DÉCISION DE LA COMMISSION

du 12 décembre 2007

relative à la protection des données à caractère personnel dans le cadre de la mise en œuvre du Système d’information du marché intérieur (IMI)

[notifiée sous le numéro C(2007) 6306]

(Texte présentant de l'intérêt pour l'EEE)

(2008/49/CE)

LA COMMISSION DES COMMUNAUTÉS EUROPÉENNES,

vu le traité instituant la Communauté européenne,

vu la décision 2004/387/CE du Parlement européen et du Conseil du 21 avril 2004 relative à la fourniture interopérable de services paneuropéens d’administration en ligne aux administrations publiques, aux entreprises et aux citoyens (IDABC) (1), et notamment son article 4,

considérant ce qui suit:

A ARRÊTÉ LA PRÉSENTE DÉCISION:

CHAPITRE 1

DISPOSITIONS GÉNÉRALES

Article premier

Objet

La présente décision fixe les fonctions, droits et obligations des participants IMI et des utilisateurs IMI visés à l’article 6 en ce qui concerne les exigences de protection des données à respecter dans le cadre de l’exploitation du Système d’information du marché intérieur (ci-après dénommé «IMI»).

Article 2

Qualité des données

Les autorités compétentes des États membres échangent et traitent les données à caractère personnel aux seules fins prévues par les textes communautaires applicables figurant en annexe, qui servent de base aux échanges d’informations (ci-après dénommés «textes communautaires applicables»).

Les demandes d’information adressées par les autorités compétentes d’un État membre à celles d’un autre État membre et les réponses correspondantes se fondent sur les questions multilingues et les champs de données définis, aux fins de l’IMI, et établis par la Commission en collaboration avec les États membres.

Article 3

Responsables du traitement

Les responsabilités en matière de traitement des données prévues par l’article 2, point d), de la directive 95/46/CE et l’article 2, point d), du règlement (CE) no 45/2001 sont exercées conjointement par les participants IMI visés à l’article 6, conformément à leurs responsabilités respectives au sein de l’IMI.

Les responsables du traitement veillent à ce que la personne concernée puisse effectivement exercer ses droits d’information, d’accès, de rectification et d’opposition conformément à la législation applicable en matière de protection des données. Les participants IMI fournissent des déclarations de confidentialité sous une forme appropriée.

Article 4

Conservation des données à caractère personnel des personnes faisant l’objet de l’échange d’informations

Toutes les données à caractère personnel des personnes faisant l’objet de l’échange d’informations entre les autorités compétentes, traitées dans l’IMI, sont supprimées six mois après la clôture définitive de l’échange d’informations, ou plus tôt si une autorité compétente en fait expressément la demande à la Commission.

Lorsqu’elle est saisie d’une telle demande, la Commission y répond dans un délai de dix jours ouvrables, sous réserve de l’accord de l’autre autorité compétente concernée.

Article 5

Conservation des données à caractère personnel des utilisateurs IMI

Les données à caractère personnel des utilisateurs IMI, visés à l’article 6, sont conservées dans l’IMI aussi longtemps que ceux-ci demeurent des utilisateurs de l’IMI et sont supprimées par l’autorité compétente lorsqu’ils cessent de l’être.

Les données à caractère personnel visées au paragraphe 1 comprennent le nom des utilisateurs IMI ainsi que leur adresse de messagerie électronique professionnelle et leurs numéros de téléphone et de télécopieur professionnels.

CHAPITRE 2

FONCTIONS ET RESPONSABILITÉS RELATIVES À L’IMI

Article 6

Participants et utilisateurs IMI

1.   Par «participants IMI», on entend:

2.   Seules les personnes physiques travaillant sous le contrôle d’une autorité compétente ou d’un coordonnateur, ci-après dénommées «utilisateurs IMI», peuvent utiliser l’IMI conformément à l’article 9.

Article 7

Autorités compétentes

Aux fins prévues par le texte communautaire applicable qui sert de base à l’échange d’informations, les autorités compétentes garantissent l’échange des informations concernées dans le cadre de l’IMI.

Article 8

Coordonnateurs IMI

1.   Chaque État membre désigne un coordonnateur national IMI pour garantir la mise en œuvre de l’IMI au niveau national.

En outre, chaque État membre peut désigner un ou plusieurs coordonnateurs délégués IMI en fonction de sa structure administrative interne, afin d’exercer les responsabilités de coordination dans un domaine législatif, un département de l’administration ou une région géographique spécifique.

2.   La Commission enregistre les coordonnateurs nationaux IMI dans l’IMI et leur donne accès à l’IMI.

3.   Lorsqu’un État membre désigne un coordonnateur délégué IMI conformément au paragraphe 1, le coordonnateur national IMI enregistre le coordonnateur délégué IMI dans l’IMI et lui donne accès à l’IMI.

4.   Les coordonnateurs enregistrent ou authentifient l’enregistrement des autorités compétentes demandant l’accès à l’IMI et veillent au bon fonctionnement du système. Ils donnent aux autorités compétentes accès aux domaines législatifs qui relèvent de leurs compétences.

5.   Tous les coordonnateurs peuvent agir en qualité d’autorités compétentes. Dans ce cas, un coordonnateur jouit des mêmes droits d’accès qu’une autorité compétente.

Article 9

Rôle des utilisateurs IMI

1.   Les utilisateurs IMI peuvent remplir une ou plusieurs des fonctions suivantes: gestionnaire des demandes, assignateur, arbitre et administrateur local de données.

2.   Chaque utilisateur IMI se voit attribuer un ensemble défini de droits d’accès liés à son rôle d’utilisateur, conformément à l’article 12.

3.   Tous les utilisateurs IMI peuvent rechercher une autorité compétente spécifique.

4.   Les utilisateurs IMI désignés comme gestionnaires des demandes peuvent participer aux échanges d’informations pour le compte de leur autorité compétente.

5.   Les utilisateurs IMI désignés comme assignateurs dans une autorité compétente peuvent attribuer une demande d’informations à un ou plusieurs gestionnaires des demandes au sein de cette autorité.

Les utilisateurs IMI désignés comme assignateurs dans un coordonnateur peuvent attribuer une demande d’informations à un ou plusieurs arbitres au sein de cette autorité.

6.   Les utilisateurs IMI d’un coordonnateur peuvent être désignés comme arbitres.

Les arbitres peuvent approuver l’envoi de demandes ou de réponses par une autorité compétente, lorsque cette procédure d’approbation est rendue obligatoire par le coordonnateur, et peuvent marquer leur accord ou désaccord lorsqu’une autorité compétente requérante n’est pas satisfaite de la réponse reçue.

7.   Les utilisateurs IMI désignés comme administrateurs locaux de données peuvent réaliser les tâches suivantes:

Article 10

Commission

1.   La Commission garantit la disponibilité et l’entretien des infrastructures IT nécessaires au fonctionnement de l’IMI. Elle fournit un système multilingue, qui fonctionne dans toutes les langues officielles, ainsi qu’un service d’assistance central pour aider les États membres dans l’utilisation de l’IMI.

2.   La Commission rendra publiques les séries de questions et les champs de données visés à l’article 2, paragraphe 2.

3.   La Commission ne peut participer aux échanges d’informations que dans les cas spécifiques où le texte communautaire applicable prévoit un échange d’informations entre les États membres et la Commission.

4.   Dans les cas visés au paragraphe 3, la Commission jouit des mêmes droits d’accès qu’une autorité compétente conformément à l’article 12.

CHAPITRE 3

DROITS D’ACCÈS AUX DONNÉÉS À CARACTÈRE PERSONNEL

Article 11

Personne concernée

Aux fins du présent chapitre, on entend par «personne concernée» uniquement la personne faisant l’objet d’un échange d’informations spécifique. Les utilisateurs IMI n’entrent pas dans cette définition.

Article 12

Droits d’accès des utilisateurs IMI

1.   Dans le cadre d’un échange d’informations, les gestionnaires des demandes d’une autorité compétente n’ont accès qu’aux données à caractère personnel concernant:

2.   Les assignateurs d’une autorité compétente n’ont accès qu’aux données à caractère personnel concernant:

Ils n’ont pas accès aux données à caractère personnel des personnes concernées.

3.   Les assignateurs d’un coordonnateur n’ont accès qu’aux données à caractère personnel concernant:

Ils n’ont pas accès aux données à caractère personnel des personnes concernées.

4.   Les arbitres n’ont accès qu’aux données à caractère personnel concernant:

Ils n’ont pas accès aux données à caractère personnel des personnes concernées.

5.   Les administrateurs locaux de données d’une autorité compétente n’ont accès qu’aux données à caractère personnel de tous les utilisateurs IMI de la même autorité compétente.

Ils n’ont pas accès aux données à caractère personnel des personnes concernées.

6.   Les administrateurs locaux de données d’un coordonnateur n’ont accès qu’aux données à caractère personnel concernant:

Ils n’ont pas accès aux données à caractère personnel des personnes concernées.

7.   Les administrateurs locaux de données de la Commission n’ont accès qu’aux données à caractère personnel concernant:

Les administrateurs locaux de données de la Commission peuvent supprimer les données à caractère personnel des personnes concernées conformément à l’article 4, mais ne peuvent pas les consulter.

CHAPITRE 4

DISPOSITION FINALE

Article 13

Destinataires

Les États membres sont destinataires de la présente décision.

(1)  JO L 144 du 30.4.2004, p. 65; rectifiée par le JO L 181 du 18.5.2004, p. 25.

(2)  Établi par la décision 93/72/CEE de la Commission (JO L 26 du 3.2.1993, p. 18).

(3)  JO L 376 du 27.12.2006, p. 36.

(4)  JO L 255 du 30.9.2005, p. 22. Directive modifiée en dernier lieu par le règlement (CE) no 1430/2007 de la Commission (JO L 320 du 6.12.2007, p. 3).

(5)  Avis 01911/07/EN, DT 140.

(6)  JO L 281 du 23.11.1995, p. 31. Directive modifiée par le règlement (CE) no 1882/2003 (JO L 284 du 31.10.2003, p. 1).

(7)  JO L 8 du 12.1.2001, p. 1.