(1)

La Banque centrale européenne (BCE) exerce ses missions conformément aux traités.

(2)

Conformément à l’article 45, paragraphe 3, du règlement (UE) 2018/1725, la décision (UE) 2020/655 de la Banque centrale européenne (BCE/2020/28) (2) établit les règles générales d’application du règlement (UE) 2018/1725 pour ce qui concerne la BCE. Elle précise notamment les règles relatives à la désignation et au rôle du délégué à la protection des données de la BCE, y compris ses missions, ses fonctions et ses compétences.

(3)

Dans l’exercice des missions qui lui sont confiées, la BCE, et notamment l’unité organisationnelle concernée, agit en qualité de responsable du traitement dans la mesure où elle détermine, seule ou conjointement avec d’autres, les finalités et les moyens du traitement des données à caractère personnel.

(4)

En ce qui concerne le fonctionnement interne de la BCE, divers services de celle-ci (dont la direction générale des ressources humaines (DG/RH), le bureau de conformité et de gouvernance (CGO), la direction de l’audit interne (D/IA) et la direction générale des affaires juridiques (DG/L)) sont chargées de missions dans le cadre juridique régissant les conditions d’emploi à la BCE qui impliquent le traitement de données à caractère personnel. Ces missions peuvent comprendre, par exemple, les mesures prises en rapport avec des manquements potentiels à des obligations professionnelles (y compris les enquêtes visant des comportements inappropriés en vertu du cadre la BCE relatif à la dignité au travail et le suivi du signalement de toute activité illégale ou de tout manquement à des obligations professionnelles transmis par tout moyen, notamment l’outil de lancement d’alerte de la BCE); les missions relatives aux procédures de sélection; les missions assurées par la DG/RH dans l’exercice de ses fonctions relatives à la gestion de la performance, à la promotion, à la nomination directe du personnel de la BCE, au développement professionnel, y compris le calibrage des talents entre les services et dans chaque service, aux augmentations de salaire et aux primes ainsi qu’aux décisions relatives à la mobilité et aux congés; l’examen des recours internes formés par le personnel de la BCE (y compris au moyen de procédures de réexamen administratif et de réclamation, des procédures spéciales de recours ou des comités médicaux) et le suivi de ces recours; les fonctions consultatives confiées au CGO en vertu du cadre d’éthique professionnelle de la BCE (établi dans la section 0 des règles applicables au personnel de la BCE) et les missions du CGO relatives au contrôle de la conformité des activités financières d’ordre privé (y compris la coopération avec tout prestataire de services externe désigné conformément à l’article 0.4.3.3 des règles applicables au personnel de la BCE); ainsi que les audits effectués par la D/IA et les missions accomplies dans le cadre de la circulaire administrative 01/2006 sur les enquêtes administratives internes (3) lors des activités d’enquête et enquêtes administratives menées dans les cas susceptibles de présenter une possible dimension disciplinaire impliquant le personnel de la BCE (y compris les missions des personnes menant l’enquête ou des membres de la commission d’enquête lorsqu’il leur est demandé de recueillir des éléments de preuve et d’établir les faits pertinents).

(5)

En vertu de la décision (UE) 2016/456 de la Banque centrale européenne (BCE/2016/3) (4), la BCE est tenue de transmettre à l’Office européen de lutte antifraude, à la demande de ce dernier ou de sa propre initiative, les informations en sa possession laissant soupçonner l'existence d'éventuels cas de fraude ou de corruption ou de toute autre activité illégale portant atteinte aux intérêts financiers de l'Union. La décision (UE) 2016/456 (BCE/2016/3) dispose que, dans un tel cas, les intéressés sont informés rapidement, à condition que cela ne risque pas de nuire à l'enquête, et que, en tout état de cause, aucune conclusion visant nominativement un intéressé ne peut être tirée sans que l'intéressé ait été à même de s'exprimer sur tous les faits qui le concernent, y compris sur toutes les preuves à son encontre.

(6)

Conformément à l’article 4, point b), de la décision (UE) 2020/655 (BCE/2020/28), le délégué à la protection des données doit examiner les questions et les incidents en rapport avec la protection des données, que ce soit à sa propre initiative ou à la demande de la BCE.

(7)

La division sûreté et sécurité, qui fait partie de la direction Administration, est chargée de mener des enquêtes pour assurer la sécurité physique des personnes, des locaux et des biens à la BCE, pour recueillir des renseignements sur les menaces et pour effectuer des analyses des incidents liés à la sécurité.

(8)

La BCE a une obligation de coopération loyale avec les autorités nationales, y compris celles qui sont chargées des poursuites pénales. En particulier, en vertu de la décision (UE) 2016/1162 de la Banque centrale européenne (BCE/2016/19) (5), la BCE peut, à la demande d’une autorité nationale responsable des enquêtes pénales, fournir les informations confidentielles qu’elle détient et liées aux missions qui lui sont confiées par le règlement (UE) n° 1024/2013 du Conseil (6) ou à d'autres missions liées au SEBC/Eurosystème respectivement à une ACN ou à une BCN aux fins de leur divulgation à l'autorité nationale responsable des enquêtes pénales en question sous certaines conditions.

(9)

En vertu du règlement (UE) 2017/1939 du Conseil (7), la BCE doit fournir sans délai toute information au Parquet européen en cas de soupçon d’infraction relevant de sa compétence.

(10)

La BCE doit coopérer avec les organes de l’Union exerçant à son égard une fonction de supervision, de suivi ou d’audit, tels que le contrôleur européen de la protection des données, la Cour des comptes européenne et le Médiateur européen, dans l’exercice de leurs missions respectives. Dans ce contexte, la BCE est susceptible de traiter des données à caractère personnel afin de pouvoir répondre aux demandes de ces organes, de les consulter et de leur fournir des informations.

(11)

En vertu de son cadre interne de résolution des différends, la BCE peut contacter un médiateur à tout moment et par tout moyen afin de lui demander de l’aide pour résoudre et prévenir un différend d’ordre professionnel. Ce cadre prévoit que toute communication avec le médiateur est protégée au titre de la confidentialité. Tout élément mentionné au cours du processus de médiation est considéré comme privilégié et chaque partie impliquée dans la médiation doit utiliser ces informations exclusivement aux fins du processus de médiation, sans préjudice de toute action en justice. À titre exceptionnel, le médiateur peut divulguer des informations lorsque cela semble nécessaire pour prévenir un risque imminent d’atteinte grave à l’intégrité physique ou mentale d’une personne.

(12)

La BCE s'efforce de garantir des conditions de travail qui protègent la santé et la sécurité de son personnel et respectent sa dignité au travail en mettant à sa disposition des services de conseil pour le soutenir. Le personnel de la BCE peut solliciter les services d’un conseiller social pour tous problèmes, y compris émotionnels, personnels et d’ordre professionnel. Le conseiller social n’a pas accès au dossier personnel des membres du personnel de la BCE, sauf si ceux-ci y consentent expressément. Aucune information recueillie par le conseiller social ou aucune déclaration qui lui est faite par une personne ne peut être divulguée, sauf autorisation expresse de la personne concernée ou en cas d’obligation légale.

(13)

Dans le cadre de son fonctionnement interne, la BCE traite plusieurs catégories de données pouvant concerner une personne physique identifiée ou identifiable. Des listes non exhaustives de ces catégories de données à caractère personnel traitées par la BCE dans le cadre de son fonctionnement interne figurent dans les annexes à la présente décision. Des données à caractère personnel peuvent également faire partie d’une évaluation, y compris une évaluation réalisée par le service responsable en rapport avec la question examinée, par exemple, une évaluation conduite par la DG/HR, la DG/L, la D/IA ou par une commission disciplinaire ou un groupe d’enquête sur un manquement à des obligations professionnelles.

(14)

Dans le cadre des considérants 4 à 13, il convient de préciser les motifs pour lesquels la BCE peut limiter les droits des personnes concernées.

(15)

Le but de la BCE, dans l’accomplissement de ses missions, est de poursuivre les objectifs importants d’intérêt public général de l’Union. Par conséquent, l’accomplissement de ces missions devrait être garanti comme le prévoit le règlement (UE) 2018/1725, et, notamment, l'article 25, paragraphe 1, points b), c), d), f), g) et h).

(16)

Conformément à l’article 25, paragraphe 1, du règlement (UE) 2018/1725, les limitations à l’application des articles 14 à 22, 35 et 36 dudit règlement, ainsi que de son article 4 dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 22 dudit règlement, doivent être établies dans des règles internes ou des actes juridiques adoptés sur la base des traités. Par conséquent, il convient que la BCE définisse les règles en vertu desquelles elle peut limiter les droits des personnes concernées dans l’’accomplissement de ses missions.

(17)

Il convient que la BCE démontre que de telles limitations des droits des personnes concernées sont strictement nécessaires et proportionnées dans une société démocratique pour garantir les objectifs poursuivis dans l’exercice de son autorité publique et des fonctions liées à celle-ci, et qu’elle démontre en quoi elle respecte l’essence des libertés et droits fondamentaux tout en imposant les limitations en question.

(18)

Dans ce cadre, la BCE est tenue de respecter, dans toute la mesure du possible, les droits fondamentaux des personnes concernées, notamment ceux relatifs au droit à l’information, à l’accès et à la rectification, au droit à l’effacement, à la limitation du traitement, au droit à la communication d’une violation des données à caractère personnel à la personne concernée ou à la confidentialité des communications, comme le prévoit le règlement (UE) 2018/1725.

(19)

Toutefois, la BCE peut être tenue de limiter les informations fournies aux personnes concernées et les droits d’autres personnes concernées pour garantir l'accomplissement de ses missions, en particulier ses propres enquêtes et procédures, les enquêtes et procédures d’autres autorités publiques et les droits et libertés fondamentaux d’autres personnes liées à ses enquêtes ou à d’autres procédures.

(20)

Il convient que la BCE lève une limitation déjà appliquée lorsque celle-ci n’est plus nécessaire.

(21)

Il convient que le délégué à la protection des données réexamine l’application des limitations afin de garantir le respect de la présente décision et du règlement (UE) 2018/1725.

(22)

Bien que la présente décision établisse les règles en vertu desquelles la BCE peut limiter les droits des personnes concernées lorsqu’elle traite des données à caractère personnel dans le cadre de son fonctionnement interne, le directoire a adopté une décision distincte portant adoption de règles internes concernant la limitation des droits le cadre de l'accomplissement de ses missions de surveillance prudentielle.

(23)

La BCE a la possibilité d’appliquer des exceptions en vertu du règlement (UE) 2018/1725, ce qui rend inutile l’examen de la nécessité d'une limitation, notamment les exceptions prévues à l’article 15, paragraphe 4, à l’article 16, paragraphe 5, à l’article 19, paragraphe 3, et à l’article 35, paragraphe 3, dudit règlement.

(24)

Des dérogations aux droits des personnes concernées visés aux articles 17, 18, 20, 21, 22 et 23 du règlement (UE) 2018/1725 à des fins archivistiques dans l’intérêt public peuvent être prévues dans des règles internes ou dans des actes juridiques adoptés par la BCE sur le fondement des traités en ce qui concerne son archivage, sous réserve des conditions et garanties requises conformément à l’article 25, paragraphe 4, du règlement (UE) 2018/1725.

(25)

Le contrôleur européen de la protection des données a été consulté conformément à l'article 41, paragraphe 2, du règlement (UE) 2018/1725 et a rendu un avis le 12 mars 2021.

(26)

Le comité du personnel a été consulté,

1)

«traitement»: le traitement au sens de l'article 3, point 3, du règlement (UE) 2018/1725;

2)

«données à caractère personnel»: les données à caractère personnel au sens de l’article 3, point 1, du règlement (UE) 2018/1725;

3)

«personne concernée»: une personne physique identifiée ou identifiable; une personne identifiable est une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale;

4)

«registre central»: le recueil accessible au public de toutes les activités de traitement de données à caractère personnel effectuées à la BCE, tenu par le délégué à la protection des données et visé à l’article 9 de la décision (UE) 2020/655 (BCE/2020/28);

5)

«responsable du traitement»: la BCE, notamment l’unité organisationnelle compétente au sein de la BCE qui, seule ou conjointement avec d’autres, détermine les finalités et les moyens du traitement des données à caractère personnel et qui est responsable de l’opération de traitement;

6)

«institutions et organes de l’Union»: les institutions et organes de l’Union au sens de l’article 3, point 10, du règlement (UE) 2018/1725.

a)

le responsable du traitement précise les droits susceptibles de faire l’objet d'une limitation, les motifs de la limitation et sa durée potentielle;

b)

le responsable du traitement inclut les informations visées au point a) dans ses avis relatifs à la protection des données, ses déclarations de confidentialité et son registre des activités de traitement visé à l’article 31 du règlement (UE) 2018/1725.