EUR-Lex Access to European Union law
This document is an excerpt from the EUR-Lex website
Document 32019D0165
Commission Decision (EU) 2019/165 of 1 February 2019 laying down internal rules concerning the provision of information to data subjects and the restriction of certain of their data protection rights by the Commission in the context of administrative inquiries, pre-disciplinary, disciplinary and suspension proceedings
Décision (UE) 2019/165 de la Commission du 1er février 2019 portant règles internes relatives à la communication d'informations aux personnes concernées et à la limitation, par la Commission, de certains de leurs droits en matière de protection des données dans le contexte des enquêtes administratives, des procédures pré-disciplinaires et disciplinaires et des procédures de suspension
Décision (UE) 2019/165 de la Commission du 1er février 2019 portant règles internes relatives à la communication d'informations aux personnes concernées et à la limitation, par la Commission, de certains de leurs droits en matière de protection des données dans le contexte des enquêtes administratives, des procédures pré-disciplinaires et disciplinaires et des procédures de suspension
C/2019/688
JO L 32 du 4.2.2019, p. 9–13
(BG, ES, CS, DA, DE, ET, EL, EN, FR, HR, IT, LV, LT, HU, MT, NL, PL, PT, RO, SK, SL, FI, SV)
In force
|
4.2.2019 |
FR |
Journal officiel de l'Union européenne |
L 32/9 |
DÉCISION (UE) 2019/165 DE LA COMMISSION
du 1er février 2019
portant règles internes relatives à la communication d'informations aux personnes concernées et à la limitation, par la Commission, de certains de leurs droits en matière de protection des données dans le contexte des enquêtes administratives, des procédures pré-disciplinaires et disciplinaires et des procédures de suspension
LA COMMISSION EUROPÉENNE,
vu le traité sur le fonctionnement de l'Union européenne, et notamment son article 249, paragraphe 1,
considérant ce qui suit:
|
(1) |
La Commission mène des enquêtes administratives, des procédures pré-disciplinaires et disciplinaires, et des procédures de suspension en vertu de l'article 86 du statut des fonctionnaires de l'Union européenne (1) et des dispositions de son annexe IX, ainsi que de la décision C(2004) 1588 de la Commission (2). Ces tâches relèvent principalement de la responsabilité de l'Office d'investigation et de discipline de la Commission (l'«IDOC»), qui est une direction rattachée à la direction générale des ressources humaines et de la sécurité. Une procédure disciplinaire peut comprendre des enquêtes menées par le conseil de discipline de la Commission, conformément à l'annexe IX, article 17, du statut. |
|
(2) |
Dans le cadre de ces activités, les services compétents de la Commission recueillent et traitent les informations pertinentes. Ces informations comportent des données à caractère personnel, en particulier des données d'identification, des données de contact et des données comportementales. Les services compétents de la Commission transmettent les données à caractère personnel à d'autres services de la Commission selon le principe du «besoin d'en connaître». |
|
(3) |
Les données à caractère personnel sont conservées dans un environnement physique et électronique sécurisé qui empêche leur consultation illicite ou leur transfert à des personnes qui n'ont pas besoin d'en connaître. Après la fin du traitement, les données sont conservées conformément aux règles applicables de la Commission (3). |
|
(4) |
Dans l'exercice de ses missions, la Commission est tenue de respecter les droits des personnes physiques concernant le traitement des données à caractère personnel qui sont consacrés par l'article 8, paragraphe 1, de la charte des droits fondamentaux de l'Union européenne et par l'article 16, paragraphe 1, du traité, ainsi que les droits prévus par le règlement (UE) 2018/1725 du Parlement européen et du Conseil (4), qui a remplacé le règlement (CE) no 45/2001 du Parlement européen et du Conseil (5). Dans le même temps, la Commission est tenue de se conformer à des règles strictes en matière de confidentialité et de secret professionnel et d'assurer le respect des droits procéduraux des personnes concernées et des témoins, notamment la présomption d'innocence de la personne concernée. |
|
(5) |
Dans certains cas, il est nécessaire de concilier les droits des personnes concernées prévus par le règlement (UE) 2018/1725 avec la nécessité de garantir l'efficacité des enquêtes administratives, des procédures pré-disciplinaires et disciplinaires et des procédures de suspension, ainsi qu'avec le plein respect des droits et libertés fondamentaux d'autres personnes concernées. À cet effet, l'article 25, paragraphe 1, points c), g) et h), du règlement (UE) 2018/1725 donne à la Commission la possibilité de limiter l'application des articles 14 à 17, 19, 20 et 35, ainsi que du principe de transparence établi à l'article 4, paragraphe 1, point a), dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 17, 19, 20 et 35 dudit règlement. |
|
(6) |
Tel pourrait être le cas, en particulier, de la mise à disposition d'informations sur le traitement des données à caractère personnel à la personne concernée au moment de l'ouverture d'une enquête administrative. La mise à disposition de ces informations pourrait compromettre la capacité de la Commission à mener l'enquête administrative, par exemple parce que la personne concernée pourrait détruire des preuves avant qu'elles ne soient examinées par la Commission ou interférer avec des témoins potentiels avant qu'ils ne soient eux-mêmes entendus. De même, le fait d'autoriser l'accès aux données à caractère personnel durant des phases de la procédure au cours desquelles la personne concernée n'a pas accès au dossier, comme l'évaluation préliminaire ou l'enquête administrative, pourrait entraîner la divulgation d'informations susceptibles de compromettre la conduite de l'enquête administrative. Dans les deux cas, la limitation des droits de la personne concernée pourrait être nécessaire pour garantir une mission de contrôle, d'inspection ou de réglementation liée à l'exercice de l'autorité publique lorsqu'un objectif important d'intérêt public général de l'Union est en jeu, à savoir veiller à ce que le personnel de la Commission respecte ses obligations statutaires et adopte un comportement éthique. |
|
(7) |
Il pourrait également être nécessaire de limiter le droit d'accès aux données à caractère personnel par la personne concernée lorsque cet accès entraînerait la divulgation d'informations concernant un témoin ou un lanceur d'alerte qui a demandé que son identité ne soit pas révélée. En pareil cas, la Commission peut décider de limiter l'accès à la déclaration relative à la personne concernée afin de protéger les droits et les libertés de ce témoin ou de ce lanceur d'alerte. |
|
(8) |
Afin de garantir la confidentialité et l'efficacité des enquêtes administratives, des procédures pré-disciplinaires et disciplinaires, ainsi que des procédures de suspension, tout en respectant les normes de protection des données à caractère personnel prévues par le règlement (UE) 2018/1725, il est nécessaire d'adopter des règles internes en vertu desquelles la Commission pourrait limiter les droits des personnes concernées conformément à l'article 25, paragraphe 1, points c), g) et h), du règlement (UE) 2018/1725. |
|
(9) |
Les règles internes devraient s'appliquer à toutes les opérations de traitement effectuées par la Commission aux fins de l'exécution de ses tâches, y compris les opérations de traitement effectuées avant l'ouverture d'une enquête administrative et dans le cadre de l'assistance et de la coopération apportées par la Commission aux autorités nationales et aux organisations internationales en dehors de ses activités. |
|
(10) |
Afin de se conformer aux articles 14, 15 et 16 du règlement (UE) 2018/1725, la Commission devrait informer toutes les personnes concernées de ses activités impliquant le traitement de leurs données à caractère personnel ainsi que de leurs droits, de manière transparente et cohérente, sous la forme d'avis relatifs à la protection des données publiés sur son site internet. La Commission devrait par ailleurs informer individuellement, sous une forme appropriée, les personnes concernées par une enquête administrative, une procédure pré-disciplinaire ou disciplinaire ou une procédure de suspension. |
|
(11) |
En outre, dans un souci d'efficacité de la coopération, la Commission peut être amenée à limiter l'application des droits des personnes concernées afin de protéger les opérations de traitement d'autres institutions, organes et organismes de l'Union, d'autorités d'États membres ou de pays tiers, ainsi que d'organisations internationales. À cet effet, la Commission devrait consulter ces institutions, organes, organismes, autorités et organisations internationales sur les motifs pertinents justifiant l'application de limitations ainsi que sur la nécessité et la proportionnalité de ces dernières, à moins que ses activités ne s'en trouvent compromises. |
|
(12) |
La Commission peut également être amenée à limiter la communication d'informations aux personnes concernées ainsi que l'application d'autres droits des personnes concernées en ce qui concerne les données à caractère personnel reçues de pays tiers ou d'organisations internationales, afin de s'acquitter de son devoir de coopération avec ces pays ou organisations et de protéger ainsi un objectif important d'intérêt public général de l'Union. Toutefois, dans certains cas, l'intérêt ou les droits fondamentaux de la personne concernée peuvent prévaloir sur l'intérêt de la coopération internationale. |
|
(13) |
La Commission devrait traiter toutes les limitations de manière transparente et consigner chaque application d'une limitation dans le registre correspondant. |
|
(14) |
Conformément à l'article 25, paragraphe 8, du règlement (UE) 2018/1725, les responsables du traitement peuvent omettre ou refuser de communiquer à la personne concernée des informations sur les motifs justifiant l'application d'une limitation ou différer la communication de ces informations si celle-ci risque de compromettre d'une quelconque manière la finalité de la limitation. C'est, en particulier, le cas des limitations des droits prévus aux articles 16 et 35 du règlement (UE) 2018/1725. |
|
(15) |
La Commission devrait réexaminer à intervalles réguliers les limitations imposées afin de veiller à ce que les droits de la personne concernée à être informée conformément aux articles 16 et 35 du règlement (UE) 2018/1725 ne soient limités qu'aussi longtemps que ces limitations sont nécessaires pour permettre à la Commission de mener ses enquêtes administratives, ses procédures pré-disciplinaires et disciplinaires, ainsi que ses procédures de suspension. |
|
(16) |
Lorsque d'autres droits des personnes concernées sont limités, le responsable du traitement devrait évaluer au cas par cas si la communication de la limitation risque de compromettre sa finalité. |
|
(17) |
Le délégué à la protection des données de la Commission européenne devrait procéder à un examen indépendant de l'application des limitations afin de garantir le respect de la présente décision. |
|
(18) |
Le Contrôleur européen de la protection des données a rendu son avis le 5 décembre 2018, |
A ADOPTÉ LA PRÉSENTE DÉCISION:
Article premier
Objet et champ d'application
1. La présente décision établit les règles que la Commission doit suivre pour informer les personnes concernées, conformément aux articles 14, 15 et 16 du règlement (UE) 2018/1725, du fait que leurs données seront traitées dans le cadre de ses enquêtes administratives, de ses procédures pré-disciplinaires et disciplinaires, ainsi que de ses procédures de suspension.
2. Elle fixe également les conditions dans lesquelles la Commission peut limiter l'application de l'article 4, paragraphe 1, point a), et des articles 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725, conformément à l'article 25, paragraphe 1, points c), g) et h), dudit règlement.
3. La présente décision s'applique aux opérations de traitement de données à caractère personnel effectuées par la Commission en application de l'article 86 du statut et des dispositions de son annexe IX, ainsi que de la décision C(2004) 1588.
4. La présente décision s'applique aux opérations de traitement de données à caractère personnel effectuées par la Commission dans le cadre d'enquêtes administratives, de procédures pré-disciplinaires et disciplinaires, ainsi que de procédures de suspension.
5. Les catégories de données à caractère personnel couvertes par la présente décision comprennent les données d'identification, les données de contact et les données comportementales.
Article 2
Exceptions et limitations applicables
1. Lorsque la Commission exerce ses fonctions en ce qui concerne les droits des personnes concernées en vertu du règlement (UE) 2018/1725, elle examine si l'une des exceptions établies dans ledit règlement s'applique.
2. Sous réserve des articles 3 à 7 de la présente décision, la Commission peut limiter l'application des articles 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725, ainsi que du principe de transparence établi à son article 4, paragraphe 1, point a), dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 17, 19, 20 et 35 dudit règlement, lorsque l'exercice de ces droits et obligations aurait pour effet de compromettre la finalité des enquêtes administratives, des procédures pré-disciplinaires et disciplinaires, ainsi que des procédures de suspension, ou porterait atteinte aux droits et libertés d'autres personnes concernées.
3. Sous réserve des articles 3 à 7, la Commission peut limiter les droits et obligations visés au paragraphe 2 du présent article en ce qui concerne les données à caractère personnel obtenues auprès d'autres institutions, organes et organismes de l'Union, d'autorités compétentes d'États membres ou de pays tiers ou d'organisations internationales, et ce dans les cas suivants:
|
a) |
lorsque l'exercice de ces droits et obligations pourrait être limité par d'autres institutions, organes et organismes de l'Union sur la base d'autres actes prévus à l'article 25 du règlement (UE) 2018/1725 ou conformément au chapitre IX dudit règlement, ou en conformité avec le règlement (UE) 2016/794 du Parlement européen et du Conseil (6) ou le règlement (UE) 2017/1939 du Conseil (7); |
|
b) |
lorsque l'exercice de ces droits et obligations pourrait être limité par les autorités compétentes des États membres sur la base des actes visés à l'article 23 du règlement (UE) 2016/679 du Parlement européen et du Conseil (8) ou en vertu de mesures nationales transposant l'article 13, paragraphe 3, l'article 15, paragraphe 3, ou l'article 16, paragraphe 3, de la directive (UE) 2016/680 du Parlement européen et du Conseil (9); |
|
c) |
lorsque l'exercice de ces droits et obligations pourrait compromettre la coopération de la Commission avec des pays tiers ou des organisations internationales dans le cadre d'enquêtes administratives, de procédures pré-disciplinaires ou disciplinaires, ou de procédures de suspension. |
Avant d'appliquer des limitations dans les cas visés aux points a) et b) du premier alinéa, la Commission consulte les institutions, organes ou organismes concernés de l'Union ou les autorités compétentes des États membres, à moins qu'il ne soit manifeste pour elle que l'application d'une limitation est prévue par l'un des actes visés à ces points ou que cette consultation compromettrait ses activités.
Le point c) du premier alinéa ne s'applique pas lorsque les intérêts ou les libertés et droits fondamentaux des personnes concernées prévalent sur l'intérêt de la Commission à coopérer avec des pays tiers ou des organisations internationales.
Article 3
Communication d'informations aux personnes concernées
1. La Commission publie sur son site internet des avis relatifs à la protection des données informant toutes les personnes concernées de ses activités impliquant le traitement de leurs données à caractère personnel.
2. La Commission informe individuellement, sous une forme appropriée, la personne concernée par une enquête administrative, une procédure pré-disciplinaire ou disciplinaire ou une procédure de suspension, ainsi que les témoins invités à fournir des informations dans le cadre de cette procédure, quant au traitement de leurs données à caractère personnel.
3. Lorsque la Commission limite, intégralement ou partiellement, la communication des informations visées au paragraphe 2 en vertu de l'article 2 de la présente décision, elle enregistre et consigne les motifs de cette limitation conformément à l'article 6.
Article 4
Droit d'accès des personnes concernées, droit à l'effacement et droit à la limitation du traitement
1. Lorsque la Commission limite, intégralement ou partiellement, le droit d'accès des personnes concernées aux données à caractère personnel, le droit à l'effacement ou le droit à la limitation du traitement prévus respectivement aux articles 17, 19 et 20 du règlement (UE) 2018/1725, elle informe la personne concernée, dans sa réponse à la demande d'accès, d'effacement ou de limitation du traitement, de la limitation appliquée et de ses principaux motifs, ainsi de la possibilité d'introduire une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l'Union européenne.
2. La communication d'informations concernant les motifs de la limitation visée au paragraphe 1 peut être différée, omise ou refusée aussi longtemps qu'elle porterait atteinte à la finalité de la limitation.
3. La Commission consigne dans un registre les motifs de la limitation conformément à l'article 6 de la présente décision.
4. Lorsque le droit d'accès est intégralement ou partiellement limité, la personne concernée peut exercer son droit d'accès par l'intermédiaire du Contrôleur européen de la protection des données, conformément à l'article 25, paragraphes 6, 7 et 8, du règlement (UE) 2018/1725.
Article 5
Communication aux personnes concernées de violations de données à caractère personnel
Lorsque la Commission limite la communication à la personne concernée d'une violation de données à caractère personnel prévue à l'article 35 du règlement (UE) 2018/1725, elle enregistre et consigne les motifs de la limitation conformément à l'article 6 de la présente décision.
Article 6
Enregistrement des limitations et consignation dans un registre
1. La Commission consigne dans un registre les motifs de toute limitation appliquée conformément à la présente décision, y compris une évaluation de la nécessité et de la proportionnalité de la limitation.
À cette fin, l'enregistrement indique en quoi l'exercice du droit concerné compromettrait la finalité de l'enquête administrative, de la procédure pré-disciplinaire ou disciplinaire ou de la procédure de suspension, ou celle des limitations appliquées en vertu de l'article 2, paragraphe 2 ou 3, ou porterait atteinte aux droits et libertés d'autres personnes concernées.
2. L'enregistrement et, le cas échéant, les documents contenant les éléments factuels et juridiques sous-jacents sont consignés dans un registre. Ils sont mis à la disposition du Contrôleur européen de la protection des données si celui-ci en fait la demande.
Article 7
Durée des limitations
1. Les limitations visées aux articles 3, 4 et 5 continuent de s'appliquer aussi longtemps que les motifs qui les justifient restent valables.
2. Lorsque les motifs d'une limitation visée à l'article 3 ou 5 cessent de s'appliquer, la Commission lève la limitation et communique les principaux motifs de cette dernière à la personne concernée. Dans le même temps, elle informe la personne concernée de la possibilité de déposer une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l'Union européenne.
3. La Commission réexamine l'application des limitations visées aux articles 3 et 5 tous les six mois à compter de leur adoption et, en tout état de cause, à la clôture de l'enquête administrative, de la procédure pré-disciplinaire ou disciplinaire, ou de la procédure de suspension. Par la suite, la Commission vérifie chaque année la nécessité de maintenir le report.
Article 8
Réexamen par le délégué à la protection des données de la Commission européenne
1. Le délégué à la protection des données de la Commission européenne est informé sans délai chaque fois que les droits des personnes concernées sont limités conformément à la présente décision. Il obtient sur demande l'accès à l'enregistrement et à tous les documents contenant des éléments factuels et juridiques sous-jacents.
2. Le délégué à la protection des données peut demander un réexamen de la limitation. Il est informé par écrit du résultat du réexamen demandé.
Article 9
Entrée en vigueur
La présente décision entre en vigueur le troisième jour suivant celui de sa publication au Journal officiel de l'Union européenne.
Fait à Bruxelles, le 1er février 2019.
Par la Commission
Le président
Jean-Claude JUNCKER
(1) Règlement (CEE, Euratom, CECA) no 259/68 du Conseil du 29 février 1968 fixant le statut des fonctionnaires des Communautés européennes ainsi que le régime applicable aux autres agents de ces Communautés, et instituant des mesures particulières temporairement applicables aux fonctionnaires de la Commission (JO L 56 du 4.3.1968, p. 1).
(2) Décision C(2004) 1588 de la Commission sur les dispositions générales d'exécution concernant la conduite des enquêtes administratives et des procédures disciplinaires.
(3) Liste commune de conservation des dossiers au niveau de la Commission européenne — SEC(2012) 713.
(4) Règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions, organes et organismes de l'Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (JO L 295 du 21.11.2018, p. 39).
(5) Règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (JO L 8 du 12.1.2001, p. 1).
(6) Règlement (UE) 2016/794 du Parlement européen et du Conseil du 11 mai 2016 relatif à l'Agence de l'Union européenne pour la coopération des services répressifs (Europol) et remplaçant et abrogeant les décisions du Conseil 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI et 2009/968/JAI (JO L 135 du 24.5.2016, p. 53).
(7) Règlement (UE) 2017/1939 du Conseil du 12 octobre 2017 mettant en œuvre une coopération renforcée concernant la création du Parquet européen (JO L 283 du 31.10.2017, p. 1).
(8) Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1).
(9) Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO L 119 du 4.5.2016, p. 89).