Décision du Contrôleur européen de la protection des données du 18 juillet 2024 portant modification du règlement intérieur du CEPD du 15 mai 2020 [2024/2022]

(1)

Le règlement intérieur du CEPD du 15 mai 2020 (2) adopté conformément à l’article 57, paragraphe 1, point q), du règlement prévoit, à son article 18, une procédure de révision dans les affaires de réclamation, limitée aux nouveaux éléments factuels et arguments juridiques.

(2)

Toutefois, l’application de la procédure de révision a posé des difficultés pratiques et juridiques aux institutions, organes et organismes de l’Union ainsi qu’aux réclamants. La procédure de révision doit donc être supprimée.

(3)

L’article 58, paragraphe 5, du règlement prévoit que l’exercice des compétences conférées au CEPD en vertu de cet article doit être soumis à des garanties appropriées, y compris des recours juridictionnels effectifs et une procédure régulière, prévus par le droit de l’Union. Dans le même ordre d’idées, l’article 66, paragraphes 5 et 6, du règlement prévoit qu’avant de prendre des décisions infligeant une amende administrative, le CEPD devrait donner à l’institution ou à l’organe de l’Union qui fait l’objet de la procédure menée par le CEPD la possibilité d’être entendu sur les questions au sujet desquelles le CEPD a formulé des objections. Afin de protéger efficacement le droit à une bonne administration ainsi que les droits de la défense consacrés par la charte des droits fondamentaux de l’Union européenne (ci-après la «Charte»), y compris le droit de toute personne d’être entendue avant que ne soit prise toute mesure individuelle susceptible de l’affecter défavorablement, il est donc important de prévoir des règles claires dans le règlement intérieur du CEPD sur l’exercice de ces droits.

(4)

Les responsables du traitement ou les sous-traitants devraient avoir la possibilité d’exprimer leur point de vue avant qu’une décision leur faisant grief ne soit prise par le CEPD. Par conséquent, le règlement intérieur du CEPD devrait prévoir que ce dernier rédige une évaluation préliminaire et la communique au responsable du traitement ou au sous-traitant faisant l’objet de la procédure menée par le CEPD avant d’adopter une décision contenant la constatation d’une violation du règlement ou de tout autre acte de l’Union relatif à la protection des libertés et droits fondamentaux des personnes physiques à l’égard du traitement des données à caractère personnel par une institution ou un organe de l’Union, ou lorsqu’il exerce des compétences de correction en vertu du règlement, qu’inflige une amende administrative, ou qu’il exerce ses compétences à l’encontre de l’Agence de l’Union européenne pour la coopération des services répressifs (Europol), de l’Agence de l’Union européenne pour la coopération judiciaire en matière pénale (Eurojust) ou du Parquet européen.

(5)

Les responsables du traitement ou les sous-traitants devraient avoir la possibilité d’exprimer leur point de vue avant qu’une décision leur faisant grief ne soit prise par le CEPD. Par conséquent, le règlement intérieur du CEPD devrait préciser les situations dans lesquelles celui-ci devrait rédiger une évaluation préliminaire et la communiquer ensuite au responsable du traitement ou au sous-traitant qui fait l’objet de la procédure menée par le CEPD.

(6)

De même, les réclamants devraient avoir la possibilité d’exprimer leur point de vue avant qu’une décision leur faisant grief ne soit prise par le CEPD. Par conséquent, le règlement intérieur du CEPD devrait préciser les situations dans lesquelles celui-ci devrait rédiger une évaluation préliminaire et la communiquer ensuite au réclamant.

(7)

L’évaluation préliminaire constitue une garantie procédurale essentielle garantissant le respect du droit d’être entendu. Le règlement intérieur du CEPD devrait par conséquent définir les éléments à inclure dans une telle évaluation préliminaire. Étant donné que ces éléments diffèrent dans les cas où le CEPD a l’intention d’infliger une amende administrative, le règlement intérieur du CEPD devrait également définir les éléments à inclure dans une évaluation préliminaire dans lesdits cas de figure.

(8)

Une limitation des informations contenues dans l’évaluation préliminaire peut être nécessaire aux fins de protéger les intérêts visés par le droit de l’Union ou des États membres. Ces intérêts comprennent la sécurité nationale, la sécurité publique ou la défense des États membres, la prévention, l’enquête, la détection et la poursuite des infractions pénales ou l’exécution de sanctions pénales, y compris la sauvegarde et la prévention des menaces pour la sécurité publique, d’autres objectifs importants d’intérêt public général de l’Union ou d’un État membre, en particulier les objectifs de la politique étrangère et de sécurité commune de l’Union ou d’un intérêt économique ou financier important de l’Union ou d’un État membre, y compris les questions monétaires, budgétaires et fiscales, la santé publique et la sécurité sociale; la sécurité intérieure des institutions et organes de l’Union, y compris de leurs réseaux de communications électroniques; la protection de l’indépendance judiciaire et des procédures judiciaires; la prévention, la détection et la poursuite d’infractions à l’éthique pour les professions réglementées ainsi que les enquêtes menées à leur sujet; une fonction de surveillance, d’inspection ou de réglementation liée, même à titre occasionnel, à l’exercice de l’autorité officielle; la protection de la personne concernée ou des droits et libertés d’autrui; l’exécution de recours en droit civil; la prévention, l’enquête ou la poursuite d’infractions pénales ou l’exécution de sanctions pénales. Parmi les autres intérêts figurent les intérêts légitimes liés à la confidentialité ou au secret professionnel et au secret des affaires. Le règlement intérieur du CEPD devrait donc comporter des références spécifiques à ces intérêts et préciser les informations à communiquer au réclamant.

(9)

Après communication de l’évaluation préliminaire de sa réclamation, le responsable du traitement ou le sous-traitant ainsi que le réclamant devraient avoir la possibilité de présenter leurs observations. Le CEPD devrait donc établir des règles concernant le moment auquel il convient de donner au responsable du traitement ou au sous-traitant, ou au réclamant, la possibilité d’être entendu et dans quel délai.

(10)

L’accès au dossier fait partie intégrante des droits de la défense et du droit à une bonne administration consacrés par la Charte. Toutefois, une limitation de l’accès au dossier du CEPD peut être nécessaire aux fins de protéger les intérêts visés par le droit de l’Union ou des États membres, et il convient donc d’en tenir compte dans le règlement intérieur du CEPD.

(11)

Afin de maintenir un processus décisionnel équitable, le règlement intérieur du CEPD devrait préciser que toute décision du CEPD ne doit se fonder que sur des constatations et des mesures au sujet desquelles le responsable du traitement, le sous-traitant ou le réclamant ont pu formuler des observations, sauf dans les cas où des limitations nécessaires à la protection des intérêts visés par le droit de l’Union ou le droit d’un État membre s’appliquent.

(12)

Afin de garantir de manière cohérente que chaque mesure juridiquement contraignante du CEPD se réfère au droit à un recours effectif, le règlement intérieur du CEPD devrait prévoir que le CEPD informe, dans le texte de sa décision, le responsable du traitement ou le sous-traitant, ainsi que le réclamant, de leur droit de contester la décision devant la Cour de justice de l’Union européenne conformément à l’article 263 du traité sur le fonctionnement de l’Union européenne,