DÉCISION DE LA BANQUE EUROPÉENNE D'INVESTISSEMENT

du 26 février 2019

établissant les règles internes régissant le traitement des données à caractère personnel par la direction Personnel de la Banque européenne d'investissement en ce qui concerne la communication d'informations aux personnes concernées et la limitation de certains de leurs droits

LA BANQUE EUROPÉENNE D'INVESTISSEMENT (la «BEI»),

vu le traité sur le fonctionnement de l'Union européenne, et notamment son article 309,

vu le règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions, organes et organismes de l'Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE,

considérant ce qui suit:

Au titre de l'article 38 des règlements du personnel I et II de la BEI, les membres du personnel qui manquent à leurs obligations vis-à-vis de la BEI sont passibles de mesures disciplinaires conformément à la procédure prévue à l'article 40 desdits règlements. Au titre de l'article 41 des règlements du personnel I et II de la BEI, les différends autres que ceux découlant de la mise en jeu des mesures disciplinaires prévues à l'article 38 desdits règlements peuvent être soumis à une commission de conciliation. Conformément à la politique de la BEI en matière de respect de la dignité de la personne au travail et aux lignes directrices de la BEI concernant la procédure de recours dans le contexte de l'évaluation annuelle, la BEI doit traiter respectivement les plaintes pour harcèlement et les recours formés contre les évaluations des performances.

L'organisation et la gestion des procédures énoncées aux articles 40 et 41 des règlements du personnel I et II de la BEI, ainsi que dans la politique de la BEI en matière de respect de la dignité de la personne au travail et dans les lignes directrices de la BEI concernant la procédure de recours dans le contexte de l'évaluation annuelle relèvent de la responsabilité première de la direction Personnel de la BEI. Cette direction soutient notamment les organes chargés desdites procédures et en assure le secrétariat juridique.

Dans l'exercice de ses missions, la direction Personnel a le devoir de respecter les droits des personnes physiques relatifs au traitement des données à caractère personnel consacrés par l'article 8, paragraphe 1, de la charte des droits fondamentaux de l'Union européenne et par l'article 16, paragraphe 1, du traité sur le fonctionnement de l'Union européenne, ainsi que par les actes juridiques fondés sur ces dispositions. Dans le même temps, la direction Personnel est tenue de se conformer aux règles strictes de confidentialité et de secret professionnel prévues dans les règlements du personnel de la BEI et le code de conduite du personnel de la BEI et de veiller au respect des droits procéduraux des personnes concernées et des témoins, en particulier du droit des personnes concernées à un procès équitable, des droits de la défense et de la présomption d'innocence.

Dans certains cas, il est nécessaire de concilier les droits des personnes concernées prévus dans le règlement (UE) 2018/1725 (1) avec les objectifs et les besoins des missions de la direction Personnel, ainsi qu'avec le plein respect des droits fondamentaux et libertés des autres personnes concernées. À cet effet, l'article 25 dudit règlement confère à la direction Personnel la possibilité de limiter l'application des articles 14 à 22 et de l'article 35, ainsi que de l'article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 22.

Afin de garantir l'efficacité des procédures mises en œuvre par la commission disciplinaire et la commission de conciliation établies en application respectivement des articles 40 et 41 des règlements du personnel I et II, et par le panel de la dignité au travail et le comité des recours, institués en application respectivement de la politique de la BEI en matière de respect de la dignité de la personne au travail et des lignes directrices de la BEI concernant la procédure de recours dans le contexte de l'évaluation annuelle du personnel, tout en respectant les normes de protection des données à caractère personnel en vertu du règlement (UE) 2018/1725, il y a lieu d'adopter des règles internes en vertu desquelles la direction Personnel peut limiter les droits des personnes concernées conformément à l'article 25, paragraphe 1, points c), g) et h), du règlement (UE) 2018/1725.

Les règles internes devraient s'appliquer à toutes les opérations de traitement effectuées par la direction Personnel dans l'exercice de son mandat conformément aux dispositions des articles 40 et 41 des règlements du personnel I et II de la BEI, à la politique de la BEI en matière de respect de la dignité de la personne au travail et aux lignes directrices de la BEI concernant la procédure de recours dans le contexte de l'évaluation annuelle. Ces règles devraient s'appliquer aux opérations de traitement effectuées avant l'ouverture des procédures menées par la commission disciplinaire, la commission de conciliation, le panel de la dignité au travail et le comité des recours, pendant que ces procédures sont en cours et lors du suivi des résultats de ces procédures.

Pour se conformer aux articles 14, 15 et 16 du règlement (UE) 2018/1725, le responsable du traitement des données devrait informer toutes les personnes de ses activités nécessitant un traitement de leurs données à caractère personnel et de leurs droits, de manière transparente et cohérente, en publiant des avis relatifs à la protection des données sur le site intranet de la BEI, et informer individuellement les personnes concernées par ses activités (à savoir les personnes concernées, les parties et les témoins).

En outre, en vue de préserver l'efficacité de la coopération, la direction Personnel peut être amenée à appliquer des limitations aux droits des personnes concernées afin de protéger des informations contenant des données à caractère personnel provenant d'autres services de la BEI, d'autres institutions, organes ou organismes de l'Union européenne, d'autorités compétentes d'États membres ou de pays tiers, ainsi que d'organisations internationales. À cet effet, la direction Personnel devrait consulter ces autres services de la BEI, institutions, organes, organismes, autorités ou organisations internationales au sujet des motifs justifiant l'application de limitations, et de la nécessité et de la proportionnalité de ces dernières.

La direction Personnel devrait traiter toutes les limitations de manière transparente et consigner chaque cas de limitation dans le système d'enregistrement correspondant.

En vertu de l'article 25, paragraphe 8, du règlement (UE) 2018/1725, les responsables du traitement des données peuvent différer, omettre ou refuser la communication des motifs de l'application d'une limitation à la personne concernée, lorsque cette communication est susceptible de priver d'effet la limitation. Cela est notamment le cas des limitations aux droits prévus aux articles 16 et 35 du règlement (UE) 2018/1725. Afin de garantir que le droit de la personne concernée à être informée conformément aux articles 16 et 35 du règlement (UE) 2018/1725 n'est limité que tant que les motifs d'un report de communication subsistent, la direction Personnel devrait régulièrement réexaminer sa position.

Dès lors qu'une limitation des droits des autres personnes concernées est appliquée, la direction Personnel devrait évaluer, au cas par cas, si la communication de la limitation risque de la priver d'effet.

Le délégué à la protection des données (DPD) de la BEI peut procéder à un examen indépendant de l'application des limitations, en vue d'assurer le respect de la présente décision,

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier Objet et champ d'application 1. La présente décision établit les règles à suivre par le responsable du traitement des données, au sens de l'article 2, paragraphe 1, afin d'informer les personnes concernées du traitement de leurs données conformément aux articles 14, 15 et 16 du règlement (UE) 2018/1725. Elle établit en outre les conditions dans lesquelles le responsable du traitement des données en question peut limiter l'application de l'article 4, des articles 14 à 22 et de l'article 35 du règlement, conformément à l'article 25, paragraphe 1, points c), g) et h), dudit règlement. 2. La présente décision s'applique aux opérations de traitement des données à caractère personnel effectuées par la direction Personnel aux fins des activités qu'elle mène pour s'acquitter des tâches visées dans les articles 40 et 41 des règlements du personnel I et II de la BEI, ainsi que dans la politique de la BEI en matière de respect de la dignité de la personne au travail, les lignes directrices de la BEI concernant la procédure de recours dans le contexte de l'évaluation annuelle et leurs modifications ultérieures, ou en relation avec ces activités. 3. Dans le cadre de son mandat, la direction Personnel traite plusieurs catégories de données à caractère personnel, en particulier des données d'identification, données professionnelles, données de contact et données relatives au rôle joué dans l'affaire.

Article 2 Détermination du responsable du traitement des données et mesures de sauvegarde 1. Le responsable du traitement des données est le directeur général de la direction Personnel. 2. Les données à caractère personnel sont conservées dans un environnement électronique et physique sécurisé qui empêche leur consultation ou transfert illicite par ou à des personnes qui n'ont pas besoin d'en connaître. 3. Les données à caractère personnel traitées sont conservées pendant une durée de six mois au minimum et jusqu'à dix ans au maximum. Plus d'informations sur la durée exacte des délais de conservation par procédure peuvent être obtenues en consultant le calendrier de conservation de la direction Personnel. 4. Des délais plus longs que celui indiqué ci-dessus sont appliqués dans des cas exceptionnels et dûment justifiés, sous réserve de l'accord du DPD.

Article 3 Exceptions et limitations applicables 1. Lorsque la direction Personnel s'acquitte de ses devoirs au regard des droits des personnes concernées en vertu du règlement (UE) 2018/1725, elle examine la question de savoir si l'une des exceptions prévues par ledit règlement s'applique. 2. Sous réserve des dispositions des articles 4 à 7 de la présente décision, la direction Personnel peut limiter l'application des articles 14 à 22 et de l'article 35 du règlement (UE) 2018/1725, ainsi que de l'article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 22 dudit règlement, dans le cas où l'exercice de ces droits et obligations compromettrait la finalité des procédures énoncées aux articles 40 et 41 des règlements du personnel I et II de la BEI, ainsi que dans la politique de la BEI en matière de respect de la dignité de la personne au travail et les lignes directrices de la BEI concernant la procédure de recours dans le contexte de l'évaluation annuelle, ou porterait atteinte aux droits et libertés d'autres personnes concernées. 3. Sous réserve des dispositions des articles 4 à 7 de la présente décision, la direction Personnel peut limiter les droits et obligations visés au paragraphe 2 du présent article en ce qui concerne les données à caractère personnel obtenues auprès d'autres services de la BEI, d'autres institutions, organes ou organismes de l'Union européenne, d'autorités compétentes d'États membres ou d'organisations internationales, dans les cas suivants: a) lorsque l'exercice de ces droits et obligations pourrait être limité par d'autres services de la BEI ou d'autres institutions, organes ou organismes de l'Union européenne sur la base d'autres actes prévus à l'article 25 du règlement ou conformément au chapitre IX dudit règlement; b) lorsque l'exercice de ces droits et obligations pourrait être limité par les autorités compétentes des États membres sur la base des actes visés à l'article 23 du règlement (UE) 2016/679 du Parlement européen et du Conseil (2), ou en vertu de mesures nationales transposant l'article 13, paragraphe 3, l'article 15, paragraphe 3, ou l'article 16, paragraphe 3, de la directive (UE) 2016/680 du Parlement européen et du Conseil (3); c) lorsque l'exercice de ces droits et obligations risque de compromettre la coopération de la direction Personnel avec des pays tiers ou des organisations internationales dans l'accomplissement de ses missions. Avant d'appliquer des limitations dans les cas visés aux points a) et b) du premier alinéa, la direction Personnel consulte les services compétents de la BEI, les institutions, organes ou organismes de l'Union européenne ou les autorités compétentes des États membres, à moins qu'il ne soit clair pour la direction Personnel que l'application d'une limitation est prévue par l'un des actes visés à ces points. Le point c) du premier alinéa ne s'applique pas lorsque les intérêts ou les libertés et droits fondamentaux des personnes concernées prévalent sur l'intérêt de l'Union européenne à coopérer avec des pays tiers ou des organisations internationales. 4. Les paragraphes 1, 2 et 3 sont sans préjudice de l'application d'autres décisions de la BEI établissant des règles internes en ce qui concerne la communication d'informations aux personnes concernées et la limitation de certains droits en vertu de l'article 25 du règlement (UE) 2018/1725.

Article 4 Communication d'informations aux personnes concernées 1. La direction Personnel publie sur le site intranet de la BEI des avis relatifs à la protection des données qui informent toutes les personnes concernées de ses activités nécessitant un traitement de leurs données à caractère personnel. 2. La direction Personnel informe individuellement les personnes concernées qui sont parties à une procédure, concernées par une procédure ou témoins. 3. Lorsque la direction Personnel limite, totalement ou partiellement, la communication d'informations aux personnes concernées visées au paragraphe 2, elle consigne dans un relevé les motifs de la limitation, assortis d'une évaluation de sa nécessité et de sa proportionnalité. À cette fin, le relevé indique de quelle manière la communication d'informations compromettrait la finalité de la procédure en question ou des limitations appliquées conformément à l'article 3, paragraphe 3, ou porterait atteinte aux droits et libertés d'autres personnes concernées. Le relevé et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont enregistrés. Ils sont mis à la disposition du Contrôleur européen de la protection des données (CEPD) sur demande. 4. Les limitations visées au paragraphe 3 continuent de s'appliquer tant que les motifs les justifiant subsistent. Lorsque les raisons justifiant ces limitations cessent d'exister, la direction Personnel fournit à la personne concernée les informations en question et les motifs de la limitation. Dans le même temps, la direction Personnel informe la personne concernée de la possibilité de déposer plainte auprès du CEPD à tout moment ou de former un recours juridictionnel devant la Cour de justice de l'Union européenne. La direction Personnel examine l'application de la limitation au moins tous les six mois à compter de son adoption et à la clôture de la procédure en question. Par la suite, le responsable du traitement des données vérifie la nécessité de maintenir la limitation sur une base annuelle.

Article 5 Droit d'accès de la personne concernée 1. Dans les cas où les personnes concernées demandent à accéder à leurs données à caractère personnel traitées dans le cadre d'un ou de plusieurs cas spécifiques ou d'une opération de traitement particulière, conformément à l'article 17 du règlement (UE) 2018/1725, la direction Personnel limite son examen de la demande à ces seules données à caractère personnel. 2. Lorsque la direction Personnel limite, totalement ou partiellement, le droit d'accès visé à l'article 17 dudit règlement, elle prend les mesures suivantes: a) elle informe la personne concernée, dans sa réponse à la demande, de la limitation appliquée et des principales raisons qui la motivent, ainsi que de la possibilité d'introduire une plainte auprès du CEPD ou de former un recours juridictionnel devant la Cour de justice de l'Union européenne; b) elle consigne dans un relevé les motifs de la limitation, assortis d'une évaluation de sa nécessité et de sa proportionnalité; à cette fin, le relevé indique de quelle manière l'accès aux informations compromettrait la finalité de la procédure en question ou des limitations appliquées conformément à l'article 3, paragraphe 3, ou porterait atteinte aux droits et libertés d'autres personnes concernées. La communication des informations visées au point a) peut être différée, omise ou refusée conformément à l'article 25, paragraphe 8, du règlement (UE) 2018/1725. 3. Le relevé mentionné au paragraphe 2, premier alinéa, point b), et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont enregistrés. Ils sont mis à la disposition du CEPD sur demande. L'article 25, paragraphe 7, du règlement (UE) 2018/1725 s'applique.

Article 6 Droit de rectification, droit à l'effacement et droit à la limitation du traitement Dans le cas où la direction Personnel limite, totalement ou partiellement, l'application du droit de rectification, du droit à l'effacement ou du droit à la limitation du traitement, visés à l'article 18, à l'article 19, paragraphe 1, et à l'article 20, paragraphe 1, du règlement (UE) 2018/1725, elle prend les mesures visées à l'article 5, paragraphe 2, de la présente décision, et enregistre le relevé conformément à son article 5, paragraphe 3.

Article 7 Communication à la personne concernée d'une violation de données à caractère personnel Dans le cas où la direction Personnel limite la communication d'une violation de données à caractère personnel à la personne concernée, visée à l'article 35 du règlement (UE) 2018/1725, elle consigne et enregistre les motifs de cette limitation conformément à l'article 4, paragraphe 3, de la présente décision. L'article 4, paragraphe 4, de la présente décision s'applique.

Article 8 Réexamen par le délégué à la protection des données La direction Personnel informe sans délai le DPD chaque fois qu'elle limite l'application des droits des personnes concernées conformément à la présente décision et lui donne accès au relevé et à l'évaluation de la nécessité et de la proportionnalité de la limitation. Le DPD peut demander par écrit à la direction Personnel un réexamen de l'application des limitations. La direction Personnel informe le DPD par écrit du résultat du réexamen demandé.

Article 9 Entrée en vigueur La présente décision a été approuvée par le Conseil d'administration de la BEI le 26 février 2019 et entre en vigueur le jour de sa publication sur la page web de la BEI.

Fait à Luxembourg, le 26 février 2019.

(1) Règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions, organes et organismes de l'Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (JO L 295 du 21.11.2018, p. 39).

(2) Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1).

(3) Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO L 119 du 4.5.2016, p. 89).