This document is an excerpt from the EUR-Lex website
Document 32022D0121
Commission Decision (EU) 2022/121 of 27 January 2022 laying down internal rules concerning the provision of information to data subjects and the restriction of certain of their rights in the context of processing of personal data for the purposes of handling requests and complaints under the Staff Regulations
Décision (UE) 2022/121 de la Commission du 27 janvier 2022 portant règles internes relatives à la communication d’informations aux personnes concernées et à la limitation de certains de leurs droits dans le contexte du traitement des données à caractère personnel aux fins du traitement des demandes et des réclamations au titre du statut
Décision (UE) 2022/121 de la Commission du 27 janvier 2022 portant règles internes relatives à la communication d’informations aux personnes concernées et à la limitation de certains de leurs droits dans le contexte du traitement des données à caractère personnel aux fins du traitement des demandes et des réclamations au titre du statut
C/2022/386
JO L 19 du 28.1.2022, p. 77–83
(BG, ES, CS, DA, DE, ET, EL, EN, FR, GA, HR, IT, LV, LT, HU, MT, NL, PL, PT, RO, SK, SL, FI, SV)
In force
28.1.2022 |
FR |
Journal officiel de l’Union européenne |
L 19/77 |
DÉCISION (UE) 2022/121 DE LA COMMISSION
du 27 janvier 2022
portant règles internes relatives à la communication d’informations aux personnes concernées et à la limitation de certains de leurs droits dans le contexte du traitement des données à caractère personnel aux fins du traitement des demandes et des réclamations au titre du statut
LA COMMISSION EUROPÉENNE,
vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 249, paragraphe 1,
considérant ce qui suit:
(1) |
Le statut des fonctionnaires de l’Union européenne et le régime applicable aux autres agents de l’Union, fixés par le règlement (CEE, Euratom, CECA) no 259/68 du Conseil (1) (ci-après le «statut»), imposent à la Commission de répondre à certaines demandes et réclamations. Ces tâches sont principalement assurées par l’unité «Recours et suivi des cas» de la direction générale des ressources humaines et de la sécurité (ci-après la «DG HR»), qui établit les faits pertinents et les évalue d’un point de vue juridique afin d’aider l’autorité investie du pouvoir de nomination ou l’autorité habilitée à conclure les contrats d’engagement (ci-après l’«autorité») à prendre une décision. |
(2) |
L’article 22 quater du statut impose à la Commission, conformément aux articles 24 et 90 du statut, de mettre en place une procédure pour le traitement de réclamations émanant de fonctionnaires concernant la manière dont ils sont traités après ou du fait d’avoir signalé une irrégularité grave en application des articles 22 bis et 22 ter du statut (2). |
(3) |
L’article 24 du statut prévoit que la Commission assiste le fonctionnaire dans toute poursuite contre les auteurs de menaces, outrages, injures, diffamations ou attentats contre la personne et les biens, dont il est, ou dont les membres de sa famille sont l’objet, en raison de sa qualité et de ses fonctions. |
(4) |
L’article 90, paragraphes 1 et 2, du statut permet à toute personne visée par le statut de demander à l’autorité de prendre une décision à son égard, ou d’introduire une réclamation contre une décision lui faisant grief. |
(5) |
Dans le cadre de ces activités, la Commission recueille et traite les informations pertinentes. Ces informations comportent des données à caractère personnel, notamment les données d’identification, les coordonnées et les données relatives au comportement. Les services compétents de la Commission transmettent les données à caractère personnel à d’autres services de la Commission selon le principe du «besoin d’en connaître». |
(6) |
Les données à caractère personnel sont conservées dans un environnement physique et électronique sécurisé qui empêche leur consultation illicite ou leur transfert à des personnes qui n’ont pas besoin d’en connaître. Après la fin du traitement, les données sont conservées conformément aux règles applicables de la Commission (3). |
(7) |
Dans l’exercice de ses missions au titre du statut, la Commission est tenue de respecter les droits des personnes physiques en matière de traitement des données à caractère personnel, reconnus par l’article 8, paragraphe 1, de la charte des droits fondamentaux de l’Union européenne et par l’article 16, paragraphe 1, du traité, ainsi que les droits prévus par le règlement (UE) 2018/1725 du Parlement européen et du Conseil (4). Parallèlement, la Commission est tenue de respecter des règles strictes de confidentialité et de secret professionnel. |
(8) |
Dans certaines circonstances, il est nécessaire de concilier les droits des personnes concernées prévus par le règlement (UE) 2018/1725, d’une part, et la nécessité d’assurer la prévention, les enquêtes, la détection et les poursuites liées aux infractions pénales, et de garantir l’efficacité de la réponse de la Commission aux allégations de harcèlement ou d’autre comportement inapproprié ou agressif, tout en veillant au plein respect des libertés et droits fondamentaux d’autres personnes concernées. À cet effet, l’article 25, paragraphe 1, points b), c), g) et h), du règlement (UE) 2018/1725 donne à la Commission la possibilité de limiter l’application des articles 14 à 17, 19, 20 et 35, ainsi que du principe de transparence établi à l’article 4, paragraphe 1, point a), dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 17, 19 et 20 dudit règlement. |
(9) |
Tel pourrait notamment être le cas en ce qui concerne la communication d’informations sur le traitement de données à caractère personnel à la personne faisant l’objet d’une demande ou d’une réclamation (ci-après la «personne concernée»), en particulier lorsque la procédure émane d’une demande d’assistance au titre de l’article 24 du statut pour harcèlement. La Commission peut décider de limiter la communication de ces informations à la personne concernée afin de protéger les droits et libertés du demandeur, du plaignant ou du témoin, conformément à l’article 25, paragraphe 1, point h), du règlement (UE) 2018/1725. La Commission peut en décider ainsi, notamment pour protéger ces personnes contre d’éventuelles représailles de la part des personnes concernées contre lesquelles ont été formulées des allégations de bonne foi, qui n’ont toutefois pas donné lieu à des mesures de la part de l’administration. Dans certaines situations, il pourrait être nécessaire de limiter la communication de ces informations afin de prévenir le harcèlement ou tout autre comportement inapproprié ou agressif au sein de la Commission (en particulier dans l’entité organisationnelle dans laquelle la personne concernée collabore avec le demandeur, le plaignant et/ou le témoin). |
(10) |
Il peut également être nécessaire de limiter d’autres droits de la personne concernée lorsque l’exercice de ces droits révèle des informations sur le demandeur, le plaignant ou un témoin qui a demandé que son identité ne soit pas divulguée. En pareil cas, la Commission peut décider de limiter le droit d’accès à la déclaration relative à la personne concernée ou à d’autres droits de la personne concernée afin de protéger les droits et libertés du demandeur, du plaignant ou du témoin pour les raisons énoncées au considérant 9. La Commission peut en décider ainsi en vertu de l’article 25, paragraphe 1, point h), du règlement (UE) 2018/1725. |
(11) |
Il peut également être nécessaire de limiter les droits de la personne concernée afin de protéger une fonction de contrôle, d’inspection ou de réglementation liée à l’exercice de l’autorité publique lorsqu’un objectif important d’intérêt public général de l’Union est en jeu, à savoir garantir l’efficacité de la réponse de la Commission aux allégations de harcèlement ou de tout autre comportement inapproprié ou agressif. La lutte contre le harcèlement et contre tout autre comportement inapproprié ou agressif constitue un objectif important d’intérêt public général de l’Union, et notamment de la Commission. En outre, la Commission a le devoir d’assister son personnel conformément à l’article 24 du statut. Afin de ne pas dissuader les membres du personnel de signaler des cas présumés de harcèlement ou d’autre comportement inapproprié ou agressif et de demander une assistance dans ce contexte, ce qui est dans l’intérêt public de l’Union, il convient de veiller à ce que les personnes concernées n’aient pas connaissance de la demande d’assistance qui les concerne. Cela pourrait être particulièrement pertinent dans les cas où l’autorité constate qu’il n’y a pas eu de harcèlement au sens du statut. Dans une telle situation, l’intérêt public de l’Union exigerait que la personne concernée n’ait pas connaissance de la demande d’assistance afin de préserver le recours des membres du personnel à la procédure prévue à l’article 24 du statut et d’éviter de nouveaux conflits. À cet égard, la Commission peut décider de limiter les droits de la personne concernée conformément à l’article 25, paragraphe 1, points c) et g), du règlement (UE) 2018/1725. |
(12) |
Il peut également être nécessaire de limiter les droits de la personne concernée afin de garantir la prévention, les enquêtes, la détection et les poursuites liées aux infractions pénales que les demandeurs, les plaignants ou les témoins signalent à la Commission à l’égard de la personne concernée. Par exemple, les demandeurs, les plaignants et les témoins peuvent signaler des comportements inappropriés et des cas de harcèlement moral et sexuel. En pareils cas, la Commission peut décider de limiter les droits de la personne concernée en vertu de l’article 25, paragraphe 1, point b), du règlement (UE) 2018/1725. |
(13) |
Le statut impose à la Commission de veiller à ce que les demandes et les réclamations déposées en vertu du statut soient traitées de manière confidentielle. Afin d’assurer cette confidentialité, tout en respectant les normes de protection des données à caractère personnel prévues par le règlement (UE) 2018/1725, il est nécessaire d’adopter des règles internes en vertu desquelles la Commission peut limiter les droits des personnes concernées conformément à l’article 25, paragraphe 1, points b), c), g) et h), du règlement (UE) 2018/1725. |
(14) |
Les règles internes devraient s’appliquer à toutes les opérations de traitement effectuées par la Commission dans l’exécution de ses tâches relatives au traitement des demandes et des réclamations au titre du statut. |
(15) |
Afin de se conformer aux articles 14, 15 et 16 du règlement (UE) 2018/1725, la Commission devrait informer toutes les personnes concernées de ses activités impliquant le traitement de leurs données à caractère personnel. Elle devrait aussi les informer de leurs droits, de manière transparente et cohérente, sous la forme d’avis relatifs à la protection des données publiés sur son site internet. Le cas échéant, la Commission devrait informer individuellement, sous une forme appropriée, les personnes concernées par une demande ou une réclamation, c’est-à-dire les demandeurs et les plaignants, les personnes concernées et les témoins. |
(16) |
La Commission devrait traiter toutes les limitations de manière transparente et consigner chaque application d’une limitation dans le registre correspondant. |
(17) |
En ce qui concerne les limitations à l’application de l’article 16 du règlement (UE) 2018/1725, qui dispose que lorsque des données à caractère personnel n’ont pas été collectées auprès de la personne concernée, celle-ci doit être informée dans un délai maximal d’un mois, la Commission devrait, dans un délai d’un mois, consigner dans un registre les motifs justifiant l’application de toute limitation. Ce registre devrait comporter une évaluation au cas par cas de la nécessité et de la proportionnalité de la limitation. |
(18) |
Conformément à l’article 25, paragraphe 8, du règlement (UE) 2018/1725, les responsables du traitement peuvent omettre ou refuser de communiquer à la personne concernée des informations sur les principaux motifs justifiant l’application d’une limitation ou différer la communication de ces informations si celle-ci risque d’annuler l’effet de la limitation. C’est notamment le cas en ce qui concerne les limitations à l’application des articles 16 et 35 dudit règlement. |
(19) |
La Commission devrait réexaminer à intervalles réguliers les limitations imposées afin de veiller à ce que les droits de la personne concernée à être informée conformément aux articles 16 et 35 du règlement (UE) 2018/1725 ne soient limités qu’aussi longtemps que ces limitations sont nécessaires pour les motifs énumérés au considérant 8. |
(20) |
L’application des limitations devrait être réexaminée par la Commission lorsqu’elle répond aux demandes présentées au titre des articles 22 quater et 24 et de l’article 90, paragraphe 1, du statut et aux réclamations introduites au titre de l’article 22 quater et de l’article 90, paragraphe 2, du statut, ou à la clôture de ces demandes et réclamations, selon ce qui se réalise en premier. Par la suite, la Commission devrait vérifier chaque année la nécessité de maintenir toute limitation. |
(21) |
Dans certains cas, il peut s’avérer nécessaire de maintenir l’application d’une limitation, en particulier une limitation de l’application de l’article 16 du règlement (UE) 2018/1725, jusqu’à ce que les données à caractère personnel en cause ne soient plus conservées par la Commission. Dans ce cas, la personne concernée ne devrait pas être informée du traitement de ses données à caractère personnel. Une telle situation pourrait notamment se produire lorsqu’il existe un risque élevé que la communication d’informations sur le traitement de données à caractère personnel à la personne concernée porte atteinte aux droits et libertés d’autrui. Tel peut être le cas lorsque l’autorité rejette une demande d’assistance formulée de bonne foi pour un comportement prétendument inapproprié de la personne concernée et lorsque la personne concernée et le demandeur travaillent ensemble au sein de la même entité organisationnelle. Le demandeur risque alors de faire l’objet de représailles et l’atmosphère de travail de l’entité organisationnelle risque d’être affectée. Dans ce cas, les données à caractère personnel de la personne concernée ne devraient être conservées qu’aussi longtemps qu’elles sont pertinentes pour le traitement de la demande et/ou de la réclamation et aussi longtemps que cette dernière peut faire l’objet d’un litige. |
(22) |
Le délégué à la protection des données de la Commission européenne devrait procéder à un examen indépendant de l’application des limitations afin de garantir le respect de la présente décision. |
(23) |
Le Contrôleur européen de la protection des données a été consulté et a rendu un avis le 23 septembre 2021, |
A ADOPTÉ LA PRÉSENTE DÉCISION:
Article premier
Objet et champ d’application
1. La présente décision établit les règles selon lesquelles la Commission informe les personnes concernées du traitement de leurs données à caractère personnel, conformément aux articles 14, 15 et 16 du règlement (UE) 2018/1725, lors du traitement des demandes et des réclamations au titre du statut.
Elle fixe également les conditions dans lesquelles la Commission peut limiter l’application des articles 4, 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725, conformément à l’article 25, paragraphe 1, points b), c), g) et h), dudit règlement.
2. La présente décision s’applique au traitement des données à caractère personnel par la Commission aux fins du traitement des demandes et des réclamations conformément aux articles 22 quater et 24 et à l’article 90, paragraphes 1 et 2, du statut.
3. Les catégories de données à caractère personnel couvertes par la présente décision comprennent les données d’identification, les coordonnées et les données relatives au comportement, ainsi que des catégories particulières de données à caractère personnel au sens de l’article 10, paragraphe 1, du règlement (UE) 2018/1725.
Article 2
Exceptions et limitations applicables
1. Lorsque la Commission exerce ses fonctions en ce qui concerne les droits des personnes concernées en vertu du règlement (UE) 2018/1725, elle examine si l’une des exceptions établies dans ledit règlement s’applique.
2. Sous réserve des articles 3 à 7, lorsque l’exercice des droits et obligations prévus aux articles 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725 en ce qui concerne les données à caractère personnel traitées par la Commission risque de porter atteinte aux motifs énumérés à l’article 25, paragraphe 1, points b), c), g) ou h), dudit règlement, la Commission peut limiter l’application:
a) |
des articles 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725; ainsi que |
b) |
du principe de transparence énoncé à l’article 4, paragraphe 1, point a), du règlement (UE) 2018/1725, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 17, 19 et 20 dudit règlement, afin de garantir la prévention, les enquêtes, la détection et les poursuites liées aux infractions pénales que les demandeurs, les plaignants ou les témoins signalent aux services compétents de la Commission à l’égard de la personne concernée par des allégations de harcèlement ou d’autre comportement inapproprié ou agressif. |
3. Les paragraphes 1 et 2 sont sans préjudice de l’application d’autres décisions de la Commission établissant des règles internes en ce qui concerne la communication d’informations aux personnes concernées et la limitation de certains droits en vertu de l’article 25 du règlement (UE) 2018/1725.
4. Toute limitation des droits et obligations visée au paragraphe 2 est nécessaire et proportionnée, en tenant compte des risques qui pèsent sur les droits et libertés des personnes concernées.
5. Avant d’appliquer des limitations, il convient que la Commission procède à une évaluation «au cas par cas» de leur nécessité et de leur proportionnalité. Les limitations se réduisent à ce qui est strictement nécessaire pour atteindre leur objectif.
Article 3
Communication d’informations aux personnes concernées
1. La Commission publie sur son site internet un avis relatif à la protection des données qui informe toutes les personnes concernées de ses activités impliquant le traitement de leurs données à caractère personnel aux fins du traitement des demandes et des réclamations au titre du statut.
2. La Commission informe individuellement, sous une forme appropriée, les demandeurs et les plaignants, les personnes concernées, ainsi que les témoins invités à fournir des informations sur ces demandes ou réclamations, du traitement de leurs données à caractère personnel.
3. Lorsque la Commission limite, conformément à l’article 2, en tout ou en partie, la communication des informations visées au paragraphe 2 aux personnes concernées dont les données à caractère personnel sont traitées aux fins du traitement des demandes et des réclamations au titre du statut, elle enregistre et consigne les motifs de la limitation conformément à l’article 6.
Article 4
Droit d’accès des personnes concernées, droit à l’effacement et droit à la limitation du traitement
1. Si la Commission limite, en tout ou en partie, le droit d’accès aux données à caractère personnel des personnes concernées, le droit à l’effacement ou le droit à la limitation du traitement prévus respectivement aux articles 17, 19 et 20 du règlement (UE) 2018/1725, elle informe la personne concernée, dans sa réponse à la demande d’accès, d’effacement ou de limitation du traitement:
a) |
de la limitation appliquée et de ses principaux motifs; |
b) |
de la possibilité d’introduire une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne. |
2. La communication d’informations relatives aux motifs de la limitation visée au paragraphe 1 peut être différée, omise ou refusée aussi longtemps qu’elle risque d’annuler l’effet de la limitation.
3. La Commission enregistre les motifs de la limitation conformément à l’article 6.
4. Lorsque le droit d’accès est entièrement ou partiellement limité, la personne concernée peut exercer son droit d’accès par l’intermédiaire du Contrôleur européen de la protection des données, conformément à l’article 25, paragraphes 6, 7 et 8, du règlement (UE) 2018/1725.
Article 5
Communication aux personnes concernées d’une violation de données à caractère personnel
Lorsque la Commission limite la communication à la personne concernée d’une violation de données à caractère personnel, telle que visée à l’article 35 du règlement (UE) 2018/1725, elle enregistre et consigne dans un registre les motifs de la limitation conformément à l’article 6. La Commission transmet ce registre au Contrôleur européen de la protection des données au moment de la notification de la violation de données à caractère personnel.
Article 6
Enregistrement et consignation des limitations
1. La Commission enregistre les motifs de toute limitation appliquée en vertu de la présente décision, ainsi qu’une évaluation de la nécessité et de la proportionnalité de la limitation, en tenant compte des éléments pertinents établis à l’article 25, paragraphe 2, du règlement (UE) 2018/1725.
2. Il est indiqué de quelle manière l’exercice du droit par la personne concernée porterait atteinte à un ou plusieurs des motifs applicables énumérés à l’article 25, paragraphe 1, points b), c), g) et h), du règlement (UE) 2018/1725.
3. Les informations relatives aux limitations et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont consignés dans un registre. Ces informations et documents sont mis à la disposition du Contrôleur européen de la protection des données sur demande.
Article 7
Durée des limitations
1. Les limitations visées aux articles 3, 4 et 5 continuent de s’appliquer aussi longtemps que les motifs qui les justifient restent valables.
2. Lorsque les motifs d’une limitation visée à l’article 3, 4 ou 5 ne sont plus valables, la Commission lève la limitation.
3. Elle communique également les principaux motifs de l’application de cette limitation à la personne concernée et l’informe de la possibilité d’introduire à tout moment une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne.
4. La Commission réexamine l’application des limitations visées aux articles 3, 4 et 5 lorsqu’elle répond aux demandes présentées au titre des articles 22 quater et 24 et de l’article 90, paragraphe 1, du statut et aux réclamations introduites au titre de l’article 22 quater et de l’article 90, paragraphe 2, du statut, ou à la clôture de ces demandes et réclamations, selon ce qui se réalise en premier. Par la suite, la Commission vérifie chaque année la nécessité de maintenir les limitations. Le réexamen inclut une évaluation de la nécessité et de la proportionnalité de la limitation, en tenant compte des éléments pertinents établis à l’article 25, paragraphe 2, du règlement (UE) 2018/1725.
Article 8
Garanties et durées de conservation
1. La Commission, en particulier l’unité «Recours et suivi des cas» de la DG HR, met en œuvre des garanties afin de prévenir les abus et la consultation illicite ou le transfert de données à caractère personnel pour lesquelles des limitations s’appliquent ou pourraient s’appliquer. Ces garanties incluent notamment les mesures techniques et organisationnelles suivantes:
a) |
une définition claire des rôles, des responsabilités, des droits d’accès et des étapes procédurales; |
b) |
un environnement électronique sécurisé qui empêche l’accès illicite ou accidentel à des données électroniques par des personnes non autorisées ou le transfert illicite ou accidentel desdites données à ces personnes; |
c) |
un stockage et un traitement sécurisés des documents papier, limités à ce qui est strictement nécessaire pour atteindre la finalité du traitement; |
d) |
un suivi approprié des limitations et un réexamen périodique de leur application; Les réexamens visés au point d) sont effectués au moins tous les six mois. |
2. Les limitations sont levées dès que les circonstances qui les justifient cessent d’exister.
3. Les données à caractère personnel sont conservées conformément aux règles de conservation applicables de la Commission, qui sont définies dans les registres tenus en vertu de l’article 31 du règlement (UE) 2018/1725. À la fin de la durée de conservation, les données à caractère personnel sont supprimées, rendues anonymes ou archivées conformément à l’article 13 du règlement (UE) 2018/1725.
Article 9
Réexamen par le délégué à la protection des données de la Commission
1. Le délégué à la protection des données de la Commission est informé sans délai chaque fois que les droits des personnes concernées sont limités conformément à la présente décision. Il obtient sur demande l’accès au registre et à tous les documents contenant des éléments factuels et juridiques sous-jacents.
2. Le délégué à la protection des données peut demander un réexamen de la limitation. Il est informé par écrit du résultat du réexamen demandé.
3. La Commission documente l’intervention du délégué à la protection des données dans chaque cas où les droits et obligations visés à l’article 2, paragraphe 2, sont limités.
Article 10
Entrée en vigueur
La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.
Fait à Bruxelles, le 27 janvier 2022.
Par la Commission
La présidente
Ursula VON DER LEYEN
(1) JO L 56 du 4.3.1968, p. 1.
(2) Communication administrative no 79-2013 du 19 décembre 2013«Mise à jour des modalités d’introduction des demandes et des réclamations (article 90, paragraphes 1 et 2 du statut) et des demandes d’assistance (article 24 du statut)».
(3) La conservation des dossiers à la Commission est régie par la liste commune de conservation au niveau de la Commission, un document à valeur réglementaire qui se présente sous la forme d’un tableau de gestion fixant les périodes de conservation pour les différents types de dossiers de la Commission [SEC(2019) 900]. Les périodes de conservation des données à caractère personnel sont indiquées dans la déclaration de confidentialité concernant le traitement des demandes et des réclamations au titre du statut.
(4) Règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (JO L 295 du 21.11.2018, p. 39).