DÉCISION (UE) 2020/969 DE LA COMMISSION

du 3 juillet 2020

établissant des dispositions d’application concernant le délégué à la protection des données, les limitations des droits des personnes concernées et le règlement (UE) 2018/1725 du Parlement européen et du Conseil, et abrogeant la décision 2008/597/CE de la Commission

LA COMMISSION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 249, paragraphe 1,

vu le règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (1), et notamment son article 45, paragraphe 3,

considérant ce qui suit:

(1) Pour garantir le bon fonctionnement du service du délégué à la protection des données de la Commission (ci-après le «DPD»), il est nécessaire de définir de manière détaillée les missions, les fonctions et les compétences du DPD.

(2) Le règlement (UE) 2018/1725 assigne des responsabilités claires aux responsables du traitement des données, en particulier à l’égard des personnes concernées. Afin de garantir que la Commission, en sa qualité de responsable du traitement, s’acquitte de ses responsabilités de manière uniforme et transparente, il y a lieu d’établir des règles permettant d’identifier qui, au sein du ou des services concernés de la Commission, est responsable d’une opération de traitement effectuée pour le compte de la Commission. Il convient, à cet égard, d’introduire la notion de responsable délégué du traitement afin d’indiquer de façon précise les responsabilités des entités de la Commission, en particulier en ce qui concerne les décisions individuelles relatives aux droits des personnes concernées. Il convient aussi d’introduire la notion de responsable opérationnel du traitement; celui-ci sera chargé, sous la responsabilité du responsable délégué du traitement, de veiller au respect de la réglementation dans la pratique et de traiter les demandes des personnes concernées relatives à une opération de traitement. La nomination d’un responsable opérationnel du traitement n’empêche pas l’utilisation, dans la pratique, d’un point de contact, pouvant prendre la forme, par exemple, d’une boîte de courrier électronique fonctionnelle à laquelle peuvent être envoyées les demandes des personnes concernées.

(3) Il peut arriver, dans certains cas, que plusieurs services de la Commission effectuent conjointement une opération de traitement dans le cadre de l’accomplissement de leur mission. En pareil cas, ils devraient veiller à ce que des accords internes soient pris pour définir, de manière transparente, leurs responsabilités respectives au titre du règlement (UE) 2018/1725, en particulier leurs responsabilités à l’égard des personnes concernées ainsi qu’en matière de notification au Contrôleur européen de la protection des données (ci-après le «CEPD») et de tenue de registres.

(4) Afin de faciliter l’exercice des responsabilités des responsables délégués du traitement, il y a lieu que chaque service de la Commission nomme un coordinateur de la protection des données (ci-après le «CPD»). Le CPD devrait participer au réseau des coordinateurs de la protection des données de la Commission pour garantir une mise en œuvre et une interprétation cohérentes du règlement (UE) 2018/1725 au sein de l’institution et examiner les questions d’intérêt commun.

(5) Le DPD étant chargé de répartir les responsabilités en vertu de l’article 45, paragraphe 1, point b), du règlement (UE) 2018/1725, il devrait émettre des orientations supplémentaires concernant la fonction de CPD.

(6) La Commission traite plusieurs catégories de données à caractère personnel aux fins des activités de contrôle, d’examen, d’audit et de consultation du DPD. La Commission traite plus particulièrement des données d’identification, des coordonnées, des données professionnelles et des données relatives au rôle joué dans un dossier. Ces données sont conservées pendant cinq ans après la clôture des activités concernées, conformément à la liste commune de conservation des dossiers de la Commission (2).

(7) Dans certaines circonstances, il est nécessaire de concilier les droits des personnes concernées prévus par le règlement (UE) 2018/1725, d’une part, et la nécessité, pour la Commission, d’accomplir les missions de contrôle, d’examen, d’audit ou de consultation du DPD, de garantir la confidentialité des échanges d’informations entre les services de la Commission et de veiller au plein respect des libertés et droits fondamentaux d’autres personnes concernées. À cet effet, l’article 25, paragraphe 1, du règlement (UE) 2018/1725 donne à la Commission la possibilité de limiter l’application des articles 14 à 17, 19, 20 et 35, ainsi que du principe de transparence établi à l’article 4, paragraphe 1, point a), dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 17, 19 et 20 dudit règlement.

(8) Afin de garantir la confidentialité et l’efficacité des missions de contrôle, d’examen, d’audit ou de consultation du DPD tout en respectant les normes de protection des données à caractère personnel prévues par le règlement (UE) 2018/1725, il est nécessaire d’adopter des règles internes en vertu desquelles le DPD pourrait limiter les droits des personnes concernées conformément à l’article 25 dudit règlement.

(9) Ces règles internes devraient s’appliquer à toutes les opérations de traitement de données effectuées par la Commission dans l’accomplissement des missions de contrôle, d’examen, d’audit ou de consultation du DPD. Elles devraient s’appliquer aux opérations de traitement effectuées avant l’ouverture d’un examen ou d’un audit, pendant un examen ou un audit et lors du contrôle des suites données résultat de cet examen ou de cet audit. Ces règles devraient également s’appliquer aux opérations de traitement qui relèvent des tâches liées à la fonction d’examen ou d’audit du DPD, telles que le traitement des plaintes par ce dernier. Elles devraient aussi s’appliquer aux missions de contrôle du DPD, ainsi qu’à ses missions de consultation, lorsqu’il fournit des services d’assistance et de coopération aux services de la Commission en dehors du cadre de ses examens administratifs et de ses audits.

(10) Afin de se conformer aux articles 14, 15 et 16 du règlement (UE) 2018/1725, la Commission devrait informer toutes les personnes des missions de contrôle, d’examen, d’audit ou de consultation du DPD qui impliquent le traitement de leurs données à caractère personnel, ainsi que de leurs droits au titre du règlement (UE) 2018/1725. La Commission devrait informer ces personnes, de manière transparente et cohérente, sous la forme d’avis relatifs à la protection des données publiés sur son site web et elle devrait informer chaque personne concernée par une activité de contrôle, d’examen, d’audit ou de consultation du DPD.

(11) Dans certaines circonstances, la Commission peut être amenée à limiter la communication d’informations aux personnes concernées et l’application d’autres droits des personnes concernées. Elle peut y être amenée pour protéger les missions de contrôle, d’examen, d’audit ou de consultation du DPD, les enquêtes et procédures connexes d’autres services de la Commission, les outils et les méthodes d’examen et d’audit du DPD, ainsi que les droits d’autres personnes en rapport avec les missions du DPD.

(12) Dans certains cas, la communication de certaines informations aux personnes concernées ou la révélation de l’existence d’une activité de contrôle, d’examen, d’audit ou de consultation du DPD pourraient rendre impossible l’opération de traitement ou compromettre gravement la finalité de cette dernière et la capacité du DPD à exercer son activité.

(13) De plus, la Commission devrait protéger l’identité des informateurs, qui ne devraient pas subir de répercussions négatives du fait de leur coopération avec le DPD.

(14) Pour ces raisons, la Commission peut être amenée à appliquer les motifs de limitation visés à l’article 25, paragraphe 1, points c), g) et h), du règlement (UE) 2018/1725 aux opérations de traitement de données effectuées dans le cadre des missions de contrôle, d’examen, d’audit ou de consultation du DPD définies à l’article 45 dudit règlement.

(15) En outre, dans un souci d’efficacité de la coopération, la Commission peut être amenée à appliquer des limitations aux droits des personnes concernées afin de protéger les informations contenant des données à caractère personnel provenant d’autres services de la Commission ou d’autres institutions ou organes de l’Union. À cet effet, le DPD devrait consulter ces services, institutions ou organes sur les motifs pertinents justifiant l’application de limitations ainsi que sur la nécessité et le caractère proportionné de ces dernières.

(16) Dans le cadre de ses missions de contrôle, d’examen, d’audit ou de consultation, le DPD échange des informations, y compris des données à caractère personnel, avec d’autres services de la Commission. Par conséquent, tous les services de la Commission qui traitent des données à caractère personnel faisant l’objet d’un traitement par le DPD dans le cadre de ses missions devraient appliquer les règles énoncées dans la présente décision en vue de protéger les opérations de traitement effectuées par le DPD. Dans ces circonstances, les services de la Commission concernés devraient, par conséquent, consulter le DPD sur les motifs pertinents justifiant l’application de limitations ainsi que sur la nécessité et le caractère proportionné de ces dernières, afin de veiller à leur application cohérente.

(17) Le DPD et, le cas échéant, les autres services de la Commission, devraient traiter toutes les limitations d’une manière transparente et consigner chaque cas de limitation dans le registre correspondant.

(18) Conformément à l’article 25, paragraphe 8, du règlement (UE) 2018/1725, les responsables du traitement peuvent différer ou omettre la communication des raisons de l’application d’une limitation à la personne concernée, si cela est susceptible de priver d’effet la limitation. En particulier, lorsqu’une limitation des droits prévus aux articles 16 et 35 est appliquée, la notification d’une telle limitation pourrait priver d’effet la limitation. Afin de garantir que le droit de la personne concernée d’être informée conformément aux articles 16 et 35 du règlement (UE) 2018/1725 n’est limité qu’aussi longtemps que les raisons du report persistent, la Commission devrait régulièrement réexaminer sa position.

(19) Lorsque d’autres droits des personnes concernées sont limités, le DPD devrait évaluer, au cas par cas, si la communication de la limitation est susceptible de priver celle-ci d’effet.

(20) Le DPD devrait procéder à un réexamen indépendant de l’application, par d’autres services de la Commission, de limitations fondées sur la présente décision afin de garantir le respect de cette dernière.

(21) Toute limitation appliquée sur la base de la présente décision devrait être nécessaire et proportionnée, compte tenu des risques qui pèsent sur les droits et les libertés des personnes concernées.

(22) Le Contrôleur européen de la protection des données a été informé et consulté conformément à l’article 41, paragraphes 1 et 2, du règlement (UE) 2018/1725 et a rendu un avis le 16 septembre 2019.

(23) La décision 2008/597/CE de la Commission (3) établit des dispositions d’application relatives au délégué à la protection des données conformément au règlement (CE) no 45/2001 du Parlement européen et du Conseil (4). Le règlement (UE) 2018/1725 a abrogé le règlement (CE) no 45/2001 avec effet au 11 décembre 2019. Afin de garantir qu’un seul ensemble de dispositions d’application s’applique au DPD, il convient d’abroger également la décision 2008/597/CE,

A ADOPTÉ LA PRÉSENTE DÉCISION:

CHAPITRE 1

DISPOSITIONS GÉNÉRALES

Article premier Objet et champ d’application 1. La présente décision définit des règles et des procédures pour l’application du règlement (UE) 2018/1725 par la Commission et établit des dispositions d’application relatives au délégué à la protection des données de la Commission (ci-après le «DPD»). 2. La présente décision établit également les règles que la Commission doit suivre, en rapport avec les missions de contrôle, d’examen, d’audit ou de consultation du DPD, pour informer les personnes concernées du traitement de leurs données à caractère personnel conformément aux articles 14, 15 et 16 du règlement (UE) 2018/1725. 3. La présente décision fixe par ailleurs les conditions dans lesquelles la Commission peut, en rapport avec les missions de contrôle, d’examen, d’audit ou de consultation du DPD, limiter l’application des articles 4, 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725, conformément à l’article 25, paragraphe 1, points c), g) et h), dudit règlement. 4. La présente décision s’applique au traitement de données à caractère personnel par la Commission aux fins des ou en rapport avec les missions du DPD visées à l’article 45 du règlement (UE) 2018/1725, en particulier les missions de contrôle, d’examen, d’audit et de consultation de ce dernier.

Article 2 Responsabilité du traitement Aux fins de la présente décision, la Commission est considérée comme le responsable du traitement au sens de l’article 3, point 8), du règlement (UE) 2018/1725.

Article 3 Définitions Aux fins de la présente décision, on entend par: 1) «délégué à la protection des données» (DPD): la personne désignée par la Commission conformément à l’article 43 du règlement (UE) 2018/1725; 2) «missions du DPD»: les missions du DPD visées à l’article 45 du règlement (UE) 2018/1725, en particulier ses missions de contrôle, d’examen, d’audit et de consultation; 3) «coordinateur de la protection des données» (CPD): le membre du personnel de la Commission nommé par une direction générale ou un service de la Commission pour apporter, à cette direction générale ou à ce service, conseils et assistance sur tous les aspects touchant à la protection des données à caractère personnel; 4) «responsable délégué du traitement»: la personne à la tête d’une direction générale, d’un service ou d’un cabinet qui, dans l’accomplissement de sa mission, effectue une opération de traitement pour le compte de la Commission; 5) «responsable opérationnel du traitement»: le membre du personnel d’encadrement intermédiaire ou supérieur de la Commission désigné par le responsable délégué du traitement pour consigner l’opération de traitement dans le registre prévu à cet effet et servir de principal point de contact pour les personnes concernées en ce qui concerne cette opération de traitement; 6) «accord interne»: un accord pris entre plusieurs directions générales ou services pour déterminer leurs responsabilités respectives et coordonner la tenue du registre des traitements lorsque ces directions générales ou services effectuent conjointement une opération de traitement ou lorsqu’un(e) ou plusieurs directions générales ou services effectuent une partie de l’opération de traitement du responsable délégué du traitement; 7) «informateur»: une personne qui porte à l’attention du DPD un fait dont elle allègue qu’il constitue une violation des dispositions du règlement (UE) 2018/1725 ou qui demande que le DPD examine des questions et des faits qui sont directement en rapport avec ses missions et qu’elle a portés à la connaissance du DPD.

CHAPITRE 2

DÉLÉGUÉ À LA PROTECTION DES DONNÉES ET COORDINATEUR DE LA PROTECTION DES DONNÉES

Article 4 Désignation et poste Le DPD est choisi parmi le personnel de la Commission sur la base de ses qualités professionnelles, en particulier d’une bonne connaissance des services de la Commission, de leur structure et de leurs règles et procédures administratives.

Article 5 Missions et fonctions 1. Le DPD contribue à la création, au sein de la Commission, d’une culture de la protection des données à caractère personnel fondée sur l’évaluation des risques et l’obligation de rendre des comptes. 2. Le DPD contrôle la mise en œuvre du règlement (UE) 2018/1725 au sein de la Commission, entre autres en établissant et en réalisant chaque année un programme d’inspection et d’audit. 3. Le DPD organise et préside les réunions périodiques des CPD. 4. Le DPD consigne les activités de traitement de la Commission dans un registre central et rend celui-ci public. Le DPD tient également un registre interne à la Commission des violations de données à caractère personnel au sens de l’article 3, point 16), du règlement (UE) 2018/1725. 5. Dans l’exercice de ses fonctions, le DPD coopère avec les délégués à la protection des données désignés par les autres institutions et organes de l’Union. 6. Le DPD est considéré comme le responsable délégué du traitement aux fins des décisions individuelles concernant les droits des personnes concernées au titre du règlement (UE) 2018/1725 prises en rapport avec ses opérations de traitement.

Article 6 Compétences Dans l’exercice de ses missions, le DPD: a) a accès, lorsque ses missions l’exigent, aux données qui font l’objet des opérations de traitement de données à caractère personnel, ainsi qu’à tous les locaux, installations de traitement de données et supports d’information; b) peut demander des avis au service juridique de la Commission; c) peut, en cas de conflit d’interprétation ou de mise en œuvre du règlement (UE) 2018/1725 entre lui-même et le responsable délégué du traitement, le responsable opérationnel du traitement ou le sous-traitant, informer le responsable délégué du traitement concerné ou le secrétaire général; d) peut attribuer des dossiers aux directions générales ou aux services de la Commission concernés en vue d’un suivi approprié; e) peut examiner, sur demande ou de sa propre initiative, des questions et des faits qui sont directement en rapport avec ses missions conformément à la procédure prévue à l’article 11; f) peut, lorsqu’il fait des recommandations ou dispense des conseils: i) inviter le responsable délégué du traitement ou le sous-traitant à satisfaire à une demande présentée par une personne concernée en vue d’exercer ses droits en application du règlement (UE) 2018/1725, ii) avertir le responsable délégué du traitement ou le sous-traitant lorsqu’une opération de traitement viole les dispositions du règlement (UE) 2018/1725 et l’inviter à mettre l’opération de traitement en conformité avec les dispositions dudit règlement, le cas échéant, de manière spécifique et dans un délai déterminé, iii) inviter le responsable délégué du traitement ou le sous-traitant à suspendre les flux de données adressés à un destinataire situé dans un État membre ou un pays tiers ou à une organisation internationale, iv) demander au responsable délégué du traitement ou au sous-traitant de l’informer, dans un délai imparti, des suites données à sa recommandation ou à son conseil; g) peut porter à l’attention du secrétaire général tout cas de non-respect des mesures prises en vertu de l’article 6, point f), par un responsable délégué du traitement, un responsable opérationnel du traitement ou un sous-traitant; h) est responsable des décisions initiales concernant les demandes d’accès à des documents détenus par son service conformément au règlement (CE) no 1049/2001 du Parlement européen et du Conseil (5).

Article 7 Coordinateurs de la protection des données 1. Le responsable délégué du traitement nomme un CPD et, s’il y a lieu, un ou plusieurs CPD adjoints au sein de la direction générale ou du service dont il a la responsabilité. Plusieurs responsables délégués du traitement peuvent, pour des raisons de cohérence ou d’efficience, décider de nommer un CPD ou un CPD adjoint commun ou de se partager les services d’un CPD ou d’un CPD adjoint déjà nommé. Les responsables délégués du traitement concernés consignent cette décision par écrit. 2. Le CPD nommé par une direction générale ou un service est également compétent pour le cabinet responsable de cette direction générale ou de ce service. Le CPD nommé pour le secrétariat général est compétent pour le cabinet du président ainsi que pour les cabinets dont le secrétariat général est le seul service d’appui. Lorsqu’un cabinet est responsable de plusieurs directions générales ou de plusieurs services, les responsables délégués du traitement décident lesquels, parmi leurs CPD respectifs, sont compétents pour ce cabinet. 3. Le DPD, le personnel de la direction générale ou du service concerné et le cabinet responsable sont informés de toute nouvelle nomination d’un CPD. Les CPD nouvellement nommés suivent une formation afin d’acquérir les compétences nécessaires à l’exercice de leur fonction dans les six mois suivant leur nomination. Ceux qui ont précédemment occupé un poste de CPD dans une autre direction générale ou dans un autre service ou qui ont fait partie du personnel du DPD dans les deux années précédant leur nomination en tant que CPD sont exemptés de cette obligation de formation. 4. Les responsables délégués du traitement prennent les dispositions nécessaires pour que le CPD soit associé, d’une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données au sein de leur direction générale ou de leur service et pour que les avis rendus par le CPD soient, à la demande de ce dernier, rapidement portés à leur attention. 5. Les CPD sont choisis sur la base de leur connaissance et de leur expérience du fonctionnement de la direction générale ou du service concerné, de leur motivation pour cette fonction, de leurs compétences en matière de protection des données, de leur compréhension des principes qui régissent les systèmes d’information et de leurs aptitudes à la communication. 6. La fonction de CPD peut se combiner avec d’autres fonctions. Le responsable délégué du traitement s’assure que ces fonctions sont compatibles avec celles de CPD. 7. La fonction de CPD fait partie de la description de poste de chaque membre du personnel nommé comme tel. Les responsabilités et les réalisations des CPD sont mentionnées dans leurs rapports d’évaluation annuels. 8. Le CPD fait office de point de contact entre le responsable délégué du traitement, le responsable opérationnel du traitement et le sous-traitant, d’une part, et le DPD, d’autre part. 9. Les CPD ont le droit de recueillir, au sein de leur direction générale ou de leur service, toutes les informations nécessaires à l’accomplissement de leurs missions. Ils n’ont accès aux données à caractère personnel que si cela est nécessaire à l’accomplissement de leurs missions. 10. Le CPD tient les registres et établit des statistiques anonymisées des demandes adressées par des personnes concernées à la direction générale, au service ou au cabinet; ces statistiques précisent le nombre de demandes et le nombre de demandes rejetées en tout ou en partie. Le DPD précise les catégories de demandes pour lesquelles des statistiques sont tenues. Il peut également indiquer d’autres détails à fournir. Le CPD tient des statistiques anonymisées des violations de données à caractère personnel gérées par la direction générale, le service ou le cabinet; ces statistiques précisent le nombre total de violations de données à caractère personnel, le nombre de violations de données à caractère personnel notifiées au CEPD et le nombre de violations de données à caractère personnel communiquées aux personnes concernées. 11. Le CPD sensibilise le personnel de sa direction générale ou de son service aux questions relatives à la protection des données, il conseille les responsables délégués du traitement et les responsables opérationnels du traitement et les aide à s’acquitter de leurs obligations, en particulier en ce qui concerne: a) la mise en œuvre des principes généraux du règlement (UE) 2018/1725; b) la documentation des opérations de traitement; c) la notification, au DPD, des opérations de traitement des responsables délégués du traitement qui sont consignées dans le registre, conformément à l’article 10; d) l’élaboration des déclarations de confidentialité. 12. Les CPD participent aux réunions et, si nécessaire, aux groupes de travail des CPD. 13. Le DPD émet des orientations supplémentaires concernant les responsabilités et les fonctions du CPD.

CHAPITRE 3

RESPONSABLES DU TRAITEMENT

Article 8 Responsables délégués du traitement et responsables opérationnels du traitement 1. Les responsables délégués du traitement agissent pour le compte de la Commission en tant que responsables du traitement aux fins de l’application du règlement (UE) 2018/1725. 2. Les responsables délégués du traitement et les responsables opérationnels du traitement: a) peuvent consulter le DPD, par l’intermédiaire du CPD, sur la conformité des opérations de traitement, en particulier s’il existe un doute quant à cette conformité; b) font rapport au DPD, par l’intermédiaire du CPD, sur le traitement de toute demande présentée par une personne concernée en vue d’exercer ses droits. 3. Le responsable délégué du traitement: a) désigne un responsable opérationnel du traitement pour l’aider à garantir le respect du règlement (UE) 2018/1725, en particulier à l’égard des personnes concernées; b) veille à ce que des accords internes soient pris avec d’autres directions générales ou services lorsqu’il effectue des opérations de traitement conjointement avec ces directions générales ou ces services ou lorsque ces directions générales ou ces services effectuent une partie de son opération de traitement. Les accords visés au premier alinéa, point b), définissent les responsabilités respectives en ce qui concerne le respect des obligations en matière de protection des données. Plus particulièrement, ils précisent l’identité du responsable délégué du traitement qui détermine les moyens et les finalités de l’opération de traitement ainsi que celle du responsable opérationnel du traitement et indiquent, s’il y a lieu, la personne et/ou les entités qui aident le responsable opérationnel du traitement, entre autres, à recueillir des informations en cas de violations de données ou à donner suite aux droits des personnes concernées. 4. Le responsable opérationnel du traitement: a) reçoit et traite toutes les demandes des personnes concernées; b) notifie les violations de données à caractère personnel au CEPD; c) informe le CPD et le DPD, ainsi que la personne concernée, s’il y a lieu, en cas de violation de données à caractère personnel; d) veille à ce que le CPD soit tenu informé de toute question relative à la protection des données, en particulier des demandes des personnes concernées; e) exécute, à la demande du responsable délégué du traitement, toute autre tâche relevant du champ d’application de la présente décision.

CHAPITRE 4

AUTRES OBLIGATIONS ET PROCÉDURES

Article 9 Information Le responsable délégué du traitement, en coopération avec le CPD, informe le DPD lorsqu’il consulte ou informe le CEPD conformément au règlement (UE) 2018/1725, et plus particulièrement aux articles 40 et 41 de celui-ci. En outre, le responsable délégué du traitement, le responsable opérationnel du traitement ou le CPD informe le DPD de toute autre interaction directe avec le CEPD en rapport avec la mise en œuvre du règlement (UE) 2018/1725.

Article 10 Registre 1. Le DPD veille à ce que le registre des opérations de traitement de la Commission soit accessible depuis son site web sur l’intranet de la Commission et depuis son site web sur Europa. 2. Les responsables délégués du traitement notifient au DPD, par l’intermédiaire de leur CPD, leurs opérations de traitement consignées dans le registre au moyen du système de notification en ligne de la Commission accessible depuis le site web du DPD sur l’intranet de la Commission.

Article 11 Procédure d’examen 1. Les demandes d’examen visées à l’article 6, point e), sont adressées au DPD par écrit. Dans les 15 jours ouvrables suivant la réception de la demande, le DPD envoie un accusé de réception à la personne qui a demandé l’examen et vérifie si la demande doit être considérée comme confidentielle et traitée comme telle, à moins que la personne concernée ne consente sans la moindre ambiguïté à ce que la demande soit traitée différemment. En cas d’abus manifeste du droit d’examen, le DPD n’est pas tenu de faire rapport au demandeur. 2. Le DPD demande au responsable délégué du traitement des données concernées une déclaration écrite sur la question. Ce dernier lui répond dans les quinze jours ouvrables. Le DPD peut demander un complément d’information au responsable délégué du traitement, au sous-traitant ou à d’autres parties dans les 15 jours ouvrables. 3. Le DPD fait rapport à la personne ayant demandé l’examen trois mois au plus tard après réception de la demande. Ce délai peut être suspendu jusqu’à ce que le DPD ait obtenu toutes les informations nécessaires qu’il a pu demander. 4. Nul ne doit subir de préjudice pour avoir porté à l’attention du DPD un fait dont il allègue qu’il constitue une violation des dispositions du règlement (UE) 2018/1725.

Article 12 Administration et gestion 1. Le DPD est rattaché, sur le plan administratif, au secrétariat général. Il participe de ce fait à l’élaboration du plan de gestion annuel et de l’avant-projet de budget du secrétariat général. 2. Le DPD est l’évaluateur du personnel du service de la protection des données. Le secrétaire général adjoint en est le validateur. Le DPD participe s’il y a lieu à la coordination de la gestion du secrétariat général.

CHAPITRE 5

LIMITATION DES DROITS DES PERSONNES CONCERNÉES

Article 13 Exceptions et limitations applicables 1. Lorsque la Commission exerce ses fonctions à l’égard des droits des personnes concernées en vertu du règlement (UE) 2018/1725, elle examine si l’une des exceptions établies dans ledit règlement s’applique. 2. Sous réserve des articles 14 à 18 de la présente décision, la Commission peut limiter l’application des articles 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725, ainsi que du principe de transparence établi à son article 4, paragraphe 1, point a), dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 17, 19 et 20 dudit règlement, dans le cas où l’exercice de ces droits et obligations compromettrait la finalité des missions du DPD, notamment en révélant ses outils et méthodes d’examen ou d’audit, ou porterait atteinte aux droits et aux libertés d’autres personnes concernées, conformément à l’article 25, paragraphe 1, point c), g) et h). 3. Sous réserve des articles 14 à 18 de la présente décision, la Commission peut limiter les droits et obligations visés au paragraphe 2 du présent article en ce qui concerne les données à caractère personnel obtenues par le DPD auprès des services de la Commission ou auprès d’autres institutions et organes de l’Union. La Commission peut agir de la sorte lorsque l’exercice de ces droits et obligations pourrait être limité par ces services de la Commission ou par ces autres institutions ou organes de l’Union sur la base d’autres actes visés à l’article 25 du règlement (UE) 2018/1725 ou conformément au chapitre IX dudit règlement, au règlement (UE) 2016/794 du Parlement européen et du Conseil (6) ou au règlement (UE) 2017/1939 du Conseil (7). Avant d’appliquer des limitations dans les cas visés au premier alinéa, la Commission consulte les institutions ou organes concernés de l’Union à moins qu’il ne soit manifeste pour elle que l’application d’une limitation est prévue par l’un des actes visés à cet alinéa. 4. Toute limitation de l’application des droits et obligations visés au paragraphe 2 du présent article est nécessaire et proportionnée, compte tenu des risques qui pèsent sur les droits et libertés des personnes concernées.

Article 14 Communication d’informations aux personnes concernées 1. La Commission publie sur son site web des avis relatifs à la protection des données informant toutes les personnes concernées des missions du DPD impliquant le traitement de leurs données à caractère personnel. 2. La Commission informe individuellement, sous une forme appropriée, toute personne physique qu’elle considère comme une personne concernée par les missions du DPD ou comme un informateur. 3. Lorsque la Commission limite, entièrement ou partiellement, la communication des informations aux personnes concernées visées au paragraphe 2, elle enregistre et consigne dans un registre les motifs de la limitation conformément à l’article 17.

Article 15 Droit d’accès des personnes concernées, droit à l’effacement et droit à la limitation du traitement 1. Lorsque la Commission limite, entièrement ou partiellement, le droit d’accès des personnes concernées à leurs données à caractère personnel, le droit à l’effacement ou le droit à la limitation du traitement prévus respectivement aux articles 17, 19 et 20 du règlement (UE) 2018/1725, elle informe la personne concernée, dans sa réponse à la demande d’accès, d’effacement ou de limitation du traitement, de la limitation appliquée et des principaux motifs de cette limitation, ainsi de la possibilité d’introduire une réclamation auprès du CEPD ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne. 2. La communication des informations relatives aux motifs de la limitation visée au paragraphe 1 du présent article peut être différée, omise ou refusée aussi longtemps que ces informations risquent de nuire à la finalité de la limitation. 3. La Commission enregistre et consigne dans un registre les motifs de la limitation conformément à l’article 17. 4. Lorsque le droit d’accès est entièrement ou partiellement limité, la personne concernée est autorisée à exercer son droit d’accès par l’intermédiaire du CEPD, conformément à l’article 25, paragraphes 6, 7 et 8, du règlement (UE) 2018/1725.

Article 16 Communication à la personne concernée d’une violation de données à caractère personnel Lorsque la Commission limite la communication, à la personne concernée, d’une violation de données à caractère personnel, telle que prévue à l’article 35 du règlement (UE) 2018/1725, elle enregistre et consigne dans un registre les motifs de cette limitation conformément à l’article 17 de la présente décision.

Article 17 Enregistrement des limitations et consignation dans un registre 1. La Commission enregistre les motifs de toute limitation appliquée en vertu de la présente décision, y compris une évaluation au cas par cas de la nécessité et du caractère proportionné de la limitation, en tenant compte des éléments pertinents visés à l’article 25, paragraphe 2, du règlement (UE) 2018/1725. À cette fin, il est indiqué de quelle manière l’exercice du droit concerné compromettrait la finalité des missions du DPD au titre de la présente décision ou des limitations appliquées en vertu de l’article 13, paragraphe 2 ou 3, ou porterait atteinte aux droits et libertés d’autres personnes concernées. 2. Les informations relatives aux limitations et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont consignés dans un registre. Ces informations et documents sont mis à la disposition du CEPD sur demande.

Article 18 Durée des limitations 1. Les limitations visées aux articles 14, 15 et 16 continuent de s’appliquer aussi longtemps que les motifs qui les justifient restent valables. 2. Lorsque les motifs d’une limitation visée à l’article 14 ou 16 ne sont plus valables, la Commission lève la limitation et communique les motifs de cette dernière à la personne concernée. Dans le même temps, la Commission informe la personne concernée de la possibilité d’introduire à tout moment une réclamation auprès du CEPD ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne. 3. La Commission réexamine l’application des limitations visées aux articles 14 et 16 tous les six mois à compter de leur adoption et, dans tous les cas, à la clôture de l’activité concernée du DPD. Par la suite, la Commission vérifie chaque année la nécessité de maintenir les limitations ou les reports.

Article 19 Réexamen par le délégué à la protection des données 1. Lorsque d’autres services de la Commission concluent que les droits d’une personne concernée devraient être limités en vertu de la présente décision, ils en informent le DPD. Ils donnent également au DPD l’accès aux informations consignées dans le registre et à tous les documents contenant des éléments factuels et juridiques sous-jacents. 2. Le DPD peut demander au responsable délégué du traitement du service concerné de la Commission de réexaminer l’application de la limitation. Ce dernier informe le DPD par écrit du résultat du réexamen demandé.

CHAPITRE 6

DISPOSITIONS FINALES

Article 20 Abrogation La décision 2008/597/CE est abrogée.

Article 21 Entrée en vigueur La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.

Fait à Bruxelles, le 3 juillet 2020. Par la Commission La présidente Ursula VON DER LEYEN

(1) JO L 295 du 21.11.2018, p. 39.

(2) SEC(2019) 900/2.

(3) Décision 2008/597/CE de la Commission du 3 juin 2008 portant adoption de dispositions d’application relatives au délégué à la protection des données, conformément à l’article 24, paragraphe 8, du règlement (CE) no 45/2001 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (JO L 193 du 22.7.2008, p. 7).

(4) Règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (JO L 8 du 12.1.2001, p. 1).

(5) Règlement (CE) no 1049/2001 du Parlement européen et du Conseil du 30 mai 2001 relatif à l’accès du public aux documents du Parlement européen, du Conseil et de la Commission (JO L 145 du 31.5.2001, p. 43).

(6) Règlement (UE) 2016/794 du Parlement européen et du Conseil du 11 mai 2016 relatif à l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) et remplaçant et abrogeant les décisions du Conseil 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI et 2009/968/JAI (JO L 135 du 24.5.2016, p. 53).

(7) Règlement (UE) 2017/1939 du Conseil du 12 octobre 2017 mettant en œuvre une coopération renforcée concernant la création du Parquet européen (JO L 283 du 31.10.2017, p. 1).