Décision (UE) 2025/628 de la Commission du 31 mars 2025 établissant des règles internes relatives à la communication d’informations aux personnes concernées et à la limitation de certains droits des personnes concernées en ce qui concerne le traitement des données à caractère personnel par la Commission à des fins de surveillance, d’enquête, d’exécution et de contrôle au titre du règlement (UE) 2022/2065

(1)

La Commission mène des enquêtes en vue de faire respecter les règles énoncées dans le règlement (UE) 2022/2065 (2) en ce qui concerne les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne. À cette fin, elle exerce les pouvoirs de surveillance, d’enquête, d’exécution et de contrôle conférés à la Commission par le règlement (UE) 2022/2065.

(2)

Les missions de la Commission au titre du règlement (UE) 2022/2065 sont exécutées par la direction générale de la Commission chargée des réseaux de communication, du contenu et des technologies.

(3)

Dans le cadre de l’exercice de ses missions de surveillance, d’enquête, d’exécution et de contrôle en application du règlement (UE) 2022/2065, la Commission traite des informations. Ces informations peuvent comprendre des données à caractère personnel de personnes physiques, telles que des membres du personnel de l’entreprise (par exemple le responsable de la fonction de contrôle de la conformité, le point de contact unique), des suspects, des victimes, des lanceurs d’alerte, des informateurs et des témoins, ainsi que d’autres personnes physiques dont les données à caractère personnel figurent dans des documents obtenus dans le cadre de l’exercice, par la Commission, de ses missions de surveillance, d’enquête, d’exécution et de contrôle en application du règlement (UE) 2022/2065.

(4)

Le traitement de données à caractère personnel, au sens de l’article 3, point 3), du règlement (UE) 2018/1725, effectué dans le cadre d’activités d’enquête et d’exécution au titre du règlement (UE) 2022/2065 peut avoir lieu avant même que la Commission n’ouvre formellement une procédure en application de l’article 66 du règlement (UE) 2022/2065, peut se poursuivre tout au long de l’enquête et peut perdurer même après la clôture formelle de cette dernière (par exemple aux fins d’activités de contrôle ou d’analyse de la conformité, de l’évaluation de la nécessité d’entamer de nouvelles activités d’enquête ou une procédure judiciaire).

(5)

Pour s’acquitter de ses missions au titre du règlement (UE) 2022/2065, la Commission traite plusieurs catégories de données à caractère personnel, telles que des données d’identification, des coordonnées, des données relatives au rôle joué dans un dossier, des données relatives à un dossier et toute autre information jugée nécessaire. Bien que le cas de figure soit peu probable, les catégories de données à caractère personnel traitées peuvent aussi inclure les catégories particulières de données à caractère personnel mentionnées à l’article 10, paragraphe 1, du règlement (UE) 2018/1725 si l’une des conditions énumérées à l’article 10, paragraphe 2 ou 3, dudit règlement s’applique, ainsi que les données à caractère personnel relatives aux condamnations pénales et aux infractions mentionnées à l’article 11 du règlement (UE) 2018/1725. Dans l’exercice de ses missions conformément au règlement (UE) 2022/2065, la Commission est tenue de respecter les droits des personnes physiques concernant le traitement des données à caractère personnel, qui sont consacrés par l’article 8, paragraphe 1, de la charte des droits fondamentaux de l’Union européenne et par l’article 16, paragraphe 1, du traité sur le fonctionnement de l’Union européenne, ainsi que les droits prévus par le règlement (UE) 2018/1725. Parallèlement, dans le cadre de ses activités au titre du règlement (UE) 2022/2065, la Commission est tenue de se conformer aux règles strictes de confidentialité et de secret professionnel mentionnées à l’article 84 dudit règlement.

(6)

Dans certaines circonstances, il est nécessaire de concilier les droits des personnes concernées au titre du règlement (UE) 2018/1725, d’une part, et l’exercice efficace, par la Commission, de ses missions de surveillance, d’enquête, d’exécution et de contrôle au titre du règlement (UE) 2022/2065, tout en veillant au plein respect des droits et libertés fondamentaux d’autrui. À cette fin, l’article 25, paragraphe 1, du règlement (UE) 2018/1725 donne à la Commission, dans certaines conditions, la possibilité de limiter l’application des articles 14 à 22, 35 et 36 du règlement (UE) 2018/1725, ainsi que de son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 22 du règlement (UE) 2018/1725.

(7)

Dans certaines circonstances, il est nécessaire de concilier les droits des personnes concernées avec la nécessité de préserver les objectifs des activités de surveillance, d’enquête, d’exécution et de contrôle menées au titre du règlement (UE) 2022/2065, qui constituent un objectif important d’intérêt public général de l’Union en application de l’article 25, paragraphe 1, point c), du règlement (UE) 2018/1725. La Commission peut limiter ces droits, par exemple, dans le cas où leur exercice porterait gravement atteinte à sa capacité d’enquêter avec efficacité, ce qui entraverait la réalisation de l’objectif poursuivi. Dans de telles situations, il existe un risque de destruction d’éléments de preuve ou d’interférence avec des acteurs clés (des témoins, par exemple) au cours d’une enquête.

(8)

Dans certaines circonstances, il est nécessaire de mettre en balance les droits des personnes concernées et les libertés et droits fondamentaux d’autres personnes concernées, telles que des victimes ou des témoins. Dans ce cas, la Commission peut décider de limiter l’accès à l’identité, aux déclarations et à d’autres données à caractère personnel de telles personnes afin de protéger leurs droits et libertés en application de l’article 25, paragraphe 1, point h), du règlement (UE) 2018/1725. La Commission peut décider d’agir de cette manière notamment pour protéger ces personnes d’éventuelles représailles.

(9)

Il est nécessaire de protéger les informations confidentielles relatives à un informateur, un lanceur d’alerte ou toute autre personne physique qui a communiqué des informations à la Commission dans le cadre de l’exercice de ses missions de surveillance, d’enquête, d’exécution et de contrôle en application du règlement (UE) 2022/2065. La Commission devrait limiter l’accès à l’identité, aux déclarations et à d’autres données à caractère personnel de telles personnes afin de protéger leurs droits et libertés en application de l’article 25, paragraphe 1, point h), du règlement (UE) 2018/1725. Ce n’est qu’avec l’autorisation de l’auteur de signalement que la Commission peut révéler l’identité de celui-ci. Elle devrait le faire si la législation ou une autorité judiciaire l’exige. Si une personne concernée présente une demande d’accès à ses données à caractère personnel, elle devrait y avoir accès, y compris à celles fournies par un auteur de signalement. Afin de protéger leur confidentialité, la Commission ne devrait pas communiquer à la personne concernée le nom de l’auteur de signalement ni aucun autre renseignement susceptible de permettre son identification directe ou indirecte.

(10)

En outre, afin d’assurer l’application effective du règlement (UE) 2022/2065, notamment en ce qui concerne la coopération entre la Commission et les États membres, la Commission peut limiter l’application des droits des personnes concernées et préserver ainsi un objectif important d’intérêt public général de l’Union ou d’un État membre, tel que mentionné à l’article 25, paragraphe 1, point c), du règlement (UE) 2018/1725. La Commission peut agir de la sorte dans une situation où la finalité d’une telle limitation appliquée par une autorité d’un État membre serait compromise si la Commission n’appliquait pas une limitation équivalente aux mêmes données à caractère personnel. En outre, afin d’assurer l’application effective du règlement (UE) 2022/2065, la Commission peut appliquer des limitations en vue de garantir la prévention et la détection d’infractions pénales ainsi que les enquêtes et les poursuites en la matière, ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, en application de l’article 25, paragraphe 1, point b), du règlement (UE) 2018/1725. Lors de l’application de limitations fondées sur l’article 25, paragraphe 1, point c), du règlement (UE) 2018/1725, la Commission devrait consulter l’État membre qui garantit l’objectif important d’intérêt public général concerné sur les raisons potentielles pertinentes pour imposer des limitations ainsi que sur la nécessité et la proportionnalité de ces limitations, à moins que cette consultation ne compromette les activités de la Commission. En application de l’article 25, paragraphe 1, point g), du règlement (UE) 2018/1725, la Commission peut décider de limiter l’application des droits des personnes concernées afin de garantir une mission de contrôle, d’inspection ou de réglementation liée, même occasionnellement, à l’exercice de l’autorité publique dans les cas visés ci-dessus et à l’article 25, paragraphe 1, points b) et c), du règlement (UE) 2018/1725.

(11)

La Commission ne devrait appliquer de limitations que si celles-ci respectent les libertés et droits fondamentaux énoncés dans la charte et qu’elles sont strictement nécessaires et proportionnées dans une société démocratique. La Commission est tenue de justifier ces limitations.

(12)

L’article 25, paragraphe 6, du règlement (UE) 2018/1725 impose au responsable du traitement d’informer les personnes concernées des principales raisons qui motivent l’application de la limitation et de leur droit de saisir le Contrôleur européen de la protection des données.

(13)

Conformément à l’article 25, paragraphe 8, du règlement (UE) 2018/1725, la Commission peut omettre ou refuser la communication, à la personne concernée, des informations sur les raisons principales sur lesquelles repose l’application d’une limitation ou différer cette communication si celle-ci risque, de quelque façon que ce soit, de priver la limitation d’effet. La Commission est tenue d’évaluer au cas par cas si la communication des informations prive d’effet la limitation imposée.

(14)

La Commission devrait lever la limitation dès que les conditions qui la motivent ne s’appliquent plus et évaluer régulièrement lesdites conditions.

(15)

Afin de se conformer aux articles 14, 15 et 16 du règlement (UE) 2018/1725, la Commission devrait informer toutes les personnes concernées de ses activités impliquant le traitement de leurs données à caractère personnel. Elle devrait aussi les informer de leurs droits, de manière transparente et cohérente, sous la forme d’un avis relatif à la protection des données publié sur son site internet. La Commission devrait informer individuellement, par des moyens appropriés, les lanceurs d’alerte, les informateurs, les témoins et, le cas échéant, les membres du personnel de l’entreprise (par exemple, le chef de la fonction de contrôle de la conformité, le point de contact unique), du traitement de leurs données à caractère personnel.

(16)

L’article 16, paragraphe 5, du règlement (UE) 2018/1725 prévoit des exceptions au droit à l’information des personnes concernées. Si ces exceptions s’appliquent, la Commission n’est pas tenue d’appliquer une limitation du droit à l’information conformément à la présente décision. Les exceptions prévues à l’article 16, paragraphe 5, point b), du règlement (UE) 2018/1725 s’appliquent lorsque la fourniture des informations mentionnées à l’article 16, paragraphes 1 à 4, dudit règlement se révèle impossible, exigerait des efforts disproportionnés ou est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement. Dans le cas de personnes concernées étrangères à l’objet de l’enquête, dont des données à caractère personnel sont contenues dans des documents recueillis dans le cadre d’activités de surveillance, d’enquête, d’exécution et de contrôle en application du règlement (UE) 2022/2065, autres que les personnes concernées qui sont informées individuellement, la fourniture de telles informations pourrait se révéler impossible ou exiger des efforts disproportionnés. Tel peut être le cas lorsque la Commission obtient des données à caractère personnel dans le cadre d’un signalement par un lanceur d’alerte ou au cours de ses actions de contrôle visant à assurer la mise en œuvre et le respect effectifs du règlement (UE) 2022/2065. Une exception au titre de l’article 16, paragraphe 5, point b), du règlement (UE) 2018/1725 peut également être appliquée lorsque la fourniture de ces informations à des suspects et à des victimes dans le cadre d’une affaire est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs du traitement.

(17)

En application des principes de transparence, d’équité et de responsabilité, la Commission devrait traiter toutes les exceptions et limitations de manière transparente et tenir un registre de son application de ces exceptions et limitations.

(18)

Afin de garantir la protection des droits et libertés des personnes concernées et conformément à l’article 44, paragraphe 1, du règlement (UE) 2018/1725, la Commission devrait consulter le coordinateur de la protection des données de la direction générale des réseaux de communication, du contenu et des technologies et le délégué à la protection des données de la Commission pendant toute la durée de la procédure d’application des limitations et devrait documenter cette consultation. En particulier, le coordinateur de la protection des données devrait être consulté en temps utile sur toute limitation susceptible d’être appliquée et en vérifier la conformité avec la présente décision.

(19)

Le délégué à la protection des données de la Commission devrait procéder à un examen indépendant de l’application des limitations afin de garantir le respect de la présente décision.

(20)

Le Contrôleur européen de la protection des données a été consulté et a rendu son avis le 22 octobre 2024,