DÉCISION DU CONSEIL D’ADMINISTRATION D’EUROPOL

du 9 juin 2020

sur les règles internes concernant les limitations de certains droits des personnes concernées au regard du traitement par Europol des données administratives à caractère personnel

LE CONSEIL D’ADMINISTRATION D’EUROPOL,

vu le traité sur le fonctionnement de l’Union européenne,

vu le règlement (UE) 2016/794 du Parlement européen et du Conseil du 11 mai 2016 relatif à l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) et remplaçant et abrogeant les décisions du Conseil 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI et 2009/968/JAI (1) (ci-après le «règlement Europol»), et notamment son article 46,

vu le règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (2), et notamment son article 25,

vu les lignes directrices sur l’article 25 du règlement (UE) 2018/1725 et les règles internes du Contrôleur européen de la protection des données (CEPD) de décembre 2018,

vu les observations du CEPD sur le projet de décision du conseil d’administration d’Europol sur les règles internes concernant les restrictions de certains droits des personnes concernées au regard du traitement par Europol des données administratives à caractère personnel du 14 janvier 2020,

considérant ce qui suit:

(1) Europol traite des données opérationnelles et des données (administratives) non opérationnelles qui ne sont pas liées à des enquêtes pénales, notamment des données à caractère personnel ayant trait au personnel d’Europol, aux prestataires de services ou encore aux visiteurs. Le traitement des données opérationnelles relève des dispositions du règlement Europol, tandis que les données (administratives) non opérationnelles sont soumises au règlement (UE) 2018/1725.

(2) Conformément à l’article 25, paragraphe 1, du règlement (UE) 2018/1725, les limitations de l’application des articles 14 à 22, 35 et 36, ainsi que de l’article 4 dudit règlement, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 22, devraient être fondées sur des règles internes à adopter par Europol, lorsque celles-ci ne sont pas fondées sur des actes juridiques adoptés sur la base des traités.

(3) Ces règles internes, y compris les dispositions relatives à l’appréciation de la nécessité et de la proportionnalité d’une limitation, ne devraient pas s’appliquer lorsqu’un acte juridique adopté sur la base des traités prévoit une limitation des droits des personnes concernées.

(4) Dans le cadre de son fonctionnement, Europol peut être amené à réaliser des enquêtes administratives ainsi que mener des procédures pré-disciplinaires et disciplinaires et des procédures de suspension. Les enquêtes administratives devraient être effectuées par le service des enquêtes internes (Internal Investigations Service, IIS), qui représente également l’autorité habilitée à conclure les contrats d’engagement visés à l’article 6 du régime avant le conseil de discipline, sur le fondement de l’article 86 du statut des fonctionnaires de l’Union européenne (3) et conformément à la décision du conseil d’administration d’Europol portant dispositions générales d’exécution relatives à la conduite des enquêtes administratives et des procédures disciplinaires (EDOC #417349).

(5) Les membres du personnel d’Europol ont l’obligation de signaler toute activité illégale éventuelle, y compris la fraude ou la corruption, portant atteinte aux intérêts de l’Union, ou conduite en rapport avec l’exercice d’activités professionnelles pouvant constituer un manquement grave aux obligations du fonctionnaire de l’Union. Ce point est expliqué plus en détail dans le document d’orientation du personnel d’Europol consacré aux dispositifs d’alerte éthique (EDOC #903736).

(6) Europol a défini une politique visant à prévenir et à traiter de manière efficace et efficiente les cas réels ou potentiels de harcèlement moral ou sexuel sur le lieu de travail, conformément à la décision du conseil d’administration d’Europol portant sur la politique relative à la protection de la dignité de la personne et à la prévention du harcèlement moral et sexuel (EDOC #958626). La décision établit une procédure informelle dans laquelle la victime présumée du harcèlement peut contacter des conseillers confidentiels d’Europol.

(7) Conformément à l’article 13 de la décision du conseil d’administration d’Europol portant modalités d’exécution concernant le délégué à la protection des données (EDOC #845687), ce dernier peut mener des enquêtes sur l’objet d’une demande.

(8) Europol peut mener des audits sur ses activités par l’intermédiaire de la structure d’audit interne (Internal Audit Capability, IAC) d’Europol, qui a été établie par le conseil d’administration lors de sa réunion du 1er mai 2017, conformément à l’article 11, paragraphe 1, du règlement Europol, et qui est exclusivement responsable devant cet organe.

(9) Dans le cadre des missions précitées, Europol et les autres institutions, organes ou organismes de l’Union peuvent mutuellement se prêter assistance et coopérer, conformément aux dispositions des accords de niveau de service, des protocoles d’accord et des accords de coopération pertinents.

(10) Il peut s’avérer nécessaire de concilier les droits des personnes concernées en vertu du règlement (UE) 2018/1725 avec les besoins des activités susmentionnées, tout en respectant pleinement les libertés et droits fondamentaux d’autres personnes concernées. À cet effet, l’article 25 du règlement (UE) 2018/1725 prévoit, dans des conditions strictes, la possibilité de limiter l’application des articles 14 à 20, 35 et 36, ainsi que de l’article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 20. En l’espèce, il est nécessaire d’adopter des règles internes en vertu desquelles Europol peut limiter ces droits conformément au même article du règlement (UE) 2018/1725.

(11) Cela peut notamment être le cas lorsqu’il s’agit de fournir des informations sur le traitement de données à caractère personnel à la personne concernée lors de la phase d’évaluation préliminaire d’une enquête administrative ou pendant l’enquête elle-même, préalablement à un classement éventuel de l’affaire ou à une phase pré-disciplinaire. Dans certaines circonstances, la communication de ces informations pourrait sérieusement compromettre la capacité de l’IIS à mener l’enquête de manière efficace, lorsque, par exemple, la personne concernée risque de détruire des preuves ou de tenter d’influencer des témoins potentiels avant que ces derniers ne soient interrogés. En outre, il pourrait être nécessaire qu’Europol protège leurs droits et leurs libertés, ainsi que les droits et libertés d’autres personnes concernées.

(12) Il pourrait également être nécessaire de protéger la confidentialité d’un témoin ou d’un lanceur d’alerte qui a demandé à ne pas être identifié. En pareil cas, Europol peut décider de limiter l’accès à l’identité, aux déclarations et aux autres données à caractère personnel du lanceur d’alerte et des autres personnes concernées, afin de protéger leurs droits et libertés.

(13) Il pourrait s’avérer nécessaire de protéger la confidentialité d’un membre du personnel qui a contacté les conseillers confidentiels d’Europol dans le cadre d’une procédure relative au harcèlement. Dans ce cas, Europol peut décider de limiter l’accès à l’identité, aux déclarations et aux autres données à caractère personnel de la victime présumée, du harceleur présumé et des autres personnes concernées, afin de protéger leurs droits et libertés.

(14) Dans la conduite de ses enquêtes sur les activités de traitement menées à Europol, le délégué à la protection des données pourrait, dans certaines circonstances, devoir préserver l’efficacité de ses enquêtes et protéger, le cas échéant, les personnes concernées et leurs droits et libertés.

(15) Les limitations appliquées par Europol doivent toujours respecter l’essence des libertés et droits fondamentaux et constituer une mesure strictement nécessaire et proportionnée dans une société démocratique. Europol doit justifier ces limitations.

(16) Sur la base du principe de responsabilité, Europol doit tenir un registre relatif à l’application de ces limitations.

(17) Lorsqu’il traite des données administratives à caractère personnel échangées avec d’autres organisations dans le cadre de ses missions, Europol et lesdites organisations doivent se consulter sur les éventuels motifs pertinents de l’imposition des limitations et sur la nécessité et la proportionnalité des limitations, à moins que cela ne compromette les activités d’Europol.

(18) L’article 25, paragraphe 6, du règlement (UE) 2018/1725 impose au responsable du traitement d’informer les personnes concernées des principales raisons qui motivent l’application de la limitation et de leur droit de saisir le CEPD.

(19) Conformément à l’article 25, paragraphe 8, du règlement (UE) 2018/1725, Europol peut différer, omettre ou refuser la communication d’informations sur les motifs de l’application d’une limitation à la personne concernée si cela prive d’effet, de quelque manière que ce soit, la limitation imposée.

(20) Europol doit évaluer au cas par cas et en coopération avec le délégué à la protection des données si la communication des informations prive d’effet la limitation imposée.

(21) Afin de garantir la plus grande protection des droits et libertés des personnes concernées et conformément à l’article 44, paragraphe 1, du règlement (UE) 2018/1725, le délégué à la protection des données doit être informé en temps utile de toute limitation appliquée et vérifier le respect de la présente décision.

(22) L’application des limitations susmentionnées est sans préjudice de l’application éventuelle des dispositions de l’article 16, paragraphe 5, et de l’article 17, paragraphe 4, du règlement (UE) 2018/1725, qui portent, respectivement, sur le droit à l’information lorsque les données à caractère personnel n’ont pas été recueillies auprès de la personne concernée, et sur le droit d’accès de la personne concernée,

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier Objet et champ d’application La présente décision établit les règles relatives aux conditions dans lesquelles Europol peut limiter l’application des articles 14 à 20, 35 et 36, ainsi que de l’article 4, du règlement (UE) 2018/1725, en vertu de son article 25.

Article 2 Identité du responsable du traitement 1. Le responsable du traitement est Europol, représenté par son directeur exécutif, qui peut déléguer la fonction de responsable du traitement. 2. Les personnes concernées sont informées de la délégation de la fonction de responsable du traitement au moyen des avis ou registres relatifs à la protection des données publiés sur le site web et/ou l’intranet d’Europol.

Article 3 Limitations 1. Lorsqu’Europol exerce ses fonctions au regard des droits des personnes concernées en vertu du règlement (UE) 2018/1725, il examine si l’une des dérogations établies dans ledit règlement s’applique. 2. Conformément à l’article 25, paragraphe 1, du règlement (UE) 2018/1725, Europol peut limiter l’application de ses articles 14 à 20, 35 et 36, ainsi que de son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 20 dudit règlement, dans les cas suivants: a) lorsque l’IIS mène des enquêtes préalables et des enquêtes administratives et que le conseil de discipline dirige des procédures disciplinaires sur le fondement du statut des fonctionnaires de l’Union européenne ainsi que de la décision du conseil d’administration d’Europol portant dispositions générales d’exécution relatives à la conduite des enquêtes administratives et des procédures disciplinaires. Les limitations pertinentes peuvent se fonder sur l’article 25, paragraphe 1, points c), g) et h), du règlement (UE) 2018/1725; b) au cours des procédures de lancement d’alerte, afin de garantir que les membres du personnel d’Europol rendent compte, en toute confidentialité, des faits lorsqu’ils estiment qu’il existe de graves irrégularités, comme indiqué dans le document d’orientation consacré aux dispositifs d’alerte éthique. Les limitations pertinentes peuvent se fonder sur l’article 25, paragraphe 1, point h), du règlement (UE) 2018/1725; c) lors de procédures formelles et informelles concernant des cas de harcèlement, en veillant à ce que les membres du personnel d’Europol puissent rendre compte, en toute confidentialité, aux conseillers confidentiels dans le cadre d’une procédure de harcèlement au sens de la décision du conseil d’administration d’Europol portant sur la politique relative à la protection de la dignité de la personne et à la prévention du harcèlement moral et sexuel. Les limitations pertinentes peuvent se fonder sur l’article 25, paragraphe 1, point h), du règlement (UE) 2018/1725; d) le délégué à la protection des données mène des enquêtes sur les activités de traitement réalisées au sein d’Europol conformément à l’article 13 de la décision du conseil d’administration d’Europol portant modalités d’exécution concernant le délégué à la protection des données. Les limitations pertinentes peuvent se fonder sur l’article 25, paragraphe 1, points c), g) et h), du règlement (UE) 2018/1725; e) la structure d’audit interne mène des audits internes portant sur l’ensemble des activités et des services d’Europol. Les limitations pertinentes peuvent se fonder sur l’article 25, paragraphe 1, points c), g) et h), du règlement (UE) 2018/1725; f) Europol et les autres institutions, organes ou organismes de l’Union peuvent mutuellement se prêter assistance et coopérer, dans le cadre des activités précitées, conformément aux dispositions des accords de niveau de service, des protocoles d’accord et des accords de coopération pertinents. Les limitations pertinentes peuvent se fonder sur l’article 25, paragraphe 1, points c), d), g) et h), du règlement (UE) 2018/1725. 3. Les catégories de données comprennent les données d’identification de personnes physiques, les coordonnées, les fonctions et rôles professionnels, les informations sur la conduite et les performances professionnelles et privées, ainsi que les données financières. 4. Toute limitation doit respecter l’essence des libertés et droits fondamentaux et constituer une mesure nécessaire et proportionnée dans une société démocratique. 5. Une évaluation de la nécessité et de la proportionnalité est effectuée au cas par cas avant l’application des limitations. Les limitations se réduisent à ce qui est strictement nécessaire pour atteindre les objectifs fixés. 6. Les limitations doivent être dûment contrôlées par le responsable du traitement des données et un réexamen périodique, assorti d’un contrôle de la nécessité et de la proportionnalité, est effectué tous les six mois suivant leur adoption, en consultation avec le délégué à la protection des données. 7. Les limitations sont levées dès que les circonstances qui les justifient cessent d’exister. Le responsable du traitement, en consultation avec le délégué à la protection des données, fournit les informations pertinentes à la personne concernée, assorties des informations sur la possibilité de saisir le CEPD à tout moment ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne. 8. À des fins de responsabilité, Europol dépose un dossier décrivant les raisons des limitations appliquées, les motifs parmi ceux énumérés au paragraphe 1 qui s’appliquent et le résultat de l’évaluation de la nécessité et de la proportionnalité. Ces dossiers font partie d’un registre ad hoc, qui est conservé par le délégué à la protection des données et doit être mis à la disposition du CEPD sur demande. Un rapport sur l’application de l’article 25 du règlement (UE) 2018/1725 est mis à disposition périodiquement. 9. Lorsqu’il traite des données administratives à caractère personnel échangées avec d’autres organisations dans le cadre de ses missions, Europol consulte lesdites organisations sur les motifs pertinents de l’imposition des limitations et sur la nécessité et la proportionnalité des limitations, à moins que cela ne compromette ses activités.

Article 4 Risques pour les droits et libertés des personnes concernées L’évaluation des risques pour les droits et libertés des personnes concernées dont les données à caractère personnel peuvent faire l’objet de limitations, ainsi que leur durée de conservation, sont mentionnées dans le registre des activités de traitement pertinentes, conformément à l’article 31 du règlement (UE) 2018/1725 et, le cas échéant, dans les analyses d’impact relatives à la protection des données, en vertu de l’article 39 dudit règlement.

Article 5 Durée de conservation et garanties 1. Europol met en œuvre des garanties afin de prévenir les abus ou l’accès ou le transfert illicites de données à caractère personnel susceptibles de faire l’objet de limitations. Ces garanties incluent les mesures techniques et organisationnelles pour protéger les données à caractère personnel contre la destruction accidentelle ou illicite, la perte accidentelle ou la divulgation, la modification et l’accès non autorisés, ou contre toute autre forme de traitement non autorisé. Les garanties comprennent: a) une définition claire des rôles, des responsabilités et des étapes de la procédure; b) le cas échéant, un environnement électronique sécurisé qui empêche l’accès ou le transfert illicites ou accidentels de données électroniques à des personnes non autorisées; c) le cas échéant, la conservation et le traitement sécurisés des documents papier; d) un suivi approprié des limitations et un réexamen périodique de leur application. 2. La durée de conservation des données à caractère personnel pouvant faire l’objet de limitations n’est pas plus longue que nécessaire et elle est appropriée aux finalités pour lesquelles lesdites données sont traitées. En tout état de cause, elle ne dépasse pas la durée de conservation spécifiée dans les avis relatifs à la protection de données, les déclarations de confidentialité ou les registres mentionnés plus haut.

Article 6 Information et examen par le délégué à la protection des données 1. Le délégué à la protection des données est consulté dans les meilleurs délais chaque fois que le responsable du traitement entend appliquer des limitations aux droits de la personne concernée conformément à la présente décision. En outre, il bénéficie d’un accès au dossier contenant l’évaluation de la nécessité et de la proportionnalité, ainsi qu’à tous les documents ayant trait aux éléments de fait et de droit. 2. La participation du délégué à la protection des données à la procédure de limitation, y compris aux échanges d’informations, est consignée sous une forme appropriée.

Article 7 Information des personnes concernées sur les limitations de leurs droits 1. Europol publie, sur son intranet, des avis relatifs à la protection des données qui informent toutes les personnes concernées des activités de traitement impliquant le traitement de leurs données à caractère personnel susceptibles de faire l’objet de limitations en vertu des présentes règles. 2. Les responsables du traitement informent individuellement les personnes concernées qui sont parties à une procédure, les parties à une procédure ou encore les témoins de leurs droits et les limitations susceptibles d’être appliquées.

Article 8 Droit à l’information des personnes concernées et communication relative aux violations de données 1. Lorsque, dans le cadre des activités visées dans la présente décision, Europol limite, en tout ou en partie, leurs droits visés aux articles 14 à 16 et à l’article 35 du règlement (UE) 2018/1725, les personnes concernées sont informées des principales raisons qui motivent l’application de la limitation, de leur droit de saisir le CEPD et de former un recours juridictionnel devant la Cour de justice de l’Union européenne. 2. Europol peut différer, omettre ou refuser la communication d’informations sur les motifs de la limitation visée au paragraphe 1 dès lors que cela priverait d’effet la limitation. Cette évaluation est effectuée au cas par cas en coopération avec le délégué à la protection des données.

Article 9 Droit d’accès, de rectification, d’effacement et de limitation du traitement des données des personnes concernées 1. Lorsque, dans le cadre des activités visées dans la présente décision, Europol limite, en tout ou en partie, le droit d’accès aux données à caractère personnel, le droit de rectification, d’effacement et de limitation du traitement visé aux articles 17 à 20, respectivement, du règlement (UE) 2018/1725, il informe la personne concernée, dans la réponse à sa demande, des principales raisons qui motivent l’application de la limitation, de son droit de saisir le CEPD ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne. 2. Europol peut différer, omettre ou refuser la communication d’informations sur les motifs de la limitation visée au paragraphe 1 si cela prive d’effet la limitation. Cette évaluation est effectuée au cas par cas en coopération avec le délégué à la protection des données.

Article 10 Confidentialité des communications électroniques 1. Europol peut, dans des cas exceptionnels et conformément aux dispositions et au principe de la directive 2002/58/CE du Parlement européen et du Conseil (4), limiter le droit à la confidentialité des communications électroniques, comme le prévoit l’article 36 du règlement (UE) 2018/1725. 2. Lorsqu’Europol limite le droit à la confidentialité des communications électroniques, il informe la personne concernée, dans la réponse à sa demande, des principales raisons qui motivent l’application de la limitation, de son droit de saisir le CEPD ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne. 3. Europol peut différer, omettre ou refuser la communication d’informations sur les motifs de la limitation visée aux paragraphes 1 et 2 dès lors que cela priverait d’effet la limitation. Cette évaluation est effectuée au cas par cas en coopération avec le délégué à la protection des données.

Article 11 Entrée en vigueur La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.

Fait à La Haye, le 9 juin 2020. Pour le conseil d’administration Andrei LINTA Président

(1) JO L 135 du 24.5.2016, p. 53.

(2) JO L 295 du 21.11.2018, p. 39.

(3) Statut des fonctionnaires de l’Union européenne, établi par le règlement (CEE, Euratom, CECA) no 259/68 du Conseil (JO L 56 du 4.3.1968, p. 1).

(4) Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques) (JO L 201 du 31.7.2002, p. 37).