CELEX: 32019D0802(01)
Language: fr
Date: 2019-06-17 00:00:00
Title: Décision du Bureau du Parlement européen du 17 juin 2019 sur les modalités d’exécution du règlement (UE) 2018/1725 du Parlement européen et du Conseil relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) n° 45/2001 et la décision n° 1247/2002/CE

2.8.2019   
               
               
                  FR
               
               
                  Journal officiel de l'Union européenne
               
               
                  C 259/2
               
            
         DÉCISION DU BUREAU DU PARLEMENT EUROPÉEN
         du 17 juin 2019
         sur les modalités d’exécution du règlement (UE) 2018/1725 du Parlement européen et du Conseil relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE
         (2019/C 259/02)
         LE BUREAU DU PARLEMENT EUROPÉEN,
         vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 16,
         vu le règlement (UE) 2018/1725 du Parlement européen et du Conseil (1), et notamment son article 25 et son article 45, paragraphe 3,
         vu l’article 25, paragraphe 2, du règlement intérieur du Parlement européen,
         vu l’avis du Contrôleur européen de la protection des données du 2 mai 2019, lequel a été consulté en application de l’article 41, paragraphe 2, du règlement (UE) 2018/1725 eu égard au chapitre V de la présente décision,
         considérant ce qui suit:
         
                     (1)
                  
                  
                     Le règlement (UE) 2018/1725 établit les principes et les règles applicables au traitement de données à caractère personnel par toutes les institutions et tous les organes de l’Union et prévoit que chaque institution et organe de l’Union désigne un délégué à la protection des données.
                  
               
                     (2)
                  
                  
                     L’objectif des modalités d’exécution du Parlement concernant le règlement (UE) 2018/1725 (ci-après dénommées «modalités d’exécution») est de préciser les tâches, les fonctions et les compétences du délégué à la protection des données du Parlement européen (ci-après dénommé «délégué à la protection des données»).
                  
               
                     (3)
                  
                  
                     Les présentes modalités d’exécution visent également à préciser les procédures permettant aux personnes concernées d’exercer leurs droits, et, à toutes les personnes qui, au sein du Parlement européen, interviennent dans le domaine du traitement des données à caractère personnel, de remplir leurs obligations.
                  
               
                     (4)
                  
                  
                     Les présentes modalités d’exécution doivent garantir que le Parlement européen respecte dûment ses obligations découlant du règlement (UE) 2018/1725 sans que cela n’entrave l’exercice de ses activités législative, budgétaire, politique, analytique, de contrôle et de communication.
                  
               
                     (5)
                  
                  
                     Il convient par conséquent d’interpréter le règlement (UE) 2018/1725, et notamment les exceptions relatives aux droits des personnes concernées qu’il prévoit, de telle manière que le Parlement européen se trouve en mesure d’exercer pleinement ses compétences, en particulier ses fonctions législative et budgétaire ainsi que ses tâches de contrôle politique et de consultation, telles que définies par les traités.
                  
               
                     (6)
                  
                  
                     À cette fin, l’exercice du droit à l’effacement visé à l’article 19 du règlement (UE) 2018/1725 doit être interprété de telle sorte que son application prévienne toute ingérence indue quant à l’obligation du Parlement européen de documenter comme il se doit ses activités parlementaires et de les rendre visibles et traçables par le public, notamment dans le cadre des séances plénières et des procédures menées par les organes parlementaires, conformément aux principes de transparence et d’ouverture et aux règles en vigueur en matière d’archivage.
                  
               
                     (7)
                  
                  
                     En outre, le droit à la portabilité des données visé à l’article 22 du règlement (UE) 2018/1725 s’applique uniquement lorsque le traitement est fondé sur le consentement ou est nécessaire aux fins de l’exécution d’un contrat et est effectué à l’aide de procédés automatisés. L’exercice de ce droit est limité par l’exception visée à l’article 22, paragraphe 3, seconde phrase, dudit règlement, laquelle, pour autant qu’il ne s’agisse pas des activités administratives du Parlement européen, doit être lue en ce sens que le Parlement européen est exempté de l’obligation de fournir des données à caractère personnel en vertu de l’article 22, paragraphes 1 et 2, dudit règlement.
                  
               
                     (8)
                  
                  
                     Par ailleurs, en ce qui concerne l’application des modalités d’exécution, le rôle de responsables conjoints du traitement incombant aux directions générales du Parlement européen, qu’il soit mené avec d’autres organes ou institutions ou avec d’autres directions générales du Parlement, doit uniquement exister si et dans la mesure où les acteurs concernés sont conjointement responsables des mêmes opérations de traitement et n’interviennent pas tour à tour pour effectuer des opérations de traitement semblables mais distinctes.
                  
               
                     (9)
                  
                  
                     L’article 13 de la présente décision doit être compris comme permettant aux groupes politiques et aux députés au Parlement européen, sur une base strictement volontaire, de demander l’avis du délégué à la protection des données sur des questions liées à l’application du règlement (UE) 2018/1725, en tenant compte de l’interaction entre les exigences en matière de protection des données et le libre exercice de leur mandat. L’avis en question n’est nullement contraignant.
                  
               
                     (10)
                  
                  
                     Il y a également lieu d’adopter des règles internes fixant les conditions dans lesquelles le Parlement européen peut limiter l’application des articles 14 à 21, 35 et 36 du règlement (UE) 2018/1725 ainsi que de son article 4 dans la mesure où ses dispositions correspondent aux droits et aux obligations visés aux articles 14 à 21 dudit règlement, conformément à l’article 25 de celui-ci, de façon ce que le Parlement puisse mener à bien ses activités et procédures.
                  
               
                     (11)
                  
                  
                     Dans ce cadre, le Parlement européen, lorsqu’il applique des limitations conformément au chapitre V de la présente décision, est tenu de respecter les droits fondamentaux des personnes concernées, en vertu de l’article 8, paragraphe 1, de la Charte des droits fondamentaux de l’Union européenne, de l’article 16, paragraphe 1, du traité sur le fonctionnement de l’Union européenne ainsi que du règlement (UE) 2018/1725.
                  
               
                     (12)
                  
                  
                     À cette fin, le Parlement européen doit, avant d’appliquer toute limitation particulière, procéder à une évaluation au cas par cas de la nécessité et de la proportionnalité des limitations respectives, en tenant compte des risques pour les droits et libertés des personnes concernées.
                  
               
                     (13)
                  
                  
                     Le Parlement européen doit justifier en quoi la limitation est strictement nécessaire et proportionnée dans une société démocratique et respecte l’essence des libertés et droits fondamentaux,
                  
               ADOPTE LA PRÉSENTE DÉCISION:
         CHAPITRE I
         
            DISPOSITIONS GÉNÉRALES
         
         
            Article premier
            Objectif
            La présente décision établit les dispositions générales d’exécution du règlement (UE) 2018/1725 pour ce qui concerne le Parlement européen, et en particulier, elle:
            
                        a)
                     
                     
                        précise les dispositions énoncées dans le règlement (UE) 2018/1725 en ce qui concerne les tâches, fonctions et compétences du délégué à la protection des données;
                     
                  
                        b)
                     
                     
                        fixe les modalités d’exercice des droits de la personne concernée;
                     
                  
                        c)
                     
                     
                        définit des règles internes au titre desquelles le Parlement européen peut appliquer des exceptions, des dérogations ou des limitations relatives aux droits des personnes concernées, en vertu, notamment, de l’article 25 du règlement (UE) 2018/1725.
                     
                  
         
            Article 2
            Responsable du traitement
            
               1.   L’unité ou le service du Parlement européen chargé de déterminer les finalités et les moyens de traitement de données à caractère personnel agit en qualité de responsable du traitement vis-à-vis desdites données au sens de l’article 3, paragraphe 8, du règlement (UE) 2018/1725.
            
            
               2.   Dès lors qu’une opération de traitement dépasse les compétences conférées à une unité ou à un service du Parlement européen, le rôle de responsable du traitement au sens de l’article 3, paragraphe 8, du règlement (UE) 2018/1725 incombe à la direction concernée à moins que des responsables conjoints du traitement aient été désignés en vertu de l’article 28 dudit règlement.
            
            
               3.   Dès lors qu’une opération de traitement dépasse les compétences conférées à une direction du Parlement européen, le rôle de responsable du traitement au sens de l’article 3, paragraphe 8, du règlement (UE) 2018/1725 incombe à la direction générale concernée à moins que des responsables conjoints du traitement aient été désignés en vertu de l’article 28 dudit règlement.
            
            
               4.   Lorsque plusieurs directions générales du Parlement européen déterminent les finalités et les moyens d’une opération de traitement donnée ou lorsque l’une des entités organisationnelles visées aux paragraphes 1 à 3 et au moins une entité autre qu’une institution ou un organe de l’Union détermine les finalités et les moyens d’une opération de traitement donnée, les acteurs compétents sont considérés comme les responsables conjoints du traitement au sens de l’article 28, paragraphe 1, du règlement (UE) 2018/1725.
            
            
               5.   Aux fins de l’article 44, paragraphes 3 et 6, du règlement (UE) 2018/1725, le Parlement européen est considéré comme le responsable du traitement.
            
            
               6.   Le responsable du traitement est tenu de veiller à ce que les opérations de traitement soient conformes au règlement (UE) 2018/1725 et doit être en mesure de démontrer le respect des dispositions dudit règlement.
               Le responsable du traitement est notamment chargé:
               
                           a)
                        
                        
                           de mettre en œuvre les mesures techniques et organisationnelles appropriées en vue de l’application des principes de protection des données dès la conception et par défaut;
                        
                     
                           b)
                        
                        
                           de donner au personnel placé sous son autorité des instructions adéquates afin de garantir un traitement légal, équitable, transparent et confidentiel et de fournir un niveau de sécurité approprié au regard des risques présentés par le traitement;
                        
                     
                           c)
                        
                        
                           de coopérer avec le délégué à la protection des données ainsi que le Contrôleur européen de la protection des données dans l’exercice de leurs fonctions respectives, notamment en leur communiquant des informations en réponse à leurs demandes;
                        
                     
                           d)
                        
                        
                           d’informer le délégué à la protection des données et de l’associer en temps utile, en particulier aux projets relatifs à de nouvelles opérations de traitement de données ou à la modification en profondeur d’opérations en cours.
                        
                     
         
         CHAPITRE II
         
            LE DÉLÉGUÉ À LA PROTECTION DES DONNÉES
         
         
            Article 3
            Nomination, statut et indépendance
            
               1.   Le secrétaire général nomme le délégué à la protection des données parmi les fonctionnaires du Parlement européen conformément à l’article 43 et à l’article 44, paragraphes 8 et 9, du règlement (UE) 2018/1725. Le délégué à la protection des données est désigné conformément à la procédure applicable du statut des fonctionnaires de l’Union européenne (ci-après dénommé «statut des fonctionnaires») ou du régime applicable aux autres agents de l’Union (ci-après dénommé «régime applicable aux autres agents») établi par le règlement (CEE, Euratom, CECA) no 259/68 du Conseil (2), le cas échéant. Le délégué à la protection des données est nommé pour une période de cinq ans renouvelable.
            
            
               2.   Pour l’exercice de ses fonctions en vertu de la présente décision, le délégué à la protection des données est déchargé de toute autre mission au sein du Parlement européen. Le secrétaire général peut néanmoins décider de lui attribuer d’autres fonctions spécifiques pourvu qu’elles ne donnent pas lieu à un conflit d’intérêts avec la fonction de délégué à la protection des données, en particulier dans le cadre de l’application des dispositions du règlement (UE) 2018/1725.
            
            
               3.   Le délégué à la protection des données s’abstient de tout acte incompatible avec la nature de ses fonctions.
            
            
               4.   Le délégué à la protection des données est tenu au secret professionnel en vertu de l’article 44, paragraphe 5, du règlement (UE) 2018/1725, ce même après la cessation de ses fonctions.
            
            
               5.   Le délégué à la protection des données peut uniquement être démis de ses fonctions conformément à l’article 44, paragraphes 3 et 8, du règlement (UE) 2018/1725. Aux fins d’obtenir l’accord du délégué à la protection des données à une telle mesure prise en vertu de l’article 44, paragraphe 8, du règlement (UE) 2018/1725, le Contrôleur européen de la protection des données est consulté par écrit. Une copie de cet accord est fournie au délégué à la protection des données.
            
            
               6.   Le Parlement européen veille à ce que le délégué à la protection des données ne reçoive aucune instruction en ce qui concerne l’exercice de ses missions, conformément aux articles 44 et 45 du règlement (UE) 2018/1725. À cet égard, en particulier, le délégué à la protection des données ne peut recevoir aucune instruction de la part du secrétaire général, y compris pour ce qui a trait à sa coopération avec le Contrôleur européen de la protection des données, laquelle est requise en vertu du règlement (UE) 2018/1725.
            
            
               7.   Le délégué à la protection des données rend compte directement au secrétaire général.
            
         
         
            Article 4
            Tâches, fonctions et compétences
            
               1.   Le délégué à la protection des données veille à ce que le Secrétariat général du Parlement européen applique le règlement (UE) 2018/1725 et respecte le cadre juridique applicable en matière de protection des données à caractère personnel. Sans préjudice de l’article 13 de la présente décision, le délégué à la protection des données n’est en principe pas chargé de surveiller l’application du règlement (UE) 2018/1725 par les députés ou par les groupes politiques du Parlement européen.
            
            
               2.   Le délégué à la protection des données peut être consulté ou agir en qualité de conseiller en vertu de l’article 44, paragraphes 4 et 7, et de l’article 45, paragraphe 1, points d), e) et f), du règlement (UE) 2018/1725, et exerce toutes les autres tâches visées à l’article 45 dudit règlement.
            
            
               3.   Le délégué à la protection des données porte à la connaissance du secrétaire général tout manquement ou tout risque sérieux de manquement aux dispositions du règlement (UE) 2018/1725.
            
            
               4.   Sur demande, le délégué à la protection des données émet un avis, à l’intention du responsable du traitement, sur des opérations de traitement existantes ou en projet et sur la proportionnalité et le caractère approprié du traitement de certaines données ou sur des mesures de sécurité. Ledit avis peut porter, en particulier, sur tout problème lié à l’évaluation des risques pour les droits et libertés des personnes concernées.
            
            
               5.   Le service compétent du Parlement européen consulte le délégué à la protection des données préalablement à l’adoption de règles internes définissant les modalités de traitement des données à caractère personnel.
            
            
               6.   Le délégué à la protection des données exécute ses tâches en coopération avec le Contrôleur européen de la protection des données. Il constitue le point de contact entre le Parlement européen et le Contrôleur européen de la protection des données et est tenu informé de toute communication relevant de sa compétence entre ces deux institutions.
            
            
               7.   Le délégué à la protection des données participe régulièrement aux réunions organisées par le Contrôleur européen de la protection des données ou les délégués à la protection des données des autres institutions et organes afin de favoriser un bon niveau de coopération.
            
            
               8.   Le délégué à la protection des données est soumis à tout moment au statut des fonctionnaires ou au régime applicable aux autres agents, le cas échéant.
            
         
         
            Article 5
            Violations de données à caractère personnel et sécurité des données
            
               1.   Dans le cas d’une violation de données à caractère personnel, le responsable du traitement porte l’incident à la connaissance du délégué à la protection des données sans délai.
            
            
               2.   Le délégué à la protection des données établit et tient à jour un registre central visant à documenter les violations de données à caractère personnel qui lui sont notifiées, conformément à l’article 34, paragraphe 6, du règlement (UE) 2018/1725. Le responsable du traitement confronté à la violation introduit dans le registre les informations visées audit article.
            
            
               3.   Le délégué à la protection des données tient régulièrement des réunions avec le responsable de la sécurité des systèmes d’information et le gestionnaire de risques du Parlement européen afin de garantir le respect des articles 33 à 36 du règlement (UE) 2018/1725. Le délégué à la protection des données peut inviter d’autres participants selon le cas.
            
            
               4.   En se fondant sur les conclusions des réunions visées au paragraphe 3, le délégué à la protection des données:
               
                           a)
                        
                        
                           présente chaque année au secrétaire général une analyse des risques relative à la protection des données, qu’il met à jour en fonction de l’évolution des facteurs de risque;
                        
                     
                           b)
                        
                        
                           formule des propositions de politiques en matière de protection des données au secrétaire général, en accordant une attention particulière aux risques de vol, de fuite ou de manipulation non autorisée de données par voie électronique;
                        
                     
                           c)
                        
                        
                           propose au secrétaire général les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité des données à caractère personnel à la mesure des risques liés à la protection des données.
                        
                     
         
         
            Article 6
            Registre central des activités de traitement
            Le délégué à la protection des données établit et tient à jour le registre central visé à l’article 31, paragraphe 5, du règlement (UE) 2018/1725, dans lequel sont consignées les activités de traitement. Le délégué à la protection des données veille à ce que le registre soit accessible au public, y compris par voie électronique. Sur demande, un accès est également possible par l’intermédiaire du Contrôleur européen à la protection des données.
            Sur demande, le registre des activités de traitement du Parlement européen est mis à la disposition du Contrôleur européen de la protection des données.
         
         
            Article 7
            Informations et accès
            
               1.   Dès lors que la mise en place d’une nouvelle procédure administrative ou la modification d’une procédure administrative existante a une incidence sur des opérations de traitement de données à caractère personnel, le responsable du traitement en informe immédiatement le délégué à la protection des données.
            
            
               2.   Le délégué à la protection des données a accès, à tout moment, aux données qui font l’objet des opérations de traitement, à toutes les installations de traitement de données et à tous les supports d’information.
            
         
         
            Article 8
            Audit interne
            Le délégué à la protection des données coopère avec l’auditeur interne lorsque celui-ci, dans le cadre de ses compétences, en fait la demande, notamment pour faciliter la mise en œuvre d’audits internes impliquant le traitement de données à caractère personnel au sein du Secrétariat général du Parlement européen.
         
         
            Article 9
            Approche fondée sur les risques
            
               1.   Pour ce qui concerne les procédures administratives, qu’elles soient nouvelles ou fassent l’objet de modifications, ou les mesures techniques ou organisationnelles impliquant le traitement de données à caractère personnel, le délégué à la protection des données fournit, sur demande ou de sa propre initiative, des informations au responsable du traitement et aide celui-ci à évaluer les risques pour les droits et libertés des personnes concernées.
            
            
               2.   À la suite de l’évaluation des risques susmentionnée, le délégué à la protection des données fait part au responsable du traitement de la nécessité ou non de procéder à une analyse d’impact relative à la protection des données.
            
         
         
            Article 10
            Mesures techniques et organisationnelles
            
               1.   Le délégué à la protection des données conseille le responsable du traitement afin de lui permettre d’identifier les solutions techniques et organisationnelles facilitant la mise en œuvre des opérations de traitement.
            
            
               2.   Le délégué à la protection des données peut recommander au secrétaire général d’adopter les mesures techniques ou organisationnelles nécessaires à l’application de l’article 27 du règlement (UE) 2018/1725 dès lors qu’il conclut, sur la base d’une évaluation, qu’une opération de traitement ne garantit pas le plein respect dudit article.
            
         
         
            Article 11
            Responsables conjoints du traitement et sous-traitants
            
               1.   Sur demande, le délégué à la protection des données émet un avis à l’intention du responsable du traitement en ce qui concerne la responsabilité de chacune des parties dans le cadre d’un accord entre responsables conjoints du traitement établi en application de l’article 28, paragraphe 1, du règlement (UE) 2018/1725.
            
            
               2.   Le délégué à la protection des données peut, sur demande, émettre un avis à l’intention du responsable du traitement sur les mesures techniques et organisationnelles appropriées qui doivent être garanties par le sous-traitant ou un sous-traitant recruté par le sous-traitant en vertu de l’article 29, paragraphes 1 et 2, du règlement (UE) 2018/1725.
            
         
         
            Article 12
            Rapport annuel
            Le délégué à la protection des données élabore un rapport d’activité annuel à l’intention du secrétaire général et du Contrôleur européen de la protection des données sur les activités dans le domaine de la protection des données à caractère personnel au Secrétariat général du Parlement européen. Il rend ce rapport accessible au personnel du Parlement européen.
         
         
            Article 13
            Députés et groupes politiques du Parlement européen
            
               1.   Par dérogation à l’article 4, paragraphe 1, de la présente décision, les députés et les groupes politiques du Parlement européen peuvent demander l’avis du délégué à la protection des données sur une question liée à l’application du règlement (UE) 2018/1725. Sans préjudice de la responsabilité qui incombe aux députés et aux groupes politiques du Parlement européen d’appliquer le règlement (UE) 2018/1725 en leur qualité de responsables du traitement au sens de l’article 3, paragraphe 8, dudit règlement, le délégué à la protection des données peut, à la demande d’un député ou d’un groupe politique du Parlement européen, émettre un avis par application mutatis mutandis des dispositions pertinentes de la présente décision.
            
            
               2.   Le délégué à la protection des données établit les modalités détaillées de l’assistance visée au paragraphe 1 au cas par cas, conformément à la présente décision. L’exercice de sa fonction consultative ne doit pas être incompatible avec ses autres tâches.
            
         
         CHAPITRE III
         
            PERSONNEL DE SOUTIEN ET RÉSEAUX
         
         
            Article 14
            Personnel chargé de la protection des données et ressources
            
               1.   Le secrétaire général peut désigner des membres du personnel au service chargé de la protection des données afin qu’ils assistent le délégué à la protection des données dans l’exercice de ses fonctions.
            
            
               2.   Les membres du personnel désignés en vertu du paragraphe 1 peuvent représenter le délégué à la protection des données en son absence. À cette fin, le délégué à la protection des données peut délivrer des délégations de pouvoir internes à l’égard de certains membres de son personnel. Une copie de toute délégation de cette nature est fournie au Contrôleur européen de la protection des données ainsi qu’au secrétaire général.
            
         
         
            Article 15
            Réseau de coordinateurs de la protection des données
            
               1.   Un réseau de coordinateurs de la protection des données constitué d’au moins un représentant de chaque direction générale, d’une personne représentant la coordination des groupes politiques et du délégué à la protection des données est établi au Parlement européen.
            
            
               2.   Le secrétaire général peut préciser les modalités détaillées concernant la désignation, les fonctions et les tâches des coordinateurs de la protection des données.
            
            
               3.   Le délégué à la protection des données tient régulièrement des réunions avec les coordinateurs de la protection des données.
            
         
         CHAPITRE IV
         
            EXERCICE DES DROITS DES PERSONNES CONCERNÉES
         
         
            Article 16
            Modalités générales d’application des articles 14 à 24 du règlement (UE) 2018/1725
            
               1.   Le droit d’être informé, le droit d’accès, le droit de rectification, le droit à l’effacement, le droit à la limitation du traitement, les droits relatifs à la notification aux destinataires, le droit à la portabilité des données, le droit d’opposition et les droits liés à la prise de décision automatisée (en ce compris le profilage), tels qu’énoncés aux articles 14 à 24 du règlement (UE) 2018/1725, ne peuvent être exercés que par la personne concernée ou par son représentant dûment mandaté.
            
            
               2.   La personne concernée adresse au responsable du traitement les demandes d’exercice d’un des droits visés au paragraphe 1. Un formulaire de demande non obligatoire est disponible sous forme électronique sur le site internet du Parlement européen. La demande contient:
               
                           a)
                        
                        
                           le nom, le prénom et les coordonnées de la personne concernée;
                        
                     
                           b)
                        
                        
                           la mention du droit exercé;
                        
                     
                           c)
                        
                        
                           le cas échéant, les pièces justificatives relatives à la demande;
                        
                     
                           d)
                        
                        
                           la ou les catégories de données à caractère personnel concernées;
                        
                     
                           e)
                        
                        
                           la signature de la personne concernée et la date de la demande.
                        
                     
            
               3.   La demande peut être transmise par courrier interne ou externe, par courrier électronique ou par tout autre moyen écrit.
            
            
               4.   En cas de demande imprécise ou incomplète, le responsable du traitement demande les renseignements nécessaires. Tant que ces points n’ont pas été définitivement éclaircis, le délai applicable visé à l’article 14, paragraphes 3 et 4, du règlement (UE) 2018/1725 ne commence pas à courir.
            
            
               5.   Le responsable du traitement vérifie l’identité de la personne concernée conformément à l’article 14, paragraphe 6, du règlement (UE) 2018/1725. Il convient d’effectuer un tel contrôle de la manière la moins intrusive possible. Durant la période de vérification, le délai applicable visé à l’article 14, paragraphes 3 et 4, du règlement (UE) 2018/1725 ne commence pas à courir.
            
            
               6.   Le responsable du traitement est tenu de répondre à toute demande d’exercice des droits formulée par une personne concernée, y compris lorsque le Parlement européen ne détient pas de données à caractère personnel pertinentes. Un accusé de réception est envoyé à la personne concernée dans un délai de cinq jours ouvrables à partir de la réception de la demande. Toutefois, le responsable du traitement n’est pas tenu d’envoyer un accusé de réception en cas de réponse substantielle à la demande dans un même délai de cinq jours ouvrables.
            
            
               7.   La réponse est transmise à la personne concernée, dans les délais prévus à l’article 14, paragraphes 3 et 4, du règlement (UE) 2018/1725, par le même moyen de communication et dans la même langue de l’Union que ceux utilisés par la personne concernée, pourvu que cette dernière n’ait pas fourni d’indication contraire.
            
            
               8.   Lorsqu’il traite une demande en vertu de l’article 14 du règlement (UE) 2018/1725, le responsable du traitement tient compte de la nécessité éventuelle d’appliquer une exception, une dérogation ou une limitation au titre du chapitre V de la présente décision.
            
            
               9.   Dans le cas d’une demande particulièrement complexe ou si le traitement conforme d’une demande est susceptible de présenter un risque pour les droits et libertés d’autres personnes concernées, le responsable du traitement consulte le délégué à la protection des données.
            
         
         
            Article 17
            Droit d’être informé
            [articles 15 et 16 du règlement (UE) 2018/1725]
            
               1.   Conformément à l’article 14 du règlement (UE) 2018/1725, le responsable du traitement fournit les informations visées aux articles 15 et 16 dudit règlement sous une forme généralisée sur l’internet ou l’intranet, y compris lorsqu’un traitement ultérieur est prévu.
            
            
               2.   Dans la mesure du possible, et sans préjudice des autres moyens de communication énoncés à l’article 14, paragraphes 1 et 7, du règlement (UE) 2018/1725, les informations visées aux articles 15 et 16 dudit règlement sont présentées aux personnes concernées de manière individuelle, soit par écrit, soit par voie électronique.
            
         
         
            Article 18
            Droit d’accès
            [article 17 du règlement (UE) 2018/1725]
            
               1.   Sans préjudice du paragraphe 2, dès lors qu’une personne concernée demande d’accéder à ses données à caractère personnel, le responsable du traitement extrait les données de leur lieu de stockage, y compris les documents électroniques ou papier, et les transmet à la personne concernée par l’un des moyens suivants:
               
                           a)
                        
                        
                           la délivrance d’une compilation établie par le responsable du traitement;
                        
                     
                           b)
                        
                        
                           la délivrance d’une copie papier ou d’une copie électronique;
                        
                     
                           c)
                        
                        
                           d’autres moyens à la disposition du responsable du traitement et adaptés à la configuration du dossier.
                        
                     
            
               2.   Conformément à l’article 17, paragraphe 3, du règlement (UE) 2018/1725, lorsqu’une personne concernée introduit une demande d’accès par voie électronique, sauf indication contraire, le responsable du traitement fournit les informations dans un format électronique couramment utilisé.
            
         
         
            Article 19
            Droit de rectification
            [article 18 du règlement (UE) 2018/1725]
            
               1.   La demande de rectification précise les données à caractère personnel qui doivent être rectifiées ou complétées, une démonstration du caractère imprécis ou incomplet desdites données et la correction qui doit être effectuée. Le cas échéant, la demande peut être accompagnée de pièces justificatives.
            
            
               2.   La personne concernée est informée de l’exécution de la rectification. En cas de rejet de la demande, le responsable du traitement informe la personne concernée par écrit des motifs de cette décision.
            
         
         
            Article 20
            Droit à l’effacement
            [article 19 du règlement (UE) 2018/1725]
            
               1.   La demande d’effacement précise les données à caractère personnel à effacer ainsi que les motifs qui sous-tendent son introduction au sens de l’article 19, paragraphe 1, du règlement (UE) 2018/1725.
            
            
               2.   La personne concernée est informée de l’exécution de l’effacement. En cas de refus de la demande, le responsable du traitement informe la personne concernée par écrit des motifs de cette décision.
            
            
               3.   L’effacement suppose la disparition physique des données à caractère personnel sans qu’il faille les remplacer par un code.
            
         
         
            Article 21
            Droit à la limitation du traitement
            [article 20 du règlement (UE) 2018/1725]
            
               1.   La demande de limitation du traitement précise les données à caractère personnel concernées ainsi que les motifs qui sous-tendent son introduction, tels qu’indiqués à l’article 20, paragraphe 1, du règlement (UE) 2018/1725.
            
            
               2.   La personne concernée est informée de la mise en place de la limitation du traitement. En cas de refus de la demande, le responsable du traitement informe la personne concernée par écrit des motifs de cette décision.
            
         
         
            Article 22
            Notification aux destinataires
            [article 21 du règlement (UE) 2018/1725]
            
               1.   Au terme de l’une des procédures visées aux articles 19 à 21 de la présente décision, le responsable du traitement lance, sans attendre, la procédure prescrite à l’article 21 du règlement (UE) 2018/1725.
            
            
               2.   Si la notification aux destinataires se révèle impossible ou exige un effort disproportionné, le responsable du traitement en informe la personne concernée par écrit des motifs du refus.
            
         
         
            Article 23
            Droit à la portabilité des données
            [article 22 du règlement (UE) 2018/1725]
            
               1.   La demande introduite en vertu de l’article 22 du règlement (UE) 2018/1725 précise les données à caractère personnel concernées.
            
            
               2.   En cas de refus de la demande, le responsable du traitement indique à la personne concernée, par écrit, les motifs de sa décision.
            
         
         
            Article 24
            Droit d’opposition
            [article 23 du règlement (UE) 2018/1725]
            
               1.   En cas d’opposition, il y a lieu de préciser les données à caractère personnel concernées ainsi que les éléments liés à la situation personnelle qui la motivent.
            
            
               2.   En cas de refus de l’opposition, le responsable du traitement indique à la personne concernée, par écrit, les motifs de sa décision.
            
         
         CHAPITRE V
         
            EXCEPTIONS, DEROGATIONS ET LIMITATIONS
         
         
            SECTION 1
         
         
            
               Exceptions et dérogations
            
         
         
            Article 25
            Exceptions
            
               1.   Avant de mettre en œuvre une limitation en vertu de la section 2 du présent chapitre, le responsable du traitement examine si l’une des exceptions énoncées dans le règlement (UE) 2018/1725 s’applique, notamment celles relevant de l’article 15, paragraphe 4, de l’article 16, paragraphe 5, de l’article 19, paragraphe 3, ou de l’article 35, paragraphe 3, dudit règlement.
            
            
               2.   En ce qui concerne le traitement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, le responsable du traitement examine si les exceptions visées à l’article 16, paragraphe 5, point b), et à l’article 19, paragraphe 3, point d), du règlement (UE) 2018/1725 s’appliquent.
            
         
         
            Article 26
            Dérogations
            
               1.   En ce qui concerne le traitement à des fins archivistiques dans l’intérêt public, le responsable du traitement peut recourir à des dérogations en application de l’article 25, paragraphe 4, du règlement (UE) 2018/1725. À cette fin, le responsable du traitement peut déroger aux droits visés aux articles 17, 18, 20, 21, 22 et 23 du règlement (UE) 2018/1725 conformément aux conditions prévues à l’article 25, paragraphe 4, dudit règlement.
            
            
               2.   En ce qui concerne le traitement à des fins de recherche scientifique ou historique ou à des fins statistiques, le responsable du traitement peut recourir à des dérogations en application de l’article 25, paragraphe 3, du règlement (UE) 2018/1725. À cette fin, le responsable du traitement peut déroger aux droits visés aux articles 17, 18, 20 et 23 du règlement (UE) 2018/1725 conformément aux conditions prévues à l’article 25, paragraphe 3, dudit règlement.
            
            
               3.   De telles dérogations sont assujetties à des garanties appropriées en application de l’article 13 du règlement (UE) 2018/1725 et de l’article 28, paragraphes 1 et 2, de la présente décision. Des mesures techniques et organisationnelles sont mises en place conformément à l’article 2, paragraphe 6, point a), et à l’article 10 de la présente décision, en particulier pour garantir le respect du principe de minimisation des données et, le cas échéant, la pseudonymisation.
            
         
         
            SECTION 2
         
         
            
               Limitations
            
         
         
            Article 27
            Objet et champ d’application
            
               1.   La présente section établit les conditions générales dans lesquelles le responsable du traitement peut limiter l’application des articles 14 à 21, 35 et 36 du règlement (UE) 2018/1725 ainsi que de son article 4 dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 21 dudit règlement, en application de son article 25.
               Les conditions générales visées au premier alinéa sont complétées par les dispositions des annexes de la présente décision, qui précisent les conditions dans lesquelles le Parlement européen peut limiter les droits des personnes concernées dans le cadre de chacune de ses activités et procédures susceptibles d’impliquer le traitement de données à caractère personnel et de requérir l’application de limitations.
            
            
               2.   La présente section s’applique au traitement de données à caractère personnel aux fins des activités et des procédures menées par le Parlement européen, tel que précisé dans les annexes de la présente décision.
            
            
               3.   Aux fins de chaque traitement et limitation, le responsable du traitement concerné est désigné en application de l’article 2 de la présente décision.
            
         
         
            Article 28
            Garanties
            
               1.   Les données à caractère personnel faisant l’objet d’une limitation sont conservées dans un environnement physique ou électronique sécurisé qui empêche leur consultation illicite ou leur transfert à des personnes qui n’ont pas besoin de les connaître.
            
            
               2.   Après la fin du traitement, les documents qui contiennent les données à caractère personnel sont conservés conformément aux règles applicables du Parlement européen (3).
            
            
               3.   Avant d’appliquer la moindre limitation, une évaluation de la nécessité et de la proportionnalité de la limitation et des risques pour les personnes concernées est effectuée conformément à l’article 35 de la présente décision.
            
         
         
            Article 29
            Limitations applicables
            
               1.   Sous réserve des articles 30 à 36 et des dispositions des annexes applicables de la présente décision, le responsable du traitement peut appliquer des limitations portant sur les droits de la personne concernée explicitement visés dans les annexes applicables lorsque l’exercice de ces droits est de nature à compromettre l’objectif de l’une des activités ou procédures énoncées dans ces annexes.
            
            
               2.   Le responsable du traitement enregistre et consigne dans un registre les motifs de la limitation conformément à l’article 35 de la présente décision.
            
         
         
            Article 30
            Communication d’informations aux personnes concernées
            
               1.   Le Parlement européen publie sur son site internet une communication relative à la protection des données de manière à informer toutes les personnes concernées quant aux activités supposant le traitement de leurs données à caractère personnel ainsi qu’une éventuelle limitation de leurs droits dans ce contexte. Ces informations indiquent les droits qui peuvent faire l’objet d’une limitation, les motifs de cette limitation, la durée potentielle de celle-ci ainsi que les voies de recours possibles.
            
            
               2.   Si possible, le responsable du traitement informe directement, sans retard injustifié et sous la forme la plus appropriée, toute personne concernée de ses droits en ce qui concerne cette limitation, lesquels sont déterminés au cas par cas. Ces informations indiquent les droits qui peuvent faire l’objet d’une limitation, les motifs de cette limitation, la durée potentielle de celle-ci ainsi que les voies de recours possibles.
            
         
         
            Article 31
            Droit d’être informé
            
               1.   Lorsque le responsable du traitement limite le droit d’information visé aux articles 15 et 16 du règlement (UE) 2018/1725, les personnes concernées sont informées, conformément à l’article 25, paragraphe 6, dudit règlement, des principales raisons qui motivent cette limitation et de leur droit de saisir le Contrôleur européen de la protection des données.
            
            
               2.   Toutefois, la communication des informations peut être différée, omise ou refusée conformément à l’article 25, paragraphe 8, du règlement (UE) 2018/1725 si elle prive d’effet la limitation.
            
            
               3.   Lorsque le responsable du traitement diffère, omet ou refuse, en tout ou en partie, la communication des informations aux personnes concernées au sens du paragraphe 2 du présent article, il en enregistre les motifs et les consigne dans un registre, conformément à l’article 35 de la présente décision.
            
         
         
            Article 32
            Droit d’accès des personnes concernées, droit de rectification, droit à l’effacement, droit à la limitation du traitement et obligation de notification
            
               1.   Lorsque le responsable du traitement limite, en tout ou en partie, le droit des personnes concernées d’accéder aux données à caractère personnel, le droit de rectification, le droit à l’effacement ou le droit à la limitation du traitement visés aux articles 17, 18, 19 et 20, respectivement, du règlement (UE) 2018/1725 ainsi que l’obligation de notification prévue à l’article 21 dudit règlement, il informe la personne concernée, dans sa réponse à la demande d’accès, de rectification, d’effacement ou de limitation du traitement, de la limitation appliquée et des principaux motifs qui sous-tendent celle-ci ainsi que de la possibilité de saisir le Contrôleur européen de la protection des données ou d’introduire un recours juridictionnel devant la Cour de justice de l’Union européenne (ci-après dénommée «Cour de justice»).
            
            
               2.   La communication des informations relatives aux motifs de la limitation visée au paragraphe 1 peut être différée, omise ou refusée aussi longtemps qu’elle priverait d’effet la limitation.
            
            
               3.   Le responsable du traitement consigne dans un registre les motifs du report, de l’omission ou du refus, conformément à l’article 35 de la présente décision.
            
            
               4.   Lorsque le droit d’accès est limité en tout ou en partie et que la personne concernée a exercé son droit de saisir le Contrôleur européen de la protection des données, ce dernier fait savoir à la personne concernée, et à elle seulement, si les données ont été traitées correctement et, dans la négative, si des corrections ont été apportées conformément à l’article 25, paragraphe 7, du règlement (UE) 2018/1725.
            
         
         
            Article 33
            Communication à la personne concernée d’une violation de données à caractère personnel
            Lorsque le responsable du traitement limite l’application de l’article 35 du règlement (UE) 2018/1725, il enregistre les motifs de la limitation et les consigne dans un registre, conformément à l’article 35 de la présente décision.
         
         
            Article 34
            Confidentialité des communications électroniques
            Lorsque le responsable du traitement limite l’obligation du Parlement européen de garantir la confidentialité des communications électroniques visée à l’article 36 du règlement (UE) 2018/1725, il enregistre les motifs de la limitation et les consigne dans un registre, conformément à l’article 35 de la présente décision.
         
         
            Article 35
            Évaluation de la nécessité et de la proportionnalité, enregistrement des limitations et consignation dans un registre
            
               1.   Avant d’appliquer des limitations particulières, le responsable du traitement évalue la nécessité et la proportionnalité des limitations, en tenant compte des éléments pertinents mentionnés à l’article 25, paragraphe 2, du règlement (UE) 2018/1725. Cette évaluation comprend également une évaluation des risques pour les droits et libertés des personnes concernées, notamment le risque que leurs données à caractère personnel puissent être encore traitées, à leur insu, et qu’elles soient dans l’impossibilité d’exercer leurs droits conformément au règlement (UE) 2018/1725. L’évaluation est consignée sous la forme d’une note d’évaluation interne, et est menée au cas par cas.
            
            
               2.   Le responsable du traitement consigne dans un registre les motifs de toute limitation appliquée en vertu de la présente décision, en ce compris l’évaluation effectuée conformément au paragraphe 1.
               À cette fin, l’entrée dans le registre indique en quoi l’exercice des droits des personnes concernées compromettrait la finalité de l’une des activités ou procédures menées par le Parlement européen, telles que définies dans les annexes de la présente décision.
            
            
               3.   Lorsque, conformément à l’article 25, paragraphe 8, du règlement (UE) 2018/1725, le responsable du traitement diffère, omet ou refuse de transmettre des informations à une personne concernée sur l’application d’une limitation, il consigne également, le cas échéant, les raisons de cette décision.
            
            
               4.   L’entrée dans le registre et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont conservés dans un registre central. Ils sont mis à la disposition du Contrôleur européen de la protection des données si celui-ci en fait la demande.
            
         
         
            Article 36
            Durée des limitations
            
               1.   Les limitations visées aux articles 29 et 31 à 34 de la présente décision, lues conjointement avec les annexes de la présente décision, s’appliquent aussi longtemps que les motifs qui les justifient restent valables.
            
            
               2.   Lorsque les motifs d’une limitation visée aux articles 29 et 31 à 34 de la présente décision, lus conjointement avec les annexes pertinentes de la présente décision, cessent de s’appliquer, le responsable du traitement lève la limitation. Dans le même temps, le responsable du traitement fournit à la personne concernée les motifs principaux de la limitation et l’informe de la possibilité de déposer à tout moment une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice.
            
            
               3.   Le responsable du traitement réexamine l’application de la limitation visée aux articles 29 et 31 à 34 de la présente décision, lus conjointement avec les annexes de la présente décision, tous les six mois à compter de son adoption et à la clôture de la procédure concernée. Par la suite, aux fins des activités et des procédures visées aux annexes I, II, V, VI, VII, VIII, IX et X de la présente décision, le responsable du traitement surveille la nécessité de conserver chacune des limitations sur une base annuelle.
            
         
         
            Article 37
            Réexamen par le délégué à la protection des données
            
               1.   Le délégué à la protection des données est informé sans retard injustifié chaque fois que les droits de personnes concernées sont limités conformément à la présente section.
               Le délégué à la protection des données obtient, sur demande, l’accès au registre et à tout document contenant des éléments factuels et juridiques sous-jacents.
            
            
               2.   Le délégué à la protection des données peut demander un réexamen des limitations. Il est informé par écrit du résultat du réexamen demandé.
            
            
               3.   Tous les échanges d’informations avec le délégué à la protection des données tout au long de la procédure conformément aux paragraphes 1 et 2 sont enregistrés sous la forme appropriée.
            
         
         
            Article 38
            Annexes
            Les annexes de la présente décision font partie intégrante de celle-ci.
         
         CHAPITRE VI
         
            DISPOSITIONS FINALES
         
         
            Article 39
            Voies de recours
            
               1.   Tout membre du personnel du Parlement européen peut présenter une réclamation au sens de l’article 68 du règlement (UE) 2018/1725 auprès du Contrôleur européen de la protection des données. L’introduction d’une telle réclamation n’a pas pour effet de suspendre les délais pour introduire une réclamation au sens de l’article 90 du statut des fonctionnaires.
            
            
               2.   Indépendamment du droit visé au paragraphe 1, tout membre du personnel du Parlement européen peut présenter une réclamation au sens de l’article 90 du statut des fonctionnaires sur une question relative au traitement des données à caractère personnel auprès de l’AIPN. Dans sa réclamation, le membre du personnel indique si une réclamation a été présentée auprès du Contrôleur européen de la protection des données parallèlement à la réclamation au titre du statut des fonctionnaires.
               En cas de réclamation au titre de l’article 90, paragraphe 2, du statut des fonctionnaires, les services concernés du Parlement européen consultent le délégué à la protection des données.
            
         
         
            Article 40
            Actes abrogés
            
               1.   Les dispositions d’application en ce qui concerne le règlement (CE) no 45/2001 du Parlement européen et du Conseil relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données, établies conformément à la décision du Bureau du 22 juin 2005 (4), sont abrogées avec effet au jour de l’entrée en vigueur de la présente décision.
            
            
               2.   La décision du Bureau du Parlement européen du 3 avril 2019 relative aux dispositions d’application concernant les limitations de certains droits des personnes concernées par le transfert de données à caractère personnel entre le Parlement et les autorités nationales dans le cadre d’enquêtes criminelles ou financières (5) est abrogée avec effet au jour de l’entrée en vigueur de la présente décision.
            
         
         
            Article 41
            Entrée en vigueur
            La présente décision entre en vigueur le jour suivant celui de sa publication au Journal officiel de l’Union européenne.
         
         
            (1)  Règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (JO L 295 du 21.11.2018, p. 39).
         
            (2)  JO L 56 du 4.3.1968, p. 1.
         
            (3)  Décision du Bureau du 2 juillet 2012 concernant les règles sur l’administration des documents du Parlement européen.
         
            (4)  JO C 308 du 6.12.2005, p. 1.
         
            (5)  JO C 163 du 13.5.2019, p. 1.
      
      
         
            ANNEXE I
            Prévention interne des incidents de sécurité et enquêtes sur les incidents de sécurité, enquêtes de sécurité et enquêtes auxiliaires
            1)   Objet et champ d’application
            
            
                     
                        1.
                     
                     
                        La présente annexe s’applique au traitement des données à caractère personnel par le responsable du traitement aux fins des procédures prévues au paragraphe 2.
                     
                  
                     
                        2.
                     
                     
                        La présente annexe établit les conditions spécifiques selon lesquelles le responsable du traitement peut limiter l’application des articles 14 à 21, 35 et 36 du règlement (UE) 2018/1725 et de son article 4 dans la mesure où ses dispositions correspondent aux droits et obligations énoncés dans les articles 14 à 21 dudit règlement, afin de préserver la sécurité intérieure du Parlement européen, y compris de ses réseaux de communication électroniques, conformément à l’article 25, paragraphe 1, point d), dudit règlement, lors de la réalisation d’évaluations internes des risques, de contrôles d’accès, y compris les vérifications d’antécédents, de mesures de prévention des incidents de sécurité et d’enquêtes sur ces incidents, y compris les incidents liés aux technologies de l’information et de la communication (1), ainsi que d’enquêtes de sécurité et d’enquêtes auxiliaires réalisées de sa propre initiative ou à la demande de tiers (2).
                     
                  
                     
                        3.
                     
                     
                        La présente annexe s’applique aux catégories suivantes de données à caractère personnel:
                        
                                    a)
                                 
                                 
                                    les données d’identification;
                                 
                              
                                    b)
                                 
                                 
                                    les données de contact;
                                 
                              
                                    c)
                                 
                                 
                                    les données professionnelles;
                                 
                              
                                    d)
                                 
                                 
                                    les données financières;
                                 
                              
                                    e)
                                 
                                 
                                    les données relatives au trafic, y compris les heures de connexion et de déconnexion, l’accès aux applications internes et aux ressources sur réseau et l’utilisation d’internet;
                                 
                              
                                    f)
                                 
                                 
                                    les données de vidéosurveillance;
                                 
                              
                                    g)
                                 
                                 
                                    les enregistrements audio;
                                 
                              
                                    h)
                                 
                                 
                                    les données relatives à la présence des personnes;
                                 
                              
                                    i)
                                 
                                 
                                    les données relatives aux activités extérieures des personnes;
                                 
                              
                                    j)
                                 
                                 
                                    les données relatives aux suspicions d’infractions, aux infractions, aux condamnations pénales ou aux mesures de sûreté;
                                 
                              
                                    k)
                                 
                                 
                                    toute autre donnée relative à l’objet des évaluations de risque, des contrôles d’accès, y compris les vérifications d’antécédents, des enquêtes d’incidents de sécurité, des enquêtes de sécurité et des enquêtes auxiliaires concernés réalisés par le Parlement européen de sa propre initiative ou à la demande de tiers.
                                 
                              
                  2)   Limitations applicables
            
            Sous réserve des articles 30 à 36 de la présente décision, le responsable du traitement peut limiter l’application des articles 14 à 21, 35 et 36 du règlement (UE) 2018/1725 et de son article 4 dans la mesure où ses dispositions correspondent aux droits et obligations énoncés dans les articles 14 à 21 dudit règlement, lorsque l’exercice de ces droits compromettrait la réalisation par le Parlement européen d’évaluations internes des risques, de contrôles d’accès, y compris les vérifications d’antécédents, de mesures de prévention et d’enquêtes sur les incidents de sécurité, d’enquêtes de sécurité et d’enquêtes auxiliaires, y compris de ses réseaux de communication électroniques, notamment en révélant ses outils et méthodes d’enquête.
            
               (1)  Décision du Bureau du 7 septembre 2015 sur la politique de sécurité des systèmes d’information et de communication du Parlement européen.
            
               (2)  Décision du Bureau du 15 janvier 2018 sur la réglementation concernant la sécurité et la protection au Parlement européen.
         
      
      
         
            ANNEXE II
            Procédures disciplinaires, enquêtes administratives et enquêtes relatives aux membres du personnel
            1)   Objet et champ d’application
            
            
                     
                        1.
                     
                     
                        La présente annexe s’applique au traitement des données à caractère personnel par le responsable du traitement aux fins des procédures prévues au paragraphe 2.
                     
                  
                     
                        2.
                     
                     
                        La présente annexe établit les conditions spécifiques dans lesquelles, le responsable du traitement peut, lors de la réalisation de procédures disciplinaires, d’enquêtes administratives et d’enquêtes relatives aux membres du personnel en vertu de l’article 86 et de l’annexe IX du statut des fonctionnaires et d’enquêtes dans le cadre de demandes d’assistance présentées en vertu de l’article 24 du statut des fonctionnaires en ce qui concerne les cas présumés de harcèlement, limiter l’application des articles 14 à 21, 35 et 36 du règlement (UE) 2018/1725 et de son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations énoncés dans les articles 14 à 21 dudit règlement, afin:
                        
                                    a)
                                 
                                 
                                    de préserver d’autres objectifs importants d’intérêt public général de l’Union tels que la capacité du Parlement européen à respecter les obligations qui lui incombent en vertu du statut des fonctionnaires et à mener sa politique interne du personnel, conformément à l’article 25, paragraphe 1, point c), dudit règlement,
                                 
                              
                                    b)
                                 
                                 
                                    de garantir la prévention, la recherche, la détection et la poursuite de manquements à la déontologie des professions réglementées, conformément à l’article 25, paragraphe 1, point f) dudit règlement,
                                 
                              
                                    c)
                                 
                                 
                                    de conserver une mission de contrôle, d’inspection ou de réglementation relevant, même à titre occasionnel, de l’exercice de l’autorité publique dans les cas visés à l’article 25, paragraphe 1, point c), dudit règlement, conformément à l’article 25, paragraphe 1), point g), dudit règlement, et
                                 
                              
                                    d)
                                 
                                 
                                    de préserver la protection des droits et des libertés des autres personnes concernées, conformément à l’article 25, paragraphe 1, point h), dudit règlement.
                                 
                              
                  
                     
                        3.
                     
                     
                        La présente annexe s’applique aux catégories suivantes de données à caractère personnel:
                        
                                    a)
                                 
                                 
                                    les données d’identification;
                                 
                              
                                    b)
                                 
                                 
                                    les données de contact;
                                 
                              
                                    c)
                                 
                                 
                                    les données professionnelles;
                                 
                              
                                    d)
                                 
                                 
                                    les données relatives à la présence des personnes;
                                 
                              
                                    e)
                                 
                                 
                                    les données relatives aux activités extérieures des personnes;
                                 
                              
                                    f)
                                 
                                 
                                    les données qui révèlent l’origine raciale ou ethnique, les convictions religieuses ou philosophiques ou celles relatives à la santé;
                                 
                              
                                    g)
                                 
                                 
                                    toute autre donnée liée relative à l’objet de la procédure disciplinaire, de l’enquête administrative ou de l’enquête concernant des membres du personnel menée par le Parlement européen.
                                 
                              
                  2)   Limitations applicables
            
            Sous réserve des articles 30 à 36 de la présente décision, le responsable du traitement peut limiter l’application des articles 14 à 21, 35 et 36 du règlement (UE) 2018/1725, ainsi que de son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 21 dudit règlement, lorsque l’exercice de ces droits compromettrait la finalité et l’efficacité des procédures disciplinaires, des enquêtes administratives ou des enquêtes relatives aux membres du personnel, y compris les enquêtes sur des cas présumés de harcèlement, ou porterait atteinte aux droits et aux libertés d’autres personnes concernées.
         
      
      
         
            ANNEXE III
            Procédures de sélection
            1)   Objet et champ d’application
            
            
                     
                        1.
                     
                     
                        La présente annexe s’applique au traitement des données à caractère personnel par le responsable du traitement aux fins de réalisation de procédures de sélection.
                     
                  
                     
                        2.
                     
                     
                        La présente annexe établit les conditions spécifiques dans lesquelles, lors de la réalisation de procédures de sélection (1), le responsable du traitement peut limiter l’application de l’article 17 du règlement (UE) 2018/1725, afin de préserver:
                        
                                    a)
                                 
                                 
                                    d’autres objectifs importants d’intérêt public général de l’Union tels que la capacité du Parlement européen à respecter les obligations qui lui incombent en vertu du statut des fonctionnaires et à mener sa politique interne du personnel, conformément à l’article 25, paragraphe 1, point c), dudit règlement, et
                                 
                              
                                    b)
                                 
                                 
                                    la protection des droits et des libertés d’autres personnes concernées, conformément à l’article 25, paragraphe 1, point h), dudit règlement,
                                 
                              
                  
                     
                        3.
                     
                     
                        La présente annexe s’applique aux catégories suivantes de données à caractère personnel:
                        
                                    a)
                                 
                                 
                                    les données d’identification;
                                 
                              
                                    b)
                                 
                                 
                                    les données de contact;
                                 
                              
                                    c)
                                 
                                 
                                    les données professionnelles;
                                 
                              
                                    d)
                                 
                                 
                                    les enregistrements vocaux ou les épreuves des candidats;
                                 
                              
                                    e)
                                 
                                 
                                    les fiches d’évaluation;
                                 
                              
                                    f)
                                 
                                 
                                    toute autre donnée relative aux procédures de sélection concernées réalisées par le Parlement européen.
                                 
                              
                  2)   Limitations applicables
            
            Sous réserve des articles 30 à 35 de la présente décision, le responsable du traitement peut limiter l’application du droit des personnes concernées d’accéder à leurs données à caractère personnel conformément à l’article 17 du règlement (UE) 2018/1725 lorsque l’exercice de ce droit compromettrait la finalité et l’efficacité de ces procédures de sélection, notamment en révélant les évaluations réalisées par les comités de sélection, ou porterait atteinte aux droits et aux libertés d’autres personnes concernées, notamment en révélant les données à caractère personnel d’autres candidats.
            3)   Durée des limitations
            
            Par dérogation à l’article 36 de la présente décision, les règles suivantes s’appliquent en ce qui concerne la durée des limitations:
            
                        —
                     
                     
                        Les limitations visées à la présente annexe continuent de s’appliquer aussi longtemps que les motifs qui les justifient restent valables.
                     
                  
                        —
                     
                     
                        Le responsable du traitement lève une limitation lorsque les motifs qui la justifient cessent de s’appliquer et que la personne concernée demande à nouveau l’accès aux données à caractère personnel concernées. Dans le même temps, le responsable du traitement fournit à la personne concernée les motifs principaux de la limitation et l’informe de la possibilité de déposer à tout moment une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice.
                     
                  
               (1)  Cela inclut les procédures de sélection des agents temporaires et contractuels ainsi que les concours internes.
         
      
      
         
            ANNEXE IV
            Dossier médical
            1)   Objet et champ d’application
            
            
                     
                        1.
                     
                     
                        La présente annexe s’applique à l’accès aux données à caractère personnel de nature médicale des membres du personnel et des députés au Parlement européen.
                     
                  
                     
                        2.
                     
                     
                        La présente annexe établit les conditions spécifiques dans lesquelles le responsable du traitement peut limiter l’application de l’article 17 du règlement (UE) 2018/1725 afin de préserver la protection de la personne concernée lors du traitement de données médicales de membres du personnel en vertu du statut des fonctionnaires et de députés au Parlement européen en vertu des mesures d’application du statut des députés au Parlement européen (1), conformément à l’article 25, paragraphe 1, point h), dudit règlement.
                     
                  
                     
                        3.
                     
                     
                        La présente annexe s’applique aux catégories suivantes de données à caractère personnel:
                        
                                    a)
                                 
                                 
                                    les données d’identification,
                                 
                              
                                    b)
                                 
                                 
                                    les données de contact;
                                 
                              
                                    c)
                                 
                                 
                                    les données professionnelles;
                                 
                              
                                    d)
                                 
                                 
                                    les données médicales.
                                 
                              
                  2)   Limitations applicables
            
            
                     
                        1.
                     
                     
                        Sous réserve des articles 30 à 35 de la présente décision, le responsable du traitement peut limiter l’application du droit d’accès direct aux données à caractère personnel de nature médicale, y compris les données de nature psychologique ou psychiatrique de la personne concernée, qui sont traitées par le Parlement européen, lorsque l’accès à ces données représente vraisemblablement un risque pour la santé de la personne concernée. Cette limitation est proportionnelle à ce qui est strictement nécessaire pour protéger la personne concernée. L’accès aux informations visées par le présent paragraphe est accordé, lorsque celui-ci le demande, à un médecin choisi par la personne concernée.
                     
                  
                     
                        2.
                     
                     
                        Avant toute application de limitation visée au paragraphe 1, un médecin-conseil agissant pour le compte du Parlement européen donne les motifs qui justifient une telle limitation; ceux-ci sont inclus dans le dossier médical de la personne concernée.
                     
                  3)   Durée des limitations
            
            Par dérogation à l’article 36 de la présente décision, les règles suivantes s’appliquent en ce qui concerne la durée des limitations:
            
                        —
                     
                     
                        Les limitations visées à la présente annexe continuent de s’appliquer aussi longtemps que les motifs qui les justifient restent valables.
                     
                  
                        —
                     
                     
                        Le responsable du traitement lève une limitation lorsque les motifs qui la justifient cessent de s’appliquer et que la personne concernée demande à nouveau l’accès aux données à caractère personnel de nature médicale concernées. Dans le même temps, le responsable du traitement fournit à la personne concernée les motifs principaux de la limitation et l’informe de la possibilité de déposer à tout moment une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne.
                     
                  
               (1)  Décision du Bureau des 19 mai et 9 juillet 2008 portant mesures d’application du statut des députés au Parlement européen telle que modifiée par les décisions du Bureau des 11 novembre 2009, 23 novembre 2009, 14 décembre 2009, 19 avril 2010, 5 juillet 2010, 13 décembre 2010, 14 février 2011, 23 mars 2011, 14 novembre 2011, 12 décembre 2012, 1er juillet 2013, 16 juin 2014, 15 septembre 2014, 15 décembre 2014, 26 octobre 2015, 14 décembre 2015, 12 décembre 2016, 13 décembre 2017, 11 juin 2018, 2 juillet 2018 et 10 décembre 2018.
         
      
      
         
            ANNEXE V
            Examen des plaintes des membres du personnel
            1)   Objet et champ d’application
            
            
                     
                        1.
                     
                     
                        La présente annexe s’applique au traitement des données à caractère personnel par le responsable du traitement à des fins de traitement des plaintes en vertu du statut des fonctionnaires.
                     
                  
                     
                        2.
                     
                     
                        La présente annexe établit les conditions spécifiques dans lesquelles le responsable du traitement peut, lors de l’examen de plaintes présentées par des membres du personnel en vertu de l’article 90 du statut des fonctionnaires (1), limiter l’application des articles 14 à 21, 35 et 36 du règlement (UE) 2018/1725 ainsi que de son article 4 dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 21 dudit règlement, afin:
                        
                                    a)
                                 
                                 
                                    de préserver d’autres objectifs importants d’intérêt public général de l’Union tels que la capacité du Parlement européen à respecter les obligations qui lui incombent en vertu du statut des fonctionnaires, conformément à l’article 25, paragraphe 1, point c), dudit règlement, et
                                 
                              
                                    b)
                                 
                                 
                                    de garantir la prévention, la recherche, la détection et la poursuite de manquements à la déontologie des professions réglementées, conformément à l’article 25, paragraphe 1, point f), dudit règlement.
                                 
                              
                  
                     
                        3.
                     
                     
                        La présente annexe s’applique aux catégories suivantes de données à caractère personnel:
                        
                                    a)
                                 
                                 
                                    les données d’identification,
                                 
                              
                                    b)
                                 
                                 
                                    les données de contact;
                                 
                              
                                    c)
                                 
                                 
                                    les données professionnelles;
                                 
                              
                                    d)
                                 
                                 
                                    toute autre donnée relative aux plaintes concernées présentées par des membres du personnel.
                                 
                              
                  2)   Limitations applicables
            
            Sous réserve des articles 30 à 36 de la présente décision, le responsable du traitement peut limiter l’application des articles 14 à 21, 35 et 36 du règlement (UE) 2018/1725, ainsi que de son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 21 dudit règlement, dans la mesure où l’exercice de ces droits compromettrait les procédures de plainte au titre du statut des fonctionnaires.
            
               (1)  Dans le cadre de l’examen des plaintes présentées par des membres du personnel en vertu de l’article 90 du statut des fonctionnaires, le Parlement européen peut traiter les données à caractère personnel de membres du personnel autres que le plaignant à des fins de vérification de conformité avec le principe d’égalité de traitement.
         
      
      
         
            ANNEXE VI
            Audits internes
            1)   Objet et champ d’application
            
            
                     
                        1.
                     
                     
                        La présente annexe s’applique au traitement de données à caractère personnel par le responsable du traitement aux fins de réalisation d’audits internes.
                     
                  
                     
                        2.
                     
                     
                        La présente annexe établit les conditions spécifiques dans lesquelles le responsable du traitement peut, lorsque des audits internes sont réalisés aux fins des articles 118 et 119 du règlement (UE, Euratom) 2018/1046 (1) et en vertu de la charte de son auditeur interne, adoptée par le Bureau le 14 janvier 2019, limiter l’application des articles 14 à 21, 35 et 36 du règlement (UE) 2018/1725 ainsi que de son article 4 dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 21 dudit règlement, afin:
                        
                                    a)
                                 
                                 
                                    de préserver d’autres objectifs importants d’intérêt public général de l’Union ou d’un État membre, en particulier l’intérêt financier de l’Union ou d’un État membre, conformément à l’article 25, paragraphe 1, point c), dudit règlement, et
                                 
                              
                                    b)
                                 
                                 
                                    de conserver une mission de contrôle, d’inspection ou de réglementation relevant, même à titre occasionnel, de l’exercice de l’autorité publique dans les cas visés à l’article 25, paragraphe 1, point c), dudit règlement, conformément à l’article 25, paragraphe 1, point g), dudit règlement.
                                 
                              
                  
                     
                        3.
                     
                     
                        La présente annexe s’applique aux catégories suivantes de données à caractère personnel:
                        
                                    a)
                                 
                                 
                                    les données d’identification,
                                 
                              
                                    b)
                                 
                                 
                                    les données de contact;
                                 
                              
                                    c)
                                 
                                 
                                    les données professionnelles;
                                 
                              
                                    d)
                                 
                                 
                                    les données financières;
                                 
                              
                                    e)
                                 
                                 
                                    les données relatives au trafic;
                                 
                              
                                    f)
                                 
                                 
                                    les données relatives à la présence des personnes;
                                 
                              
                                    g)
                                 
                                 
                                    les données relatives aux activités extérieures des personnes;
                                 
                              
                                    h)
                                 
                                 
                                    les données relatives à l’appartenance politique;
                                 
                              
                                    i)
                                 
                                 
                                    toute autre donnée relative à l’objet de l’activité d’audit en question.
                                 
                              
                  2)   Limitations applicables
            
            Sous réserve des articles 30 à 36 de la présente décision, le responsable du traitement peut limiter l’application des articles 14 à 21, 35 et 36 du règlement (UE) 2018/1725, ainsi que de son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 21 dudit règlement, lorsque l’exercice de ces droits compromettrait la finalité de l’exécution d’audits internes par le Parlement européen.
            
               (1)  Règlement (UE, Euratom) 2018/1046 du Parlement européen et du Conseil du 18 juillet 2018 relatif aux règles financières applicables au budget général de l’Union, modifiant les règlements (UE) no 1296/2013, (UE) no 1301/2013, (UE) no 1303/2013, (UE) no 1304/2013, (UE) no 1309/2013, (UE) no 1316/2013, (UE) no 223/2014, (UE) no 283/2014 et la décision no 541/2014/UE, et abrogeant le règlement (UE, Euratom) no 966/2012, JO L 193 du 30.7.2018, p. 1.
         
      
      
         
            ANNEXE VII
            Procédures judiciaires
            1)   Objet et champ d’application
            
            
                     
                        1.
                     
                     
                        La présente annexe s’applique au traitement des données à caractère personnel par le responsable du traitement aux fins des procédures judiciaires.
                     
                  
                     
                        2.
                     
                     
                        La présente annexe établit les conditions spécifiques dans lesquelles le responsable du traitement peut limiter l’application des articles 14 à 21, 35 et 36 du règlement (UE) 2018/1725 ainsi que de son article 4 dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 21 dudit règlement, afin d’assurer la protection des procédures judiciaires du Parlement européen, en application de l’article 25, paragraphe 1, point e), dudit règlement.
                     
                  
                     
                        3.
                     
                     
                        La présente annexe s’applique aux catégories suivantes de données à caractère personnel:
                        
                                    a)
                                 
                                 
                                    les données d’identification,
                                 
                              
                                    b)
                                 
                                 
                                    les données de contact;
                                 
                              
                                    c)
                                 
                                 
                                    les données professionnelles;
                                 
                              
                                    d)
                                 
                                 
                                    les données financières;
                                 
                              
                                    e)
                                 
                                 
                                    les données relatives au trafic;
                                 
                              
                                    f)
                                 
                                 
                                    les données relatives à la présence des personnes;
                                 
                              
                                    g)
                                 
                                 
                                    les données relatives aux activités extérieures des personnes;
                                 
                              
                                    h)
                                 
                                 
                                    toute autre donnée relative à l’objet des procédures judiciaires en question.
                                 
                              
                  2)   Limitations applicables
            
            Sous réserve des articles 30 à 36 de la présente décision, le responsable du traitement peut limiter l’application des articles 14 à 21, 35 et 36 du règlement (UE) 2018/1725, ainsi que de son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 21 dudit règlement, lorsque l’exercice de ces droits compromettrait le déroulement de procédures judiciaires.
         
      
      
         
            ANNEXE VIII
            Contrôles et enquêtes à caractère financier
            1)   Objet et champ d’application
            
            
                     
                        1.
                     
                     
                        La présente annexe s’applique au traitement des données à caractère personnel par le responsable du traitement aux fins de réalisation de contrôles et d’enquêtes à caractère financier au sens du paragraphe 2.
                     
                  
                     
                        2.
                     
                     
                        La présente annexe établit les conditions spécifiques dans lesquelles le responsable du traitement peut, lors de la réalisation de contrôles ou d’enquêtes sur la légalité des transactions financières effectuées par le Parlement européen et au sein de celui-ci, de contrôles et d’enquêtes sur les droits des députés (1) ainsi que de contrôles et d’enquêtes sur le financement de partis politiques européens, de fondations politiques européennes ou de groupes politiques européens, limiter l’application des articles 14 à 21, 35 et 36 du règlement (UE) 2018/1725 et de son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations énoncés dans les articles 14 à 21 dudit règlement, afin:
                        
                                    a)
                                 
                                 
                                    de garantir la prévention, la recherche, la détection et la poursuite d’infractions pénales ou l’exécution de sanctions pénales, conformément à l’article 25, paragraphe 1, point b), dudit règlement,
                                 
                              
                                    b)
                                 
                                 
                                    de préserver d’autres objectifs importants d’intérêt public général de l’Union ou d’un État membre, en particulier l’intérêt financier de l’Union ou d’un État membre, conformément à l’article 25, paragraphe 1, point c), dudit règlement, et
                                 
                              
                                    c)
                                 
                                 
                                    de conserver une mission de contrôle, d’inspection ou de réglementation relevant, même à titre occasionnel, de l’exercice de l’autorité publique dans les cas visés à l’article 25, paragraphe 1, points b) et c), dudit règlement, conformément à l’article 25, paragraphe 1), point g), dudit règlement,
                                 
                              
                  
                     
                        3.
                     
                     
                        La présente annexe s’applique aux catégories suivantes de données à caractère personnel:
                        
                                    a)
                                 
                                 
                                    les données d’identification,
                                 
                              
                                    b)
                                 
                                 
                                    les données de contact;
                                 
                              
                                    c)
                                 
                                 
                                    les données professionnelles;
                                 
                              
                                    d)
                                 
                                 
                                    les données financières;
                                 
                              
                                    e)
                                 
                                 
                                    les données relatives au trafic;
                                 
                              
                                    f)
                                 
                                 
                                    les données relatives à la présence des personnes;
                                 
                              
                                    g)
                                 
                                 
                                    les données relatives aux activités extérieures des personnes;
                                 
                              
                                    h)
                                 
                                 
                                    les données relatives à l’appartenance politique;
                                 
                              
                                    i)
                                 
                                 
                                    toute autre donnée relative à l’objet du e contrôle ou de l’enquête menés par le Parlement européen.
                                 
                              
                  2)   Limitations applicables
            
            Sous réserve des articles 30 à 36 de la présente décision, le responsable du traitement peut limiter l’application des articles 14 à 21, 35 et 36 du règlement (UE) 2018/1725, ainsi que de son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 21 dudit règlement, lorsque l’exercice de ces droits compromettrait la finalité et l’efficacité de contrôles et d’enquêtes à caractère financier menés par le Parlement européen.
            
               (1)  Cela inclut notamment les enquêtes sur les indemnités de frais généraux, les indemnités des collaborateurs personnels, les indemnités de matériel et d’installations et les indemnités de voyage.
         
      
      
         
            ANNEXE IX
            Coopération avec l’Office européen de lutte antifraude (OLAF)
            1)   Objet et champ d’application
            
            
                     
                        1.
                     
                     
                        La présente annexe s’applique au traitement de données à caractère personnel, notamment au transfert de données à caractère personnel, par le responsable du traitement en vue de transmettre des informations et des documents à l’OLAF, signaler des cas à l’OLAF ou traiter des informations et des documents transmis par l’OLAF.
                     
                  
                     
                        2.
                     
                     
                        La présente annexe établit les conditions spécifiques dans lesquelles le responsable du traitement peut, lorsqu’il transmet des informations et des documents à l’OLAF à la demande de l’OLAF ou de sa propre initiative, lorsqu’il signale des cas à l’OLAF ou lorsqu’il traite des informations et des documents transmis par l’OLAF, limiter l’application des articles 14 à 21, 35 et 36 du règlement (UE) 2018/1725 ainsi que de son article 4 dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 21 dudit règlement, afin de garantir:
                        
                                    a)
                                 
                                 
                                    la prévention, la recherche, la détection et la poursuite d’infractions pénales ou l’exécution de sanctions pénales, conformément à l’article 25, paragraphe 1, point b), dudit règlement, et
                                 
                              
                                    b)
                                 
                                 
                                    la prévention, la recherche, la détection et la poursuite de manquements à la déontologie des professions réglementées, conformément à l’article 25, paragraphe 1, point f), dudit règlement.
                                 
                              
                  
                     
                        3.
                     
                     
                        La présente annexe ne s’applique pas au traitement de données à caractère personnel pour lesquelles l’OLAF agit en tant que responsable du traitement, notamment lorsque l’OLAF traite des données à caractère personnel conservées dans les locaux du Parlement européen conformément à l’article 4, paragraphe 2, et à l’article 6 du règlement (UE, Euratom) no 883/2013 du Parlement européen et du Conseil (1).
                     
                  
                     
                        4.
                     
                     
                        La présente annexe s’applique aux catégories suivantes de données à caractère personnel:
                        
                                    a)
                                 
                                 
                                    les données d’identification,
                                 
                              
                                    b)
                                 
                                 
                                    les données de contact;
                                 
                              
                                    c)
                                 
                                 
                                    les données professionnelles, y compris les contrats des assistants parlementaires accrédités et des assistants locaux, les contrats des prestataires de services et les données relatives aux missions;
                                 
                              
                                    d)
                                 
                                 
                                    les données financières;
                                 
                              
                                    e)
                                 
                                 
                                    les données relatives au trafic;
                                 
                              
                                    f)
                                 
                                 
                                    les données relatives à la présence des personnes;
                                 
                              
                                    g)
                                 
                                 
                                    les données relatives aux activités extérieures des personnes;
                                 
                              
                                    h)
                                 
                                 
                                    les données relatives à l’appartenance politique;
                                 
                              
                                    i)
                                 
                                 
                                    toute autre donnée liée relative à l’objet de l’enquête menée par l’OLAF ou par le Parlement européen en coopération avec l’OLAF.
                                 
                              
                  2)   Limitations applicables
            
            
                     
                        1.
                     
                     
                        Sous réserve des dispositions des articles 30 à 36 de la présente décision, le responsable du traitement peut limiter l’application des articles 14 à 21, 35 et 36 du règlement (UE) 2018/1725, ainsi que de son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 21 dudit règlement, dans le cas où l’exercice de ces droits compromettrait la finalité des activités d’enquête de l’OLAF ou des activités d’enquête du Parlement européen en coopération avec l’OLAF, notamment en révélant leurs outils et méthodes d’enquête.
                     
                  
                     
                        2.
                     
                     
                        Sous réserve des articles 30 à 36 de la présente décision, le Parlement européen peut limiter les droits et obligations visés au paragraphe 1 en ce qui concerne les données à caractère personnel obtenues auprès de l’OLAF lorsque l’exercice de ces droits et obligations pourrait être limité par l’OLAF sur la base de l’article 2, paragraphe 3, de la décision (UE) 2018/1962 (2).
                     
                  
               (1)  Règlement (UE, Euratom) no 883/2013 du Parlement européen et du Conseil du 11 septembre 2013 relatif aux enquêtes effectuées par l’Office européen de lutte antifraude (OLAF) et abrogeant le règlement (CE) no 1073/1999 du Parlement européen et du Conseil et le règlement (Euratom) no 1074/1999 du Conseil (JO L 248 du 18.9.2013, p. 1).
            
               (2)  De la Commission décision (UE) 2018/1962 de la Commission du 11 décembre 2018 établissant les règles internes concernant le traitement des données à caractère personnel par l’Office européen de lutte antifraude (OLAF) en ce qui concerne la fourniture d’informations aux personnes concernées et la limitation de certains de leurs droits conformément à l’article 25 du règlement (UE) 2018/1725 du Parlement européen et du Conseil (JO L 315 du 12.12.2018, p. 41).
         
      
      
         
            ANNEXE X
            Coopération avec les États membres dans le cadre d’enquêtes pénales ou financières
            1)   Objet et champ d’application
            
            
                     
                        1.
                     
                     
                        La présente annexe s’applique au traitement de données à caractère personnel, notamment au transfert de ces données, par le responsable du traitement en vue de transmettre aux autorités nationales les informations et documents qu’elles demandent dans le cadre d’enquêtes pénales ou financières.
                     
                  
                     
                        2.
                     
                     
                        La présente annexe établit les conditions spécifiques dans lesquelles le responsable du traitement peut, lorsqu’il transmet aux autorités nationales les informations et documents qu’elles demandent dans le cadre d’enquêtes pénales ou financières (1), limiter l’application des articles 14 à 21, 35 et 36 du règlement (UE) 2018/1725 ainsi que de son article 4 dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 21 dudit règlement, afin:
                        
                                    a)
                                 
                                 
                                    de garantir la prévention, la recherche, la détection et la poursuite d’infractions pénales ou l’exécution de sanctions pénales, conformément à l’article 25, paragraphe 1, point b), dudit règlement,
                                 
                              
                                    b)
                                 
                                 
                                    d’assurer la protection de l’indépendance judiciaire et des procédures judiciaires, en application de l’article 25, paragraphe 1, point e), dudit règlement, et
                                 
                              
                                    c)
                                 
                                 
                                    de garantir la prévention, la recherche, la détection et la poursuite de manquements à la déontologie des professions réglementées, conformément à l’article 25, paragraphe 1, point f), dudit règlement.
                                 
                              
                  
                     
                        3.
                     
                     
                        La présente annexe s’applique aux catégories suivantes de données à caractère personnel:
                        
                                    a)
                                 
                                 
                                    les données d’identification,
                                 
                              
                                    b)
                                 
                                 
                                    les données de contact;
                                 
                              
                                    c)
                                 
                                 
                                    les données professionnelles;
                                 
                              
                                    d)
                                 
                                 
                                    les données financières;
                                 
                              
                                    e)
                                 
                                 
                                    les communications électroniques;
                                 
                              
                                    f)
                                 
                                 
                                    les données relatives au trafic;
                                 
                              
                                    g)
                                 
                                 
                                    les données de vidéosurveillance;
                                 
                              
                                    h)
                                 
                                 
                                    les enregistrements audio;
                                 
                              
                                    i)
                                 
                                 
                                    les données relatives à la présence des personnes;
                                 
                              
                                    j)
                                 
                                 
                                    toute autre donnée relative à l’objet de l’enquête concernée menée par les autorités nationales.
                                 
                              
                  2)   Limitations applicables
            
            Sous réserve des articles 30 à 36 de la présente décision, le responsable du traitement peut limiter l’application des articles 14 à 21, 35 et 36 du règlement (UE) 2018/1725, ainsi que de son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 21 dudit règlement, lorsque l’exercice de ces droits compromettrait la finalité des enquêtes pénales et financières nationales.
            
               (1)  En vertu du principe de coopération loyale inscrit à l’article 4, paragraphe 3, du traité sur l’Union européenne, le Parlement européen est tenu de communiquer les informations et les documents demandés auxdites autorités nationales.