DÉCISION (UE) 2018/1996 DE LA COMMISSION

du 14 décembre 2018

établissant les règles internes concernant la fourniture d'informations aux personnes concernées et la restriction de certains de leurs droits dans le contexte du traitement des données à caractère personnel aux fins des enquêtes en matière de défense commerciale et de politique commerciale

LA COMMISSION EUROPÉENNE,

vu le traité sur le fonctionnement de l'Union européenne, et notamment son article 249, paragraphe 1,

considérant ce qui suit:

(1)	Dans le cadre de son mandat au titre des règlements (UE) 2015/478 (1), (UE) 2015/755 (2), (UE) 2016/1036 (3) et (UE) 2016/1037 (4) du Parlement européen et du Conseil, la Commission mène la politique commerciale de l'Union.

(2)

En particulier, lors des enquêtes en matière de défense commerciale, des données à caractère personnel au sens de l'article 3, point 1), du règlement (UE) 2018/1725 du Parlement européen et du Conseil (5) font inévitablement l'objet d'un traitement. La Commission recueille des informations utiles pour l'enquête, y compris des données à caractère personnel. Sous réserve de l'obligation de protéger les informations confidentielles, l'ensemble des informations fournies par toute partie concernée par une enquête devraient être mises dans les meilleurs délais à la disposition des autres parties intéressées participant à l'enquête, par l'intermédiaire de l'accès à un dossier non confidentiel. Cette transmission des données est nécessaire et juridiquement requise pour la défense des droits en justice des parties intéressées. Les missions de la Commission dans les domaines de la politique commerciale et de la défense commerciale relèvent principalement de la responsabilité de la direction générale du commerce (ci-après la «DG Commerce»), dont les entités organisationnelles agissent en tant que responsables du traitement.

(3)

Les données à caractère personnel traitées par la Commission sont, par exemple, des données d'identification, des coordonnées, des données professionnelles et des données ayant trait à l'objet de l'enquête ou fournies dans ce contexte. Les données à caractère personnel sont conservées dans un environnement électronique sécurisé afin d'empêcher tout accès ou transfert illicite de données à des personnes en dehors de la Commission. Certaines données à caractère personnel peuvent être incluses dans un environnement électronique distinct accessible par un nombre réglementé de parties concernées par l'enquête. Les données à caractère personnel sont conservées dans les services de la Commission chargés de l'enquête jusqu'à la fin de celle-ci. La durée d'utilité administrative est de cinq ans, à compter de la fin de l'enquête. À l'issue de cette période, les informations relatives à l'affaire, y compris les données à caractère personnel, sont transférées aux archives historiques de la Commission (6).

(4)

Dans l'exercice de ses missions, la Commission est tenue de respecter les droits des personnes physiques concernant le traitement des données à caractère personnel qui sont consacrés par l'article 8, paragraphe 1, de la charte des droits fondamentaux de l'Union européenne et par l'article 16, paragraphe 1, du traité, ainsi que les droits prévus par le règlement (UE) 2018/1725. Dans le même temps, la Commission doit respecter les règles strictes de confidentialité énoncées à l'article 19 du règlement (UE) 2016/1036, à l'article 29 du règlement (UE) 2016/1037, à l'article 8 du règlement (UE) 2015/478 et à l'article 5 du règlement (UE) 2015/755.

(5)

Dans certains cas, il est nécessaire de concilier les droits des personnes concernées prévus par le règlement (UE) 2018/1725 avec le besoin d'efficacité des enquêtes, ainsi qu'avec le plein respect des libertés et droits fondamentaux d'autres personnes concernées. À cet effet, l'article 25, paragraphe 1, points c), g) et h), du règlement (UE) 2018/1725 donne à la Commission la possibilité de limiter l'application des articles 14 à 17, 19, 20 et 35, ainsi que le principe de transparence établi à l'article 4, paragraphe 1, point a), dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 17, 19, 20 et 35 dudit règlement.

(6)

Afin de garantir l'efficacité des enquêtes en matière de défense commerciale, tout en assurant le respect des normes de protection des données à caractère personnel conformément au règlement (UE) 2018/1725, qui a remplacé le règlement (CE) no 45/2001 du Parlement européen et du Conseil (7), il est nécessaire d'adopter des règles internes en vertu desquelles la Commission peut limiter les droits des personnes concernées conformément à l'article 25, paragraphe 1, points c), g) et h), du règlement (UE) 2018/1725.

(7)

Il est donc nécessaire d'établir des règles internes afin d'englober toutes les opérations de traitement effectuées par la Commission dans l'exercice de sa fonction d'enquête dans le domaine de la défense commerciale. Ces règles devraient s'appliquer aux opérations de traitement effectuées avant l'ouverture d'une enquête, au cours des enquêtes et lors du contrôle du suivi du résultat des enquêtes.

(8)

En vue de se conformer aux articles 14, 15 et 16 du règlement (UE) 2018/1725, la Commission devrait informer toutes les personnes de ses activités qui nécessitent un traitement de leurs données à caractère personnel et de leurs droits de manière transparente et cohérente en publiant un avis relatif à la protection des données sur son site internet. Le cas échéant, la Commission devrait apporter des garanties supplémentaires pour s'assurer que les personnes concernées sont informées individuellement dans un format approprié.

(9)

Sur la base de l'article 25 du règlement (UE) 2018/1725, la Commission a également la possibilité de limiter la communication d'informations aux personnes concernées ainsi que l'exercice d'autres droits des personnes concernées pour protéger ses propres enquêtes en matière de défense commerciale ainsi que les droits d'autres personnes liées à ses enquêtes.

(10)

En outre, dans un souci d'efficacité de la coopération, la Commission peut être amenée à limiter l'application des droits des personnes concernées afin de protéger les opérations de traitement effectuées par d'autres institutions, organes et organismes de l'Union ou par des autorités compétentes des États membres. À cet effet, la Commission devrait consulter ces institutions, organes, organismes et autorités sur les motifs pertinents justifiant l'application de limitations ainsi que sur la nécessité et la proportionnalité de ces dernières.

(11)

La Commission peut également être amenée à restreindre la communication d'informations aux personnes concernées ainsi que l'application d'autres droits des personnes concernées en ce qui concerne les données à caractère personnel reçues de pays tiers ou d'organisations internationales, afin de s'acquitter de son devoir de coopération avec ces pays ou organisations et de protéger ainsi un objectif important d'intérêt public général de l'Union. Toutefois, dans certains cas, l'intérêt ou les droits fondamentaux de la personne concernée peuvent prévaloir sur l'intérêt de la coopération internationale.

(12)	La Commission devrait traiter toutes les limitations de manière transparente et enregistrer chaque application d'une limitation dans le système de registre correspondant.

(13)

Conformément à l'article 25, paragraphe 8, du règlement (UE) 2018/1725, les responsables du traitement peuvent différer, omettre ou refuser la communication d'informations sur les raisons justifiant l'application d'une limitation à la personne concernée si cela risque de compromettre d'une quelconque manière la finalité de la limitation. Tel est le cas, en particulier, des limitations des droits prévus aux articles 16 et 35 du règlement (UE) 2018/1725.

(14)

La Commission devrait réexaminer à intervalles réguliers les limitations imposées afin de veiller à ce que les droits de la personne concernée à être informée conformément aux articles 16 et 35 du règlement (UE) 2018/1725 ne soient limités qu'aussi longtemps que ces limitations sont nécessaires pour permettre à la Commission de mener ses enquêtes en matière de défense commerciale.

(15)	Lorsque d'autres droits des personnes concernées sont limités, le responsable du traitement devrait évaluer au cas par cas si la communication de la limitation risque de compromettre sa finalité.

(16)	Le délégué à la protection des données de la Commission européenne devrait procéder à un réexamen indépendant de l'application des limitations afin de garantir le respect de la présente décision.

(17)

Le règlement (UE) 2018/1725 remplace le règlement (CE) no 45/2001, sans période de transition, à compter de la date de son entrée en vigueur. La possibilité d'appliquer des limitations à certains droits des personnes concernées a été prévue par le règlement (CE) no 45/2001. Afin d'éviter de mettre en péril la politique commerciale et la conduite des enquêtes en matière de défense commerciale, la présente décision devrait s'appliquer à partir de la date d'entrée en vigueur du règlement (UE) 2018/1725.

(18)	Le Contrôleur européen de la protection des données a rendu son avis le 30 novembre 2018,

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier

Objet et champ d'application

1. La présente décision établit les règles que la Commission doit suivre pour informer les personnes concernées, conformément aux articles 14, 15 et 16 du règlement (UE) 2018/1725, du fait que leurs données seront traitées dans le cadre de ses enquêtes en matière de politique commerciale et de défense commerciale.

Elle fixe également les conditions dans lesquelles la Commission peut limiter l'application des articles 4, 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725, conformément à l'article 25, paragraphe 1, points c), g) et h), dudit règlement.

2. La présente décision est applicable au traitement des données à caractère personnel par la Commission aux fins des activités, ou en rapport avec les activités, qu'elle exerce afin de s'acquitter des missions prévues par les règlements (UE) 2016/1036, (UE) 2016/1037, (UE) 2015/478 et (UE) 2015/755.

3. La présente décision est applicable au traitement des données à caractère personnel par l'ensemble des services de la Commission dans la mesure où ils traitent des données à caractère personnel contenues dans les informations qu'ils sont tenus de transmettre à la Commission ou des données à caractère personnel déjà traitées par cette dernière aux fins des activités visées au paragraphe 2 du présent article ou en rapport avec celles-ci.

Article 2

Exceptions et limitations applicables

1. Lorsque la Commission exerce ses fonctions en ce qui concerne les droits des personnes concernées en vertu du règlement (UE) 2018/1725, elle examine si l'une des exceptions établies dans ledit règlement s'applique.

2. Sous réserve des articles 3 à 7 de la présente décision, la Commission peut limiter l'application des articles 14 à 17, 19, 20 et 35 du règlement (UE) 2018/1725, ainsi que du principe de transparence établi à son article 4, paragraphe 1, point a), dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 17, 19, 20 et 35 dudit règlement, lorsque l'exercice de ces droits et obligations compromettrait la finalité des activités de politique commerciale et de défense commerciale de la Commission, ou porterait atteinte aux droits et libertés d'autres personnes concernées.

3. Sous réserve des articles 3 à 7 de la présente décision, la Commission peut limiter les droits et obligations visés au paragraphe 2 du présent article en ce qui concerne les données à caractère personnel obtenues auprès d'autres institutions, organes et organismes de l'Union, d'autorités compétentes des États membres ou de pays tiers ou d'organisations internationales, et ce dans les cas suivants:

lorsque l'exercice de ces droits et obligations pourrait être limité par d'autres institutions, organes et organismes de l'Union sur la base d'autres actes prévus à l'article 25 du règlement (UE) 2018/1725 ou conformément au chapitre IX dudit règlement, ou en conformité avec le règlement (UE) 2016/794 du Parlement européen et du Conseil (8) ou le règlement (UE) 2017/1939 du Conseil (9);

lorsque l'exercice de ces droits et obligations pourrait être limité par les autorités compétentes des États membres sur la base des actes visés à l'article 23 du règlement (UE) 2016/679 du Parlement européen et du Conseil (10), ou en vertu de mesures nationales transposant l'article 13, paragraphe 3, l'article 15, paragraphe 3, ou l'article 16, paragraphe 3, de la directive (UE) 2016/680 du Parlement européen et du Conseil (11);

c)	lorsque l'exercice de ces droits et obligations pourrait compromettre la coopération de la Commission avec des pays tiers ou des organisations internationales dans le cadre des enquêtes en matière de défense commerciale.

Avant d'appliquer des limitations dans les cas visés aux points a) et b) du premier alinéa, la Commission consulte les institutions, organes ou organismes concernés de l'Union ou les autorités compétentes des États membres à moins qu'il ne soit manifeste pour elle que l'application d'une limitation est prévue par l'un des actes visés à ces points.

Le point c) du premier alinéa ne s'applique pas lorsque les intérêts ou les libertés et droits fondamentaux des personnes concernées prévalent sur l'intérêt de la Commission à coopérer avec des pays tiers ou des organisations internationales.

4. Les paragraphes 1, 2 et 3 sont sans préjudice de l'application d'autres décisions de la Commission établissant des règles internes en ce qui concerne la communication d'informations aux personnes concernées et la limitation de certains droits en vertu de l'article 25 du règlement (UE) 2018/1725 et de l'article 23 du règlement intérieur de la Commission.

Article 3

Communication d'informations aux personnes concernées

1. La Commission publie sur son site internet un avis relatif à la protection des données informant toutes les personnes concernées de ses activités en matière de défense commerciale qui nécessitent un traitement de leurs données à caractère personnel. Le cas échéant, la Commission veille à ce que les personnes concernées soient informées individuellement dans un format approprié.

2. Lorsque la Commission limite, entièrement ou partiellement, la communication d'informations aux personnes concernées dont les données sont traitées aux fins d'une enquête de politique commerciale ou de défense commerciale, elle consigne dans un registre et enregistre les raisons de la limitation conformément à l'article 6.

Article 4

Droit d'accès des personnes concernées, droit d'effacement et droit à la limitation du traitement

1. Lorsque la Commission limite, entièrement ou partiellement, le droit d'accès des personnes concernées aux données à caractère personnel, le droit à l'effacement ou le droit à la limitation du traitement prévus respectivement aux articles 17, 19 et 20 du règlement (UE) 2018/1725, elle informe la personne concernée, dans sa réponse à la demande d'accès, d'effacement ou de limitation du traitement, de la limitation appliquée et de ses principales raisons, et de la possibilité d'introduire une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l'Union européenne.

2. La communication des informations concernant les raisons de la limitation visée au paragraphe 1 peut être différée, omise ou refusée aussi longtemps qu'elle porterait atteinte à la finalité de la limitation.

3. La Commission consigne dans un registre les raisons de la limitation conformément à l'article 6.

4. Lorsque le droit d'accès est entièrement ou partiellement limité, la personne concernée exerce son droit d'accès par l'intermédiaire du Contrôleur européen de la protection des données, conformément à l'article 25, paragraphes 6, 7 et 8, du règlement (UE) 2018/1725.

Article 5

Communication aux personnes concernées de violations de données à caractère personnel

Lorsque la Commission limite la communication à la personne concernée d'une violation de données à caractère personnel, telle que visée à l'article 35 du règlement (UE) 2018/1725, elle consigne dans un registre et enregistre les raisons de la limitation conformément à l'article 6 de la présente décision.

Article 6

Consignation dans un registre et enregistrement des limitations

1. La Commission consigne dans un registre les raisons de toute limitation appliquée conformément à la présente décision, y compris une évaluation de la nécessité et de la proportionnalité de la limitation, en prenant en compte les éléments pertinents figurant à l'article 25, paragraphe 2, du règlement (UE) 2018/1725.

À cette fin, il est indiqué dans le registre de quelle manière l'exercice du droit compromettrait la finalité des enquêtes en matière de politique commerciale et de défense commerciale, ou des limitations appliquées conformément à l'article 2, paragraphe 2 ou 3, ou porterait atteinte aux droits et libertés d'autres personnes concernées.

2. Le registre et, le cas échéant, les documents contenant les éléments de fait et de droit sous-jacents sont enregistrés. Ils sont mis à la disposition du Contrôleur européen de la protection des données si celui-ci en fait la demande.

Article 7

Durée des limitations

1. Les limitations visées aux articles 3, 4 et 5 continuent de s'appliquer aussi longtemps que les raisons qui les justifient demeurent applicables.

2. Lorsque les raisons d'une limitation visée à l'article 3 ou 5 cessent de s'appliquer, la Commission lève la limitation et communique les principales raisons de cette dernière à la personne concernée. Elle informe en même temps la personne concernée de la possibilité d'introduire à tout moment une réclamation auprès du Contrôleur européen de la protection des données ou de former un recours juridictionnel devant la Cour de justice de l'Union européenne.

3. La Commission réexamine l'application de la limitation visée aux articles 3 et 5 tous les six mois à compter de son adoption et à la clôture de l'enquête. Par la suite, la Commission/le responsable du traitement vérifie la nécessité du maintien de toute limitation/de tout report sur une base annuelle.

Article 8

Réexamen par le délégué à la protection des données de la Commission européenne

1. Le délégué à la protection des données est informé dans les meilleurs délais chaque fois que les droits de personnes concernées sont limités conformément à la présente décision. Il obtient sur demande l'accès au registre et à tout document contenant les éléments de fait et de droit sous-jacents.

2. Le délégué à la protection des données peut demander un réexamen de la limitation. Il est informé par écrit du résultat du réexamen demandé.

Article 9

Entrée en vigueur

La présente décision entre en vigueur le jour de sa publication au Journal officiel de l'Union européenne.

Elle est applicable à partir du 11 décembre 2018.

Fait à Bruxelles, le 14 décembre 2018.

Par la Commission

Le président

Jean-Claude JUNCKER

(1) Règlement (UE) 2015/478 du Parlement européen et du Conseil du 11 mars 2015 relatif au régime commun applicable aux importations (JO L 83 du 27.3.2015, p. 16).

(2) Règlement (UE) 2015/755 du Parlement européen et du Conseil du 29 avril 2015 relatif au régime commun applicable aux importations de certains pays tiers (JO L 123 du 19.5.2015, p. 33).

(3) Règlement (UE) 2016/1036 du Parlement européen et du Conseil du 8 juin 2016 relatif à la défense contre les importations qui font l'objet d'un dumping de la part de pays non membres de l'Union européenne (JO L 176 du 30.6.2016, p. 21).

(4) Règlement (UE) 2016/1037 du Parlement européen et du Conseil du 8 juin 2016 relatif à la défense contre les importations qui font l'objet de subventions de la part de pays non membres de l'Union européenne (JO L 176 du 30.6.2016, p. 55).

(5) Règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions, organes et organismes de l'Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (JO L 295 du 21.11.2018, p. 39).

(6) La conservation des dossiers au sein de la Commission est régie par la liste commune de conservation [la dernière version est le document SEC(2012) 713], un document à valeur réglementaire structuré comme un tableau de gestion qui définit la durée de conservation des différentes catégories de dossiers de la Commission.

(7) Règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (JO L 8 du 12.1.2001, p. 1).

(8) Règlement (UE) 2016/794 du Parlement européen et du Conseil du 11 mai 2016 relatif à l'Agence de l'Union européenne pour la coopération des services répressifs (Europol) et remplaçant et abrogeant les décisions du Conseil 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI et 2009/968/JAI (JO L 135 du 24.5.2016, p. 53).

(9) Règlement (UE) 2017/1939 du Conseil du 12 octobre 2017 mettant en œuvre une coopération renforcée concernant la création du Parquet européen (JO L 283 du 31.10.2017, p. 1).

(10) Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1).

(11) Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO L 119 du 4.5.2016, p. 89).