DÉCISION DE L'AGENCE EUROPÉENNE DES PRODUITS CHIMIQUES

du 20 juin 2019

relative à des règles internes concernant les limitations de certains droits des personnes concernées en ce qui concerne le traitement de données à caractère personnel dans le cadre du fonctionnement de l'Agence européenne des produits chimiques

LE CONSEIL D'ADMINISTRATION DE L'AGENCE EUROPÉENNE DES PRODUITS CHIMIQUES (ciaprès l'«Agence»)

vu le traité sur le fonctionnement de l'Union européenne,

vu le règlement délégué (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions, organes et organismes de l'Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (1), et notamment son article 25,

vu le règlement (CE) no 1907/2006 du Parlement européen et du Conseil du 18 décembre 2006 concernant l'enregistrement, l'évaluation et l'autorisation des substances chimiques, ainsi que les restrictions applicables à ces substances (REACH), instituant une Agence européenne des produits chimiques, modifiant la directive 1999/45/CE et abrogeant le règlement (CEE) no 793/93 du Conseil et le règlement (CE) no 1488/94 de la Commission ainsi que la directive 76/769/CEE du Conseil et les directives 91/155/CEE, 93/67/CEE, 93/105/CE et 2000/21/CE de la Commission (2), et notamment son article 78,

vu l'avis du Contrôleur européen de la protection des données (CEPD) du 14 mai 2019 et les Lignes directrices concernant l'article 25 du nouveau règlement et le règlement intérieur,

après consultation du comité du personnel,

considérant ce qui suit:

(1) L'Agence exerce ses activités conformément au règlement (CE) no 1907/2006.

(2) Conformément à l'article 25, paragraphe 1, du règlement (UE) 2018/1725, les limitations de l'application des articles 14 à 22, 35 et 36, ainsi que de l'article 4 dudit règlement, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 22, devraient se fonder sur des règles internes que l'Agence se doit d'adopter, lorsque celles-ci ne sont pas fondées sur des actes juridiques adoptés sur la base des traités.

(3) Ces règles internes, y compris leurs dispositions relatives à l'évaluation de la nécessité et de la proportionnalité d'une limitation, ne doivent pas s'appliquer lorsqu'un acte juridique adopté sur la base des traités prévoit une limitation des droits des personnes concernées.

(4) Lorsque l'ECHA exerce ses fonctions en ce qui concerne les droits des personnes concernées en vertu du règlement (UE) 2018/1725, elle examine si l'une des exceptions établies dans ledit règlement s'applique.

(5) Dans le cadre de son fonctionnement administratif, l'Agence peut mener des enquêtes administratives, des procédures disciplinaires ou encore des activités préliminaires en lien avec des affaires d'irrégularités potentielles signalées à l'Office européen de lutte antifraude (OLAF). Elle peut en outre traiter les cas d'alerte éthique, des procédures (formelles et informelles) de prévention du harcèlement ou encore des réclamations internes et externes et mener des audits internes, des enquêtes par le délégué à la protection des données conformément à l'article 45, paragraphe 2, du règlement (UE) 2018/1725 ainsi que des enquêtes de sécurité (informatique) conduites en interne.

(6) L'Agence traite plusieurs catégories de données à caractère personnel, y compris des données vérifiables (données «objectives» telles que des données d'identification, des coordonnées, des données professionnelles, des détails administratifs, des données provenant de sources spécifiques, des communications électroniques et des données relatives au trafic) et/ou des données non vérifiées (données «subjectives» concernant le cas d'espèce, telles que la motivation, les données relatives au comportement, les appréciations, les performances et la conduite, et les données relatives à l'objet de la procédure ou de l'activité ou encore les données présentées dans le cadre de la procédure ou de l'activité).

(7) L'Agence, représentée par son directeur exécutif, agit en qualité de responsable du traitement des données, indépendamment de toute nouvelle délégation du rôle de responsable du traitement au sein de l'Agence, afin de refléter les responsabilités opérationnelles afférentes à certaines opérations spécifiques de traitement des données à caractère personnel.

(8) Les données à caractère personnel sont stockées de manière sécurisée dans un environnement électronique ou sur papier, empêchant ainsi tout accès illicite aux données par des personnes qui n'ont pas besoin d'en connaître ou tout transfert illicite à ces dernières. Les données à caractère personnel traitées ne sont pas conservées plus longtemps que ce qui est nécessaire et approprié aux fins pour lesquelles elles sont traitées pendant la période définie dans les avis relatifs à la protection des données, les déclarations de confidentialité ou encore les dossiers de l'Agence.

(9) Les règles internes doivent s'appliquer à toutes les opérations de traitement effectuées par l'Agence dans le cadre des enquêtes administratives, des procédures disciplinaires, des activités préliminaires en lien avec des affaires d'irrégularités potentielles signalées à l'OLAF, des procédures d'alerte éthique, des procédures (formelles et informelles) relatives à des situations de harcèlement, du traitement des réclamations internes et externes, des audits internes, des enquêtes menées par le délégué à la protection des données conformément à l'article 45, paragraphe 2, du règlement (UE) 2018/1725 ou encore des enquêtes de sécurité (informatique) conduites en interne ou impliquant une participation externe (CERT-UE, par exemple).

(10) Elles doivent s'appliquer aux opérations de traitement qui sont réalisées avant l'ouverture des procédures visées ci-dessus, au cours de ces procédures et au cours du suivi de l'issue de ces procédures. Ces règles doivent aussi couvrir l'assistance et la coopération fournies par l'Agence aux autorités nationales et organisations internationales en dehors de ses enquêtes administratives.

(11) Dans les cas où ces règles internes s'appliquent, l'Agence doit justifier les raisons pour lesquelles les limitations sont strictement nécessaires et proportionnées dans une société démocratique et respectent l'essence des libertés et droits fondamentaux.

(12) Dans ce cadre, l'Agence est tenue de respecter, dans toute la mesure du possible, les droits fondamentaux des personnes concernées au cours des procédures susmentionnées, notamment ceux ayant trait à la communication d'informations, l'accès et la rectification, l'effacement, la limitation du traitement, la communication à la personne concernée d'une violation de ses données à caractère personnel ou encore la confidentialité des communications, conformément au règlement (UE) 2018/1725.

(13) L'Agence peut cependant être dans l'obligation de limiter les informations à la personne concernée ainsi que d'autres droits de la personne concernée en vue de protéger, notamment, ses propres enquêtes, les enquêtes et les procédures d'autres autorités publiques, ainsi que les droits et libertés d'autres personnes associées à ses enquêtes ou à d'autres procédures.

(14) L'Agence peut donc restreindre les informations dans le but de protéger l'enquête ainsi que les droits et libertés d'autres personnes concernées.

(15) L'Agence doit vérifier périodiquement si les conditions qui justifient la limitation s'appliquent et doit lever la limitation dans la mesure où elles ne s'appliquent plus.

(16) Le responsable du traitement doit informer le délégué à la protection des données au moment du report et lors des réexamens,

A ARRÊTÉ LA PRÉSENTE DÉCISION:

Article premier Objet et champ d'application 1. La présente décision fixe les conditions dans lesquelles l'Agence, dans le cadre de ses procédures visées au point 2, peut limiter l'application des droits consacrés aux articles 14 à 21, 35 et 36, ainsi qu'à l'article 4 des présentes, conformément à l'article 25 du règlement (UE) 2018/1725. 2. Dans le cadre du fonctionnement administratif de l'Agence, la présente décision s'applique aux opérations de traitement des données à caractère personnel effectuées par l'Office dans le but de mener des enquêtes administratives, des procédures disciplinaires, des activités préliminaires en lien avec des affaires d'irrégularités potentielles signalées à l'OLAF, de traiter des cas d'alerte éthique, des procédures (formelles et informelles) de prévention du harcèlement ou encore des réclamations internes et externes, et de mener des audits internes, des enquêtes par le délégué à la protection des données conformément à l'article 45, paragraphe 2, du règlement (UE) 2018/1725 ainsi que des enquêtes de sécurité (informatique) conduites en interne ou impliquant une participation externe (CERT-EU, par exemple). 3. Les catégories de données concernées sont des données vérifiables (les données «objectives» telles que les données d'identification, les coordonnées, les données professionnelles, les données administratives, les données provenant de sources spécifiques, les communications électroniques et les données relatives au trafic) et/ou des données non vérifiées (les données «subjectives» concernant le cas d'espèce, telles que la motivation, les données relatives au comportement, les appréciations, les performances et la conduite, et les données relatives à l'objet de la procédure ou de l'activité ou encore les données présentées dans le cadre de la procédure ou de l'activité). 4. Lorsque l'Agence exerce ses fonctions en ce qui concerne les droits des personnes concernées en vertu du règlement (UE) 2018/1725, elle examine si l'une des exceptions établies dans ledit règlement s'applique. 5. Sous réserve des conditions énoncées dans la présente décision, les limitations peuvent s'appliquer aux droits ci-après: la communication d'informations à des personnes concernées, le droit d'accès, de rectification, de suppression, de limitation du traitement, de communication à la personne concernée d'une violation de ses données à caractère personnel ou le droit relatif à la confidentialité des communications.

Article 2 Spécification du responsable du traitement et garanties 1. Les mesures de protection mises en place pour éviter les violations de données, les fuites de données ou encore la divulgation non autorisée des données sont les suivantes: a) Les documents en version papier sont conservés dans des armoires sécurisées et ne sont accessibles qu'au personnel autorisé; b) Toutes les données électroniques sont stockées dans une application informatique sécurisée, conformément aux normes de sécurité de l'Agence, ainsi que dans des dossiers électroniques spécifiques accessibles uniquement au personnel autorisé. Les niveaux d'accès appropriés sont accordés individuellement; c) Les bases de données sont protégées par un mot de passe selon un système d'authentification unique et automatiquement connectées à l'identifiant et au mot de passe de l'utilisateur. Le remplacement des utilisateurs est strictement interdit. La conservation sécurisée des dossiers électroniques est assurée pour préserver la confidentialité et le caractère privé des données qu'ils contiennent; d) Toutes les personnes ayant accès aux données sont liées par l'obligation de confidentialité. 2. L'Agence fait office de responsable des opérations de traitement; elle est représentée par son directeur exécutif, qui peut déléguer la fonction de responsable du traitement. Les personnes concernées sont informées de la délégation de la fonction de responsable du traitement au moyen des avis ou registres relatifs à la protection des données publiés sur le site web et/ou l'intranet de l'Agence. 3. La durée de conservation des données à caractère personnel visées à l'article 1, paragraphe 3, ne doit pas excéder la durée nécessaire et appropriée pour parvenir aux fins pour lesquelles les données sont traitées. En tout état de cause, elle ne dépasse pas la durée de conservation spécifiée dans les avis relatifs à la protection des données, dans les déclarations de confidentialité ou dans les dossiers visés à l'article 5, paragraphe 1. 4. Lorsque l'Agence envisage d'appliquer une limitation, le risque pour les droits et libertés de la personne concernée est pondéré, notamment au regard du risque pour les droits et libertés d'autres personnes concernées et du risque de nuire à l'efficacité des enquêtes ou des procédures de l'Agence, par exemple par la destruction d'éléments de preuve. Les risques qui pèsent sur les droits et libertés de la personne concernée concernent principalement, mais sans s'y limiter, les risques pour la réputation ainsi que les risques pour les droits à la défense et le droit à être entendu.

Article 3 Limitations 1. Toute limitation ne peut être appliquée que par l'Agence pour garantir: a) la prévention et la détection d'infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces; b) la sécurité interne des institutions et organes de l'Union, notamment de leurs réseaux de communications électroniques; c) une mission de contrôle, d'inspection ou de réglementation liée, même occasionnellement, à l'exercice de l'autorité publique, dans les cas visés au point a); d) la protection de la personne concernée ou des droits et libertés d'autrui. 2. Au titre de l'application spécifique des objectifs décrits au paragraphe 1 ci-avant, l'Agence peut appliquer des limitations par rapport à des données à caractère personnel échangées avec les services de la Commission ou d'autres institutions, organes et organismes de l'Union, avec des autorités compétentes des États membres ou de pays tiers ou encore avec des organisations internationales, dans les circonstances suivantes: a) lorsque l'exercice de ces droits et obligations pourrait être limité par les services de la Commission ou d'autres institutions, organes et organismes de l'Union sur la base d'autres actes prévus à l'article 25 du règlement (UE) 2018/1725 ou conformément au chapitre IX dudit règlement ou aux actes fondateurs d'autres institutions, organes et organismes de l'Union; b) lorsque l'exercice de ces droits et obligations pourrait être limité par les autorités compétentes des États membres sur la base des actes visés à l'article 23 du règlement (UE) 2016/679 du Parlement européen et du Conseil (3) ou en vertu de mesures nationales transposant l'article 13, paragraphe 3, l'article 15, paragraphe 3, ou l'article 16, paragraphe 3, de la directive (UE) 2016/680 du Parlement européen et du Conseil (4); c) lorsque l'exercice de ces droits et obligations pourrait compromettre la coopération de l'Agence avec les pays tiers ou les organisations internationales dans l'accomplissement de ses missions. Avant d'appliquer des limitations dans les cas visés aux points a) et b) du premier alinéa, l'Agence consulte les services compétents de la Commission, les institutions, organes et organismes concernés de l'Union ou les autorités compétentes des États membres, à moins qu'il ne soit manifeste pour elle que l'application d'une limitation est prévue par l'un des actes visés à ces points. 3. Toute limitation est nécessaire et proportionnée au regard des risques pour les droits et libertés des personnes concernées et respecte le contenu essentiel des libertés et droits fondamentaux dans une société démocratique. 4. Si l'application d'une limitation est envisagée, une évaluation de la nécessité et de la proportionnalité est effectuée sur la base des présentes règles. Elle est documentée dans chaque cas au moyen d'une note d'évaluation interne dans une optique de responsabilité. 5. Les limitations sont levées dès que les circonstances qui les justifient ne sont plus d'application. Plus particulièrement, lorsqu'il est considéré que l'exercice du droit limité ne compromettrait plus l'efficacité de la limitation imposée ou ne porterait plus atteinte aux droits ou libertés d'autres personnes concernées.

Article 4 Réexamen par le délégué à la protection des données 1. L'Agence informe, sans retard injustifié, le délégué à la protection des données de l'Agence (le «DPD») chaque fois que le responsable du traitement limite l'application des droits des personnes concernées, ou étend la limitation, conformément à la présente décision. Le responsable du traitement fournit au DPD un accès au dossier contenant l'évaluation de la nécessité et de la proportionnalité de la limitation et consigne dans le dossier la date à laquelle le DPD a été informé. 2. Le DPD peut demander au responsable du traitement, par écrit, de réexaminer l'application des limitations. Le responsable du traitement informe le DPD par écrit du résultat du réexamen demandé. 3. Le responsable du traitement informe le DPD de la levée de la limitation.

Article 5 Limitations du droit à l'information 1. Dans certains cas dûment justifiés et dans les conditions prévues dans la présente décision, le droit à l'information peut être limité par le responsable du traitement dans le cadre des opérations de traitement suivantes: a) l'exécution des enquêtes administratives et des procédures disciplinaires; b) les activités préliminaires en lien avec des affaires d'irrégularités potentielles signalées à l'OLAF; c) les procédures d'alerte éthique; d) les procédures (formelles et informelles) associées aux affaires de harcèlement; e) le traitement des réclamations internes et externes; f) les audits internes; g) les enquêtes menées par le délégué à la protection des données, conformément à l'article 45, paragraphe 2, du règlement (UE) 2018/1725; h) les enquêtes de sécurité (informatique) conduites en interne ou impliquant une participation externe (CERT-UE, par exemple). Dans les avis relatifs à la protection des données, les déclarations de confidentialité ou les dossiers au sens de l'article 31 du règlement (UE) 2018/1725, publiés sur son site web et/ou sur son intranet, informant les personnes concernées de leurs droits dans le cadre d'une procédure donnée, l'Agence inclut des informations relatives à la limitation potentielle de ces droits. Ces informations portent sur les droits susceptibles d'être limités, les raisons de ces limitations éventuelles et la durée potentielle de ces limitations. 2. Sans préjudice des dispositions du paragraphe 3, l'Agence informe individuellement, lorsque cela est proportionné, toutes les personnes concernées, qui sont considérées comme des personnes concernées par l'opération de traitement spécifique, de leurs droits au regard des limitations actuelles ou futures, sans retard injustifié et par écrit. 3. Lorsque l'Agence limite, en tout ou en partie, la communication d'informations aux personnes concernées visées au paragraphe 2, elle consigne les motifs et la base juridique de la limitation conformément à l'article 3 de la présente décision, accompagnés d'une évaluation de la nécessité et de la proportionnalité de la limitation. Le dossier et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont consignés dans un registre. Ils sont mis à la disposition du Contrôleur européen de la protection des données si ce dernier en fait la demande. 4. Les limitations visées au paragraphe 3 continuent de s'appliquer tant que les raisons les justifiant persistent. Lorsque les raisons des limitations ne s'appliquent plus, l'Agence informe la personne concernée des principales raisons qui motivent l'application d'une limitation. Dans le même temps, elle informe la personne concernée de son droit de déposer une réclamation auprès du Contrôleur européen de la protection des données à tout moment ou de former un recours juridictionnel devant la Cour de justice de l'Union européenne. L'Agence examine l'application de la limitation tous les six mois à compter de son adoption et à la clôture de l'enquête ou de la procédure en question. Par la suite, le responsable du traitement vérifie la nécessité de maintenir la limitation tous les six mois.

Article 6 Limitations du droit d'accès 1. Dans certains cas dûment justifiés et dans les conditions prévues dans la présente décision, le droit d'accès peut être limité par le responsable du traitement dans le cadre des opérations de traitement suivantes, lorsque cela est nécessaire et proportionné: a) l'exécution des enquêtes administratives et des procédures disciplinaires; b) les activités préliminaires en lien avec des affaires d'irrégularités potentielles signalées à l'OLAF; c) les procédures d'alerte éthique; d) les procédures (formelles et informelles) associées aux affaires de harcèlement; e) le traitement des réclamations internes et externes; f) les audits internes; g) les enquêtes menées par le délégué à la protection des données, conformément à l'article 45, paragraphe 2, du règlement (UE) 2018/1725; h) les enquêtes de sécurité (informatique) interne ou impliquant une participation externe (CERT-UE, par exemple). Dans les cas où les personnes concernées demandent à accéder à leurs données à caractère personnel traitées dans le cadre d'un ou de plusieurs cas spécifiques ou d'une opération de traitement particulière, conformément à l'article 17 du règlement (UE) 2018/1725, l'Agence limite son examen de la demande à ces seules données à caractère personnel. 2. Lorsque l'Agence limite, en tout ou en partie, le droit d'accès visé à l'article 17 du règlement (UE) 2018/1725, elle prend les mesures suivantes: a) elle informe la personne concernée, dans sa réponse à la demande, de la limitation appliquée et des principales raisons qui la motivent, ainsi que de la possibilité d'introduire une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l'Union européenne; b) elle consigne dans une note d'évaluation interne les motifs de la limitation, comprenant une évaluation de la nécessité et de la proportionnalité de la limitation ainsi que de sa durée. La communication des informations visées au point a) peut être différée, omise ou refusée si elle prive d'effet la limitation conformément à l'article 25, paragraphe 8, du règlement (UE) 2018/1725. L'Agence examine l'application de la limitation tous les six mois à compter de son adoption et à la clôture de l'enquête en question. Par la suite, le responsable du traitement vérifie la nécessité de maintenir la limitation tous les six mois. 3. Le dossier et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont consignés dans un registre. Ils sont mis à la disposition du Contrôleur européen de la protection des données si ce dernier en fait la demande.

Article 7 Limitations du droit de rectification, du droit à l'effacement et du droit à la limitation du traitement 1. Dans certains cas dûment justifiés et dans les conditions prévues dans la présente décision, le droit de rectification, le droit à l'effacement et le droit à la limitation du traitement peuvent être restreints par le responsable du traitement dans le cadre des opérations de traitement suivantes, lorsque cela est nécessaire et approprié: a) l'exécution des enquêtes administratives et des procédures disciplinaires; b) les activités préliminaires en lien avec des affaires d'irrégularités potentielles signalées à l'OLAF; c) les procédures d'alerte éthique; d) les procédures (formelles et informelles) associées aux affaires de harcèlement; e) le traitement des réclamations internes et externes; f) les audits internes; g) les enquêtes menées par le délégué à la protection des données, conformément à l'article 45, paragraphe 2, du règlement (UE) 2018/1725; h) les enquêtes de sécurité (informatique) conduites en interne ou impliquant une participation externe (CERT-UE, par exemple). 2. Dans le cas où l'Agence limite, en tout ou en partie, l'application du droit de rectification, du droit à l'effacement ou du droit à la limitation du traitement, visés aux articles 18, 19, paragraphe 1, et 20, paragraphe 1, du règlement (UE) 2018/1725, elle prend les mesures visées à l'article 6, paragraphe 2, de la présente décision, et consigne le dossier conformément à l'article 6, paragraphe 3, des présentes.

Article 8 Limitations du droit à la communication d'une violation des données à caractère personnel et du droit à la confidentialité des communications électroniques 1. Dans certains cas dûment justifiés et dans les conditions prévues dans la présente décision, le droit à la communication d'une violation des données à caractère personnel peut être limité par le responsable du traitement dans le cadre des opérations de traitement suivantes, lorsque cela est nécessaire et approprié: a) l'exécution des enquêtes administratives et des procédures disciplinaires; b) les activités préliminaires en lien avec des affaires d'irrégularités potentielles signalées à l'OLAF; c) les procédures d'alerte éthique; d) les procédures (formelles et informelles) associées aux affaires de harcèlement; e) le traitement des réclamations internes et externes; f) les audits internes; g) les enquêtes menées par le délégué à la protection des données, conformément à l'article 45, paragraphe 2, du règlement (UE) 2018/1725; h) les enquêtes de sécurité (informatique) conduites en interne ou impliquant une participation externe (CERT-UE, par exemple). 2. Dans certains cas dûment justifiés et dans les conditions prévues dans la présente décision, le droit à la confidentialité des communications électroniques peut être limité par le responsable du traitement dans le cadre des opérations de traitement suivantes, lorsque cela est nécessaire et approprié: a) l'exécution des enquêtes administratives et des procédures disciplinaires; b) les activités préliminaires en lien avec des affaires d'irrégularités potentielles signalées à l'OLAF; c) les procédures d'alerte éthique; d) les procédures formelles relatives aux affaires de harcèlement; e) le traitement des réclamations internes et externes; f) les enquêtes de sécurité (informatique) conduites en interne ou impliquant une participation externe (CERT-UE, par exemple). 3. Lorsque l'Agence limite la communication d'une violation de données à caractère personnel à la personne concernée ou la confidentialité des communications électroniques visées aux articles 35 et 36 du règlement (UE) 2018/1725, elle consigne et enregistre les motifs de la limitation conformément à l'article 5, paragraphe 3, de la présente décision. L'article 5, paragraphe 4, de la présente décision s'applique.

Article 9 Entrée en vigueur La présente décision entre en vigueur le jour suivant celui de sa publication au Journal officiel de l'Union européenne.

Fait à Helsinki, le 20 juin 2019. Pour l'Agence européenne des produits chimiques Sharon McGUINNESS Président du conseil d'administration

(1) JO L 295 du 21.11.2018, p. 39.

(2) JO L 396 du 30.12.2006, p. 1.

(3) Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1).

(4) Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO L 119 du 4.5.2016, p. 89).