des données à caractère personnel pour les différents systèmes installés dans ses locaux (vidéo surveillance, contrôle des accès, registres des visiteurs). Ces informations sont strictement collectées à des fins de sécurité et de sûreté (par exemple pour savoir combien de personnes sont présentes dans le bâtiment en cas d’évacuation, conformément aux décisions de la CE en matière de sécurité), pour prévenir, détecter et consigner tout incident de sécurité survenant à l’intérieur des bâtiments ou aux alentours.

(3) Le CRU, représenté ici par le chef de l’unité «Services administratifs et TIC», traite plusieurs catégories de données à caractère personnel, en particulier des données d’identification, des coordonnées et des données professionnelles. Les données à caractère personnel sont conservées dans un environnement électronique sécurisé qui empêche que des personnes qui n’ont pas besoin d’en connaître y aient accès ou que ces données leur soient transférées de manière illicite. Les données à caractère personnel traitées sont conservées conformément aux règles de la CE sur la conservation des données. À la fin de la période de conservation, les informations collectées comprenant des données à caractère personnel sont supprimées conformément à la période maximale convenue: registres des visiteurs: 6 mois, système de vidéosurveillance:30 jours, système de contrôle des accès: 2 mois.

(4) Les règles internes doivent s’appliquer à l’ensemble des opérations de traitement effectuées par le CRU dans l’exercice de ses activités en matière de sécurité et de sûreté, aux fins de la prévention et de la détection des incidents de sécurité et des enquêtes en la matière, de la protection du personnel, des biens et des informations de l’agence et de ses visiteurs.

(5) Les règles internes doivent s’appliquer aux opérations de traitement effectuées dans le cadre d’enquêtes sur les incidents de sécurité interne, ainsi que pendant le suivi de la mise en œuvre des conclusions de ces enquêtes. Les règles internes doivent s’appliquer aux opérations de traitement qui font partie des activités liées au secteur Sécurité/Installations du CRU. Ces règles doivent également inclure l’assistance et la coopération fournies par le secteur Sécurité/Installations du CRU aux autorités nationales, aux forces de l’ordre belges, à l’OLAF, aux services d’urgence et aux organisations internationales en dehors de ses enquêtes administratives.

(6) Le CRU doit justifier les raisons pour lesquelles les limitations sont strictement nécessaires et proportionnées dans une société démocratique et expliquer en quoi elles respectent l’essence des libertés et droits fondamentaux.

(7) Dans ce cadre, le CRU est tenu de respecter, dans toute la mesure du possible, les droits fondamentaux des personnes concernées au cours des procédures susmentionnées, notamment ceux relatifs au droit d’accès et de rectification, au droit à l’effacement, à la portabilité des données etc., tels que consacrés par le règlement (UE) 2018/1725.

(8) Cependant, le CRU peut être contraint de différer l’information de la personne concernée ainsi que d’autres droits des personnes concernées pour protéger, en particulier, ses propres enquêtes sur les incidents de sécurité comprenant les données des systèmes de vidéosurveillance ou de contrôle des accès.

(9) Le CRU peut donc différer l’information aux fins de protéger les enquêtes sur les incidents de sécurité.

(10) Le CRU doit lever la limitation dès lors que les conditions qui la justifient ne s’appliquent plus.

(11) Le CRU doit contrôler les conditions de limitation à intervalles réguliers, tous les six mois, et les révise le cas échéant.

(12) Le CRU doit consulter le DPD pendant les révisions,

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier Objet et champ d’application 1. La présente décision établit les règles internes relatives aux conditions dans lesquelles le CRU, dans le cadre des enquêtes sur les incidents de sécurité interne, peut limiter l’application des droits consacrés aux articles 14 à 21, 35, ainsi qu’à l’article 4 du règlement (UE) 2018/1725, en vertu de son article 25. 2. La présente décision s’applique aux opérations de traitement des données à caractère personnel effectuées par le CRU aux fins de mener des enquêtes sur les incidents de sécurité interne, ainsi que pendant le suivi de la mise en œuvre des conclusions de ces enquêtes. 3. Les catégories de données concernées sont les données objectives (détails administratifs, numéro de téléphone, adresse privée, communications électroniques), et les données relatives au trafic et/ou les données subjectives (évaluations, ouverture d’enquêtes, rapports d’enquêtes préliminaires), etc. 4. Sous réserve des conditions fixées dans la présente décision, les limitations peuvent s’appliquer aux droits suivants: droits d’accès, de rectification, d’effacement et de portabilité, droit à l’information, confidentialité des communications, et principes relatifs au traitement des données pour autant qu’ils concernent un droit.

Article 2 Spécification du responsable du traitement et garanties 1. Les garanties en place pour éviter les violations de données, les fuites ou la divulgation non autorisée sont les suivantes: limitation des droits d’accès aux dossiers électroniques et à la boîte aux lettres fonctionnelle pour l’introduction de réclamations, armoires sécurisées avec des clés, et formation spécifique sur la confidentialité à l’intention des personnes qui traitent les informations. 2. Le responsable de ces opérations de traitement est le CRU, représenté ici par le chef de l’unité «Services administratifs et TIC». 3. Les données à caractère personnel collectées sont conservées conformément aux règles de l’Union européenne sur la conservation des données et conformément à la loi belge du 21 mars 2007 (régissant l’installation et l’utilisation des caméras de surveillance). La période de conservation respecte le principe de conservation pendant une durée n’excédant pas celle nécessaire à la réalisation de la finalité de l’opération de traitement, et, finalement, pour permettre la résolution des litiges judiciaires ou administratifs.

Article 3 Limitations 1. Conformément à l’article 25, paragraphe 1, du règlement (UE) 2018/1725, toute limitation s’applique uniquement pour garantir: — la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces; — la sécurité interne des institutions et organes de l’Union, notamment de leurs réseaux de communications électroniques; — la protection des procédures judiciaires; — la prévention et la détection de manquements à la déontologie des professions réglementées, ainsi que les enquêtes et les poursuites en la matière; — la protection de la personne concernée ou des droits et libertés d’autrui. 2. Toute limitation est nécessaire et proportionnée dans une société démocratique et respecte l’essence des libertés et droits fondamentaux. 3. Une évaluation de la nécessité et de la proportionnalité est réalisée sur la base des présentes règles internes. Le résultat de cette évaluation est consigné dans une note d’évaluation interne, afin de rendre compte, au cas par cas, des limitations considérées. 4. Les limitations sont dûment contrôlées et une révision périodique est réalisée tous les six mois. 5. Les limitations sont levées dès lors que les circonstances qui les justifient cessent d’exister. 6. Le risque pour les droits et libertés de la personne concernée est la limitation temporaire de l’exercice effectif des droits de la personne concernée, notamment à l’information, à l’effacement ou à la défense, tels que garantis par le règlement (UE) 2018/1725. Ces risques sont pris en considération dans le cadre de l’évaluation de la nécessité et de la proportionnalité mentionnée au paragraphe 3 du présent article.

Article 4 Participation du délégué à la protection des données 1. Pendant la procédure de limitation et dans les meilleurs délais, le CRU informe son délégué à la protection des données (ci-après le «DPD») de toute limitation de l’application des droits des personnes concernées conformément à la présente décision. Il fournit un accès au dossier et à l’évaluation de la nécessité et de la proportionnalité de la limitation. 2. Le DPD peut demander au responsable du traitement, par écrit, de réexaminer l’application des limitations. Le CRU informe le DPD par écrit du résultat du réexamen demandé et du moment où la limitation est levée.

Article 5 Communication d’informations aux personnes concernées 1. Le CRU inclut dans les avis de protection des données publiés sur son intranet et sur son site web informant les personnes concernées de leurs droits dans le cadre d’une procédure donnée, des informations concernant la limitation potentielle de ces droits. Ces informations portent sur les droits susceptibles d’être limités, les motifs de la limitation ainsi que sa durée potentielle. 2. En outre, le CRU informe individuellement les personnes concernées, dans les meilleurs délais et par écrit, de leurs droits concernant des limitations présentes ou futures, sans préjudice du paragraphe suivant. 3. Les personnes concernées sont informées des raisons principales qui justifient l’application d’une limitation et de leur droit de saisir le Contrôleur européen de la protection des données.

Article 6 Droit d’accès de la personne concernée 1. Lorsque les personnes concernées demandent à accéder à leurs données à caractère personnel traitées dans le cadre d’un ou de plusieurs cas spécifiques ou d’une opération de traitement particulière, conformément à l’article 17 du règlement (UE) 2018/1725, le CRU limite son examen de la demande à ces seules données à caractère personnel. 2. Lorsque le CRU limite, en tout ou en partie, le droit d’accès visé à l’article 17 du règlement (UE) 2018/1725, il prend les mesures suivantes: a) il informe la personne concernée, dans sa réponse à la demande, de la limitation appliquée et des principales raisons qui la motivent, ainsi que de la possibilité de saisir le Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne; b) il consigne les raisons de la limitation, dont une évaluation de la nécessité et de la proportionnalité de la limitation; à cette fin, il indique dans le dossier en quoi l’accès nuirait à la finalité des activités d’enquête du CRU ou des limitations appliquées en vertu de l’article 2, paragraphe 3, ou porterait atteinte aux droits et libertés d’autres personnes concernées. La communication des informations visées au point a) peut être différée, omise ou refusée conformément à l’article 25, paragraphe 8, du règlement (UE) 2018/1725. 3. Le dossier mentionné au paragraphe 2, point b), et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont enregistrés. Ils sont mis à la disposition du Contrôleur européen de la protection des données sur demande. L’article 25, paragraphe 7, du règlement (UE) 2018/1725 s’applique.

Article 7 Droit de rectification, droit à l’effacement et droit à la limitation du traitement Lorsque le CRU limite, en tout ou en partie, l’application du droit de rectification, du droit à l’effacement ou du droit à la limitation du traitement visés aux articles 18, 19, paragraphe 1, et 20, paragraphe 1, du règlement (UE) 2018/1725, il prend les mesures visées à l’article 6, paragraphe 2, de la présente décision, et enregistre le dossier conformément à son article 6, paragraphe 3.

Article 8 Communication à la personne concernée d’une violation de données à caractère personnel Lorsque le CRU limite la communication d’une violation de données à caractère personnel à la personne concernée, visée à l’article 35 du règlement (UE) 2018/1725, il consigne et enregistre les motifs de cette limitation conformément à l’article 3, paragraphe 3, de la présente décision. L’article 3, paragraphe 4, de la présente décision s’applique.

Article 9 Entrée en vigueur La présente décision entre en vigueur le jour suivant celui de sa publication au Journal officiel de l’Union européenne.

Fait à Bruxelles, le 18 septembre 2019. Pour le Conseil de résolution unique Elke KÖNIG Présidente

(1) JO L 225 du 30.7.2014, p. 1.

(2) JO L 295 du 21.11.2018, p. 39.