(1)

L’Agence exécutive du Conseil européen de la recherche (l’«Agence») a été instituée par la décision C(2013)9048 de la Commission en vue de l’exécution de tâches liées à la mise en œuvre de programmes de l’Union en matière de recherche exploratoire et comprenant notamment l’exécution de crédits inscrits au budget général de l’Union (4).

(2)

Dans le cadre de son fonctionnement administratif et opérationnel, l’Agence est habilitée à mener des enquêtes administratives, des procédures prédisciplinaires et disciplinaires et des procédures de suspension, conformément au statut des fonctionnaires de l’Union européenne et au régime applicable aux autres agents de l’Union européenne, définis dans le règlement (CEE, Euratom, CECA) no 259/68 du Conseil (le «statut») (5), et aux dispositions d’exécution concernant la conduite des enquêtes administratives et des procédures disciplinaires. Si nécessaire, l’Agence peut mener des activités préliminaires liées à des cas de fraude et d’irrégularités potentielles et peut notifier ces cas à l’OLAF.

(3)

Les membres du personnel de l’Agence sont tenus de signaler et d’évaluer les allégations de toute activité potentiellement illégale, y compris la fraude et la corruption et les fautes professionnelles dans le domaine scientifique, qui portent atteinte aux intérêts de l’Union. Les membres du personnel sont également tenus de signaler une conduite en rapport avec l’exercice de fonctions professionnelles pouvant constituer un manquement grave aux obligations des fonctionnaires de l’Union. Cette exigence est régie par les règles ou politiques internes concernant les lanceurs d’alerte.

(4)

L’Agence a mis en place une politique visant à prévenir et à traiter de manière efficace les cas réels ou potentiels de harcèlement moral ou sexuel sur le lieu de travail, conformément aux mesures d’exécution du statut des fonctionnaires établissant une procédure informelle permettant à la victime présumée du harcèlement de contacter les conseillers «confidentiels» de l’Agence.

(5)

L’Agence peut également mener des enquêtes sur la sécurité (informatique) interne et sur d’éventuelles violations des règles de sécurité aux fins de la protection des informations classifiées de l’Union européenne («ICUE»).

(6)

L’Agence fait l’objet d’audits à la fois internes et externes concernant ses activités, y compris d’audits menés par les services d’audit interne de la Commission européenne et par la Cour des comptes européenne.

(7)

L’Agence peut traiter les demandes du Parquet européen, les demandes d’accès aux dossiers médicaux des membres du personnel de l’Agence, faire effectuer des enquêtes par le délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement.

(8)

Dans le cadre de ces enquêtes administratives, audits, enquêtes ou demandes, l’Agence coopère avec d’autres institutions, organes, organismes et agences de l’Union.

(9)

L’Agence peut coopérer avec les autorités nationales de pays tiers et les organisations internationales, à la demande de celles-ci ou de sa propre initiative.

(10)

L’Agence peut également coopérer avec les pouvoirs publics des États membres de l’Union, à la demande de ceux-ci ou de sa propre initiative.

(11)

L’Agence peut faire l’objet de plaintes, d’allégations, de procédures ou d’enquêtes via des lanceurs d’alerte, des tiers ou le Médiateur européen, ou les recevoir.

(12)

L’Agence peut être impliquée dans des affaires portées devant la Cour de justice de l’Union européenne soit pour saisir la Cour, soit pour défendre une décision qu’elle a prise et qui est attaquée devant la Cour ou pour intervenir dans des affaires relatives à ses missions. Dans ce contexte, l’Agence pourrait devoir préserver la confidentialité des données à caractère personnel contenues dans les documents obtenus par les parties ou les parties intervenantes.

(13)

Dans le cadre de ses activités, l’Agence traite plusieurs catégories de données à caractère personnel, y compris les données d’identification de personnes physiques, les coordonnées, les fonctions et tâches professionnelles, les informations sur la conduite et les performances professionnelles et privées et les données financières, ainsi que, dans certains cas spécifiques, des données sensibles (p.ex. les données sur la santé). Les données à caractère personnel comprennent les données factuelles «dures» et les données d’évaluation «molles».

Les «données dures» sont des données factuelles objectives telles que les données d’identification, les coordonnées, les données professionnelles, les détails administratifs, les métadonnées relatives aux communications électroniques et les données relatives au trafic.

Les «données molles» sont des données subjectives et comprennent notamment la description et l’évaluation de situations et de circonstances, les avis, les observations relatives aux personnes concernées, l’évaluation du comportement et des performances des personnes concernées et le raisonnement qui sous-tend les décisions individuelles liées ou présentées en rapport avec l’objet de la procédure ou de l’activité menée par l’Agence conformément au cadre juridique applicable.

Les évaluations, observations et avis sont considérés comme des données à caractère personnel au sens de l’article 3, paragraphe 1, du règlement.

(14)

En vertu du règlement, l’Agence est donc tenue de fournir des informations aux personnes concernées au sujet de ces activités de traitement et de respecter les droits des personnes concernées.

(15)

L’Agence s’engage à respecter, dans toute la mesure du possible, les droits fondamentaux des personnes concernées, notamment le droit à l’information, le droit d’accès et de rectification, le droit à l’effacement, à la limitation du traitement, le droit à la communication d’une violation de données à caractère personnel à la personne concernée ou à la confidentialité des communications, tels que consacrés par le règlement. Toutefois, l’Agence peut également être tenue de limiter les droits et obligations de la personne concernée afin de protéger son fonctionnement et les libertés et droits fondamentaux d’autrui.

(16)

Par conséquent, l’article 25, paragraphes 1 et 5, du règlement, donne à l’Agence la possibilité de limiter, dans certaines conditions, l’application des articles 14 à 22, 35 et 36 du règlement, ainsi que de son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 20 et ces limites se fonderont sur des règles internes qui seront adoptées au plus haut niveau de gestion de l’Agence et sont soumis à publication au Journal officiel de l’Union européenne, lorsqu’elles ne sont pas fondées sur des actes juridiques adoptés sur la base des traités.

(17)

Les limitations peuvent s’appliquer à différents droits des personnes concernées, notamment la communication d’informations aux personnes concernées, le droit d’accès, de rectification, le droit à l’effacement, à la limitation du traitement, à la communication d’une violation de données à caractère personnel à la personne concernée ou à la confidentialité des communications tels qu’ils sont consacrés par le règlement.

(18)

L’Agence pourrait devoir concilier ces droits avec les objectifs des enquêtes administratives, des audits, des enquêtes et des procédures judiciaires. Il pourrait également s’avérer nécessaire de mettre en balance les droits d’une personne concernée avec les libertés et droits fondamentaux d’autres personnes concernées.

(19)

L’Agence pourrait, par exemple, devoir limiter les informations qu’elle fournit à une personne concernée sur le traitement de ses données à caractère personnel pendant la phase d’évaluation préliminaire d’une enquête administrative ou pendant l’enquête elle-même, préalablement à un classement éventuel de l’affaire ou à la phase prédisciplinaire. Dans certaines circonstances, la communication de ces informations pourrait sérieusement compromettre la capacité de l’Agence à mener l’enquête de manière efficace, lorsque, par exemple, la personne concernée risque de détruire des preuves ou de tenter d’influencer des témoins potentiels avant que ceux-ci ne soient interrogés. En outre, l’Agence pourrait devoir protéger les droits et libertés des témoins ainsi que ceux des autres personnes concernées.

(20)

L’Agence pourrait devoir protéger l’anonymat d’un témoin, d’un informateur ou d’un lanceur d’alerte qui a demandé à ne pas être identifié. En pareil cas, l’Agence pourrait décider de limiter l’accès à l’identité, aux déclarations et aux autres données à caractère personnel de ces personnes ou du suspect, afin de protéger leurs droits et libertés.

(21)

L’Agence pourrait devoir protéger les informations confidentielles concernant un membre du personnel qui a contacté les conseillers confidentiels de l’Agence dans le cadre d’une procédure relative au harcèlement. Dans ce cas, l’Agence pourrait devoir limiter l’accès à l’identité, aux déclarations et aux autres données à caractère personnel de la victime présumée, du harceleur présumé et des autres personnes concernées, afin de protéger les droits et libertés de toutes les personnes concernées.

(22)

En ce qui concerne les procédures de sélection et de recrutement, l’évaluation du personnel et les procédures de passation de marchés publics, le droit d’accès, de rectification, d’effacement et de limitation du traitement ne peut être exercé qu’à certains moments et dans les conditions prévues dans les procédures concernées afin de sauvegarder les droits des autres personnes concernées et de respecter le principe d’égalité de traitement et le secret des délibérations.

(23)

L’Agence peut également limiter l’accès des personnes à leurs données médicales, par exemple de nature psychologique ou psychiatrique, en raison de la sensibilité potentielle de ces données, et le service médical de la Commission peut souhaiter ne donner aux personnes concernées qu’un accès indirect par l’intermédiaire de leur médecin. La personne concernée peut exercer le droit de rectification des évaluations ou des avis du service médical de la Commission en fournissant ses commentaires ou un rapport d’un médecin de son choix.

(24)

L’Agence, représentée par son directeur, agit en qualité de responsable du traitement des données, indépendamment de toute délégation ultérieure de la fonction de responsable du traitement en son sein, afin de tenir compte des responsabilités opérationnelles liées à des traitements spécifiques de données à caractère personnel aux «responsables délégués du traitement des données» compétents.

(25)

Les données à caractère personnel sont stockées en toute sécurité dans un environnement électronique conforme à la décision (UE, Euratom) 2017/46 de la Commission (6) sur la sécurité des systèmes d’information et de communication au sein de la Commission européenne ou sur papier, empêchant tout accès ou transfert illégal de données à des personnes qui ne doivent pas en avoir connaissance. Les données à caractère personnel traitées ne sont pas conservées plus longtemps que ce qui est nécessaire et approprié aux finalités pour lesquelles elles sont traitées, pendant la période indiquée dans les avis relatifs à la protection des données et les registres de l’Agence.

(26)

Les limitations appliquées par l’Agence respectent toujours l’essence des libertés et droits fondamentaux et constituent une mesure strictement nécessaire et proportionnée dans une société démocratique. L’Agence doit justifier ces limitations et informer en conséquence les personnes concernées de ces motifs et de leur droit à saisir le CEPD, comme le prévoit l’article 25, paragraphe 6, du règlement.

(27)

En application du principe de responsabilité, l’Agence tient un registre relatif à son application des limitations.

(28)

Lorsqu’elle traite des données à caractère personnel échangées avec d’autres organisations dans le cadre de ses missions, l’Agence et ces organisations se consultent sur les motifs potentiels de l’imposition des limitations et sur la nécessité et la proportionnalité de ces limitations, à moins que cela ne compromette les activités de l’Agence.

(29)

Les présentes règles internes s’appliquent donc à toutes les activités de traitement effectuées par l’Agence qui concernent des données à caractère personnel dans le cadre d’enquêtes administratives, de procédures disciplinaires, d’activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF, d’enquêtes du Parquet européen, de procédures de dénonciation des dysfonctionnements, de procédures (formelles et informelles) en cas de harcèlement, de traitement de plaintes internes et externes, de demandes d’accès ou de rectification de dossiers médicaux personnels, d’enquêtes menées par le délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement, d’enquêtes de sécurité (informatique) traitées en interne ou avec une participation externe (CERT-UE, par exemple), d’audits, de procédures devant la Cour de justice de l’Union européenne ou des autorités publiques nationales, de procédures de sélection et de recrutement, d’évaluation du personnel et de passation de marchés publics, tels qu’énumérés ci-dessus.

(30)

Ces règles internes s’appliquent aux activités de traitement effectuées avant le lancement des procédures visées ci-dessus, au cours de ces procédures et pendant le suivi des suites données à l’issue de ces procédures. Elles devraient aussi couvrir l’assistance et la coopération fournies par l’Agence aux institutions de l’UE et aux autorités nationales et organisations internationales en dehors de ses enquêtes administratives.

(31)

Conformément à l’article 25, paragraphe 8, du règlement, l’Agence est autorisée à différer, à omettre ou à refuser la communication d’informations sur les motifs de l’application d’une limitation à la personne concernée si cela prive d’effet, de quelque manière que ce soit, la limitation imposée. L’Agence évalue au cas par cas si la communication de la limitation prive celle-ci d’effet.

(32)

L’Agence lève la limitation dès que les conditions qui la justifient ne s’appliquent plus et évalue régulièrement ces conditions.

(33)

Afin de garantir la plus grande protection des droits et libertés des personnes concernées et conformément à l’article 44, paragraphe 1, du règlement, le délégué à la protection des données de l’Agence est consulté en temps utile avant que toute limitation puisse être appliquée ou révisée et doit vérifier sa conformité avec la présente décision.

(34)

L’article 16, paragraphe 5, et l’article 17, paragraphe 4, du règlement prévoient des exceptions au droit à l’information et au droit d’accès des personnes concernées. Si ces exceptions s’appliquent, l’Agence ne doit pas appliquer une limitation en vertu de la présente décision,