21.9.2004

FR

Journal officiel de l'Union européenne

L 296/16

---

DÉCISION DU CONSEIL

du 13 septembre 2004

portant adoption de dispositions d'application en ce qui concerne le règlement (CE) no 45/2001 du Parlement européen et du Conseil relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données

(2004/644/CE)

LE CONSEIL DE L'UNION EUROPÉENNE,

vu le traité instituant la Communauté européenne, et notamment son article 286,

vu le règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 (1), et notamment son article 24, paragraphe 8,

considérant ce qui suit:

(1)	Le règlement (CE) no 45/2001, (ci-après dénommé «règlement»), définit les principes et les règles applicables à toutes les institutions et organes communautaires et prévoit la désignation, par chaque institution et organe communautaires, d'un délégué à la protection des données.

(2)

L'article 24, paragraphe 8, du règlement prévoit que des dispositions complémentaires d'application sont adoptées par chaque institution ou organe communautaire conformément aux dispositions figurant à l'annexe. Ces dispositions complémentaires concernent en particulier les tâches, les fonctions et les compétences du délégué à la protection des données.

(3)

Les dispositions d'application visent à préciser les procédures permettant aux personnes concernées d'exercer leurs droits et à toutes les personnes qui, au sein des institutions ou organes communautaires interviennent dans le domaine du traitement des données à caractère personnel de remplir leurs obligations.

(4)

Les dispositions d'application du règlement sont sans préjudice du règlement (CE) no 1049/2001 (2), de la décision 2004/338/CE, Euratom du Conseil (3), et notamment de son annexe II, de la décision 2001/264/CE du Conseil (4), et notamment de sa section VI, partie II, ainsi que de la décision du secrétaire général du Conseil/haut représentant pour la politique étrangère et de sécurité commune du 25 juin 2001 (5),

DÉCIDE:

SECTION 1

DISPOSITIONS GÉNÉRALES

Article premier

Objet et champ d'application

La présente décision établit les dispositions générales d'exécution du règlement (CE) no 45/2001 du Parlement européen et du Conseil (ci-après dénommé «règlement»), pour ce qui concerne le Conseil de l'Union européenne.

Article 2

Définitions

Aux fins de la présente décision et sans préjudice des définitions qui figurent dans le règlement, on entend par:

a)

«responsable du traitement», l'institution, la direction générale, la direction, la division, l'unité ou toute autre entité organisationnelle qui, seule ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données à caractère personnel, et qui est mentionnée dans la notification à faire au délégué à la protection des données (ci-après dénommé «le délégué»), conformément à l'article 25 du règlement;

b)

«personne de contact», le ou les assistant(s) administratif(s) de la direction générale ou tout autre membre du personnel désigné par sa direction générale, en consultation avec le délégué, pour la représenter et travailler en étroite coopération avec le délégué sur les questions de protection des données;

c)

«personnel du SGC», l'ensemble des fonctionnaires du secrétariat général du Conseil (ci-après dénommé «le SGC») et toute autre personne soumise au statut des fonctionnaires des Communautés européennes et au régime applicable aux autres agents de ces Communautés (6), visés au règlement (CEE, Euratom, CECA) no 259/68 (ci-après dénommé «statut»), ou travaillant pour le SGC sur une base contractuelle (stagiaires, consultants, contractants, fonctionnaires détachés par les États membres).

SECTION 2

LE DÉLÉGUÉ À LA PROTECTION DES DONNÉES

Article 3

Désignation et statut du délégué à la protection des données

1.   Le secrétaire général adjoint du Conseil désigne le délégué et communique son nom au contrôleur européen de la protection des données (ci-après dénommé «le contrôleur»). Le délégué est directement placé sous l'autorité directe du secrétaire général adjoint du Conseil.

2.   Le délégué est nommé pour une période de trois ans renouvelable deux fois.

3.   Dans l'exercice de ses fonctions, le délégué agit de manière indépendante et en coopération avec le contrôleur. Le délégué ne peut notamment recevoir d'instruction de la part de l'autorité investie du pouvoir de nomination du SGC ou de toute autre part en ce qui concerne l'application interne des dispositions du règlement ou sa coopération avec le contrôleur.

4.   La manière dont le délégué s'acquitte de ses tâches et exerce ses fonctions est évaluée après consultation préalable du contrôleur. Le délégué ne peut être démis de ses fonctions qu'avec le consentement du contrôleur, s'il ne remplit plus les conditions requises pour l'exercice de ses fonctions.

5.   Sans préjudice de la procédure prévue pour le désigner, le délégué est informé de tous les contacts établis avec des tierces parties en ce qui concerne l'application du règlement, notamment pour ce qui est de l'interaction avec le contrôleur.

6.   Sans préjudice des dispositions pertinentes du règlement, le délégué et son personnel sont soumis aux règlements et réglementations applicables aux fonctionnaires et autres agents des Communautés européennes.

Article 4

Tâches

Le délégué:

a)

veille à ce que les responsables de traitement et les personnes concernées soient informés de leurs droits et obligations au titre du règlement. Dans l'accomplissement de cette mission, il établit notamment des formulaires d'information et de notification, consulte les parties intéressées et mène des actions de sensibilisation aux questions liées à la protection des données;

b)	répond aux demandes du contrôleur et, dans son domaine de compétence, coopère avec le contrôleur à la demande de ce dernier ou de sa propre initiative;

c)	assure, d'une manière indépendante, l'application interne des dispositions du règlement au sein du SGC;

d)	tient un registre des traitements effectués par les responsables de traitement et permet à toute personne d'accéder à ce registre directement ou indirectement par l'intermédiaire du contrôleur;

e)	notifie au contrôleur les traitements susceptibles de présenter les risques particuliers visés à l'article 27, paragraphe 2, du règlement;

f)	veille ainsi à ce que le traitement ne risque pas de porter atteinte aux droits et libertés des personnes concernées.

Article 5

Fonctions

1.   Outre les tâches générales qui lui sont confiées, le délégué:

a)

conseille l'autorité investie du pouvoir de nomination du SGC et les responsables de traitement sur des questions concernant l'application des dispositions relatives à la protection des données. Il peut être consulté directement, sans passer par les voies officielles, sur toute question concernant l'interprétation ou l'application du règlement, par l'autorité investie du pouvoir de nomination, par les responsables de traitement concernés, par le comité du personnel ou encore par toute personne physique;

b)

examine de sa propre initiative ou à la demande de l'autorité investie du pouvoir de nomination, des responsables de traitement, du comité du personnel ou de toute personne physique, des questions et des faits qui sont directement en rapport avec ses attributions et qui ont été portés à sa connaissance et fait rapport à l'autorité investie du pouvoir de nomination ou à la personne qui a demandé cet examen. Le cas échéant, toutes les autres parties concernées devraient être informées en conséquence. Si l'auteur de la réclamation est une personne physique, ou s'il agit au nom d'une personne physique, le délégué est tenu de garantir, dans la mesure du possible, la confidentialité de la demande, à moins que la personne concernée ne consente sans la moindre ambiguïté à ce que sa demande soit traitée différemment;

c)	coopère, dans l'exercice de ses fonctions, avec les délégués des autres institutions et organes communautaires, notamment par le biais d'un échange d'expérience et de meilleures pratiques;

d)	représente le SGC pour toutes les questions liées à la protection des données; sans préjudice de la décision 2004/338/CE, Euratom, il peut notamment participer aux réunions des comités ou instances pertinents au niveau international;

e)	présente au secrétaire général adjoint du Conseil un rapport annuel sur ses activités, qu'il rend accessible au personnel.

2.   Sans préjudice de l'article 4, point b), de l'article 5, paragraphe 1, points b) et c) et de l'article 15, le délégué et son personnel ne divulguent pas les informations ou les documents obtenus dans l'exercice de leurs fonctions.

Article 6

Compétences

Dans l'accomplissement de ses tâches et dans l'exercice de ses fonctions, le délégué:

a)	a accès, à tout moment, aux données qui font l'objet des opérations de traitement, à tous les locaux, toutes les installations de traitement de données et tous les supports d'information;

b)	peut demander des avis au service juridique du Conseil;

c)

peut faire appel aux services d'experts externes en technologies de l'information, après accord préalable de l'ordonnateur, conformément au règlement (CE, Euratom) no 1605/2002 du Conseil du 25 juin 2002 portant règlement financier applicable au budget général des Communautés européennes (7) et à ses modalités d'exécution;

d)	peut, sans préjudice des fonctions et des compétences du contrôleur, proposer au SGC des mesures administratives et faire des recommandations d'ordre général sur l'application appropriée du règlement;

e)	peut faire, dans des cas particuliers, toute autre recommandation en vue d'améliorer concrètement la protection des données au SGC et/ou à toutes les autres parties concernées;

f)	peut porter à l'attention de l'autorité investie du pouvoir de nomination du SGC tout manquement d'un membre du personnel aux obligations auxquelles il est tenu en vertu du règlement et proposer une enquête administrative en vue de l'application éventuelle de l'article 49 du règlement.

Article 7

Ressources

Le délégué se voit affecter le personnel et les ressources nécessaires à l'exercice de ses fonctions.

SECTION 3

DROITS ET OBLIGATIONS DES PERSONNES QUI INTERVIENNENT DANS LE DOMAINE DE LA PROTECTION DES DONNÉES

Article 8

Autorité investie du pouvoir de nomination

1.   En cas de réclamation au sens de l'article 90 du règlement (CE, Euratom) no 723/2004 concernant une violation du règlement, l'autorité investie du pouvoir de nomination consulte le délégué qui rend son avis par écrit au plus tard quinze jours après réception de la demande. Si le délégué n'a pas communiqué son avis à l'autorité investie du pouvoir de nomination au terme de ce délai, cet avis n'est plus requis. L'autorité investie du pouvoir de nomination n'est pas liée par l'avis du délégué.

2.   Le délégué est informé de toute question qui fait l'objet d'un examen et qui a ou pourrait avoir des implications dans le domaine de la protection des données.

Article 9

Responsables de traitement

1.   Les responsables de traitement sont chargés de veiller à ce que tous les traitements effectués sous leur contrôle soient conformes au règlement.

2.   En particulier, les responsables de traitement:

a)

informent le délégué avant d'entreprendre un traitement ou une série de traitements poursuivant une même finalité ou des finalités liées, ainsi qu'avant de procéder à une modification importante d'un traitement existant. Dans le cas des traitements effectués avant l'entrée en vigueur du règlement, soit le 1er février 2001, le responsable du traitement procède à la notification sans délai;

b)	assistent le délégué et le contrôleur dans l'exercice de leurs fonctions respectives, notamment en leur communiquant des informations en réponse à leurs demandes dans un délai maximal de trente jours;

c)	mettent en œuvre les mesures techniques et organisationnelles appropriées et donnent au personnel du SGC des instructions adéquates pour assurer à la fois la confidentialité du traitement et un niveau de sécurité approprié au regard des risques présentés par le traitement;

d)

le cas échéant, consultent le délégué sur la conformité des traitements avec le règlement, notamment lorsqu'ils ont des raisons de penser que certains traitements sont incompatibles avec les articles 4 à 10 du règlement. Ils peuvent également consulter le délégué et/ou les experts en matière de sécurité des technologies de l'information de la direction générale A ainsi que le bureau de sécurité et le bureau de la sécurité des informations (Infosec) sur les questions relatives à la confidentialité des traitements et sur les mesures de sécurité prises en vertu de l'article 22 du règlement.

Article 10

Personnes de contact

1.   Sans préjudice des responsabilités du délégué, la personne de contact:

a)	assiste la direction générale ou l'unité à laquelle elle appartient pour tenir à jour l'inventaire de tous les traitements de données à caractère personnel existant;

b)	assiste la direction générale ou l'unité à laquelle elle appartient pour identifier le responsable de chaque traitement;

c)

a le droit d'obtenir des responsables de traitement et du personnel les informations adéquates et nécessaires pour s'acquitter de ses tâches administratives au sein de sa direction générale ou de son unité, sans toutefois pouvoir accéder aux données à caractère personnel traitées sous le contrôle du responsable du traitement.

2.   Sans préjudice des responsabilités qui incombent aux responsables de traitement, les personnes de contact:

a)	aident les responsables de traitement à s'acquitter de leurs obligations;

b)	le cas échéant, facilitent la communication entre le délégué et les responsables de traitement.

Article 11

Personnel du SGC

1.   L'ensemble du personnel du SGC contribue, en particulier, à l'application des règles de confidentialité et de sécurité lors du traitement de données à caractère personnel, ainsi que le prévoient les articles 21 et 22 du règlement. Les membres du personnel du SGC ayant accès à des données à caractère personnel ne les traitent que sur instruction du responsable du traitement, sauf si la législation nationale ou communautaire le requiert.

2.   Tout membre du personnel du SGC peut présenter une réclamation au contrôleur pour une violation alléguée des dispositions du règlement régissant le traitement des données à caractère personnel, sans passer par les voies officielles, conformément aux règles établies par le contrôleur.

Article 12

Personnes concernées

1.   Outre le droit des personnes concernées d'être informées de manière adéquate de tout traitement de données à caractère personnel les concernant, conformément aux articles 11 et 12 du règlement, ces personnes peuvent s'adresser aux responsables de traitement concernés afin d'exercer leurs droits en vertu des articles 13 à 19 du règlement, comme prévu à la section 5 de la présente décision.

2.   Sans préjudice d'un recours juridictionnel, toute personne concernée peut, conformément aux règles établies par le contrôleur, présenter une réclamation au contrôleur si elle estime que les droits qui lui sont reconnus par le règlement ont été violés à la suite du traitement par le Conseil de données à caractère personnel la concernant.

3.   Nul ne doit subir de préjudice pour avoir présenté au contrôleur une réclamation ou pour avoir porté à l'attention du délégué un fait dont il/elle allègue qu'il constitue une violation des dispositions du règlement.

SECTION 4

REGISTRE DES TRAITEMENTS NOTIFIÉS

Article 13

Procédure de notification

1.   Le responsable du traitement notifie au délégué tout traitement de données à caractère personnel au moyen d'un formulaire de notification disponible sur le site intranet du SGC (Protection des données). Cette notification se fait par voie électronique. Une note de confirmation est envoyée au délégué dans les dix jours ouvrables. Dès réception de cette note, le délégué publie le traitement notifié au registre.

2.   La notification contient toutes les informations visées à l'article 25, paragraphe 2, du règlement. Le délégué est informé rapidement de tout changement affectant ces informations.

3.   Des règles et des procédures complémentaires concernant la procédure de notification que doivent suivre les responsables de traitement figurent dans les recommandations générales émises par le délégué.

Article 14

Contenu et finalité du registre

1.   Le délégué tient un registre des traitements de données à caractère personnel, qui est établi sur la base des notifications reçues des responsables de traitement.

2.   Le registre contient au minimum les informations visées à l'article 25, paragraphe 2, points a) à g), du règlement. Toutefois, les informations portées au registre par le délégué peuvent exceptionnellement être limitées lorsqu'il est nécessaire d'assurer la sécurité d'un traitement donné.

3.   Le registre sert à répertorier les traitements de données à caractère personnel effectués au Conseil. Il fournit des informations aux personnes concernées et facilite l'exercice des droits qui leur sont accordés en vertu des articles 13 à 19 du règlement.

Article 15

Accès au registre

1.   Des mesures appropriées sont prises par le délégué afin que toute personne ait accès au registre, directement ou indirectement par l'intermédiaire du contrôleur. En particulier, le délégué fournit des informations et une aide aux personnes qui souhaitent savoir comment et où introduire une demande d'accès au registre.

2.   Sauf dans les cas où l'accès en ligne est accordé, les demandes d'accès au registre se font sous quelque forme écrite que ce soit, y compris électronique, dans une des langues visées à l'article 314 du traité et de façon assez précise pour permettre au délégué d'identifier les traitements concernés. Un accusé de réception est envoyé sans délai à l'auteur d'une demande.

3.   Si une demande n'est pas assez précise, le délégué invite son auteur à fournir des précisions en lui apportant l'aide nécessaire. Si la demande concerne un nombre très élevé de traitements, le délégué peut s'entretenir de façon informelle avec son auteur, en vue de trouver une solution acceptable.

4.   Toute personne peut demander au délégué une copie des informations relatives à un traitement notifié qui figurent dans le registre.

SECTION 5

PROCÉDURE PERMETTANT AUX PERSONNES CONCERNÉES D'EXERCER LEURS DROITS

Article 16

Dispositions générales

1.   Les droits des personnes concernées visés dans la présente section ne peuvent être exercés que par lesdites personnes ou, à titre exceptionnel, en leur nom moyennant une autorisation en bonne et due forme. Les demandes sont adressées par écrit au responsable du traitement concerné et une copie en est transmise au délégué. Si nécessaire, ce dernier aide la personne concernée à identifier ledit responsable. Le délégué met à disposition des formulaires spécifiques. Le responsable du traitement n'accède à la demande que si le formulaire a été rempli complètement et si l'identité de l'auteur de la réclamation a été dûment vérifiée. L'exercice des droits accordés aux personnes concernées est gratuit.

2.   Le responsable du traitement envoie un accusé de réception à l'auteur de la demande dans les cinq jours ouvrables suivant l'enregistrement de celle-ci. Sauf dispositions contraires, il répond à la demande au plus tard dans les quinze jours ouvrables qui suivent son enregistrement, en y réservant une suite favorable ou en communiquant par écrit les raisons de son rejet total ou partiel, notamment lorsque l'auteur de la demande n'est pas considéré comme la personne concernée.

3.   En cas d'irrégularités ou d'abus manifeste de la personne concernée dans l'exercice de ses droits, et s'il est prétendu par ladite personne que le traitement est illicite, le responsable du traitement doit consulter le délégué au sujet de la demande et/ou adresser la personne concernée au délégué, qui décidera de la recevabilité de la demande et de la suite qu'il convient d'y donner.

4.   Toute personne concernée peut consulter le délégué au sujet de l'exercice de ses droits dans un cas précis. Sans préjudice d'un éventuel recours juridictionnel, elle peut présenter une réclamation au contrôleur si elle estime que les droits qui lui sont accordés en vertu du règlement ont été violés à la suite du traitement de données la concernant.

Article 17

Droit d'accès

La personne concernée a le droit d'obtenir du responsable du traitement, sans contrainte, à tout moment dans un délai de trois mois à partir de la réception de la demande, les informations visées aux points a) à d) de l'article 13 du règlement, en consultant ces informations sur place ou en en recevant une copie, y compris, le cas échéant, sous forme électronique, selon sa préférence.

Article 18

Droit de rectification

Chaque demande de rectification de données à caractère personnel inexactes ou incomplètes introduite par la personne concernée précise les données en question ainsi que les rectifications à y apporter. Cette demande est traitée sans délai par le responsable du traitement.

Article 19

Droit de verrouillage

Le responsable du traitement examine sans délai toute demande de verrouillage de données conformément à l'article 15 du règlement. La demande précise les données à verrouiller, justification à l'appui. La personne concernée qui a introduit la demande est informée par le responsable du traitement de la levée du verrouillage des données avant que celle-ci n'ait lieu.

Article 20

Droit d'effacement

La personne concernée peut demander au responsable du traitement d'effacer sans délai des données en cas de traitement illicite, notamment lorsqu'il y a eu violation des dispositions des articles 4 à 10 du règlement. Dans sa demande, elle précise les données concernées et explique en quoi le traitement est illicite ou en donne des preuves. En ce qui concerne les fichiers automatisés, l'effacement est en principe assuré par tous les dispositifs techniques appropriés, ce qui exclut la possibilité de tout nouveau traitement des données effacées. Si l'effacement est impossible pour des raisons techniques, le responsable du traitement, après consultation du délégué et de la personne concernée, procède au verrouillage immédiat des données en question.

Article 21

Notification aux tiers

La personne concernée peut obtenir du responsable du traitement que soit notifié à un tiers auquel des données la concernant ont été communiquées toute rectification, tout effacement ou tout verrouillage de celles-ci effectué à sa demande, si cela ne s’avère pas impossible ou ne suppose pas un effort disproportionné.

Article 22

Droit d’opposition

La personne concernée peut s’opposer au traitement de données la concernant, ainsi qu'à leur communication ou à leur utilisation, conformément à l'article 18 du règlement. Dans sa demande, elle précise les données concernées et les raisons de celle-ci. En cas d'opposition justifiée, le traitement en question ne peut plus porter sur ces données.

Article 23

Décisions individuelles automatisées

La personne concernée a le droit de ne pas être soumise à des décisions individuelles automatisées telles que celles visées à l'article 19 du règlement, sauf si la décision est expressément autorisée en vertu de la législation nationale ou communautaire, ou par une décision du contrôleur garantissant la sauvegarde de ses intérêts légitimes. Dans les deux cas, la personne concernée a la possibilité de faire connaître son point de vue préalablement et de consulter le délégué.

Article 24

Exceptions et limitations

1.   Si des raisons légitimes telles que celles visées à l'article 20 du règlement le justifient clairement, le responsable du traitement peut limiter les droits prévus aux articles 17 à 21 de la présente décision. Sauf en cas d'absolue nécessité, il consulte d'abord le délégué, dont l'avis n'engage pas l'institution. Le responsable du traitement répond sans délai aux demandes relatives à l'application d'exceptions ou de limitations à l'exercice de droits et motive la décision prise en ce sens.

2.   Toute personne concernée peut demander au contrôleur d'appliquer l'article 47, paragraphe 1, point c), du règlement.

SECTION 6

PROCÉDURE D'EXAMEN

Article 25

Modalités pratiques

1.   Les demandes d'examen sont adressées par écrit au délégué au moyen d'un formulaire spécifique mis à disposition par ce dernier. En cas d'abus manifeste du droit d'examen, par exemple si une même personne a fait une demande identique tout récemment, le délégué n'est pas obligé de faire rapport à cette personne.

2.   Dans les quinze jours suivant la réception de la demande, le délégué envoie un accusé de réception à l'autorité investie du pouvoir de nomination ou à la personne qui a demandé l'examen, et vérifie si la demande doit être traitée de manière confidentielle.

3.   Le délégué demande au responsable du traitement des données en question une déclaration écrite sur la question. Ce dernier lui répond dans les quinze jours. Il est possible que le délégué souhaite recevoir des informations complémentaires d'autres parties, comme le bureau de sécurité et le bureau de la sécurité des informations (Infosec) du SGC. Le cas échéant, il peut demander un avis sur la question au service juridique du Conseil. Les informations ou l'avis voulus lui sont communiqués dans les trente jours.

4.   Le délégué fait rapport à l'autorité investie du pouvoir de nomination ou à la personne qui a fait la demande trois mois au plus tard après réception de celle-ci.

SECTION 7

DISPOSITIONS FINALES

Article 26

Prise d'effet

La présente décision prend effet le jour suivant celui de sa publication au Journal officiel de l'Union européenne.

---

(1)  JO L 8 du 12.1.2001, p. 1.

(2)  Règlement (CE) no 1049/2001 du Parlement européen et du Conseil du 30 mai 2001 relatif à l'accès du public aux documents du Parlement européen, du Conseil et de la Commission (JO L 145 du 31.5.2001, p. 43).

(3)  Décision 2004/338/CE, Euratom du Conseil du 22 mars 2004 portant adoption de son règlement intérieur (JO L 106 du 15.4.2004, p. 22).

(4)  Décision 2001/264/CE du Conseil du 19 mars 2001 adoptant le règlement de sécurité du Conseil (JO L 101 du 11.4.2001, p. 1). Décision modifiée par la décision 2004/194/CE (JO L 63 du 28.2.2004, p. 48).

(5)  Décision du secrétaire général du Conseil/haut représentant pour la politique étrangère et de sécurité commune du 25 juin 2001 établissant un code de bonne conduite administrative pour le Secrétariat général du Conseil de l'Union européenne et de son personnel dans leurs relations professionnelles avec le public (JO C 189 du 5.7.2001, p. 1).

(6)  JO L 56 du 4.3.1968, p. 1. Règlement modifié en dernier lieu par le règlement (CE, Euratom) no 723/2004 (JO L 124 du 27.4.2004, p. 1).

(7)  JO L 248 du 16.9.2002, p. 1.

---