DÉCISION no 2021-096 RÉV. 1 DU CONSEIL D’ADMINISTRATION DE L’AGENCE DE L’UNION EUROPÉENNE POUR LA GESTION OPÉRATIONNELLE DES SYSTÈMES D’INFORMATION À GRANDE ÉCHELLE AU SEIN DE L’ESPACE DE LIBERTÉ, DE SÉCURITÉ ET DE JUSTICE

du 16 avril 2021

portant règles internes relatives à la limitation de certains droits des personnes concernées en matière de traitement des données à caractère personnel dans le cadre du fonctionnement de l’Agence de l’Union européenne pour la gestion opérationnelle des systèmes d’information à grande échelle au sein de l’espace de liberté, de sécurité et de justice

LE CONSEIL D’ADMINISTRATION DE L’AGENCE DE L’UNION EUROPÉENNE POUR LA GESTION OPÉRATIONNELLE DES SYSTÈMES D’INFORMATION À GRANDE ÉCHELLE AU SEIN DE L’ESPACE DE LIBERTÉ, DE SÉCURITÉ ET DE JUSTICE (EU-LISA), (ci-après l’«eu-LISA»),

vu le traité sur le fonctionnement de l’Union européenne,

vu le règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (1), et notamment son article 25, [ci-après le «règlement (UE) 2018/1725»],

vu le règlement (UE) 2018/1726 du Parlement européen et du Conseil du 14 novembre 2018 relatif à l’Agence de l’Union européenne pour la gestion opérationnelle des systèmes d’information à grande échelle au sein de l’espace de liberté, de sécurité et de justice (eu-LISA), modifiant le règlement (CE) no 1987/2006 et la décision 2007/533/JAI du Conseil et abrogeant le règlement (UE) no 1077/2011 (2), et notamment son article 35, [ci-après le «règlement (UE) 2018/1726»],

vu l’avis du Contrôleur européen de la protection des données (CEPD) du 11 mars 2021 et ses «lignes directrices concernant l’article 25 du règlement (UE) 2018/1725 et les règles internes relatives à la limitation des droits des personnes concernées» (3),

après consultation du comité du personnel,

considérant ce qui suit:

(1) L’eu-LISA exerce ses activités conformément au règlement (UE) 2018/1726.

(2) L’eu-LISA est habilitée à mener des enquêtes administratives, des procédures prédisciplinaires et disciplinaires et des procédures de suspension, conformément au statut des fonctionnaires de l’Union européenne et au régime applicable aux autres agents de l’Union européenne, définis dans le règlement (CEE, Euratom, CECA) no 259/68 du Conseil (4) (le «statut»), et à la décision no 2014-080 de l’eu-LISA du 28 janvier 2015 du Conseil d’administration de l’eu-LISA sur l’adoption de modalités d’application du statut des fonctionnaires portant adoption de dispositions d’exécution concernant la conduite des enquêtes administratives et des procédures disciplinaires. Si nécessaire, il notifie également les cas à l’OLAF.

(3) Les membres du personnel de l’eu-LISA sont tenus de signaler toute activité potentiellement illégale, y compris la fraude et la corruption, qui portent atteinte aux intérêts de l’Union. Les membres du personnel sont également tenus de signaler une conduite en rapport avec l’exercice de fonctions professionnelles pouvant constituer un manquement grave aux obligations des fonctionnaires de l’Union. Ce principe est régi par la décision de l’eu-LISA portant règles internes relatives au lancement d’alertes du 26 juin 2018.

(4) L’eu-LISA a mis en place une politique visant à prévenir et à traiter de manière efficace les cas réels ou potentiels de harcèlement moral ou sexuel sur le lieu de travail, conformément à sa décision no 2018-174 du 6 décembre 2018 du Conseil d’administration portant sur la politique de l’eu-LISA relative à la protection de la dignité de la personne et à la prévention du harcèlement moral et sexuel portant adoption des modalités de mise en œuvre en vertu du statut des fonctionnaires. La décision établit une procédure informelle dans laquelle la victime présumée du harcèlement peut contacter les conseillers «confidentiels» de l’eu-LISA.

(5) L’eu-LISA peut également mener des enquêtes sur d’éventuelles violations des règles de sécurité aux fins de la protection des informations classifiées de l’Union européenne («ICUE»), sur la base de sa décision no 2019-273 du 20 novembre 2019 modifiant ses règles de sécurité aux fins de la protection des ICUE.

(6) L’eu-LISA fait l’objet d’audits à la fois internes et externes concernant ses activités.

(7) Dans le cadre de ces enquêtes administratives, audits et enquêtes, l’eu-LISA coopère avec d’autres institutions, organes et organismes de l’Union.

(8) L’eu-LISA peut coopérer avec des autorités nationales de pays tiers et des organisations internationales, conformément aux dispositions de l’article 43 du règlement (UE) 2018/1726.

(9) L’eu-LISA peut également coopérer avec les pouvoirs publics des États membres de l’Union, à la demande de ceux-ci ou de sa propre initiative.

(10) L’eu-LISA est impliquée dans des affaires portées devant la Cour de justice de l’Union européenne soit pour saisir la Cour, soit pour défendre une décision de l’eu-LISA attaquée ou pour intervenir dans des affaires relatives à ses missions. Dans ce contexte, l’eu-LISA pourrait devoir préserver la confidentialité des données à caractère personnel contenues dans les documents obtenus par les parties ou les parties intervenantes.

(11) Pour s’acquitter de ses tâches, l’eu-LISA collecte et traite les informations pertinentes et plusieurs catégories de données à caractère personnel, y compris les données d’identification de personnes physiques, les coordonnées, les fonctions et rôles professionnels, les informations sur la conduite et les performances professionnelles et privées, ainsi que les données financières. L’eu-LISA agit en qualité de responsable du traitement des données.

(12) En vertu du règlement (UE) 2018/1725, l’eu-LISA est donc tenue de fournir des informations aux personnes concernées en ce qui concerne ces activités de traitement et de respecter les droits des personnes concernées.

(13) L’eu-LISA pourrait devoir concilier ces droits avec les objectifs des enquêtes administratives, des audits, des enquêtes et des procédures judiciaires. Il peut également s’avérer nécessaire de mettre en balance les droits d’une personne concernée avec les libertés et droits fondamentaux d’autres personnes concernées. À cette fin, l’article 25 du règlement (UE) 2018/1725 prévoit, dans des conditions strictes, la possibilité pour l’eu-LISA de limiter l’application des articles 14 à 22, 35 et 36 du règlement (UE) 2018/1725, ainsi que de son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 20. Il est nécessaire d’adopter des règles internes en vertu desquelles l’eu-LISA est autorisée à limiter ces droits, sauf si des limitations sont prévues dans un acte juridique adopté sur la base des traités.

(14) L’eu-LISA pourrait, par exemple, devoir limiter les informations qu’elle fournit à une personne concernée sur le traitement de ses données à caractère personnel pendant la phase d’évaluation préliminaire d’une enquête administrative ou pendant l’enquête elle-même, préalablement à un classement éventuel de l’affaire ou à la phase prédisciplinaire. Dans certaines circonstances, la communication de ces informations pourrait sérieusement compromettre la capacité de l’eu-LISA de mener l’enquête de manière efficace, lorsque, par exemple, la personne concernée risque de détruire des preuves ou de tenter d’influencer des témoins potentiels avant que ceux-ci ne soient interrogés. En outre, l’eu-LISA pourrait devoir protéger les droits et libertés des témoins ainsi que ceux des autres personnes concernées.

(15) Il pourrait s’avérer nécessaire de protéger l’anonymat d’un témoin ou d’un lanceur d’alerte qui a demandé à ne pas être identifié. En pareil cas, l’eu-LISA peut décider de limiter l’accès à l’identité, aux déclarations et aux autres données à caractère personnel de ces personnes, afin de protéger leurs droits et libertés.

(16) Il pourrait s’avérer nécessaire de protéger les informations confidentielles concernant un membre du personnel qui a contacté les conseillers confidentiels de l’eu-LISA dans le cadre d’une procédure relative au harcèlement. Dans ce cas, l’eu-LISA pourrait devoir limiter l’accès à l’identité, aux déclarations et aux autres données à caractère personnel de la victime présumée, du harceleur présumé et des autres personnes concernées, afin de protéger les droits et libertés de toutes les personnes concernées.

(17) Les limitations appliquées par l’eu-LISA doivent toujours respecter l’essence des libertés et droits fondamentaux et constituer une mesure strictement nécessaire et proportionnée dans une société démocratique. L’eu-LISA doit justifier ces limitations.

(18) En application du principe de responsabilité, l’eu-LISA doit tenir un registre relatif à son application des limitations.

(19) Lorsqu’elle traite des données à caractère personnel échangées avec d’autres organisations dans le cadre de ses missions, l’eu-LISA et ces organisations doivent se consulter sur les motifs potentiels de l’imposition des limitations et sur la nécessité et la proportionnalité de ces limitations, à moins que cela ne compromette les activités de l’eu-LISA.

(20) L’article 25, paragraphe 6, du règlement (UE) 2018/1725 impose au responsable du traitement d’informer les personnes concernées des principales raisons qui motivent l’application de la limitation et de leur droit de saisir le CEPD.

(21) Conformément à l’article 25, paragraphe 8, du règlement (UE) 2018/1725, l’eu-LISA est autorisée à différer, à omettre ou à refuser la communication d’informations sur les motifs de l’application d’une limitation à la personne concernée si cela prive d’effet, de quelque manière que ce soit, la limitation imposée. L’eu-LISA doit évaluer au cas par cas si la communication des informations prive d’effet la limitation imposée.

(22) L’eu-LISA doit lever la limitation dès que les conditions qui la justifient ne s’appliquent plus et évaluer régulièrement ces conditions.

(23) Afin de garantir la plus grande protection des droits et libertés des personnes concernées et conformément à l’article 44, paragraphe 1, du règlement (UE) 2018/1725, le délégué à la protection des données (DPD) de l’eu-LISA doit être informé en temps utile de toute limitation qui peut être appliquée et vérifier sa conformité avec la présente décision.

(24) L’article 16, paragraphe 5, et l’article 17, paragraphe 4, du règlement (UE) 2018/1725 prévoient des exceptions au droit à l’information et au droit d’accès des personnes concernées. Si ces exceptions s’appliquent, l’eu-LISA ne doit pas appliquer une limitation en vertu de la présente décision.

(25) Conformément à l’article 35, paragraphe 2, du règlement (UE) 2018/1726, le Conseil d’administration adopte les modalités d’application du règlement (UE) 2018/1725 par l’Agence, y compris les règles internes visées aux paragraphes 1, 3 et 4 de l’article 25 du règlement (UE) 2018/1725, après consultation du CEPD.

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier Objet et champ d’application 1. La présente décision établit les règles relatives aux conditions dans lesquelles l’eu-LISA peut limiter l’application des articles 4, 14 à 22, 35 et 36, conformément à l’article 25 du règlement (UE) 2018/1725 dans le cadre des procédures énoncées au paragraphe 2 en vertu de l’article 25 dudit règlement. 2. L’eu-LISA, en sa qualité de responsable du traitement, est représentée par son directeur exécutif.

Article 2 Limitations 1. L’eu-LISA peut limiter l’application des articles 14 à 22, 35 et 36, ainsi que de l’article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 20: a) conformément à l’article 25, paragraphe 1, points b), c), f), g) et h), du règlement (UE) 2018/1725, lorsqu’elle mène des enquêtes administratives, des procédures prédisciplinaires et disciplinaires ou des procédures de suspension en vertu de l’article 86 et de l’annexe IX du statut et de la décision no 2014-080 de l’eu-LISA du 28 janvier 2015, et lorsqu’elle notifie les cas à l’OLAF; b) conformément à l’article 25, paragraphe 1, point h), du règlement (UE) 2018/1725, lorsqu’elle fait en sorte que les membres du personnel de l’eu-LISA puissent, à titre confidentiel, communiquer des faits lorsqu’ils estiment qu’il existe de graves irrégularités, comme prévu dans la décision no 2018-122 de l’eu-LISA portant règles internes relatives au lancement d’alertes du 26 juin 2018; c) conformément à l’article 25, paragraphe 1, point h), du règlement (UE) 2018/1725, lorsqu’elle veille à ce que les membres du personnel de l’eu-LISA puissent informer des conseillers confidentiels dans le cadre d’une procédure relative au harcèlement, telle que définie par la décision no 2018-174 de l’eu-LISA de décembre 2018; d) conformément à l’article 25, paragraphe 1, points c), g) et h), du règlement (UE) 2018/1725, lorsqu’elle mène des audits internes portant sur les activités ou les départements de l’eu-LISA; e) conformément à l’article 25, paragraphe 1, points c), d), g) et h), du règlement (UE) 2018/1725, lorsqu’elle apporte ou bénéficie de l’assistance ou de la coopération mutuelles avec d’autres institutions, organes et organismes de l’Union dans le cadre des activités visées aux points a) à d) du présent paragraphe et conformément aux dispositions des accords de niveau de service, des protocoles d’accord et des accords de coopération; f) conformément à l’article 25, paragraphe 1, points c), g) et h), du règlement (UE) 2018/1725, lorsqu’elle apporte ou bénéficie de l’assistance ou de la coopération mutuelles avec les autorités nationales de pays tiers et les organisations internationales, sans préjudice des dispositions de l’article 43 du règlement (UE) 2018/1726; g) conformément à l’article 25, paragraphe 1, points c), g) et h), du règlement (UE) 2018/1725, lorsqu’elle apporte ou bénéficie de l’assistance et la coopération mutuelles avec les pouvoirs publics des États membres de l’Union, à la demande de ceux-ci ou de sa propre initiative; h) conformément à l’article 25, paragraphe 1, point e), du règlement (UE) 2018/1725, lorsqu’elle traite les données à caractère personnel contenues dans les documents obtenus par les parties ou les parties intervenantes dans le cadre des procédures devant la Cour de justice de l’Union européenne. 2. Toute limitation doit respecter l’essence des libertés et droits fondamentaux et constituer une mesure nécessaire et proportionnée dans une société démocratique. 3. Une évaluation de la nécessité et de la proportionnalité est effectuée au cas par cas avant l’application des limitations. Les limitations se réduisent à ce qui est strictement nécessaire pour atteindre leur objectif. 4. À des fins de responsabilité, l’eu-LISA établit un dossier décrivant les raisons des limitations appliquées, les motifs parmi ceux énumérés au paragraphe 1 qui s’appliquent et le résultat de l’évaluation de la nécessité et de la proportionnalité. Ces dossiers font partie d’un registre, qui est mis à la disposition du CEPD sur demande. L’eu-LISA prépare des rapports périodiques sur l’application de l’article 25 du règlement (UE) 2018/1725. 5. Lorsqu’elle traite des données à caractère personnel reçues d’autres organisations dans le cadre de ses missions, l’eu-LISA consulte lesdites organisations sur les motifs potentiels de l’imposition des limitations et sur la nécessité et la proportionnalité des limitations concernées, à moins que cela ne compromette les activités de l’eu-LISA.

Article 3 Risques pour les droits et libertés des personnes concernées 1. Les évaluations des risques pour les droits et libertés des personnes concernées de l’imposition des limitations et les informations relatives à la durée d’application de ces limitations sont enregistrées dans le registre des activités de traitement tenu par l’eu-LISA en vertu de l’article 31 du règlement. Elles sont également enregistrées dans les analyses d’impact relatives à la protection des données concernant ces limitations effectuées en vertu de l’article 39 du règlement (UE) 2018/1725. 2. Lorsque l’eu-LISA évalue la nécessité et la proportionnalité d’une limitation, elle tient compte des risques potentiels pour les droits et libertés de la personne concernée.

Article 4 Garanties et durées de conservation 1. L’eu-LISA met en œuvre des garanties afin de prévenir les abus et l’accès ou le transfert illicites des données à caractère personnel pour lesquelles des limitations s’appliquent ou pourraient s’appliquer. Ces garanties comprennent des mesures techniques et organisationnelles et sont détaillées, le cas échéant, dans les décisions, procédures et dispositions d’application de l’eu-LISA. Les garanties comprennent: a) une définition claire des rôles, des responsabilités et des étapes de la procédure; b) le cas échéant, un environnement électronique sécurisé qui empêche l’accès ou le transfert illicites ou accidentels de données électroniques à des personnes non autorisées; c) le cas échéant, la conservation et le traitement sécurisés des documents papier; d) un suivi approprié des limitations et un réexamen périodique de leur application. Les réexamens visés au point d) sont effectués au moins tous les six mois. 2. Les limitations sont levées dès que les circonstances qui les justifient cessent d’exister. 3. Les données à caractère personnel sont conservées conformément aux règles de conservation en vigueur de l’eu-LISA, à définir dans les registres concernant la protection des données tenus en vertu de l’article 31 du règlement (UE) 2018/1725. À la fin de la durée de conservation, les données à caractère personnel sont supprimées, rendues anonymes ou renvoyées dans des archives conformément à l’article 13 du règlement (UE) 2018/1725.

Article 5 Participation du délégué à la protection des données 1. Le DPD de l’eu-LISA est informé dans les meilleurs délais dès que les droits des personnes concernées sont limités ou destinés à l’être conformément à la présente décision. Il ou elle a accès aux dossiers correspondants et à tout document concernant le contexte factuel ou juridique. 2. Le DPD de l’eu-LISA peut demander un examen de l’application d’une limitation. L’eu-LISA informe son délégué par écrit du résultat de l’examen. 3. L’eu-LISA documente la participation du DPD à l’application des limitations, y compris la nature des informations qui sont échangées avec lui. 4. Dans la pratique, la personne responsable au nom du responsable du traitement (le «responsable du traitement en pratique») (5)informe le DPD de l’eu-LISA lorsque la limitation est levée.

Article 6 Information des personnes concernées sur les limitations de leurs droits 1. L’eu-LISA inclut dans les avis de protection des données publiés sur son site web/intranet une section fournissant des informations générales aux personnes concernées sur les limitations potentielles des droits des personnes concernées, conformément à l’article 2, paragraphe 1. Ces informations portent sur les droits susceptibles d’être limités, les motifs pour lesquels des limitations peuvent s’appliquer, ainsi que leur durée potentielle. 2. L’eu-LISA informe les personnes concernées individuellement de toute limitation en cours ou future de leurs droits par écrit et dans les meilleurs délais. L’eu-LISA informe la personne concernée des principales raisons qui motivent l’application de la limitation, de son droit de consulter le DPD en vue de contester la limitation et de son droit de saisir le CEPD. 3. L’eu-LISA peut différer, omettre ou refuser la communication d’informations sur les motifs d’une limitation et le droit de saisir le CEPD dès lors que cela priverait d’effet la limitation. L’évaluation visant à déterminer si cela est justifié se fait au cas par cas. Dès lors que cela ne prive plus d’effet la limitation, l’eu-LISA communique les informations à la personne concernée.

Article 7 Communication à la personne concernée d’une violation de données à caractère personnel 1. Lorsque l’eu-LISA a l’obligation de communiquer une violation de données en vertu de l’article 35, paragraphe 1, du règlement (UE) 2018/1725, elle peut, dans des cas exceptionnels, limiter cette communication en tout ou en partie. Elle documente dans une note les raisons de la limitation, son motif juridique en vertu de l’article 2 et une évaluation de sa nécessité et de sa proportionnalité. La note est communiquée au CEPD au moment de la notification de la violation de données à caractère personnel. 2. Lorsque les raisons de la limitation ne s’appliquent plus, l’eu-LISA informe la personne concernée de la violation de données à caractère personnel et des principales raisons de la limitation, ainsi que de son droit de saisir le CEPD.

Article 8 Confidentialité des communications électroniques 1. Dans des circonstances exceptionnelles, l’eu-LISA peut limiter le droit à la confidentialité des communications électroniques en vertu de l’article 36 du règlement (UE) 2018/1725. Ces limitations sont conformes à la directive 2002/58/CE du Parlement européen et du Conseil (6). 2. Lorsque l’eu-LISA restreint le droit à la confidentialité des communications électroniques, elle informe la personne concernée, dans sa réponse à une demande de la personne concernée, des principales raisons qui motivent l’application de la limitation et de son droit de saisir le CEPD. 3. L’eu-LISA peut différer, omettre ou refuser la communication d’informations sur les motifs d’une limitation et le droit de saisir le CEPD dès lors que cela priverait d’effet la limitation. L’évaluation visant à déterminer si cela est justifié se fait au cas par cas.

Article 9 Entrée en vigueur La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.

Fait à Tallinn, le 16 avril 2021. Pour le conseil d’administration Zsolt SZOLNOKI Président du conseil d’administration

(1) JO L 295 du 21.11.2018, p. 39.

(2) JO L 295 du 21.11.2018, p. 99.

(3) Lignes directrices du CEPD concernant l’article 25 du règlement (UE) 2018/1725 et les règles internes relatives à la limitation des droits des personnes concernées (mise à jour du 24 juin 2020) - https://edps.europa.eu/data-protection/our-work/publications/guidelines/guidance-art-25-regulation-20181725_fr

(4) Règlement (CEE, Euratom, CECA) no 259/68 du Conseil du 29 février 1968 fixant le statut des fonctionnaires des Communautés européennes ainsi que le régime applicable aux autres agents de ces Communautés, et instituant des mesures particulières temporairement applicables aux fonctionnaires de la Commission (JO L 56 du 4.3.1968, p. 1).

(5) Lignes directrices du CEPD relatives à la documentation des opérations de traitement à l’intention des institutions, organes et agences de l’Union (IUE) – Responsabilité sur le terrain Partie I - «l’encadrement supérieur est responsable de la conformité avec les règles, mais la responsabilité est généralement assumée à un niveau inférieur (“personne responsable au nom du responsable du traitement”/“responsable du traitement en pratique”)».

(6) Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques) (JO L 201 du 31.7.2002, p. 37).