(1)

Le traité sur le fonctionnement de l’Union européenne prévoit que le respect des règles relatives à la protection des données à caractère personnel traitées par les institutions, organes et organismes de l’Union (les «institutions et organes de l’Union») est soumis au contrôle d’une autorité indépendante.

(2)

Le règlement (UE) 2018/1725 a institué le Contrôleur européen de la protection des données (CEPD), qui est chargé de veiller à ce que les libertés et droits fondamentaux des personnes physiques, et en particulier leur droit à la protection des données, soient respectés par les institutions et organes de l’Union. À cet effet, le CEPD contrôle et assure l’application dudit règlement par ces institutions et organes de l’Union.

(3)

Le règlement prévoit la désignation obligatoire d’un délégué à la protection des données (DPD) au sein de chaque institution, organe et organisme de l’Union. Cette désignation obligatoire est également prévue par les règlements (UE) 2016/794, (UE) 2018/1727 et (UE) 2017/1939.

(4)

Compte tenu du rôle essentiel que jouent les DPD en conseillant le responsable du traitement et en contrôlant l’application des règles régissant le traitement des données à caractère personnel, il est primordial qu’ils restent aptes à accomplir leurs tâches de manière efficace et indépendante, quelles que soient les circonstances. Il en va de même en ce qui concerne le traitement des données administratives à caractère personnel relatives au fonctionnement interne des institutions et organes de l’Union, ainsi qu’en ce qui concerne les données opérationnelles à caractère personnel traitées dans le cadre de l’exécution des missions des institutions et organes de l’Union, lorsqu’il s’agit d’activités qui relèvent de la troisième partie, titre V, chapitre 4 ou 5, du TFUE, afin de remplir les objectifs et tâches prévus dans les actes juridiques qui instituent ces organes ou organismes. La capacité du DPD à fournir des conseils impartiaux, à contrôler la conformité et à servir de point de contact aux personnes concernées et au CEPD doit par conséquent être adéquatement préservée et soutenue.

(5)

L’indépendance du DPD est une garantie structurelle essentielle pour assurer le respect des dispositions applicables en matière de protection des données et lui permettre d’exercer ses fonctions statutaires sans crainte de représailles. La protection de l’indépendance du DPD constitue une condition préalable à la mise en place d’un cadre de gouvernance efficace en matière de protection des données au sein des institutions et organes de l’Union et une garantie importante pour les droits fondamentaux des personnes au titre des articles 7 et 8 de la charte des droits fondamentaux de l’Union européenne.

(6)

À cette fin, le règlement prévoit qu’un DPD désigné ne peut être relevé de ses fonctions que s’il ne remplit plus les conditions requises pour exercer ses fonctions et uniquement avec le consentement préalable du CEPD. En outre, le règlement dispose qu’un DPD ne peut être relevé de ses fonctions ou pénalisé par le responsable du traitement ou le sous-traitant pour l’exercice de ses missions. Des exigences équivalentes s’appliquent aux DPD d’Europol, d’Eurojust et du Parquet européen en vertu de leurs cadres juridiques respectifs. La Cour de justice a également précisé que l’interdiction faite au responsable du traitement ou au sous-traitant de relever un délégué à la protection des données de ses fonctions ou de le pénaliser signifie que ce délégué doit être protégé contre toute décision par laquelle il serait mis fin à ses fonctions, par laquelle il subirait un désavantage ou qui constituerait une sanction (5).

(7)

Toute intention de relever un DPD de ses fonctions doit dès lors être soumis à une procédure claire, prévisible et équitable permettant au CEPD de vérifier si les conditions légales sont remplies, et en particulier si le relèvement de fonctions envisagé est fondé sur des motifs objectifs qui ne portent pas atteinte à l’indépendance ou à l’exercice effectif des tâches du DPD.

(8)

À la lumière de l’expérience acquise par le CEPD en ce qui concerne l’application des dispositions relatives aux DPD, et en particulier afin de garantir l’application cohérente de l’exigence de consentement préalable du CEPD pour le relèvement des DPD de leurs fonctions dans l’ensemble des institutions et organes de l’Union, et d’éviter tout contournement de l’obligation de consentement préalable du CEPD, il convient de définir à l’avance, de manière claire et prévisible, pour l’ensemble des institutions et organes de l’Union, les informations à fournir pour permettre au CEPD d’accomplir sa mission.

(9)

Par souci de sécurité juridique, le CEPD doit également préciser comment le droit d’être entendu du DPD concerné et de l’institution ou de l’organe de l’Union doit être garanti et doit également préciser les conditions selon lesquelles il accordera ou refusera son consentement.

(10)

Il convient également de préciser comment le CEPD garantira une intervention rapide lorsque l’indépendance du DPD concerné est susceptible d’être exposée à un risque imminent, par exemple dans des situations caractérisées par d’éventuelles mesures de rétorsion, des menaces de relèvement de fonctions ou d’autres circonstances nécessitant une action immédiate du CEPD dans l’intérêt public et dans l’intérêt du DPD concerné. Le cas échéant, l’importance de faire en sorte que le consentement soit correctement demandé et de garantir ainsi la légalité du relèvement de fonctions justifie l’exercice rapide des pouvoirs du CEPD, sans préjudice de toute voie de recours juridique disponible.

(11)

Il convient par conséquent de définir, dans un instrument unique, les informations que les institutions, organes et organismes de l’UE doivent fournir au CEPD afin d’évaluer les demandes de consentement préalable au relèvement des DPD de leurs fonctions, ainsi que les règles régissant la présentation et l’examen de ces demandes, les délais applicables, les exigences en matière de transparence et de publication, et les mesures correctrices généralement appliquées en cas de non-respect,