Règlement intérieur (UE) 2023/2717

Journal officiel
de l'Union européenne

Séries L

2023/2717

5.12.2023

DÉCISION DE LA BANQUE EUROPÉENNE D’INVESTISSEMENT

du 9 octobre 2023

établissant les règles internes régissant le traitement des données à caractère personnel par la direction des ressources humaines de la Banque européenne d’investissement en ce qui concerne la communication d’informations aux personnes concernées et la limitation de certains de leurs droits [2023/2717]

LA BANQUE EUROPÉENNE D’INVESTISSEMENT (BEI),

vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 309,

vu le règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (1),

considérant ce qui suit:

(1)

Au titre de l’article 38 des règlements du personnel I et II de la BEI, les membres du personnel qui manquent à leurs obligations vis-à-vis de la BEI sont passibles de mesures disciplinaires conformément à la procédure prévue à l’article 40 desdits règlements. Au titre de l’article 41 des règlements du personnel I et II de la BEI, les membres du personnel peuvent introduire une demande de recours contre un acte leur faisant grief. Dans le cadre de cette demande, la BEI peut, dans certains cas, proposer de rechercher un règlement à l’amiable avec le membre du personnel devant la Commission de conciliation. Les modalités de mise en œuvre du recours administratif définissent plus précisément le champ d’application du mécanisme de recours administratif ainsi que la procédure à suivre. Conformément à la politique de la BEI en matière de respect de la dignité de la personne au travail, la BEI doit traiter les plaintes pour harcèlement.

(2)

L’organisation et la gestion des procédures énoncées aux articles 40 et 41 des règlements du personnel I et II de la BEI, ainsi que dans la politique de la BEI en matière de respect de la dignité de la personne au travail et dans les modalités de mise en œuvre du recours administratif, relèvent de la responsabilité première de la direction des ressources humaines de la BEI.

(3)

Dans l’exercice de ses missions, la direction des ressources humaines a le devoir de respecter les droits des personnes physiques relatifs au traitement des données à caractère personnel consacrés par l’article 8, paragraphe 1, de la charte des droits fondamentaux de l’Union européenne et par l’article 16, paragraphe 1, du traité sur le fonctionnement de l’Union européenne, ainsi que par les actes juridiques fondés sur ces dispositions. Dans le même temps, la direction des ressources humaines est tenue de se conformer aux règles strictes de confidentialité et de secret professionnel prévues dans les règlements du personnel de la BEI et le code de conduite du personnel de la BEI et de veiller au respect des droits procéduraux des personnes concernées et des témoins, en particulier du droit des personnes concernées à un procès équitable, des droits de la défense et de la présomption d’innocence.

(4)

Dans certains cas, il est nécessaire de concilier les droits des personnes concernées prévus dans le règlement (UE) 2018/1725 avec les objectifs et les besoins des missions de la direction des ressources humaines, ainsi qu’avec le plein respect des droits fondamentaux et libertés des autres personnes concernées. À cet effet, l’article 25 dudit règlement confère à la direction des ressources humaines la possibilité de limiter l’application des articles 14 à 21 et de l’article 35, ainsi que de l’article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 21.

(5)

Afin de garantir l’efficacité des procédures mises en œuvre par la commission disciplinaire établie en application de l’article 40 des règlements du personnel I et II, par le service chargé du recours administratif conformément à l’article 41 des règlements du personnel I et II et, le cas échéant, par la commission de conciliation mise en place pour rechercher un arrangement à l’amiable, ainsi que par le panel de la dignité au travail institué en application de la politique de la BEI en matière de respect de la dignité de la personne au travail, tout en respectant les normes de protection des données à caractère personnel en vertu du règlement (UE) 2018/1725, il y a lieu d’adopter des règles internes en vertu desquelles la direction des ressources humaines peut limiter les droits des personnes concernées conformément à l’article 25, paragraphe 1, points c), g) et h), du règlement (UE) 2018/1725.

(6)

Les règles internes devraient s’appliquer à toutes les opérations de traitement effectuées par la direction des ressources humaines dans l’exercice de son mandat conformément aux dispositions des articles 40 et 41 des règlements du personnel I et II de la BEI et à la politique de la BEI en matière de respect de la dignité de la personne au travail. Ces règles devraient s’appliquer aux opérations de traitement effectuées avant l’ouverture des procédures menées par la commission disciplinaire, le service chargé du recours administratif et (ou) la commission de conciliation et le panel de la dignité au travail, pendant que ces procédures sont en cours et lors du suivi des résultats de ces procédures.

(7)

Pour se conformer aux articles 14, 15 et 16 du règlement (UE) 2018/1725, le/la responsable du traitement des données devrait informer toutes les personnes de ses activités nécessitant un traitement de leurs données à caractère personnel et de leurs droits, de manière transparente et cohérente, en publiant des avis relatifs à la protection des données sur le site intranet de la BEI, et informer individuellement les personnes concernées par ses activités (à savoir les personnes concernées, les parties et les témoins).

(8)

En outre, en vue de préserver l’efficacité de la coopération, la direction des ressources humaines peut être amenée à appliquer des limitations aux droits des personnes concernées afin de protéger des informations contenant des données à caractère personnel provenant d’autres institutions, organes ou organismes de l’Union européenne, d’autorités compétentes d’États membres ou de pays tiers, ainsi que d’organisations internationales. À cet effet, la direction des ressources humaines devrait consulter ces autres institutions, organes ou organismes de l’Union européenne, autorités et organisations internationales au sujet des motifs justifiant l’application de limitations, et de la nécessité et de la proportionnalité de ces dernières.

(9)	La direction des ressources humaines devrait traiter toutes les limitations de manière transparente et consigner chaque cas de limitation dans le système d’enregistrement correspondant.

(10)

En vertu de l’article 25, paragraphe 8, du règlement (UE) 2018/1725, les responsables du traitement des données peuvent différer, omettre ou refuser la communication des motifs de l’application d’une limitation à la personne concernée, lorsque cette communication est susceptible de priver d’effet la limitation. Cela est notamment le cas des limitations aux droits prévus aux articles 16 et 35 du règlement (UE) 2018/1725. Afin de garantir que le droit de la personne concernée à être informée conformément aux articles 16 et 35 du règlement (UE) 2018/1725 n’est limité que tant que les motifs d’un report de communication subsistent, la direction des ressources humaines devrait régulièrement réexaminer sa position.

(11)	Dès lors qu’une limitation des droits des autres personnes concernées est appliquée, la direction des ressources humaines devrait évaluer, au cas par cas, si la communication de la limitation risque de la priver d’effet.

(12)	Le/La délégué(e) à la protection des données (DPD) de la BEI peut procéder à un examen indépendant de l’application des limitations, en vue d’assurer le respect de la présente décision,

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier

Objet et champ d’application

1. La présente décision établit les règles à suivre par le/la responsable du traitement des données, au sens de l’article 2, paragraphe 1, afin d’informer les personnes concernées du traitement de leurs données conformément aux articles 14, 15 et 16 du règlement (UE) 2018/1725.

Elle établit en outre les conditions dans lesquelles le/la responsable du traitement des données en question peut limiter l’application de l’article 4, des articles 14 à 21 et de l’article 35 du règlement, conformément à l’article 25, paragraphe 1, points c), g) et h), dudit règlement.

2. La présente décision s’applique aux opérations de traitement des données à caractère personnel effectuées par la direction des ressources humaines aux fins des activités qu’elle mène pour s’acquitter des tâches visées dans les articles 40 et 41 des règlements du personnel I et II de la BEI ainsi que dans la politique de la BEI en matière de respect de la dignité de la personne au travail et leurs modifications ultérieures, ou en relation avec ces activités.

3. Dans le cadre de son mandat, la direction des ressources humaines traite plusieurs catégories de données à caractère personnel, en particulier des données d’identification, données professionnelles, données de contact et données relatives au rôle joué dans l’affaire.

Article 2

Détermination du/de la responsable du traitement des données et mesures de sauvegarde

1. Le/La responsable du traitement des données est le directeur général/la directrice générale des ressources humaines.

2. Les données à caractère personnel sont conservées dans un environnement électronique et physique sécurisé qui empêche leur consultation ou transfert illicite par ou à des personnes qui n’ont pas besoin d’en connaître.

3. Les données à caractère personnel traitées sont conservées pendant une durée de six mois au minimum à compter du point de départ défini dans le calendrier de conservation. Plus d’informations sur la durée exacte des délais de conservation par procédure peuvent être obtenues en consultant le calendrier de conservation de la direction des ressources humaines.

Article 3

Exceptions et limitations applicables

1. Lorsque la direction des ressources humaines s’acquitte de ses devoirs au regard des droits des personnes concernées en vertu du règlement (UE) 2018/1725, elle examine la question de savoir si l’une des exceptions prévues par ledit règlement s’applique.

2. Sous réserve des dispositions des articles 4 à 7 de la présente décision, la direction des ressources humaines peut limiter l’application des articles 14 à 21 et de l’article 35 du règlement (UE) 2018/1725, ainsi que de l’article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 22 dudit règlement, dans le cas où l’exercice de ces droits et obligations compromettrait la finalité des procédures énoncées aux articles 40 et 41 des règlements du personnel I et II de la BEI ainsi que dans la politique de la BEI en matière de respect de la dignité de la personne au travail, ou porterait atteinte aux droits et libertés d’autres personnes concernées.

3. Sous réserve des dispositions des articles 4 à 7 de la présente décision, la direction des ressources humaines peut limiter les droits et obligations visés au paragraphe 2 du présent article en ce qui concerne les données à caractère personnel obtenues auprès d’autres institutions, organes ou organismes de l’Union européenne, d’autorités compétentes d’États membres ou d’organisations internationales, dans les cas suivants:

a)	lorsque l’exercice de ces droits et obligations pourrait être limité par d’autres institutions, organes ou organismes de l’Union européenne sur la base d’autres actes prévus à l’article 25 du règlement ou conformément au chapitre IX dudit règlement;

lorsque l’exercice de ces droits et obligations pourrait être limité par les autorités compétentes des États membres sur la base des actes visés à l’article 23 du règlement (UE) 2016/679 du Parlement européen et du Conseil (2), ou en vertu de mesures nationales transposant l’article 13, paragraphe 3, l’article 15, paragraphe 3, ou l’article 16, paragraphe 3, de la directive (UE) 2016/680 du Parlement européen et du Conseil (3);

c)	lorsque l’exercice de ces droits et obligations risque de compromettre la coopération de la direction des ressources humaines avec des pays tiers ou des organisations internationales dans l’accomplissement de ses missions.

Avant d’appliquer des limitations dans les cas visés aux points a) et b) du premier alinéa, la direction des ressources humaines consulte les institutions, organes ou organismes compétents de l’Union européenne ou les autorités compétentes des États membres, à moins qu’il ne soit clair pour la direction des ressources humaines que l’application d’une limitation est prévue par l’un des actes visés à ces points.

Le point c) du premier alinéa ne s’applique pas lorsque les intérêts ou les libertés et droits fondamentaux des personnes concernées prévalent sur l’intérêt de l’Union européenne à coopérer avec des pays tiers ou des organisations internationales.

4. Les paragraphes 1, 2 et 3 sont sans préjudice de l’application d’autres décisions de la BEI (4) établissant des règles internes en ce qui concerne la communication d’informations aux personnes concernées et la limitation de certains droits en vertu de l’article 25 du règlement (UE) 2018/1725.

Article 4

Communication d’informations aux personnes concernées

1. La direction des ressources humaines publie sur le site intranet de la BEI des avis relatifs à la protection des données qui informent toutes les personnes concernées de ses activités nécessitant un traitement de leurs données à caractère personnel, y compris un avis général relatif à la protection des données concernant les éventuelles limitations de leurs droits. Ces informations portent sur les droits susceptibles d’être limités, les motifs pour lesquels des limitations peuvent s’appliquer, ainsi que leur durée potentielle.

2. La direction des ressources humaines informe individuellement les personnes concernées qui sont parties à une procédure, concernées par une procédure ou témoins, au moyen d’un avis spécifique relatif à la protection des données comprenant des informations sur les droits susceptibles d’être limités, les motifs de la limitation et sa durée potentielle.

3. Lorsque la direction des ressources humaines limite, totalement ou partiellement, la communication d’informations aux personnes concernées visées au paragraphe 2, elle consigne dans un relevé les motifs de la limitation, assortis d’une évaluation de sa nécessité et de sa proportionnalité. Cette évaluation contient également des informations sur les risques pour la procédure concernée et pour les droits et libertés des personnes concernées.

En particulier, le relevé indique de quelle manière la communication d’informations annulerait l’effet des limitations appliquées conformément à l’article 3, paragraphes 2 et 3, ou porterait atteinte aux droits et libertés d’autres personnes concernées.

Le relevé et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont enregistrés. Ils sont mis à la disposition du Contrôleur européen de la protection des données (CEPD) sur demande.

4. Les limitations visées au paragraphe 3 continuent de s’appliquer tant que les motifs les justifiant subsistent.

Lorsque les raisons justifiant ces limitations cessent d’exister, la direction des ressources humaines fournit à la personne concernée les informations en question et les motifs de la limitation. Dans le même temps, la direction des ressources humaines informe la personne concernée de la possibilité de déposer plainte auprès du CEPD à tout moment ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne.

La direction des ressources humaines examine l’application de la limitation au moins tous les six mois à compter de son adoption et à la clôture de la procédure en question. Par la suite, le/la responsable du traitement des données vérifie tous les six mois la nécessité de maintenir la limitation.

Article 5

Droit d’accès de la personne concernée

1. Lorsque la direction des ressources humaines limite, totalement ou partiellement, le droit d’accès visé à l’article 17 du règlement (UE) 2018/1725, elle prend les mesures suivantes:

elle informe la personne concernée, dans sa réponse à la demande d’accès, de la limitation appliquée, des principales raisons qui la motivent, de la durée de la limitation ainsi que de la possibilité d’introduire une plainte auprès du CEPD ou de former un recours juridictionnel devant la Cour de justice de l’Union européenne;

elle consigne dans un relevé les motifs de la limitation, assortis d’une évaluation de sa nécessité et de sa proportionnalité; à cette fin, le relevé indique de quelle manière l’accès aux informations et l’exercice du droit concerné compromettraient la finalité de la procédure en question ou annuleraient l’effet des limitations appliquées conformément à l’article 3, paragraphes 2 et 3, ou porteraient atteinte aux droits et libertés d’autres personnes concernées.

La communication des informations visées au point a) peut être différée, omise ou refusée conformément à l’article 25, paragraphe 8, du règlement (UE) 2018/1725.

2. Le relevé mentionné au paragraphe 2, premier alinéa, point b), et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont enregistrés. Ils sont mis à la disposition du CEPD sur demande. L’article 25, paragraphe 7, du règlement (UE) 2018/1725 s’applique.

3. Les limitations visées au paragraphe 1 continuent de s’appliquer tant que les motifs les justifiant subsistent.

Article 6

Droit de rectification, droit à l’effacement et droit à la limitation du traitement

Dans le cas où la direction des ressources humaines limite, totalement ou partiellement, l’application du droit de rectification, du droit à l’effacement ou du droit à la limitation du traitement, visés à l’article 18, à l’article 19, paragraphe 1, et à l’article 20, paragraphe 1, du règlement (UE) 2018/1725, elle prend les mesures visées à l’article 5, paragraphes 2 et 3, de la présente décision.

Article 7

Communication à la personne concernée d’une violation de données à caractère personnel

Dans le cas où la direction des ressources humaines limite la communication d’une violation de données à caractère personnel à la personne concernée, visée à l’article 35 du règlement (UE) 2018/1725, elle consigne et enregistre les motifs de cette limitation conformément à l’article 4, paragraphe 3, de la présente décision. L’article 4, paragraphe 4, de la présente décision s’applique.

Article 8

Réexamen par le/la délégué(e) à la protection des données

La direction des ressources humaines informe sans délai le/la DPD de son intention de limiter l’application des droits des personnes concernées conformément à la présente décision. Le relevé et l’évaluation de la nécessité et de la proportionnalité de la limitation sont examinés par le/la DPD. Le réexamen par le/la DPD sera documenté.

Le/la DPD peut demander par écrit à la direction des ressources humaines un réexamen de l’application des limitations. La direction des ressources humaines informe le/la DPD par écrit du résultat du réexamen demandé.

Article 9

Entrée en vigueur

La présente décision, approuvée par le Conseil d’administration de la BEI le 9 octobre 2023, remplace la décision de la BEI établissant les règles internes régissant le traitement des données à caractère personnel par la direction des ressources humaines de la Banque européenne d’investissement en ce qui concerne la communication d’informations aux personnes concernées et la limitation de certains de leurs droits, qui a été approuvée par le Conseil d’administration de la BEI le 26 février 2019. La présente décision entre en vigueur le vingtième jour suivant sa publication au Journal officiel de l’Union européenne.

Fait à Luxembourg, le 9 octobre 2023.

(1) JO L 295 du 21.11.2018, p. 39.

(2) Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1).

(3) Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO L 119 du 4.5.2016, p. 89).

(4) Telles que des décisions similaires adoptées par d’autres directions au sein de la BEI.

ELI: http://data.europa.eu/eli/proc_rules/2023/2717/oj

ISSN 1977-0693 (electronic edition)