1.   Les États membres, les ports maritimes, les aéroports et les opérateurs de transport international présentent les informations figurant en annexe par voie d’affiches à l’intention des voyageurs en provenance de pays tiers à tous les points d’entrée dans l’Union, ou dans les moyens de transport y introduisant des produits.

Les États membres, les ports maritimes, les aéroports et les opérateurs de transport international peuvent également disposer les affiches mentionnées au premier alinéa aux points de départ de l’Union.

2.   Les opérateurs de services postaux et les opérateurs professionnels effectuant des ventes à distance mettent à la disposition de leurs clients, au moins sur l’internet, les informations figurant en annexe.

3.   Les informations figurant en annexe sont placées bien en évidence, physiquement et sur l’internet.

1.   La présente décision fixe les conditions dans lesquelles l’ENISA, dans le cadre de ses procédures visées au point 2, peut limiter l’application des droits consacrés aux articles 14 à 21, 35 et 36, ainsi qu’à l’article 4 des présentes, conformément à l’article 25 du règlement (UE) 2018/1725.

2.   La présente décision s’applique, dans le cadre du fonctionnement administratif de l’ENISA, aux opérations de traitement de données à caractère personnel effectuées par l’ENISA aux fins suivantes: mener des enquêtes administratives, des procédures disciplinaires, des activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF, traiter des cas de dénonciation des dysfonctionnements, des procédures (formelles et informelles) en cas de harcèlement, traiter des plaintes internes et externes, réaliser des audits internes, procéder à une évaluation des incidents de sécurité informatique conformément à l’article 7, paragraphe 4, du règlement (UE) 2019/881, confier la conduite d’enquêtes au délégué à la protection des données conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725, et mener des enquêtes de sécurité (informatique) en interne ou avec une participation externe (par exemple CERT-UE).

3.   Les catégories de données concernées sont des données vérifiables (les données «objectives», telles que les données d’identification, les coordonnées, les données professionnelles, les données administratives, les données provenant de sources spécifiques, les communications électroniques et les données relatives au trafic) et/ou des données non vérifiées (les données «subjectives» concernant le cas d’espèce, telles que la motivation, les données relatives au comportement, les appréciations, les performances et la conduite, et les données relatives à l’objet de la procédure ou de l’activité ou encore les données présentées dans le cadre de la procédure ou de l’activité).

4.   Lorsque l’ENISA exerce ses fonctions en ce qui concerne les droits des personnes concernées en vertu du règlement (UE) 2018/1725, elle examine si l’une des exceptions établies dans ledit règlement s’applique.

5.   Sous réserve des conditions énoncées dans la présente décision, les limitations peuvent s’appliquer aux droits ci-après: la communication d’informations à des personnes concernées, le droit d’accès, de rectification, d’effacement, de limitation du traitement, de communication à la personne concernée d’une violation de ses données à caractère personnel ou le droit relatif à la confidentialité des communications.

1.   Les garanties mises en place pour éviter les violations de données, les fuites ou la divulgation non autorisée sont les suivantes:

2.   Le responsable du traitement est l’ENISA, représentée par son directeur exécutif, qui peut déléguer la fonction de responsable du traitement. Les personnes concernées sont informées de la délégation de la fonction de responsable du traitement au moyen des avis ou registres relatifs à la protection des données publiés sur le site web et/ou l’intranet de l’ENISA.

3.   La durée de conservation des données à caractère personnel visées à l’article 1, paragraphe 3, n’est pas plus longue que nécessaire et elle est appropriée aux finalités pour lesquelles ces données sont traitées. En tout état de cause, elle ne dépasse pas la durée de conservation spécifiée dans les avis relatifs à la protection de données, les déclarations de confidentialité ou les registres mentionnés à l’article 5, paragraphe 1.

4.   Lorsque L’ENISA envisage d’appliquer une limitation, le risque pour les droits et libertés de la personne concernée doit être mis en balance, en particulier, avec le risque pour les droits et libertés d’autres personnes concernées et le risque de priver d’effet les enquêtes ou procédures de l’ENISA, notamment par la destruction de preuves. Les risques pour les droits et libertés de la personne concernée concernent principalement, mais pas seulement, les risques pour la réputation et les risques pour les droits de la défense et le droit d’être entendu.

1.   L’ENISA n’appliquera une limitation que pour sauvegarder:

2.   L’évaluation des incidents de sécurité informatique effectuée par l’ENISA conformément à l’article 7, paragraphe 4, du règlement (UE) 2019/881 (le règlement sur la cybersécurité) relève du paragraphe 1, point b), du présent article.

3.   Aux fins spécifiques de l’application des finalités énoncées au paragraphe 1 ci-dessus, l’ENISA peut appliquer des limitations en ce qui concerne les données à caractère personnel échangées avec les services de la Commission ou d’autres institutions, organes et organismes de l’Union, les autorités compétentes des États membres ou de pays tiers ou les organisations internationales, dans les circonstances suivantes:

Avant d’appliquer des limitations dans les cas visés aux points a) et b) du premier alinéa, l’ENISA consulte les services compétents de la Commission, les institutions, organes et organismes de l’Union ou les autorités compétentes des États membres à moins qu’il ne soit clair pour l’ENISA que l’application d’une limitation est prévue par l’un des actes visés à ces points.

4.   Toute limitation est nécessaire et proportionnée au regard des risques pour les droits et libertés des personnes concernées et respecte le contenu essentiel des libertés et droits fondamentaux dans une société démocratique.

5.   Si l’application de limitations est envisagée, une évaluation de la nécessité et de la proportionnalité est effectuée sur la base des règles en vigueur. Le résultat de cette évaluation est consigné dans une note d’évaluation interne, afin de rendre compte, au cas par cas, des limitations considérées.

6.   Les limitations sont levées dès que les circonstances qui les justifient cessent d’exister, en particulier, lorsqu’il est considéré que l’exercice du droit limité ne priverait plus d’effet la limitation imposée ou ne porterait plus atteinte aux droits ou aux libertés d’autres personnes concernées.

1.   L’ENISA informe, sans retard injustifié, le délégué à la protection des données de l’Agence (le «DPD») chaque fois que le responsable du traitement limite l’application des droits des personnes concernées, ou étend la limitation, conformément à la présente décision. Le responsable du traitement accorde au DPD un accès au registre contenant l’évaluation de la nécessité et de la proportionnalité de la limitation, et consigne la date à laquelle le DPD a été informé dans le registre. L’ENISA associe le DPD à toutes les procédures pertinentes et la participation du DPD est documentée.

2.   Le DPD peut demander au responsable du traitement, par écrit, de réexaminer l’application des limitations. Le responsable du traitement informe le DPD par écrit du résultat du réexamen demandé.

3.   Le responsable du traitement informe le DPD lorsque la limitation a été levée.

1.   Dans des cas dûment justifiés et dans les conditions stipulées dans la présente décision, le droit à l’information peut être limité par le responsable du traitement dans le cadre des opérations de traitement suivantes:

L’ENISA inclut dans les avis relatifs à la protection des données, les déclarations de confidentialité ou les registres, au sens de l’article 31 du règlement (UE) 2018/1725, publiés sur son site web et/ou sur l’intranet pour informer les personnes concernées de leurs droits dans le cadre d’une procédure donnée, des informations relatives à la limitation potentielle de ces droits. Ces informations portent sur les droits susceptibles d’être limités, les motifs de la limitation ainsi que sa durée potentielle.

2.   En outre, sans préjudice des dispositions du paragraphe 3 du présent article, l’ENISA informe individuellement, lorsque cela est proportionné, toutes les personnes concernées, qui sont considérées comme des personnes concernées par l’opération de traitement spécifique, de leurs droits au regard des limitations actuelles ou futures, sans retard injustifié et par écrit.

3.   Lorsque l’ENISA limite, en tout ou en partie, la communication d’informations aux personnes concernées visées au paragraphe 2 du présent article, elle consigne dans un relevé les motifs de la limitation et la base juridique de la limitation conformément à l’article 3 de la présente décision, accompagnés d’une évaluation de la nécessité et de la proportionnalité de la limitation.

Le relevé et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont consignés dans un registre. Ils sont mis à la disposition du Contrôleur européen de la protection des données si celui-ci en fait la demande.

4.   La limitation visée au paragraphe 3 du présent article continue de s’appliquer tant que les raisons la justifiant persistent.

Lorsque les raisons de la limitation ne s’appliquent plus, l’ENISA fournit des informations à la personne concernée sur les principales raisons sur lesquelles l’application d’une limitation est fondée. Dans le même temps, l’ENISA informe la personne concernée de son droit de saisir le Contrôleur européen de la protection des données à tout moment ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

L’ENISA examine l’application de la limitation tous les six mois à compter de son adoption et à la clôture de l’enquête ou de la procédure en question. Par la suite, le responsable du traitement vérifie la nécessité de maintenir la limitation tous les six mois.

1.   Dans des cas dûment justifiés et dans les conditions stipulées dans la présente décision, le droit d’accès peut être limité par le responsable du traitement dans le cadre des opérations de traitement suivantes, lorsque cela est nécessaire et proportionné:

Dans les cas où les personnes concernées demandent à accéder à leurs données à caractère personnel traitées dans le cadre d’un ou de plusieurs cas spécifiques ou d’une opération de traitement particulière, conformément à l’article 17 du règlement (UE) 2018/1725, l’ENISA limite son examen de la demande à ces seules données à caractère personnel.

2.   Lorsque l’ENISA limite, en tout ou en partie, le droit d’accès visé à l’article 17 du règlement (UE) 2018/1725, elle prend les mesures suivantes:

La communication des informations visées au point a) peut être différée, omise ou refusée si elle prive d’effet la limitation conformément à l’article 25, paragraphe 8, du règlement (UE) 2018/1725.

L’ENISA examine l’application de la limitation tous les six mois à compter de son adoption et à la clôture de l’enquête en question. Par la suite, le responsable du traitement vérifie la nécessité de maintenir la limitation tous les six mois.

3.   Le relevé et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont consignés dans un registre. Ils sont mis à la disposition du Contrôleur européen de la protection des données si celui-ci en fait la demande.

1.   Dans des cas dûment justifiés et dans les conditions stipulées dans la présente décision, le droit de rectification, d’effacement et de limitation peut être limité par le responsable du traitement dans le cadre des opérations de traitement suivantes, lorsque cela est nécessaire et proportionné:

2.   Dans le cas où l’ENISA limite, en tout ou en partie, l’application du droit de rectification, du droit à l’effacement ou du droit à la limitation du traitement, visés aux articles 18, 19, paragraphe 1, et 20, paragraphe 1, du règlement (UE) 2018/1725, elle prend les mesures visées à l’article 6, paragraphe 2, de la présente décision et conformément à son article 6, paragraphe 3.

1.   Dans des cas dûment justifiés et dans les conditions stipulées dans la présente décision, le droit à la communication d’une violation de données à caractère personnel peut être limité par le responsable du traitement dans le cadre des opérations de traitement suivantes, lorsque cela est nécessaire et proportionné:

2.   Dans des cas dûment justifiés et dans les conditions stipulées dans la présente décision, le droit à la confidentialité des communications électroniques peut être limité par le responsable du traitement dans le cadre des opérations de traitement suivantes, lorsque cela est nécessaire et proportionné:

3.   Dans le cas où l’ENISA limite la communication d’une violation de données à caractère personnel à la personne concernée ou la confidentialité de communications électroniques visées aux articles 35 et 36 du règlement (UE) 2018/1725, elle applique les dispositions de l’article 5, paragraphe 3, de la présente décision. L’article 5, paragraphe 4, de la présente décision s’applique.

1.   La présente décision établit les règles relatives aux conditions dans lesquelles Fusion for Energy peut, dans le cadre des procédures définies au paragraphe 2, limiter l’application des droits inscrits aux articles 14 à 21, 35 et 36, ainsi qu’à l’article 4, du règlement (UE) 2018/1725, en vertu de son article 25.

2.   La présente décision s’applique, dans le cadre du fonctionnement administratif de Fusion for Energy, aux opérations de traitement de données à caractère personnel effectuées par Fusion for Energy aux fins suivantes: mener des enquêtes administratives et des procédures disciplinaires, réaliser des activités préliminaires liées à des cas d’irrégularités potentielles signalés à l’OLAF, traiter des cas de dénonciation des dysfonctionnements, traiter des procédures (formelles et informelles) en cas de harcèlement, traiter des plaintes internes et externes, traiter des données médicales, réaliser des audits internes, confier la conduite d’enquêtes au délégué à la protection des données, conformément à l’article 45, paragraphe 2, du règlement (UE) 2018/1725, et mener des enquêtes de sécurité (informatique) en interne ou avec une participation externe (p. ex. CERT-UE).

La présente décision s’applique aussi aux activités d’assistance et de coopération fournies par Fusion for Energy aux autorités nationales et organisations internationales en dehors de ses enquêtes administratives.

En outre, la présente décision s’applique aux activités liées à la coopération avec les institutions et organes de l’Union européenne, ainsi qu’à la transmission à ceux-ci d’informations concernant une enquête administrative ou une procédure disciplinaire, lorsque ces informations sont nécessaires pour que le destinataire puisse évaluer les motifs de l’ouverture d’une enquête ou d’une procédure formelle.

3.   Les catégories de données concernées sont les données vérifiées (données «objectives», telles que les données d’identification, coordonnées, données professionnelles, données administratives, données provenant de sources spécifiques, communications électroniques et données relatives au trafic) et/ou les données non vérifiées (les données «subjectives» relatives à l’affaire, telles que le raisonnement, les données comportementales, les évaluations, les données relatives à la performance et à la conduite, ainsi que les données touchant à l’objet de la procédure ou de l’activité, ou soumises en rapport avec celui-ci).

4.   Lorsque Fusion for Energy exerce ses fonctions en ce qui concerne les droits des personnes concernées en vertu du règlement (UE) 2018/1725, elle examine si l’une des dérogations établies dans ledit règlement s’applique.

5.   Sous réserve des conditions énoncées dans la présente décision, les limitations peuvent s’appliquer aux droits suivants: la communication d’informations aux personnes concernées, le droit d’accès, de rectification, le droit à l’effacement, à la limitation du traitement, à la communication d’une violation de données à caractère personnel à la personne concernée ou à la confidentialité des communications.

1.   Les garanties mises en place pour éviter les violations, les fuites ou la divulgation non autorisée de données sont les suivantes:

2.   Fusion for Energy fait office de responsable des opérations de traitement; elle est représentée par son directeur, qui peut déléguer la fonction de responsable du traitement. Les personnes concernées sont informées de la délégation de la fonction de responsable du traitement au moyen des avis ou registres relatifs à la protection des données publiés sur le site web et/ou l’intranet de Fusion for Energy.

3.   La durée de conservation des données à caractère personnel visées à l’article 1, paragraphe 3 n’est pas plus longue que nécessaire et appropriée aux finalités pour lesquelles ces données sont traitées. En tout état de cause, elle ne dépasse pas la durée de conservation spécifiée dans les avis relatifs à la protection de données, les déclarations de confidentialité ou les registres mentionnés à l’article 5, paragraphe 1.

4.   Lorsque Fusion for Energy envisage d’appliquer une limitation, le risque pour les droits et libertés de la personne concernée doit être mis en balance, en particulier, avec le risque pour les droits et libertés d’autres personnes concernées et le risque de priver d’effet les enquêtes ou procédures de Fusion for Energy, notamment par la destruction de preuves. Les risques pour les droits et libertés d’autres personnes concernées concernent principalement, mais pas seulement, les risques pour la réputation et les risques pour les droits de la défense et le droit d’être entendu.

1.   Fusion for Energy n’appliquera une limitation que pour sauvegarder:

2.   Aux fins spécifiques de l’application des finalités énoncées au paragraphe 1 ci-dessus, Fusion for Energy peut appliquer des limitations en ce qui concerne les données à caractère personnel échangées avec les services de la Commission ou d’autres institutions, organes et organismes de l’Union, les autorités compétentes des États membres ou de pays tiers ou les organisations internationales, dans les circonstances suivantes:

Avant d’appliquer des limitations dans les cas visés aux points a) et b) du premier alinéa, Fusion for Energy consulte les services compétents de la Commission, les institutions, organes et organismes concernés de l’Union ou les autorités compétentes des États membres, à moins qu’il ne soit manifeste pour Fusion for Energy que l’application d’une limitation est prévue par l’un des actes visés à ces points.

3.   Toute limitation est nécessaire et proportionnée au regard des risques pour les droits et libertés des personnes concernées et respecte l’essence des libertés et droits fondamentaux dans une société démocratique.

4.   Si l’application de limitations est envisagée, une évaluation de la nécessité et de la proportionnalité est effectuée sur la base des règles en vigueur. Le résultat de cette évaluation est consigné dans une note d’évaluation interne, afin de rendre compte, au cas par cas, des limitations considérées.

5.   Les limitations sont levées dès que les circonstances qui les justifient cessent d’exister, en particulier lorsqu’il est considéré que l’exercice du droit limité ne priverait plus d’effet la limitation imposée ou ne porterait plus atteinte aux droits ou aux libertés d’autres personnes concernées.

1.   Fusion for Energy (le responsable du traitement) informe, sans retard injustifié, son délégué à la protection des données (le «DPD») chaque fois que le responsable du traitement limite l’application des droits des personnes concernées, ou étend la limitation, conformément à la présente décision. Le responsable du traitement accorde au DPD un accès au registre contenant l’évaluation de la nécessité et de la proportionnalité de la limitation, et consigne la date à laquelle le DPD a été informé dans le registre.

2.   Le DPD peut demander au responsable du traitement, par écrit, de réexaminer l’application des limitations. Le responsable du traitement informe le DPD par écrit du résultat du réexamen demandé.

3.   Le responsable du traitement informe le DPD lorsque la limitation a été levée.

1.   Dans des cas dûment justifiés et dans les conditions visées dans la présente décision, le droit à l’information peut être limité par le responsable du traitement dans le cadre des opérations de traitement suivantes:

Fusion for Energy inclut dans les avis relatifs à la protection des données, les déclarations de confidentialité ou les registres, au sens de l’article 31 du règlement (UE) 2018/1725, publiés sur son site web et/ou sur l’intranet pour informer les personnes concernées de leurs droits dans le cadre d’une procédure donnée, des informations relatives à la limitation potentielle de ces droits. Les informations portent sur les droits susceptibles de faire l’objet de limitations.

2.   Sans préjudice des dispositions du paragraphe 3, Fusion for Energy informe individuellement, lorsque cela est proportionné, toutes les personnes concernées, qui sont considérées comme des personnes concernées par l’opération de traitement spécifique, de leurs droits au regard des limitations actuelles ou futures, sans retard injustifié et par écrit.

3.   Lorsque Fusion for Energy limite, en tout ou en partie, la communication d’informations aux personnes concernées visées au paragraphe 2, elle consigne les motifs et la base juridique de la limitation, conformément à l’article 3 de la présente décision, accompagnés d’une évaluation de sa nécessité et de sa proportionnalité.

Le relevé et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont consignés dans un registre. Ils sont mis à la disposition du Contrôleur européen de la protection des données sur demande.

4.   La limitation visée au paragraphe 3 continue de s’appliquer tant que les raisons la justifiant persistent.

Fusion for Energy informe la personne concernée des principales raisons qui motivent l’application d’une limitation. Dans le même temps, Fusion for Energy informe la personne concernée de son droit de déposer une réclamation auprès du Contrôleur européen de la protection des données à tout moment ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

Fusion for Energy examine l’application de la limitation tous les six mois à compter de son adoption et à la clôture de l’enquête ou de la procédure en question. Par la suite, le responsable du traitement vérifie la nécessité de maintenir la limitation tous les six mois.

1.   Dans des cas dûment justifiés et dans les conditions visées dans la présente décision, le droit d’accès peut être limité par le responsable du traitement dans le cadre des opérations de traitement suivantes, lorsque cela est nécessaire et proportionné:

Lorsque les personnes concernées demandent à accéder à leurs données à caractère personnel traitées dans le cadre d’un ou de plusieurs cas spécifiques ou d’une opération de traitement particulière, conformément à l’article 17 du règlement (UE) 2018/1725, Fusion for Energy limite son examen de la demande à ces seules données à caractère personnel.

2.   Lorsque Fusion for Energy limite, en tout ou en partie, le droit d’accès visé à l’article 17 du règlement (UE) 2018/1725, elle prend les mesures suivantes:

La communication des informations visées au point a) peut être différée, omise ou refusée si elle prive d’effet la limitation conformément à l’article 25, paragraphe 8, du règlement (UE) 2018/1725.

Fusion for Energy examine l’application de la limitation tous les six mois à compter de son adoption et à la clôture de l’enquête ou de la procédure en question. Par la suite, le responsable du traitement vérifie la nécessité de maintenir la limitation tous les six mois.

3.   Le relevé et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont consignés dans un registre. Ils sont mis à la disposition du Contrôleur européen de la protection des données sur demande.

1.   Dans des cas dûment justifiés et dans les conditions visées dans la présente décision, le droit de rectification, d’effacement et de limitation peut être limité par le responsable du traitement dans le cadre des opérations de traitement suivantes, lorsque cela est nécessaire et proportionné:

2.   Dans le cas où Fusion for Energy limite, en tout ou en partie, l’application du droit de rectification, du droit à l’effacement et du droit à la limitation du traitement prévus à l’article 18, à l’article 19, paragraphe 1, et à l’article 20, paragraphe 1, du règlement (UE) 2018/1725, l’article 6, paragraphes 2 et 3, de la présente décision s’applique.

1.   Dans des cas dûment justifiés et dans les conditions stipulées dans la présente décision, le droit à la communication d’une violation de données à caractère personnel peut être limité par le responsable du traitement dans le cadre des opérations de traitement suivantes, lorsque cela est nécessaire et proportionné:

2.   Dans des cas dûment justifiés et dans les conditions visées dans la présente décision, le droit à la confidentialité des communications électroniques peut être limité par le responsable du traitement dans le cadre des opérations de traitement suivantes, lorsque cela est nécessaire et proportionné:

3.   Dans le cas où Fusion for Energy limite la communication d’une violation de données à caractère personnel à la personne concernée ou la confidentialité de communications électroniques visées aux articles 35 et 36 du règlement (UE) 2018/1725, l’article 5, paragraphes 3 et 4, de la présente décision s’applique.