(1)

Dans l’exercice de ses missions, la Commission est tenue de respecter les droits des personnes physiques concernant le traitement des données à caractère personnel qui sont consacrés par l’article 8, paragraphe 1, de la charte des droits fondamentaux de l’Union européenne et par l’article 16, paragraphe 1, du traité sur le fonctionnement de l’Union européenne. Elle doit également respecter les droits prévus par le règlement (UE) 2018/1725 du Parlement européen et du Conseil (1). Parallèlement, la Commission doit traiter les incidents de sécurité informatique conformément aux règles énoncées à l’article 15 de la décision (UE, Euratom) 2017/46 (2).

(2)

Afin de garantir la sécurité informatique, c’est-à-dire la préservation de la confidentialité, de l’intégrité et de la disponibilité des systèmes de communication et d’information et des ensembles de données qu’ils traitent, en ce qui concerne les personnes, les biens et les informations, la Commission, notamment par l’intermédiaire de sa direction générale de l’informatique, a pris des mesures conformément aux décisions (UE, Euratom) 2017/46 et C(2017) 8841 final (3). Ces mesures comprennent le suivi des risques informatiques et les mesures de sécurité informatique mises en œuvre, la demande aux propriétaires de systèmes de prendre des mesures spécifiques afin d’atténuer les risques en matière de sécurité informatique pour les systèmes de communication de la Commission et la gestion des incidents de sécurité informatique.

(3)

La direction générale de l’informatique fournit des opérations et des services de sécurité informatique à la Commission et doit traiter plusieurs catégories de données à caractère personnel afin de:

(4)

Des incidents de sécurité informatique susceptibles de menacer la sécurité des systèmes d’information et de communication de la Commission peuvent survenir lors de toute opération de traitement effectuée par la Commission. Ils peuvent concerner n’importe quelle catégorie de données à caractère personnel traitées par la Commission.

(5)

Dans certaines circonstances, il peut s’avérer nécessaire de concilier les droits des personnes concernées prévus par le règlement (UE) 2018/1725 avec la nécessité de garantir que la Commission s’acquitte efficacement de ses tâches consistant à assurer la sécurité informatique des personnes, des biens et des informations au sein de la Commission en application de la décision (UE, Euratom) 2017/46, dans le plein respect des droits fondamentaux et libertés d’autres personnes concernées. À cet effet, l’article 25, paragraphe 1, du règlement (UE) 2018/1725 autorise la Commission à limiter l’application des articles 14 à 17, 19, 20 et 35 de ce règlement, ainsi que du principe de transparence énoncé à l’article 4, paragraphe 1, point a), de ce même règlement, dans la mesure où les dispositions de cet article correspondent aux droits et obligations prévus auxdits articles 14 à 17, 19 et 20.

(6)

La présente décision devrait s’appliquer à toutes les opérations de traitement effectuées par la Commission en qualité de responsable du traitement des données aux fins de l’exécution de ses tâches visant à assurer la sécurité informatique des personnes, des biens et des informations au sein de la Commission, en application de la décision (UE, Euratom) 2017/46. Elle devrait donc viser les personnes concernées pour les catégories de données à caractère personnel faisant l’objet de ces opérations de traitement, c’est-à-dire les personnes qui interagissent avec un des systèmes d’information et de communication de la Commission.

(7)

Les données à caractère personnel sont conservées dans un environnement électronique sécurisé afin d’empêcher tout accès illicite par des personnes extérieures à la Commission. Des durées de conservation des données différentes s’appliquent aux différentes opérations de traitement en fonction du type de données à caractère personnel en cause. La conservation des dossiers au sein de la Commission est régie par la liste commune de conservation des dossiers au niveau de la Commission européenne [SEC(2019) 900], un document à valeur réglementaire qui se présente sous la forme d’un tableau de gestion fixant les périodes de conservation pour les différents types de dossiers de la Commission européenne, afin de limiter la conservation des données à ce qui est nécessaire.

(8)

La Commission pourrait être amenée à limiter l’application des droits des personnes concernées afin de préserver sa sécurité intérieure conformément à l’article 25, paragraphe 1, point d), du règlement (UE) 2018/1725 (c’est-à-dire de préserver la confidentialité, l’intégrité et la disponibilité de ses systèmes de communication et d’information et des ensembles de données qu’ils traitent, de ses biens et de ses informations). En particulier, la Commission pourrait être amenée à agir ainsi pour:

(9)

Aux fins de la gestion des incidents de sécurité informatique, conformément à l’article 15 de la décision (UE, Euratom) 2017/46, la direction générale de l’informatique peut échanger des informations avec l’équipe de réaction aux cyberattaques de la direction générale chargée des ressources humaines et de la sécurité.

(10)

Afin de se conformer aux articles 14, 15 et 16 du règlement (UE) 2018/1725, la Commission devrait informer toutes les personnes des activités qui impliquent le traitement de leurs données à caractère personnel et qui ont une incidence sur leurs droits. Elle devrait le faire de manière transparente et cohérente en publiant sur le site web de la Commission un avis relatif à la protection des données. Le cas échéant, elle devrait appliquer des garanties supplémentaires pour informer individuellement les personnes concernées sous une forme appropriée.

(11)

Se conformer aux articles 14, 15 et 16 du règlement (UE) 2018/1725 pourrait révéler l’existence de mesures, vulnérabilités ou incidents de sécurité informatique relevant de l’article 15 de la décision (UE, Euratom) 2017/46. La divulgation de ces mesures, vulnérabilités et incidents de sécurité informatique accroît le risque que la mesure de sécurité informatique ainsi révélée soit contournée, que la vulnérabilité ainsi révélée soit exploitée et que l’analyse en cours des incidents de sécurité informatique puisse être compromise par suite de la manipulation accidentelle ou intentionnelle d’artefacts par un utilisateur ou un acteur malveillant. Cela pourrait nuire gravement à la capacité de la Commission d’assurer sa sécurité informatique et en particulier à l’efficacité future de la gestion des incidents de sécurité informatique.

(12)

Aux termes de l’article 25, paragraphe 1, point h), du règlement (UE) 2018/1725, la Commission est également autorisée à limiter l’application des droits des personnes concernées afin de protéger les droits et libertés d’autres personnes liées à des incidents de sécurité informatique qui pourraient compromettre les opérations de sécurité informatique.

(13)

La Commission peut également devoir limiter la communication d’informations aux personnes concernées ainsi que l’application d’autres droits des personnes concernées en ce qui concerne les données à caractère personnel reçues de pays tiers ou d’organisations internationales, afin de s’acquitter de son devoir de coopération avec ces pays ou organisations. Cela s’inscrit dans le cadre du devoir de la Commission de préserver un objectif important d’intérêt public général de l’Union, tel que visé à l’article 25, paragraphe 1, point c), du règlement (UE) 2018/1725. Toutefois, dans certains cas, l’intérêt des droits fondamentaux de la personne concernée peut prévaloir sur l’intérêt de la coopération internationale.

(14)

La Commission a donc identifié les motifs énumérés à l’article 25, paragraphe 1, points c), d) et h) du règlement (UE) 2018/1725 comme des motifs de limitations qu’il peut être nécessaire d’invoquer pour les opérations de traitement de données effectués par la direction générale de l’informatique en lien avec la fourniture d’opérations et de services de sécurité informatique à la Commission.

(15)

Toute limitation appliquée en vertu de la présente décision devrait être nécessaire et proportionnée, compte tenu des risques qui pèsent sur les droits et libertés des personnes concernées.

(16)

La Commission devrait traiter toutes les limitations de manière transparente et consigner chaque application d’une limitation dans le registre correspondant.

(17)

En vertu de l’article 25, paragraphe 8, du règlement (UE) 2018/1725, les responsables du traitement peuvent différer, omettre ou refuser la communication d’informations sur les motifs de l’application d’une limitation à la personne concernée si cela prive d’effet, de quelque manière que ce soit, la limitation imposée. Cela s’applique en particulier aux limitations des obligations prévues aux articles 16 et 35 du règlement (UE) 2018/1725. La Commission devrait réexaminer à intervalles réguliers les limitations imposées afin de veiller à ce que les droits de la personne concernée à être informée conformément aux articles 16 et 35 du règlement (UE) 2018/1725 ne soient limités qu’aussi longtemps que nécessaire pour permettre à la Commission d’assurer sa sécurité informatique et, notamment, de gérer les incidents de sécurité informatique.

(18)

Lorsque la Commission limite l’application des droits des personnes concernées autres que ceux visés aux articles 16 et 35 du règlement (UE) 2018/1725, le responsable du traitement des données devrait évaluer au cas par cas si la communication de la limitation porte atteinte à sa finalité.

(19)

Le délégué à la protection des données de la Commission devrait procéder à un examen indépendant de l’application des limitations afin de garantir le respect de la présente décision.

(20)

Afin de permettre à la Commission de limiter immédiatement l’application de certains droits et obligations conformément à l’article 25 du règlement (UE) 2018/1725, la présente décision devrait entrer en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.

(21)

Le contrôleur européen de la protection des données a rendu son avis le 16 septembre 2021,