Décision de l’Autorité pour les partis politiques européens et les fondations politiques européennes

du 18 mai 2021

adoptant les modalités d’exécution du règlement (UE) 2018/1725 du Parlement européen et du Conseil relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE, en rapport avec les limitations de certains droits des personnes concernées conformément à l’article 25 du règlement en question

(2021/C 257 I/01)

L’AUTORITÉ POUR LES PARTIS POLITIQUES EUROPÉENS ET LES FONDATIONS POLITIQUES EUROPÉENNES,

vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 16,

vu le règlement (UE) 2018/1725 du Parlement européen et du Conseil (1), et notamment son article 25 et son article 45, paragraphe 3,

vu l’avis du Contrôleur européen de la protection des données du 28 avril 2021, qui a été consulté en application de l’article 41, paragraphe 2, du règlement (UE) 2018/1725,

considérant ce qui suit:

(1) L’objet des modalités d’application du règlement (UE) 2018/1725 (ci-après «les modalités d’application») est de préciser les conditions dans lesquelles l’Autorité peut limiter l’application des articles 14 à 21, 35 et 36 du règlement (UE) 2018/1725, ainsi que de son article 4 dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 21 dudit règlement, en application de son article 25.

(2) Dans ce cadre, l’Autorité, lorsqu’elle applique des limitations conformément au chapitre II de la présente décision, est tenue de respecter les droits fondamentaux des personnes concernées, en vertu de l’article 8, paragraphe 1, de la charte des droits fondamentaux de l’Union européenne, de l’article 16, paragraphe 1, du traité sur le fonctionnement de l’Union européenne ainsi que du règlement (UE) 2018/1725.

(3) À cette fin, l’Autorité doit, avant d’appliquer toute limitation particulière, procéder à une évaluation au cas par cas de la nécessité et de la proportionnalité des limitations respectives, en tenant compte des risques pour les droits et libertés des personnes concernées.

(4) L’article 25, paragraphe 5, du règlement (UE) 2018/1725 dispose que les règles internes relatives aux limitations prévues à l’article 25 dudit règlement sont adoptées au niveau le plus élevé de la hiérarchie des institutions de l’Union et publiées au Journal officiel de l’Union européenne,

A ADOPTÉ LA PRÉSENTE DÉCISION:

CHAPITRE I

DISPOSITIONS GÉNÉRALES

Article premier Objet La présente décision établit les règles internes en vertu desquelles l’Autorité pour les partis politiques européens et les fondations politiques européennes (ci-après «l’Autorité») peut appliquer des exceptions, des dérogations ou des limitations relatives aux droits des personnes concernées, en vertu, notamment, de l’article 25 du règlement (UE) 2018/1725.

Article 2 Responsable du traitement 1. L’Autorité détermine les finalités et les moyens du traitement des données à caractère personnel et agit donc en tant que responsable du traitement de ces données au sens de l’article 3, paragraphe 8, du règlement (UE) 2018/1725 et conformément à l’article 25, paragraphe 2, point e), dudit règlement. 2. Lorsque l’Autorité et au moins une autre entité, y compris les institutions et organes de l’Union, déterminent les finalités et les moyens d’une opération de traitement donnée, les acteurs concernés sont considérés comme les responsables conjoints du traitement au sens de l’article 28, paragraphe 1, du règlement (UE) 2018/1725. 3. Le responsable du traitement est tenu de veiller à ce que les opérations de traitement soient conformes au règlement (UE) 2018/1725 et doit être en mesure de démontrer le respect des dispositions dudit règlement. Il est notamment chargé: a) de mettre en œuvre les mesures techniques et organisationnelles appropriées en vue de l’application des principes de protection des données dès la conception et par défaut; b) de donner au personnel placé sous son autorité des instructions adéquates afin de garantir un traitement légal, équitable, transparent et confidentiel et de fournir un niveau de sécurité approprié au regard des risques présentés par le traitement; c) de coopérer avec le délégué à la protection des données ainsi que le Contrôleur européen de la protection des données dans l’exercice de leurs fonctions respectives, notamment en leur communiquant des informations en réponse à leurs demandes; d) d’informer le délégué à la protection des données et de l’associer en temps utile, en particulier aux projets relatifs à de nouvelles opérations de traitement de données ou à la modification en profondeur d’opérations en cours.

CHAPITRE II

EXCEPTIONS, DÉROGATIONS ET LIMITATIONS AUX DROITS DES PERSONNES CONCERNÉES

SECTION 1

Exceptions et dérogations

Article 3 Exceptions 1. Avant de mettre en œuvre une limitation en vertu de la section 2 du présent chapitre, le responsable du traitement examine si l’une des exceptions énoncées dans le règlement (UE) 2018/1725 s’applique, notamment celles relevant de l’article 15, paragraphe 4, de l’article 16, paragraphe 5, de l’article 19, paragraphe 3, ou de l’article 35, paragraphe 3, dudit règlement. 2. En ce qui concerne le traitement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, le responsable du traitement examine si les exceptions visées à l’article 16, paragraphe 5, point b), et à l’article 19, paragraphe 3, point d), du règlement (UE) 2018/1725 s’appliquent.

Article 4 Dérogations 1. En ce qui concerne le traitement à des fins archivistiques dans l’intérêt public, le responsable du traitement peut recourir à des dérogations en application de l’article 25, paragraphe 4, du règlement (UE) 2018/1725. À cette fin, le responsable du traitement peut déroger aux droits visés aux articles 17, 18, 20, 21, 22 et 23 du règlement (UE) 2018/1725 conformément aux conditions prévues à l’article 25, paragraphe 4, dudit règlement. 2. En ce qui concerne le traitement à des fins de recherche scientifique ou historique ou à des fins statistiques, le responsable du traitement peut recourir à des dérogations en application de l’article 25, paragraphe 3, du règlement (UE) 2018/1725. À cette fin, le responsable du traitement peut déroger aux droits visés aux articles 17, 18, 20 et 23 du règlement (UE) 2018/1725 conformément aux conditions prévues à l’article 25, paragraphe 3, dudit règlement. 3. De telles dérogations sont assujetties à des garanties appropriées en application de l’article 13 du règlement (UE) 2018/1725 et de l’article 6, paragraphes 1 et 2, de la présente décision. Des mesures techniques et organisationnelles sont mises en place pour garantir le respect du principe de minimisation des données et, le cas échéant, la pseudonymisation.

SECTION 2

Limitations

Article 5 Objet et champ d’application 1. La présente section établit les conditions générales dans lesquelles le responsable du traitement peut limiter l’application des articles 14 à 21, 35 et 36 du règlement (UE) 2018/1725 ainsi que de son article 4 dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 21 dudit règlement, en application de son article 25. Les conditions générales visées au premier alinéa sont complétées par les dispositions des annexes de la présente décision, qui précisent les conditions dans lesquelles l’Autorité peut limiter les droits des personnes concernées dans le cadre de chacune de ses activités et procédures susceptibles d’impliquer le traitement de données à caractère personnel et de requérir l’application de limitations. 2. La présente section s’applique au traitement de données à caractère personnel aux fins des activités et des procédures menées par l’Autorité, tel que précisé dans les annexes de la présente décision.

Article 6 Garanties 1. Les données à caractère personnel faisant l’objet d’une limitation sont conservées dans un environnement physique ou électronique sécurisé qui empêche leur consultation illicite ou leur transfert à des personnes qui n’ont pas besoin de les connaître. 2. Avant d’appliquer la moindre limitation, une évaluation de la nécessité et de la proportionnalité de la limitation et des risques pour les personnes concernées est effectuée conformément à l’article 12 de la présente décision.

Article 7 Limitations applicables 1. Sous réserve des articles 8 à 13 et des dispositions des annexes applicables de la présente décision, le responsable du traitement peut appliquer des limitations portant sur les droits de la personne concernée explicitement visés dans les annexes applicables dès lors que l’exercice de ces droits compromettrait l’objectif de l’une des activités ou procédures énoncées dans ces annexes. 2. Lorsqu’il applique une limitation, et notamment lorsqu’il diffère, omet ou refuse, en tout ou en partie, l’exercice du droit de la personne concernée, le responsable du traitement procède conformément à l’article 12 de la présente décision.

Article 8 Droit de la personne concernée d’être informée des motifs des limitations 1. Lorsque le responsable du traitement limite le droit d’information visé aux articles 15 et 16 du règlement (UE) 2018/1725, les personnes concernées sont informées, conformément à l’article 25, paragraphe 6, dudit règlement, des principales raisons qui motivent cette limitation et de leur droit de saisir le Contrôleur européen de la protection des données. 2. Toutefois, sur la base d’une évaluation au cas par cas, la communication de ces informations peut être différée, omise ou refusée conformément à l’article 25, paragraphe 8, du règlement (UE) 2018/1725 si elle prive d’effet la limitation. Dès que la communication de ces informations ne prive plus d’effet la limitation, les informations sont fournies à la personne concernée.

Article 9 Droit d’accès des personnes concernées, droit de rectification, droit à l’effacement, droit à la limitation du traitement et obligation de notification 1. Lorsque le responsable du traitement limite, en tout ou en partie, le droit des personnes concernées d’accéder aux données à caractère personnel, le droit de rectification, le droit à l’effacement ou le droit à la limitation du traitement visés aux articles 17, 18, 19 et 20, respectivement, du règlement (UE) 2018/1725 ainsi que l’obligation de notification prévue à l’article 21 dudit règlement, il informe la personne concernée, dans sa réponse à la demande d’accès, de rectification, d’effacement ou de limitation du traitement, de la limitation appliquée et des principaux motifs qui sous-tendent celle-ci ainsi que de la possibilité de saisir le Contrôleur européen de la protection des données ou d’introduire un recours juridictionnel devant la Cour de justice de l’Union européenne (ci-après «la Cour de justice»). 2. Sur la base d’une évaluation au cas par cas, la communication des informations relatives aux motifs de la limitation visée au paragraphe 1 peut être différée, omise ou refusée aussi longtemps qu’elle priverait d’effet la limitation. Dès que la communication de ces informations ne prive plus d’effet la limitation, les informations sont fournies à la personne concernée. 3. Lorsque le droit d’accès est limité en tout ou en partie et que la personne concernée a exercé son droit de saisir le Contrôleur européen de la protection des données, ce dernier fait savoir à la personne concernée, et à elle seulement, si les données ont été traitées correctement et, dans la négative, si des corrections ont été apportées conformément à l’article 25, paragraphe 7, du règlement (UE) 2018/1725.

Article 10 Communication à la personne concernée d’une violation de données à caractère personnel Lorsqu’il limite l’application de l’article 35 du règlement (UE) 2018/1725, le responsable du traitement procède conformément à l’article 12 de la présente décision. Si la communication d’une violation de données à la personne concernée est limitée sur cette base, ce fait est consigné dans une note et cette note est communiquée au Contrôleur européen de la protection des données au moment de la notification de la violation de données à caractère personnel.

Article 11 Confidentialité des communications électroniques Lorsqu’il limite l’obligation d’assurer la confidentialité des communications électroniques visée à l’article 36 du règlement (UE) 2018/1725, le responsable du traitement procède conformément à l’article 12 de la présente décision.

Article 12 Évaluation de la nécessité et de la proportionnalité, enregistrement des limitations et consignation dans un registre 1. Avant d’appliquer des limitations particulières, le responsable du traitement évalue au cas par cas la nécessité et la proportionnalité des limitations, en tenant compte de l’article 25, paragraphes 2 et 8, du règlement (UE) 2018/1725. 2. Cette évaluation expose par écrit les motifs de toute limitation appliquée en vertu de la présente décision et comprend un examen des risques pour les droits et libertés des personnes concernées, notamment du risque que leurs données à caractère personnel puissent être encore traitées, à leur insu, et qu’elles soient dans l’impossibilité d’exercer leurs droits conformément au règlement (UE) 2018/1725. Elle détermine également en quoi l’exercice des droits des personnes concernées compromettrait la finalité de l’une des activités ou procédures menées par l’Autorité, telles que définies dans les annexes de la présente décision. 3. Les évaluations sont consignées dans un registre central et mises à la disposition du Contrôleur européen de la protection des données sur demande. 4. Lorsque le responsable du traitement limite le droit à la confidentialité des communications électroniques visé à l’article 36 du règlement (UE) 2018/1725 en vertu du présent article, il informe la personne concernée, en réponse à toute demande de cette dernière, des principales raisons qui motivent cette limitation et de son droit de saisir le Contrôleur européen de la protection des données. 5. Sur la base d’une évaluation au cas par cas, la communication des informations visée au paragraphe 4 peut être différée, omise ou refusée aussi longtemps qu’elle priverait d’effet la limitation. Dès que la communication de ces informations ne prive plus d’effet la limitation, les informations sont fournies à la personne concernée.

Article 13 Durée des limitations 1. Les limitations visées dans la présente décision, lues conjointement avec les annexes de la présente décision, continuent de s’appliquer aussi longtemps que les motifs qui les justifient restent valables. 2. Lorsque les motifs d’une limitation visée dans la présente décision, lus conjointement avec les annexes pertinentes de la présente décision, cessent de s’appliquer, le responsable du traitement lève la limitation. Dans le même temps, le responsable du traitement fournit à la personne concernée les motifs principaux de la limitation et l’informe de la possibilité de déposer à tout moment une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice. 3. Le responsable du traitement réexamine l’application des limitations visées dans la présente décision, lues conjointement avec les annexes de la présente décision, tous les six mois à compter de son adoption et à la clôture de la procédure concernée. Par la suite, aux fins des activités et des procédures visées aux annexes I, II, III, IV, V, VI, VII et VIII de la présente décision, le responsable du traitement surveille la nécessité de conserver chacune des limitations sur une base annuelle.

Article 14 Réexamen par le délégué à la protection des données 1. Le délégué à la protection des données est informé sans retard injustifié chaque fois que les droits de personnes concernées sont limités conformément à la présente section. Le délégué à la protection des données est consulté, dans la mesure du possible, avant et pendant toute la procédure de restriction et est associé à l’évaluation. La participation du délégué à la protection des données est consignée dans une note établie par le responsable du traitement. La note indique les informations qui ont été partagées avec le délégué à la protection des données. Le délégué à la protection des données obtient, sur demande, l’accès à tout document contenant des éléments factuels et juridiques sous-jacents. 2. Le délégué à la protection des données peut demander un réexamen des limitations. Il est informé par écrit du résultat du réexamen demandé.

CHAPITRE III

DISPOSITIONS FINALES

Article 15 Annexes Les annexes de la présente décision font partie intégrante de celle-ci.

Article 16 Entrée en vigueur La présente décision entre en vigueur le jour suivant celui de sa publication au Journal officiel de l’Union européenne.

Fait à Bruxelles, le 18 mai 2021. Par l’Autorité pour les partis politiques européens et les fondations politiques européennes Le directeur M. ADAM

(1) Règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (JO L 295 du 21.11.2018, p. 39).