DÉCISION GB(D)06-2021

portant règles internes relatives aux limitations de certains droits des personnes concernées en matière de traitement des données à caractère personnel dans le cadre du fonctionnement de l’entreprise commune «Recherche sur la gestion du trafic aérien dans le ciel unique européen 3» [2022/737]

LE COMITÉ DIRECTEUR DE L’ENTREPRISE COMMUNE «RECHERCHE SUR LA GESTION DU TRAFIC AÉRIEN DANS LE CIEL UNIQUE EUROPÉEN 3» (EC SESAR 3),

vu le traité sur le fonctionnement de l’Union européenne,

vu le règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (1) [le «règlement (UE) 2018/1725»], et notamment son article 25,

vu le règlement (UE) 2021/2085 du Conseil du 19 novembre 2021 établissant les entreprises communes dans le cadre d’Horizon Europe et abrogeant les règlements (CE) no 219/2007, (UE) no 557/2014, (UE) no 558/2014, (UE) no 559/2014, (UE) no 560/2014, (UE) no 561/2014 et (UE) no 642/2014 (2) (l’«acte de base unique»),

vu la décision ADB (D) 03-2021 portant règles internes relatives aux limitations de certains droits des personnes concernées en matière de traitement des données à caractère personnel dans le cadre du fonctionnement de l’entreprise commune SESAR,

vu les lignes directrices du Contrôleur européen de la protection des données (CEPD) concernant l’article 25 du règlement (UE) 2018/1725 et les règles internes,

après consultation du CEPD le 12 novembre 2019, conformément à l’article 41, paragraphe 2, du règlement (UE) 2018/1725,

vu les recommandations du Contrôleur européen de la protection des données («CEPD») du 18 décembre 2019,

après consultation du comité du personnel de l’EC SESAR 3,

considérant ce qui suit:

(1) Seuls les actes juridiques adoptés sur la base des traités peuvent prévoir des limitations des droits des personnes concernées. Lorsque ces limitations ne peuvent pas être fondées sur des actes juridiques adoptés sur la base des traités, le règlement (UE) 2018/1725 prévoit que, pour les questions relatives aux activités de l’EC SESAR 3, des limitations peuvent être prévues par des règles internes, à la suite de l’appréciation de la nécessité et de la proportionnalité desdites limitations.

(2) Conformément à l’article 25, paragraphe 1, du règlement (UE) 2018/1725, les limitations de l’application des articles 14 à 22, 35 et 36, ainsi que de l’article 4 dudit règlement dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 22, devraient être fondées sur des règles internes à adopter par l’EC SESAR 3.

(3) L’EC SESAR 3 peut, dans le cadre de son fonctionnement administratif, mener des enquêtes administratives, des procédures disciplinaires et des activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’Office européen de lutte antifraude (l’«OLAF»), traiter des cas de dénonciation des dysfonctionnements, traiter des procédures (formelles et informelles) en cas de harcèlement, traiter des plaintes internes et externes, procéder à des audits internes, confier la conduite d’enquêtes au délégué à la protection des données de l’EC SESAR 3 conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725, et mener des enquêtes de sécurité (informatique) interne.

(4) L’EC SESAR 3 traite plusieurs catégories de données à caractère personnel, telles que les données d’identification, les coordonnées, les données professionnelles, les données administratives, les données provenant de sources spécifiques, les communications électroniques et les données relatives au trafic, et les données relatives à l’affaire (telles que le raisonnement, les données comportementales, les évaluations, les données relatives à la performance et à la conduite, ainsi que les données touchant à l’objet de la procédure ou de l’activité, ou soumises en rapport avec celui-ci) (3).

(5) L’EC SESAR 3, représentée par son directeur exécutif, agit en qualité de responsable du traitement des données.

(6) Les données à caractère personnel sont conservées de manière sécurisée dans un environnement électronique ou sur un support papier, ce qui empêche leur consultation ou leur transfert illicite à des personnes qui n’ont pas le droit d’accéder à de telles données. Les données à caractère personnel traitées ne sont pas conservées plus longtemps que ce qui est nécessaire et approprié aux finalités pour lesquelles elles sont traitées, pendant la période indiquée dans les avis relatifs à la protection des données, les déclarations de confidentialité ou les registres de l’EC SESAR 3.

(7) Les règles internes devraient s’appliquer à toutes les opérations de traitement effectuées par l’EC SESAR 3 dans la conduite d’enquêtes administratives, de procédures disciplinaires, d’activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF, de procédures de dénonciation des dysfonctionnements, de procédures (formelles et informelles) en cas de harcèlement, dans le traitement de plaintes internes et externes, la réalisation d’audits internes, la conduite d’enquêtes par le délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725, ainsi que la conduite d’enquêtes de sécurité (informatique) réalisées en interne ou avec une participation externe (CERT-UE, par exemple).

(8) Ces règles internes devraient s’appliquer aux opérations de traitement correspondantes effectuées avant le lancement des procédures visées ci-dessus, au cours de ces procédures et pendant le suivi des suites données à l’issue de ces procédures et tout au long de la période durant laquelle les limitations continuent de s’appliquer. Elles devraient aussi couvrir l’assistance et la coopération fournies par l’EC SESAR 3 aux autorités nationales et organisations internationales en dehors de ses propres enquêtes administratives.

(9) Dans les cas où ces règles internes s’appliquent, l’EC SESAR 3 doit fournir les raisons pour lesquelles les limitations sont strictement nécessaires et proportionnées dans une société démocratique et respectent le contenu essentiel des libertés et droits fondamentaux.

(10) Dans ce cadre, l’EC SESAR 3 est tenue de respecter, dans toute la mesure du possible et dans le plein respect de la législation et des lignes directrices applicables, les droits fondamentaux des personnes concernées au cours des procédures susmentionnées, notamment ceux relatifs au droit à l’information, au droit d’accès et de rectification, au droit à l’effacement, à la limitation du traitement, au droit à la communication d’une violation de données à caractère personnel à la personne concernée ou à la confidentialité des communications, tels que consacrés par le règlement (UE) 2018/1725.

(11) Toutefois, l’EC SESAR 3 peut être obligée de limiter la communication d’informations aux personnes concernées et d’autres droits des personnes concernées afin de protéger, en particulier, ses propres enquêtes, les enquêtes et les procédures d’autres autorités publiques, ainsi que les droits d’autres personnes liées à ses enquêtes ou à d’autres procédures.

(12) Lorsque l’EC SESAR 3 envisage d’appliquer une limitation, elle met en balance le risque pour les droits et libertés de la personne concernée, en particulier, avec le risque pour les droits et libertés d’autres personnes concernées et le risque de priver d’effet les enquêtes ou procédures de l’EC SESAR 3, notamment par la destruction de preuves. Les risques pour les droits et libertés de la personne concernée concernent principalement, mais pas seulement, les risques pour la réputation et les risques pour les droits de la défense et le droit d’être entendu.

(13) L’EC SESAR 3 peut donc limiter la communication d’informations dans le but de protéger l’enquête ainsi que les libertés et droits fondamentaux d’autres personnes concernées.

(14) L’EC SESAR 3 devrait vérifier régulièrement que les conditions qui justifient la limitation s’appliquent et lever la limitation dès lors qu’elles cessent de s’appliquer.

(15) Le responsable du traitement devrait informer le délégué à la protection des données au moment de différer la communication d’informations et lors des révisions.

(16) La présente décision est adoptée par procédure écrite conformément à l’article 10 du règlement intérieur du comité directeur.

DÉCIDE:

Article premier Objet et champ d’application 1. La présente décision fixe les conditions dans lesquelles l’EC SESAR 3 peut, dans le cadre de ses procédures visées au paragraphe 2, limiter l’application des droits consacrés aux articles 14 à 21, 35 et 36, ainsi qu’à l’article 4, du règlement (UE) 2018/1725, en vertu de son article 25. 2. La présente décision s’applique, dans le cadre du fonctionnement administratif de l’EC SESAR 3, aux opérations de traitement de données à caractère personnel que le bureau du programme effectue aux fins suivantes: mener des enquêtes administratives, des procédures disciplinaires, des activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF, traiter des cas de dénonciation des dysfonctionnements, des procédures (formelles et informelles) en cas de harcèlement, traiter des plaintes internes et externes, réaliser des audits internes, confier la conduite d’enquêtes au délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725, et mener des enquêtes de sécurité (informatique) en interne ou avec une participation externe (CERT-UE, par exemple). 3. Les catégories de données concernées incluent les données d’identification, les coordonnées, les données professionnelles, les données administratives, les données provenant de sources spécifiques, les communications électroniques et les données relatives au trafic, ainsi que les données relatives à l’affaire, telles que le raisonnement, les données comportementales, les évaluations, les données relatives à la performance et à la conduite, ainsi que les données touchant à l’objet de la procédure ou de l’activité, ou soumises en rapport avec celui-ci. 4. Lorsque l’EC SESAR 3 exerce ses fonctions en ce qui concerne les droits des personnes concernées en vertu du règlement (UE) 2018/1725, elle examine si l’une des dérogations établies dans ledit règlement s’applique.

Article 2 Responsable du traitement Le responsable du traitement est l’EC SESAR 3, représentée par son directeur exécutif.

Article 3 Garanties 1. L’EC SESAR 3 met en place les garanties suivantes visant à empêcher une utilisation abusive ou un accès ou transfert illicites de données à caractère personnel: a) les documents en version papier sont conservés dans des armoires sécurisées et ne sont accessibles qu’au personnel autorisé; b) toutes les données électroniques sont stockées dans une application informatique sécurisée, conformément aux normes de sécurité de l’EC SESAR 3, ainsi que dans des dossiers électroniques spécifiques accessibles uniquement au personnel autorisé. Les niveaux d’accès appropriés sont accordés individuellement; c) la base de données est protégée par un mot de passe dans un système d’authentification unique et automatiquement connectée à l’identifiant et au mot de passe de l’utilisateur, y compris la «pseudonymisation» et/ou le «chiffrement» le cas échéant. Le remplacement d’utilisateurs est strictement interdit. Les enregistrements électroniques sont conservés en toute sécurité afin de préserver la confidentialité et le caractère privé des données qu’ils contiennent; d) toutes les personnes ayant accès aux données sont tenues de respecter l’obligation de confidentialité. 2. Conformément à l’article 6, paragraphe 3, les garanties visées au paragraphe 1 devraient faire l’objet d’un examen périodique. 3. La durée de conservation des données à caractère personnel visées à l’article 1, paragraphe 3, est indiquée dans les avis relatifs à la protection des données, déclarations de confidentialité ou registres mentionnés à l’article 7, paragraphe 1. En tout état de cause, la durée de conservation n’est pas plus longue que nécessaire et elle est appropriée aux finalités pour lesquelles les données sont traitées (4).

Article 4 Motifs des limitations 1. L’EC SESAR 3 n’appliquera de limitations que pour les finalités suivantes: a) la sécurité nationale, la sécurité publique ou la défense des États membres; b) la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces; c) d’autres objectifs importants d’intérêt public général de l’Union ou d’un État membre, en particulier les objectifs de la politique étrangère et de sécurité commune de l’Union ou un intérêt économique ou financier important de l’Union ou d’un État membre, y compris dans les domaines monétaire, budgétaire et fiscal, de la santé publique et de la sécurité sociale; d) la sécurité interne des institutions et organes de l’Union, notamment de leurs réseaux de communications électroniques; e) la prévention et la détection de manquements à la déontologie des professions réglementées, ainsi que les enquêtes et les poursuites en la matière; f) une mission de contrôle, d’inspection ou de réglementation liée, même occasionnellement, à l’exercice de l’autorité publique, dans les cas visés aux points a) à c); g) la protection de la personne concernée ou des droits et libertés d’autrui; h) l’exécution des demandes de droit civil. 2. L’EC SESAR 3 peut, à titre d’application spécifique des finalités décrites au paragraphe 1 ci-dessus, appliquer des limitations dans les cas suivants: a) en ce qui concerne les données à caractère personnel échangées avec les services de la Commission ou d’autres institutions, organes et organismes de l’Union: i) lorsque ce service de la Commission, cette institution, cet organe ou cet organisme de l’Union est habilité à limiter l’exercice des droits énoncés sur la base d’autres actes prévus à l’article 25 du règlement (UE) 2018/1725 ou conformément au chapitre IX dudit règlement ou aux actes fondateurs d’autres institutions, organes et organismes de l’Union; ii) lorsque la finalité de cette limitation fixée par ce service de la Commission, cette institution, cet organe ou cet organisme de l’Union serait compromise si l’EC SESAR 3 n’appliquait pas une limitation équivalente à l’égard des mêmes données à caractère personnel; b) en ce qui concerne les données à caractère personnel échangées avec les autorités compétentes des États membres: i) lorsque ces autorités compétentes des États membres sont habilitées à limiter l’exercice des droits énoncés sur la base des actes visés à l’article 23 du règlement (UE) 2016/679 du Parlement européen et du Conseil (5) ou en vertu de mesures nationales transposant l’article 13, paragraphe 3, l’article 15, paragraphe 3, ou l’article 16, paragraphe 3, de la directive (UE) 2016/680 du Parlement européen et du Conseil (6); ii) lorsque la finalité de cette limitation fixée par cette autorité compétente serait compromise si l’EC SESAR 3 n’appliquait pas une limitation équivalente à l’égard des mêmes données à caractère personnel. c) en ce qui concerne les données à caractère personnel échangées avec des pays tiers ou des organisations internationales, lorsqu’il existe des preuves manifestes que l’exercice de ces droits et obligations est susceptible de compromettre la coopération de l’EC SESAR 3 avec des pays tiers ou des organisations internationales dans l’accomplissement de ses missions. Avant d’appliquer des limitations dans les cas visés aux points a) et b) du premier alinéa, l’EC SESAR 3 consulte les services compétents de la Commission, les institutions, organes et organismes de l’Union ou les autorités compétentes des États membres, à moins qu’il ne soit clair pour l’EC SESAR 3 que l’application d’une limitation est prévue par l’un des actes visés à ces points.

Article 5 Limitations et droits des personnes concernées 1. Dans des cas dûment justifiés et dans les conditions stipulées dans la présente décision, les droits suivants peuvent être limités par le responsable du traitement dans le cadre des opérations de traitement énumérées à l’article 1er, paragraphe 2, et au paragraphe 2 ci-dessous lorsque cela est nécessaire et proportionné: a) droit à l’information; b) droit d’accès; c) droit de rectification, droit à l’effacement et droit à la limitation du traitement; d) droit à la communication d’une violation de données à caractère personnel à la personne concernée; e) droit à la confidentialité des communications électroniques; 2. dans des cas dûment justifiés et afin de garantir les finalités visées à l’article 4, paragraphe 1, des limitations peuvent être appliquées par le responsable du traitement dans le cadre des opérations de traitement suivantes visées à l’article 1er, paragraphe 2: a) la conduite d’enquêtes administratives et de procédures disciplinaires; b) les activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF; c) les procédures de dénonciation des dysfonctionnements; d) les procédures formelles et informelles en cas de harcèlement; e) le traitement de plaintes internes et externes; f) les audits internes; g) les enquêtes menées par le délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725; h) les enquêtes de sécurité (informatique) conduites en interne ou avec une participation externe (CERT-UE, par exemple). i) dans le cadre de la procédure de gestion des subventions ou de passation de marchés, après la date de clôture pour la soumission des appels à propositions ou le dépôt des offres. 3. Dans le cadre d’une procédure en cas de harcèlement, les droits visés au paragraphe 1 peuvent être limités dans les mêmes conditions, à l’exception du droit à la communication d’une violation de données à caractère personnel à la personne concernée, visé au paragraphe 1, point d). 4. Dans le cadre d’une procédure de gestion des subventions ou de passation de marché, les droits visés au paragraphe 1 peuvent être limités dans les mêmes conditions, à l’exception du droit de rectification, du droit à l’effacement et du droit à la limitation du traitement visés au paragraphe 1, point c). 5. Dans des cas dûment justifiés et dans les conditions visées dans la présente décision, le droit de rectification, le droit à l’effacement et le droit à la limitation du traitement peuvent être limités par le responsable du traitement, sous réserve des exceptions prévues aux paragraphes 3 et 4. 6. Lorsque l’EC SESAR 3 limite, en tout ou en partie, l’application des droits visés aux paragraphes 1, 3, 4 et 5, elle prend les mesures visées aux articles 6 et 7 de la présente décision. 7. Dans les cas où les personnes concernées demandent à accéder à leurs données à caractère personnel traitées dans le cadre d’un ou de plusieurs cas spécifiques ou d’une opération de traitement particulière, conformément à l’article 17 du règlement (UE) 2018/1725, l’EC SESAR 3 limite son examen de la demande à ces seules données à caractère personnel.

Article 6 Nécessité et proportionnalité des limitations 1. Toute limitation fondée sur l’article 4 est nécessaire et proportionnée au regard des risques pour les droits et libertés des personnes concernées et respecte le contenu essentiel des libertés et droits fondamentaux dans une société démocratique. 2. Si l’application de limitations est envisagée, une évaluation de la nécessité et de la proportionnalité est effectuée sur la base des règles en vigueur. L’évaluation est également effectuée dans le cadre de l’examen périodique, après qu’il a été déterminé si les raisons de fait et de droit justifiant la limitation continuent de s’appliquer. Le résultat de cette évaluation est consigné dans une note d’évaluation interne, afin de rendre compte, au cas par cas, des limitations considérées. 3. Les limitations sont temporaires. Elles continuent de s’appliquer tant que les raisons les justifiant persistent, en particulier lorsqu’il est considéré que l’exercice du droit limité ne priverait plus d’effet la limitation imposée ou ne porterait plus atteinte aux droits ou aux libertés d’autres personnes concernées. L’EC SESAR 3 examine l’application de la limitation tous les six mois à compter de son adoption et à la clôture de l’enquête ou de la procédure en question. Par la suite, le responsable du traitement vérifie la nécessité de maintenir la limitation tous les six mois. 4. Lorsque l’EC SESAR 3 applique, en tout ou en partie, les limitations visées à l’article 4 de la présente décision, elle consigne dans un relevé les motifs et la base juridique de la limitation conformément au paragraphe 1 ci-dessus, accompagnés d’une évaluation de la nécessité et de la proportionnalité de la limitation. Le relevé et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont consignés dans un registre. Ils sont mis à la disposition du Contrôleur européen de la protection des données sur demande.

Article 7 Obligation d’informer 1. L’EC SESAR 3 inclut dans les avis relatifs à la protection des données, les déclarations de confidentialité ou les registres, au sens de l’article 31 du règlement (UE) 2018/1725, publiés sur son site web et/ou sur l’intranet pour informer les personnes concernées de leurs droits dans le cadre d’une procédure donnée, des informations relatives à la limitation potentielle de ces droits. Ces informations portent sur les droits susceptibles d’être limités, les motifs de la limitation ainsi que sa durée potentielle. En outre, sans préjudice des dispositions de l’article 6, paragraphe 4, l’EC SESAR 3 informe individuellement, lorsque cela est proportionné, toutes les personnes concernées, qui sont considérées comme des personnes concernées par l’opération de traitement spécifique, de leurs droits au regard des limitations actuelles ou futures, dans les meilleurs délais et par écrit. 2. Lorsque l’EC SESAR 3 limite, en tout ou en partie, les droits visés à l’article 5, elle informe la personne concernée de la limitation appliquée et des principales raisons qui la motivent, ainsi que de la possibilité d’introduire une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne. La communication des informations visées au paragraphe 2 ci-dessus peut être différée, omise ou refusée si elle prive d’effet la limitation conformément à l’article 25, paragraphe 8, du règlement (UE) 2018/1725.

Article 8 Réexamen par le délégué à la protection des données 1. L’EC SESAR 3 informe, sans retard injustifié, son délégué à la protection des données (le «DPD») chaque fois que le responsable du traitement limite l’application des droits des personnes concernées, ou étend la limitation, conformément à la présente décision. Le responsable du traitement accorde au DPD un accès au registre contenant l’évaluation de la nécessité et de la proportionnalité de la limitation, et consigne la date à laquelle le DPD a été informé dans le registre. 2. Le DPD peut demander au responsable du traitement, par écrit, de réexaminer l’application des limitations. Le responsable du traitement informe le DPD par écrit du résultat du réexamen demandé. 3. Le DPD intervient tout au long de la procédure. Le responsable du traitement informe le DPD lorsque la limitation a été levée.

Article 9 Entrée en vigueur La présente décision entre en vigueur le jour suivant celui de sa publication au Journal officiel de l’Union européenne.

Fait à Bruxelles, le 14 décembre 2021. Pour le comité directeur de l’EC SESAR 3 Henrik HOLOLEI Le président

(1) JO L 295 du 21.11.2018, p. 39.

(2) JO L 427 du 30.11.2021, p. 17.

(3) En cas de responsabilité conjointe du traitement, les données sont traitées conformément aux moyens et finalités prévus dans l’accord correspondant conclu entre les responsables conjoints du traitement, tel que défini à l’article 28 du règlement (UE) 2018/1725.

(4) La politique de conservation des données de l’EC SESAR 3 s’appuie sur la conservation des dossiers au sein de la Commission, qui est régie par la liste commune de conservation [la dernière version est le document SEC(2019) 900], un document à valeur réglementaire structuré comme un tableau de gestion qui définit la durée de conservation des différentes catégories de dossiers de la Commission.

(5) Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1).

(6) Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO L 119 du 4.5.2016, p. 89).