Décision d’exécution (UE) 2025/1382 de la Commission du 15 juillet 2025 constatant, conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil, le niveau de protection adéquat des données à caractère personnel assuré par l’Organisation européenne des brevets [notifiée sous le numéro C(2025) 4626]

(1)

Le règlement (UE) 2016/679 fixe les règles applicables au transfert de données à caractère personnel, par des responsables du traitement ou des sous-traitants au sein de l’Union, vers des pays tiers et à des organisations internationales, dans la mesure où ces transferts relèvent de son champ d’application. Le chapitre V (articles 44 à 50) de ce règlement définit les règles applicables aux transferts internationaux de données. Bien que les flux de données à caractère personnel à destination et en provenance de pays et d’organisations internationales en dehors de l’Union soient nécessaires au développement du commerce transfrontière et de la coopération internationale, le niveau de protection conféré aux données à caractère personnel au sein de l’Union ne doit pas être compromis par des transferts vers des pays tiers et des organisations internationales (2).

(2)

En vertu de l’article 45, paragraphe 3, du règlement (UE) 2016/679, la Commission peut décider, par voie d’actes d’exécution, qu’un pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans un pays tiers, ou une organisation internationale, assure un niveau de protection adéquat. Dans cette circonstance, les transferts de données à caractère personnel à une organisation internationale peuvent avoir lieu sans qu’il soit nécessaire d’obtenir une autre autorisation, comme le prévoit l’article 45, paragraphe 1, et ainsi qu’il est indiqué au considérant 103 dudit règlement.

(3)

Comme précisé à l’article 45, paragraphe 2, du règlement (UE) 2016/679, l’adoption d’une décision d’adéquation doit reposer sur une analyse approfondie du régime juridique de l’organisation internationale, en ce qui concerne tant les règles applicables aux importateurs de données que les limitations et les garanties en matière d’accès des autorités publiques aux données à caractère personnel. Dans son évaluation, la Commission doit déterminer si l’organisation internationale en question assure un niveau de protection «essentiellement équivalent» à celui qui est assuré au sein de l’Union (3). La norme au regard de laquelle l’«équivalence essentielle» est évaluée est celle fixée par la législation de l’Union, notamment le règlement (UE) 2016/679, ainsi que la jurisprudence de la Cour de justice de l’Union européenne (4). Les «critères de référence pour l’adéquation» du comité européen de la protection des données (EDPB) sont également importants à cet égard pour préciser davantage ce principe et fournir des orientations (5).

(4)

Comme l’a précisé la Cour de justice, il ne saurait être exigé qu’un pays tiers, ou une organisation internationale, assure un niveau de protection identique à celui garanti dans l’ordre juridique de l’Union (6). En particulier, les moyens auxquels ce pays tiers ou cette organisation internationale a recours pour protéger les données à caractère personnel peuvent être différents de ceux mis en œuvre au sein de l’Union, pour autant qu’ils s’avèrent, en pratique, effectifs afin d’assurer un niveau de protection adéquat (7). Le principe d’adéquation n’exige donc pas que l’on reproduise à l’identique les règles de l’Union. Il s’agit plutôt de déterminer si le système étranger offre, dans son ensemble, par l’essence de ses droits en matière de protection de la vie privée et de ses garanties en matière de protection des données (notamment leur mise en œuvre effective, leur opposabilité et le contrôle de leur application), ainsi que par les circonstances relatives à un transfert de données à caractère personnel, le niveau de protection requis (8).

(5)

La Commission a analysé le cadre juridique et la pratique de l’Organisation européenne des brevets. Sur la base des constatations exposées aux considérants 7 à 100, elle conclut que l’Organisation européenne des brevets (ci-après l’«OEB») assure un niveau de protection adéquat des données à caractère personnel transférées de l’Union à l’OEB dans le cadre du champ d’application du règlement (UE) 2016/679.

(6)

Conformément à la présente décision, les transferts de responsables du traitement et de sous-traitants situés dans l’Union à l’Organisation européenne des brevets peuvent avoir lieu sans qu’il soit nécessaire d’obtenir une autre autorisation. La présente décision ne devrait avoir aucune incidence sur l’application directe du règlement (UE) 2016/679 à ces entités lorsque les conditions relatives au champ d’application territorial définies à son article 3 sont remplies.

(7)

L’Organisation européenne des brevets est une organisation intergouvernementale instituée le 7 octobre 1977 sur la base de la Convention sur le brevet européen (ci-après la «CBE»). Elle a son siège à Munich et compte 39 États contractants, à savoir tous les États membres de l’Union, l’Islande, la Norvège et le Liechtenstein, ainsi que l’Albanie, la Macédoine du Nord, la Principauté de Monaco, Saint-Marin, la Serbie, la Suisse, le Monténégro, le Royaume-Uni et la Turquie (9).

(8)

L’Organisation a la personnalité juridique (10) et se compose de deux organes (11): l’Office européen des brevets (ci-après l’«Office») et le Conseil d’administration. La mission principale de l’OEB consiste à délivrer des brevets européens (12) conformément à la CBE, laquelle mission est exécutée par l’Office sous le contrôle du Conseil d’administration. Le Conseil d’administration se compose des représentants des États contractants et exerce des pouvoirs législatifs au nom de l’OEB. Il est également compétent pour les questions politiques et contrôle les activités (13) de l’Office. L’Office, qui agit en tant que branche exécutive de l’OEB, est dirigé par un Président (14), qui gère l’Office (ci-après le «Président») et est responsable devant le Conseil d’administration (15). Les tâches du Président consistent notamment à préparer et à exécuter le budget de l’Office, à nommer le personnel et à exercer l’autorité hiérarchique sur celui-ci, à exercer le pouvoir disciplinaire sur les agents, ainsi qu’à assurer le fonctionnement de l’Office, y compris l’adoption d’instructions administratives internes et l’information du public. Le Président peut également soumettre au Conseil d’administration toute proposition de modification de la convention, de réglementation générale ou de décision qui relève de sa compétence (16). L’Office se compose de différentes instances, dont une section de dépôt, une division juridique, des divisions d’examen et d’opposition et des chambres de recours (un organe interne indépendant devant lequel les décisions prises par l’OEB dans le cadre de la procédure de délivrance de brevets peuvent faire l’objet d’un recours) (17).

(9)

Dans l’accomplissement de ses tâches, l’OEB reçoit des données à caractère personnel de différents acteurs dans l’Union. Des demandes de brevet européen (18) sont continuellement déposées auprès de l’OEB par des demandeurs de brevets ou transmises à l’OEB par les offices nationaux des brevets des États membres (19). L’OEB reçoit et traite également des données à caractère personnel dans le cadre des tâches qui lui sont confiées en vertu du règlement (UE) no 1257/2012 du Parlement européen et du Conseil (20). Ces tâches comprennent la réception et l’examen des demandes d’effet unitaire de brevets européens, la collecte des taxes annuelles et l’enregistrement de l’effet unitaire (21). Dans ce contexte, l’OEB reçoit également les demandes de la juridiction unifiée du brevet concernant des recours pendants devant la chambre de recours de l’Office (22), qui peuvent inclure des données à caractère personnel nécessaires pour déterminer l’affaire concernée (23).

(10)

De même, l’OEB reçoit les données à caractère personnel figurant dans les demandes de brevets internationaux lorsqu’elle agit en vertu du Traité de coopération en matière de brevets (ci-après le «PCT»), un traité international qui permet aux demandeurs d’obtenir des brevets produisant des effets dans tous les États contractants du PCT (24). L’OEB agit en tant qu’administration chargée de la recherche internationale en vertu du PCT et, à ce titre, examine la brevetabilité des inventions décrites dans les demandes internationales, ce qui aide les demandeurs à déterminer s’il y a lieu ou non de déposer une demande d’examen sur le fond au niveau national/de l’Union (25).

(11)

Par ailleurs, l’OEB coopère étroitement avec les offices nationaux des brevets de tous les États membres dans le cadre d’un «réseau européen des brevets» et, dans ce contexte, échange avec eux des données à caractère personnel, par exemple lorsque des formations et des services informatiques sont proposés en vue de soutenir et de renforcer la coopération dans le cadre de la CBE. De même, il a conclu avec les États membres des accords de coopération bilatéraux impliquant des échanges de données à caractère personnel, par exemple lors de la mise en place de groupes de travail, dans le cadre du détachement et du déploiement d’experts techniques, etc. Il coopère aussi étroitement avec l’Office de l’Union européenne pour la propriété intellectuelle (EUIPO), par exemple en organisant conjointement des formations et des événements de sensibilisation et en détachant des experts.

(12)

Enfin, l’OEB a conclu des contrats avec plusieurs fournisseurs de services dans l’Union qui agissent en tant que sous-traitants au sens de l’article 4, point 8, du règlement (UE) 2016/679 et transfèrent des données à caractère personnel à l’OEB.

(13)

Le droit primaire qui régit les activités de l’OEB est établi par un traité international, à savoir la Convention sur le brevet européen, et par le Traité de coopération en matière de brevets lorsque l’OEB agit en vertu de celui-ci. Le second niveau de la hiérarchie des normes applicables à l’OEB est constitué par des actes juridiques adoptés par le Conseil d’administration ou, en ce qui concerne le PCT, par l’assemblée du PCT. Le droit dérivé de l’OEB comprend le règlement d’exécution de la CBE et le statut des fonctionnaires (qui régit les aspects liés au personnel de l’OEB, y compris ses droits et ses obligations) (26). Le droit à la protection des données à caractère personnel est énoncé à l’article 1er ter du statut des fonctionnaires (27), qui contient également certaines dispositions essentielles du cadre de protection des données de l’OEB, c’est-à-dire des dispositions qui concernent le champ d’application de ce cadre, la protection de catégories particulières de données et l’exercice des droits par les personnes physiques. L’article 2, paragraphe 1, et l’article 32 bis du statut des fonctionnaires établissent des mécanismes de contrôle indépendants [le responsable de la protection des données (ci-après le «RPD») et le comité de la protection des données (ci-après le «CPD»)] chargés de contrôler le respect des règles en matière de protection des données (28).

(14)

Les mêmes exigences de fond en matière de protection des données à caractère personnel s’appliquent au Conseil d’administration et à l’Office, ainsi qu’à tous leurs services. En particulier, le traitement des données à caractère personnel par l’Office est régi par le règlement d’application des articles 1er ter et 32 bis du statut des fonctionnaires et des autres agents de l’Office européen des brevets concernant la protection des données à caractère personnel (règlement relatif à la protection des données, ci-après le «RRPD»), qui a été adopté par le Conseil d’administration (29). Le traitement des données à caractère personnel par le Conseil d’administration est soumis au règlement relatif à la protection des données du Conseil d’administration (ci-après le «RRPD du CA»), qui applique le RRPD mutatis mutandis (30). Lorsque la présente décision renvoie au RRPD, les références incluent les exigences correspondantes qui s’appliquent au Conseil d’administration, à son secrétariat et à ses comités. Par sa structure et son contenu, le RRPD est étroitement aligné sur le cadre de protection des données de l’Union (31). Il a notamment de nombreux points communs avec le règlement (UE) 2018/1725 du Parlement européen et du Conseil (32), qui fixe des exigences en matière de protection des données pour les institutions et organes de l’Union et est donc bien adapté à la structure et aux caractéristiques spécifiques des organisations internationales, tout en étant très semblable au règlement (UE) 2016/679.

(15)

En ce qui concerne le traitement des données par l’Office, le Président a adopté d’autres instruments juridiquement contraignants, tels que des circulaires, des décisions et des instructions administratives internes (33). Le RRPD est complété, en particulier, par la décision du Président du 13 décembre 2021 relative au traitement de données à caractère personnel dans la procédure de délivrance de brevets et les procédures connexes (ci-après la «décision PGP») (34); la décision du 7 décembre 2022 relative au traitement de données à caractère personnel dans les procédures relatives aux brevets européens à effet unitaire (ci-après la «décision UP») (35); la décision du 17 novembre 2022 relative aux pays et aux entités considérés comme assurant une protection adéquate des données à caractère personnel (36); la décision du 2 mai 2024 déterminant les unités opérationnelles de l’Office qui agissent en tant que responsables délégués du traitement (37); et la circulaire no 420 intitulée «Mise en œuvre de l’article 25 du règlement relatif à la protection des données (RRPD)» sur la limitation des droits de la personne concernée (circulaire no 420) (38). En ce qui concerne plus particulièrement le traitement des données dans le cadre d’une procédure de délivrance de brevet, il importe de faire observer que les exigences relatives au traitement des données à caractère personnel prévues directement dans la CBE et le PCT prévalent sur le RRPD. L’interaction entre la CBE et le PCT, d’une part, et le RRPD, d’autre part, est clarifiée dans la décision PGP (39) et la décision UP. Les exigences spécifiques en matière de protection des données découlant directement de la CBE et du PCT sont examinées aux considérants 55 à 59. Le RRPD et ses instruments complémentaires sont juridiquement contraignants et exécutoires et peuvent être invoqués par les personnes physiques devant des mécanismes de recours indépendants, comme indiqué aux considérants 89 à 96.

(16)

Les règles énoncées dans les instruments juridiques mentionnés au considérant 15 sont également mises en œuvre dans les instruments émis par le responsable de la protection des données (voir les considérants 83 à 88) (40), qui s’appliquent au Conseil d’administration et à l’Office, ainsi qu’à l’ensemble de leurs services (41).

(17)

En vertu du RRPD et du statut des fonctionnaires (42), tous les agents de l’OEB sont tenus de se conformer au RRPD lorsqu’ils traitent des données à caractère personnel. Le champ d’application matériel et personnel du RRPD est déterminé par les termes «données à caractère personnel», «traitement», «responsable du traitement», «responsable délégué du traitement» et «sous-traitant» qui y sont définis.

(18)

Les définitions des termes «données à caractère personnel» et «traitement» énoncées dans le RRPD sont identiques à celles énoncées dans le règlement (UE) 2016/679 (43). Le RRPD s’applique à tout traitement de données à caractère personnel par l’OEB, que ce traitement concerne des données à caractère personnel de ses propres agents ou des données d’autres personnes physiques (44). Les données qui ont fait l’objet d’une pseudonymisation (45) sont également considérées comme des données à caractère personnel, tandis que les données de personnes décédées ou de personnes morales, ou les informations anonymes (46), ne sont pas considérées comme des données à caractère personnel au titre du RRPD (47).

(19)

Le RRPD s’applique au traitement de données à caractère personnel par l’OEB, en tout ou en partie par des moyens automatisés, ainsi qu’au traitement autrement que par des moyens automatisés de données à caractère personnel contenues ou appelées à figurer dans un fichier (48).

(20)

Aux termes du RRPD, le «responsable du traitement» est défini comme étant «l’entité, à savoir l’Office européen des brevets, qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel» (49). En principe, le Président agit en tant que responsable du traitement des données pour les opérations de traitement de données effectuées par l’Office (50). Il en va de même en ce qui concerne le Conseil d’administration (au sein duquel le Président agit en tant que responsable du traitement), les chambres de recours dans le cadre de leurs fonctions juridictionnelles (leur président agissant alors en tant que responsable du traitement (51)) et le Comité restreint (au sein duquel le président agit en tant que responsable du traitement (52)). Le responsable du traitement peut déléguer ce pouvoir à des unités opérationnelles, représentées par un membre du management supérieur (53). Dans de tels cas, les unités opérationnelles agissent en tant que «responsables délégués du traitement» (54) qui définissent les finalités (par exemple, le motif, le fondement et la nécessité sur le plan opérationnel) et les moyens d’une opération de traitement, et veillent à ce que toutes les opérations de traitement concernant des données à caractère personnel soient conformes aux règles du RRPD (55). Le responsable du traitement reste responsable du traitement des données à caractère personnel. Le RRPD prévoit également un cas de «responsabilité conjointe du traitement», dans lequel un responsable du traitement détermine la finalité et les moyens du traitement conjointement avec un ou plusieurs responsables du traitement extérieurs à l’OEB (56).

(21)

La définition du terme «sous-traitant» figurant dans le RRPD est identique à celle énoncée à l’article 4, paragraphe 8, du règlement (UE) 2016/679. Par «sous-traitant», on entend la personne physique ou morale, l’autorité publique, le service ou une autre entité qui traite des données à caractère personnel pour le compte du responsable du traitement (57). Le responsable du traitement peut uniquement faire appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière que le traitement réponde aux exigences du RRPD (58). La relation entre le responsable du traitement et un sous-traitant doit être régie par un contrat ou un acte juridique qui lie le sous-traitant et qui définit notamment l’objet, la durée, la nature et la finalité du traitement (59). Le sous-traitant n’est autorisé à traiter les données que sur instruction documentée du responsable du traitement. Le sous-traitant est tenu d’aider le responsable du traitement à garantir le respect de ses obligations au titre du RRPD. Il lui est interdit de recruter d’autres sous-traitants ultérieurs sans l’autorisation préalable du responsable du traitement (60). Un accord sur le traitement des données type est mis à la disposition des responsables délégués du traitement (61). En outre, si un sous-traitant est situé dans un pays tiers, tout partage de données à caractère personnel avec ce sous-traitant doit également respecter les exigences du RRPD en matière de transferts internationaux, telles que décrites aux considérants 68 à 73 de la présente décision (62).

(22)

Les données à caractère personnel doivent être traitées de manière licite et loyale.

(23)

Ces principes généraux sont énoncés à l’article 4, paragraphe 2, point a), du RRPD d’une manière qui peut être considérée comme identique à celle de l’article 5, paragraphe 1, point a), du règlement (UE) 2016/679.

(24)

Le principe de licéité est développé plus avant à l’article 5 du RRPD, qui énumère les bases juridiques sur lesquelles les données à caractère personnel peuvent être traitées. Ces bases juridiques sont a) la nécessité d’accomplir une tâche relevant des activités officielles de l’OEB (63) ou de l’exercice légitime de l’autorité publique dont est investi le responsable du traitement, ce qui comprend le traitement nécessaire à la gestion et au fonctionnement de l’Office (64); b) la nécessité de respecter une obligation légale à laquelle le responsable du traitement est soumis (par exemple, publier les informations mentionnées dans une demande de brevet dans le Registre européen des brevets) (65); c) la nécessité d’exécuter un contrat auquel la personne concernée est partie ou d’exécuter des mesures précontractuelles prises à la demande de celle-ci; d) le consentement de la personne concernée; ou e) la nécessité de sauvegarder les intérêts vitaux de la personne concernée ou d’une autre personne physique;

(25)

Dans le RRPD, le consentement est défini de la même manière que dans le règlement (UE) 2016/679, c’est-à-dire comme «toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement» (66). Il incombe au responsable du traitement de démontrer que la personne concernée a donné son consentement (67). Au moment de déterminer si le consentement est donné librement, il convient de tenir compte de la question de savoir si l’exécution d’un contrat est subordonnée au consentement au traitement de données qui n’est pas nécessaire à l’exécution dudit contrat (68). Le consentement ne saurait être considéré comme ayant été donné librement si la personne concernée ne dispose pas d’une véritable liberté de choix ou n’est pas en mesure de refuser ou de retirer son consentement sans subir de préjudice (69). En outre, pour que le consentement soit éclairé, le RRPD exige que la personne concernée connaisse au moins l’identité du responsable du traitement et les finalités du traitement auquel sont destinées les données à caractère personnel (70). Enfin, une personne concernée a le droit de retirer son consentement à tout moment (71).

(26)

Des garanties spécifiques doivent être prévues pour le traitement des «catégories particulières» de données.

(27)

Le RRPD contient des règles spécifiques en ce qui concerne le traitement de catégories particulières de données à caractère personnel (72), qui est défini de la même manière que dans le règlement (UE) 2016/679, c’est-à-dire comme étant le traitement de «données à caractère personnel qui révèle l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, des données génétiques (73) ou des données biométriques (74) aux fins d’identifier une personne physique de manière unique et des données relatives à l’état de santé (75) ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique (76)». Conformément au RRPD, le traitement de catégories particulières de données est en principe interdit, à moins qu’une exception spécifique ne s’applique (77).

(28)

Les exceptions spécifiques énumérées à l’article 11, paragraphe 2, du RRPD sont analogues à celles de l’article 9, paragraphes 2 et 3, du règlement (UE) 2016/679, hormis quelques adaptations en fonction du cadre juridique au sein duquel opère l’OEB. Le traitement de catégories particulières de données à caractère personnel n’est autorisé que dans des circonstances spécifiques et limitées (78), c’est-à-dire lorsque 1) la personne concernée a explicitement donné son consentement; 2) le traitement est nécessaire à la sauvegarde des intérêts vitaux d’une personne (dans le cas où la personne concernée se trouve dans l’incapacité physique ou juridique de donner explicitement son consentement); 3) les données à caractère personnel ont été manifestement rendues publiques par la personne concernée; 4) le traitement est nécessaire dans un but spécifique lié à l’exercice des activités officielles de l’OEB ou à l’exercice de l’autorité légitime dont est investi le responsable du traitement (79); ou 5) le traitement est nécessaire à la constatation, à l’exercice ou à la défense de droits en justice;

(29)

Outre les catégories particulières de données à caractère personnel visées au considérant 27, le RRPD exige également des protections spécifiques pour le traitement des données à caractère personnel relatives à des condamnations et à des infractions pénales, c’est-à-dire qu’il n’autorise ce traitement qu’après consultation préalable du CPD ou lorsque le traitement est requis par un instrument juridiquement contraignant qui prévoit des garanties appropriées pour les droits et libertés des personnes (80).

(30)

Les données à caractère personnel doivent être traitées pour une finalité spécifique et n’être utilisées ultérieurement que dans la mesure où cela n’est pas incompatible avec la finalité du traitement.

(31)

Ce principe est garanti à l’article 4, paragraphe 2, point b), du RRPD, en vertu duquel les données à caractère personnel doivent être «collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement de manière incompatible avec ces finalités».

(32)

À l’instar du règlement (UE) 2016/679, le RRPD autorise le traitement ultérieur (indépendamment de la compatibilité de la finalité du traitement ultérieur avec la finalité initiale) lorsqu’il est fondé sur le consentement explicite de la personne concernée ou sur les dispositions juridiques applicables de l’OEB (81). Dans ce dernier cas, le RRPD exige que le traitement constitue une mesure nécessaire et proportionnée pour répondre à un objectif d’intérêt public général (82).

(33)

Lorsque le traitement ultérieur n’est pas fondé sur le consentement explicite de la personne concernée ou sur les dispositions juridiques applicables de l’OEB, le RRPD prévoit les éléments à prendre en compte pour apprécier la compatibilité de la finalité du traitement ultérieur avec les finalités pour lesquelles les données à caractère personnel ont été initialement collectées (83). Cette approche et les éléments énumérés dans le RRPD sont identiques à ceux énoncés à l’article 6, paragraphe 4, du règlement (UE) 2016/679 et à l’article 6 du règlement (UE) 2018/1725 (84).

(34)

Les données à caractère personnel doivent être exactes et, si nécessaire, tenues à jour. Elles doivent également être adéquates, pertinentes et limitées au regard des finalités pour lesquelles elles sont traitées et, en principe, être conservées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées.

(35)

Ces principes sont énoncés à l’article 4, paragraphe 2, points c), d) et e), du RRPD de la même manière que dans le règlement (UE) 2016/679.

(36)

Les données à caractère personnel doivent également être traitées de façon à garantir leur sécurité, y compris leur protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d’origine accidentelle. À cette fin, les opérateurs économiques doivent prendre les mesures techniques ou organisationnelles appropriées pour protéger les données à caractère personnel contre d’éventuelles menaces. Il convient d’apprécier ces mesures en fonction de l’état des connaissances et des coûts correspondants.

(37)

La sécurité des données est garantie dans le cadre juridique de l’OEB par le principe d’intégrité et de confidentialité établi à l’article 4, paragraphe 2, point f), et à l’article 33 du RRPD, de manière presque identique à celle du règlement (UE) 2016/679. Le RRPD exige notamment qu’un niveau de sécurité adapté au risque soit assuré par des mesures techniques et organisationnelles appropriées, compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que du degré de probabilité et de gravité variable de tout risque pour les droits et libertés des personnes physiques.

(38)

Il prévoit en outre des exigences spécifiques en ce qui concerne le traitement et la notification d’une violation de données (85). Premièrement, le responsable du traitement est tenu de notifier une violation de données au RPD dans les meilleurs délais (et, si possible, 72 heures au plus tard après en avoir pris connaissance), à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques (86). De même, un sous-traitant est tenu de notifier une violation au responsable du traitement dans les meilleurs délais (87). La notification doit notamment décrire la nature de la violation, ses conséquences probables et les mesures prises ou proposées pour y remédier (88). Lorsqu’une violation de données est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement doit également communiquer la violation de données à caractère personnel à la personne concernée dans les meilleurs délais (89). La communication à la personne concernée doit décrire la nature de la violation de données à caractère personnel en des termes clairs et simples (90) et n’est pas requise si le responsable du traitement a pris des mesures ultérieures qui garantissent que le risque élevé pour les droits et libertés des personnes concernées n’est plus susceptible de se matérialiser (91).

(39)

Il convient d’informer les personnes concernées des principales caractéristiques du traitement des données à caractère personnel les concernant.

(40)

Selon le RRPD, le responsable du traitement est tenu, au moment où il obtient des données à caractère personnel, de fournir certaines informations aux personnes concernées, notamment son identité et ses coordonnées (ainsi que les coordonnées du RPD), les finalités du traitement et la base juridique de celui-ci, les destinataires ou les catégories de destinataires, le fait qu’il a l’intention de transférer les données en dehors de l’OEB, ainsi que les droits applicables et la possibilité d’exercer des voies de recours (92). Il en va de même lorsque des données à caractère personnel sont traitées à une fin autre que celle pour laquelle elles ont été collectées (93). Ces deux obligations ne s’appliquent que dans la mesure où la personne concernée ne dispose pas encore de ces informations (94).

(41)

Les mêmes informations doivent être fournies aux personnes concernées lorsque les données à caractère personnel ne sont pas collectées directement auprès d’elles, en même temps que des informations supplémentaires sur la source des données à caractère personnel et les catégories de données concernées (95). Ces informations doivent être fournies dans un délai raisonnable après avoir obtenu les données (mais ne dépassant pas un mois), eu égard aux circonstances particulières dans lesquelles les données sont traitées (96). Si les données à caractère personnel doivent être utilisées aux fins de la communication avec la personne concernée, les mêmes informations devraient être fournies au plus tard au moment de la première communication avec ladite personne (97). Les informations visées au considérant 40 doivent également être fournies avant tout traitement ultérieur ou, si une communication à un autre destinataire est envisagée, au plus tard lorsque des données à caractère personnel sont communiquées à un tiers (98). Cette obligation ne s’applique pas dans un certain nombre de cas, à savoir lorsqu’une personne concernée dispose déjà des informations concernées; lorsque ces informations doivent rester confidentielles en raison d’une obligation de secret professionnel réglementée par la CBE et/ou d’autres dispositions juridiques applicables à l’OEB (99); lorsque la fourniture de ces informations se révèle impossible ou exigerait des efforts disproportionnés, notamment pour le traitement à des fins archivistiques, de recherche scientifique ou historique ou à des fins statistiques, dans la mesure où cela rendrait impossible ou compromettrait gravement la réalisation des objectifs dudit traitement; ou lorsque l’obtention ou la communication de ces informations sont expressément prévues par la CBE ou d’autres dispositions juridiques applicables qui prévoient des mesures appropriées visant à protéger les intérêts légitimes de la personne concernée (100).

(42)

Les personnes concernées devraient disposer de certains droits qu’elles peuvent opposer au responsable du traitement ou au sous-traitant, en particulier le droit d’accéder aux données, le droit d’obtenir la rectification des données, le droit de s’opposer au traitement et le droit d’obtenir l’effacement des données. Dans le même temps, de tels droits peuvent être soumis à des limitations, dans la mesure où celles-ci sont nécessaires et proportionnées pour garantir des objectifs d’intérêt public importants.

(43)

La nécessité de faciliter l’exercice des droits individuels est énoncée à l’article 1er ter, paragraphe 4, du statut des fonctionnaires. Afin de renforcer la mise en œuvre de cette exigence, le RRPD confère aux personnes physiques les mêmes droits que ceux énoncés dans le règlement (UE) 2016/679, à savoir un droit d’accès (article 18 du RRPD), un droit de rectification (article 19 du RRPD), un droit à l’effacement (article 20 du RRPD), un droit à la limitation du traitement (article 21 du RRPD), un droit à la portabilité des données (article 22 du RRPD), un droit d’opposition (article 23 du RRPD) et un droit de ne pas faire l’objet d’une prise de décision automatisée (article 24 du RRPD).

(44)

Le RRPD établit également des dispositions générales pour le traitement des demandes d’exercice de droits émanant de personnes physiques, en exigeant du responsable du traitement qu’il communique avec les personnes concernées en des termes clairs et simples, d’une façon concise, transparente, compréhensible et facilement accessible (par écrit ou par d’autres moyens) (101). Le responsable du traitement doit fournir aux personnes physiques des informations sur les mesures prises à la suite d’une demande, dans les meilleurs délais et, en tout état de cause, dans un délai d’un mois à compter de la réception de la demande (ce délai pouvant être prolongé de deux mois supplémentaires si nécessaire compte tenu de la complexité et du nombre de demandes) (102). Lorsque les demandes d’une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut refuser de donner suite à la demande (103). Lorsque le responsable du traitement ne donne pas suite à une demande, il doit en informer la personne concernée et fournir des informations sur la possibilité d’exercer des voies de recours (104).

(45)

Premièrement, en ce qui concerne le droit d’accès, le RRPD donne aux personnes physiques le droit d’obtenir de l’OEB la confirmation que des données à caractère personnel les concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, d’accéder facilement (105) et à des intervalles raisonnables (106) auxdites données à caractère personnel. En outre, les personnes physiques ont le droit d’obtenir des informations portant notamment sur la finalité du traitement, les catégories de données concernées, les destinataires avec lesquels les données sont partagées et la période envisagée pour la conservation des données (107).

(46)

Deuxièmement, le RRPD prévoit que le droit de rectification qu’il confère permet aux personnes physiques d’obtenir que les données inexactes soient rectifiées ou que les données incomplètes soient complétées (par exemple, en fournissant une déclaration complémentaire) (108). Une fois la rectification effectuée, le responsable du traitement est tenu de la communiquer à chaque destinataire auquel les données à caractère personnel ont été communiquées (109). Conformément au RRPD, le droit de rectification s’applique aux données objectives et factuelles et non aux déclarations subjectives (110), bien que, dans ce cas, les personnes physiques aient le droit de compléter les données existantes par un deuxième avis ou une contre-expertise ou à présenter des observations (111).

(47)

Troisièmement, le RRPD confère également aux personnes physiques un droit à l’effacement (112), en particulier a) si les données à caractère personnel ne sont plus nécessaires au regard de la finalité pour laquelle elles sont traitées; b) si la personne concernée retire son consentement et s'il n’existe pas d’autre fondement au traitement; c) si la personne concernée s’oppose au traitement et s'il n’existe pas de motif légitime impérieux pour le traitement; d) si les données ont fait l’objet d’un traitement illicite; e) ou si les données doivent être effacées pour respecter une obligation légale qui s’applique au responsable du traitement (113). Le responsable du traitement doit communiquer tout effacement à chaque destinataire avec lequel les données ont été partagées, à moins que cela se révèle impossible ou exige des efforts disproportionnés (114). De même, si le responsable du traitement a rendu publiques les données à caractère personnel, il doit prendre des mesures raisonnables pour informer les autres responsables du traitement qui traitent ces données que l’effacement a été demandé par la personne concernée (115). Le droit à l’effacement ne s’applique pas dans les cas suivants, dans la mesure où le traitement des données est nécessaire, a) à l’exercice du droit à la liberté d’expression et d’information; b) pour respecter une obligation légale de l’OEB ou une obligation découlant de son devoir de coopération avec ses États contractants (116) ou dans l’exercice de l’autorité publique dont est investie l’OEB (117); c) pour des raisons de coopération avec les États contractants dans le domaine de la santé publique (118); d) à des fins archivistiques, à des fins de recherche scientifique ou historique, et à des fins statistiques (dans la mesure où l’effacement serait susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs du traitement); ou e) à la constatation, à l’exercice ou à la défense de droits en justice (119).

(48)

Quatrièmement, l’article 21 du RRPD prévoit un droit à la limitation du traitement, c’est-à-dire le marquage des données à caractère personnel en vue de limiter leur traitement futur (y compris des mesures de programmation pour empêcher définitivement l’accès à ces données) (120). Ce droit peut notamment être invoqué lorsque l’exactitude des données à caractère personnel est contestée par la personne concernée (pendant une période requise par le responsable du traitement pour vérifier l’exactitude) ou lorsque le traitement est illicite, mais que la personne s’oppose à l’effacement des données (121). Lorsque le traitement est limité, les données à caractère personnel ne peuvent, à l’exception du stockage, être traitées qu’avec le consentement explicite de la personne, pour la constatation, l’exercice ou la défense de droits en justice, pour la protection des droits d’autrui ou pour l’accomplissement d’une tâche relevant des activités officielles de l’OEB (c’est-à-dire une tâche nécessaire aux travaux administratifs et techniques que l’OEB est tenue d’effectuer en vertu de la CPE) (122).

(49)

Cinquièmement, un droit d’opposition est prévu à l’article 1er ter, paragraphe 4, du statut des fonctionnaires et à l’article 23 du RRPD. En particulier, les personnes physiques ont le droit de s’opposer à tout moment à un traitement de données à caractère personnel effectué pour l’accomplissement d’une tâche relevant de l’exercice des activités officielles de l’OEB ou de l’exercice légitime de l’autorité publique dont est investi le responsable du traitement (123). Elles doivent être informées de l’existence de ce droit de manière claire et au plus tard au moment de la première communication avec elles (124). Dans le cas où une personne s’oppose au traitement de données à caractère personnel, le RRPD impose au responsable du traitement de cesser le traitement, à moins qu’il ne démontre qu’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l’exercice ou la défense de droits en justice (125).

(50)

Sixièmement, le RRPD établit un droit à la portabilité des données, qui donne aux personnes physiques la possibilité de recevoir les données à caractère personnel les concernant dans un format structuré, couramment utilisé et lisible par machine, et de transmettre ces données à un autre responsable du traitement (126). Ce droit s’applique lorsque le traitement est effectué à l’aide de procédés automatisés et est fondé sur le consentement de la personne, ou aux fins de l’exécution d’un contrat avec la personne ou dans son intérêt (127).

(51)

Enfin, en vertu du RRPD, les personnes physiques ont le droit de ne pas faire l’objet d’une prise de décision automatisée, c’est-à-dire d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques à leur égard ou les affectant de manière significative de façon similaire (128). Le RRPD prévoit que la prise de décision automatisée est autorisée lorsqu’elle est fondée sur le consentement explicite de la personne concernée ou si elle est nécessaire à la conclusion ou à l’exécution d’un contrat avec la personne, auquel cas le responsable du traitement doit mettre en œuvre des mesures de sauvegarde appropriées, par exemple en prévoyant le droit d’obtenir une intervention humaine, d’exprimer son point de vue et de contester la décision (129). La prise de décision automatisée peut également être autorisée par un acte juridique si celui-ci prévoit des mesures appropriées pour la sauvegarde des droits des personnes physiques (130). Si le responsable du traitement a recours à la prise de décision automatisée, y compris à un profilage, il doit en informer la personne de façon proactive afin de s’acquitter de ses obligations de transparence et lui fournir des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée (131). Les mêmes informations doivent être fournies sur demande (132).

(52)

À l’instar de l’article 23 du règlement (UE) 2016/679 et de l’article 25 du règlement (UE) 2018/1725, l’article 25 du RRPD prévoit que des dispositions juridiques spécifiques du cadre juridique de l’OEB peuvent limiter l’application des droits visés aux considérants 43 à 51 (133) (c’est-à-dire limiter leur application de manière temporaire) (134), lorsqu’une telle limitation respecte l’essence des libertés et droits fondamentaux (135) et constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir des objectifs spécifiques (136). En outre, les dispositions prévoyant une limitation doivent être «claires et précises», destinées à produire des effets juridiques à l’égard des personnes concernées, et adoptées au moins au niveau du Président (137). Elles doivent notamment définir la finalité du traitement, l’étendue de la limitation, les garanties destinées à prévenir les abus ainsi que la durée de conservation et les garanties applicables (138).

(53)

À l’heure actuelle, le seul instrument juridique prévoyant des limitations des droits individuels est la circulaire no 420 (un instrument juridiquement contraignant adopté par le Président). Elle précise la manière dont le responsable du traitement peut appliquer des limitations ainsi que les conditions dans lesquelles il peut le faire, et définit de manière exhaustive les cas spécifiques dans lesquels les droits peuvent être limités et les objectifs pour lesquels ils peuvent l’être (139). La circulaire prévoit notamment que l’OEB peut limiter les droits individuels pour certains objectifs spécifiques: a) et b) lors de la conduite d’enquêtes ou de procédures disciplinaires à l’égard de son personnel (140); c) dans le cadre du règlement interne de litiges ou de la constatation, de l’exercice ou de la défense de droits en justice, y compris l’arbitrage, en vue de préserver des informations confidentielles et des documents confidentiels obtenus de la part des parties, d’intervenants ou d’autres sources légitimes; d) lors du traitement de données de santé dans des procédures et des dossiers médicaux, mais uniquement pour protéger les droits des personnes physiques (141); e) et f) lors de la conduite d’audits internes et d’inspections (ces dernières sont menées par le RPD); g) aux fins de la gestion d’incidents informatiques et de rapports sur les incidents liés à la sécurité physique; et h) lors de la fourniture ou de la réception d’assistance de la part d’autorités publiques compétentes, notamment d’États contractants de l’OEB et d’organisations internationales, ou lors de la coopération avec ceux-ci dans le cadre d’activités définies dans les accords de niveau de service, les protocoles d’accord et les accords de coopération applicables, soit à leur demande, soit à l’initiative de l’Office (142).

(54)

Il appartient au responsable du traitement de déterminer si une limitation peut ou non être appliquée dans un cas particulier, au regard des circonstances pertinentes (143). Pour décider s’il y a lieu ou non d’appliquer une limitation, le responsable du traitement doit d’abord évaluer la nécessité et la proportionnalité de celle-ci dans ce cas particulier, avec le concours du RPD (144). Cette évaluation consiste à mettre en balance les risques potentiels pour les droits et libertés de la personne concernée et les risques pour les droits et libertés d’autres personnes concernées ainsi que les risques d’entrave à la finalité et à l’issue de l’opération de traitement (145). Les limitations doivent être documentées, notamment en enregistrant l’analyse des droits limités, la durée et les raisons de la limitation, ainsi que ses fondements (146). En outre, aussi longtemps qu’une limitation s’applique, des mesures techniques et organisationnelles appropriées doivent être mises en place (147). Une limitation ne peut être appliquée que tant qu’il existe des raisons justifiant son existence (148). Si un droit est limité, le responsable du traitement doit informer la personne des principales raisons qui la motivent et du droit d’introduire une réclamation (149).

(55)

Les dispositions du traité constitutif de l’OEB (c’est-à-dire la CBE), du PCT et les dispositions applicables au titre de ces textes (tous constituant le droit primaire de l’OEB) contiennent certaines exigences spécifiques dans le cadre de la procédure de délivrance de brevets qui peuvent avoir une incidence sur l’exercice de certains droits conférés par le RRPD (150). La décision PGP donne un aperçu de ces exigences de droit primaire, explique comment les droits des personnes concernées peuvent être exercés dans ce contexte et énonce clairement les exceptions possibles (151). La circulaire no 420 établit que les dispositions susceptibles de limiter l’application des droits à la protection des données doivent clairement indiquer le champ d’application de toute exemption et, partant, mettre en balance les différents intérêts en jeu (152).

(56)

Premièrement, en vertu de l’article 127 de la CBE, l’Office est tenu de tenir un Registre européen des brevets, dans lequel certaines données à caractère personnel légalement définies sont publiées. Selon le droit primaire, les demandes de brevet doivent être publiées au cours de la procédure de délivrance de brevets, généralement dès que possible après l’expiration d’un délai de dix-huit mois à compter de la date de dépôt. La CBE prévoit que l’accès aux données à caractère personnel figurant dans ces demandes de brevet peut être obtenu au moyen d’une inspection publique ou d’une inspection du Registre (153). Les demandes de brevet ne peuvent pas faire l’objet d’une inspection avant publication sans le consentement explicite du demandeur. Le PCT prévoit des règles similaires (154).

(57)

Deuxièmement, la possibilité d’obtenir des modifications des informations utilisées dans le cadre d’une procédure de délivrance de brevets est spécifiquement réglementée par la CBE (155). Plus précisément, la CBE prévoit uniquement la possibilité d’obtenir la correction d’erreurs dans les pièces produites auprès de l’OEB (156), la rectification d’erreurs dans les décisions (157), la correction de traductions (158) et la rectification de la désignation d’un inventeur (159). La rectification des données à caractère personnel figurant dans des documents utilisés dans la procédure de délivrance de brevets ne peut donc être obtenue que dans ces cas. Il en va de même pour la possibilité d’obtenir une limitation du traitement des données (160).

(58)

Troisièmement, la CBE impose des exigences spécifiques en matière de conservation et de publication pour certains documents utilisés dans la procédure de délivrance de brevets, qui ont une incidence sur la possibilité d’obtenir la suppression des informations qu’ils contiennent, y compris des données à caractère personnel (161). En particulier, les demandes de brevet publiées et les informations relatives aux brevets publiées dans le Bulletin européen des brevets doivent être conservées et rendues accessibles au public (162). Dès lors, l’effacement de données à caractère personnel contenues dans ces documents irait à l’encontre des obligations juridiques fondamentales de l’OEB [article 129, point a), de la CBE] et ne peut pas être obtenu. Les autres dossiers doivent être conservés par l’OEB pendant une durée spécifiée dans la CBE, qui est en principe de cinq ans (163). Tant que ce délai court, l’effacement des informations contenues dans ces dossiers (y compris les données à caractère personnel) ne peut pas être obtenu.

(59)

Par conséquent, eu égard notamment à leur champ d’application limité et à leurs conditions d’application, les limitations de l’exercice des droits découlant des dispositions visées aux considérants 55 à 58 peuvent être considérées comme limitées à ce qui est nécessaire et proportionné pour assurer le bon fonctionnement de la procédure de délivrance de brevets, comme le requiert, dans l’intérêt public, l’accomplissement des tâches officielles de l’OEB. Dans la mesure où la CBE et le PCT ne réglementent pas spécifiquement l’exercice des droits à la protection des données, c’est-à-dire dans tous les cas autres que ceux décrits aux considérants 55 à 58, les exigences du RRPD s’appliquent pleinement.

(60)

Le niveau de protection conféré aux données à caractère personnel qui sont transférées de l’Union à l’OEB ne doit pas être compromis par le transfert ultérieur de ces mêmes données à des destinataires se trouvant dans un pays tiers ou à une organisation internationale.

(61)

Le RRPD établit une distinction entre les «transmissions de données à caractère personnel» (c’est-à-dire le partage de données par l’OEB avec ses États contractants) et les «transferts de données à caractère personnel» (le partage de données par l’OEB avec toute autre personne ou entité extérieure à l’OEB) (164).

(62)

Premièrement, le RRPD dispose qu’une transmission de données à un office national de la propriété intellectuelle d’un État contractant de l’OEB peut avoir lieu si les données sont nécessaires a) à l’exercice de la compétence du destinataire ou à l’exercice de l’autorité publique dont il est investi, et b) à l’exercice des activités officielles ou de l’autorité de l’OEB (165). Ces transmissions s’inscrivent dans le cadre de la procédure de délivrance de brevets prévue par la CBE et le PCT (166).

(63)

Deuxièmement, le RRPD permet la transmission de données à une autorité publique d’un État contractant de l’OEB (167), si ces données sont nécessaires à l’accomplissement des tâches de cette autorité publique et lorsque la transmission est compatible avec les tâches et le fonctionnement de l’OEB (168). De telles transmissions ne sont pas spécifiquement requises en vertu de la CBE ou d’autres instruments juridiques régissant la procédure de délivrance de brevets, mais peuvent néanmoins être nécessaires à l’accomplissement des tâches de l’OEB, par exemple sa coopération avec ses États contractants par les processus de consultation; le détachement et le déploiement d’experts; ou la fourniture d’informations sur le personnel de l’OEB aux fins de la détermination des prestations sociales, des exigences fiscales, etc.

(64)

Le RPD a élaboré des clauses modèles à inclure dans les protocoles d’accord régissant les transmissions de données décrites aux considérants 62 et 63, qui établissent notamment des principes pour la protection des données, limitent le traitement ultérieur aux seules fins compatibles, prévoient des droits pour les personnes concernées, ainsi que des obligations en matière de sécurité et de violation des données et un contrôle indépendant (169).

(65)

Dans les deux cas décrits aux considérants 62 et 63, le destinataire, conformément au RRPD, doit apporter la preuve qu’il est nécessaire de faire transmettre les données à des fins spécifiques découlant des obligations de coopération de l’OEB avec le ou les États contractants (170). Le responsable du traitement doit, pour chaque transmission, être en mesure de démontrer que cette transmission est nécessaire et proportionnée à la finalité spécifique pour laquelle les données sont partagées (171). Toute transmission de données doit être effectuée de manière à garantir le maintien du niveau de protection offert par le RRPD (172). Selon les orientations du RPD, cela signifie que des garanties appropriées doivent être mises en place, notamment en veillant à ce que les données à partager doivent être réduites au minimum et limitées à ce qui est adéquat, pertinent et strictement nécessaire pour atteindre cet objectif (173). S’il existe des raisons de penser que la transmission pourrait porter atteinte aux intérêts légitimes de la personne concernée, le responsable du traitement doit établir qu’il est proportionné de transmettre les données à caractère personnel à cette fin précise, après avoir mis en balance les différents intérêts en jeu (174).

(66)

En ce qui concerne ces deux cas, il importe également d’observer que tous les États contractants de l’OEB sont parties à la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, qui relève de la compétence de la Cour européenne des droits de l’homme, ainsi qu’à la convention du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (STE no 108).

(67)

Enfin, le RRPD autorise la transmission de données à un sous-traitant situé dans l’Espace économique européen (EEE), à condition que les exigences énoncées dans le RRPD pour l’engagement des sous-traitants soient respectées (175).

(68)

Le partage de données à caractère personnel avec toute entité extérieure à l’OEB autre qu’une autorité publique ou un office national de la propriété intellectuelle des États contractants de l’OEB ou un sous-traitant situé dans l’EEE est considéré comme un «transfert» de données à caractère personnel, soumis à des exigences spécifiques prévues par le RRPD (176). Ces exigences s’appliquent, par exemple, au partage de données avec des sous-traitants situés en dehors de l’EEE, des responsables du traitement situés dans ou en dehors d’États contractants, des pouvoirs publics dans des États non contractants et d’autres organisations internationales. De manière générale, le RRPD exige que le niveau de protection garanti aux personnes physiques par l’OEB ne soit pas compromis lorsque des données sont transférées à des tiers (177). Selon les orientations du RPD, «la protection accordée aux données à caractère personnel transférées dans le pays tiers ou l’organisation internationale doit être substantiellement équivalente à celle garantie par le RRPD» (178).

(69)

Conformément au RRPD, un transfert de données à caractère personnel en dehors de l’OEB peut tout d’abord avoir lieu si le pays où se trouve le destinataire, ou l’organisation internationale, assure un niveau de protection adéquat et si le transfert est effectué exclusivement pour permettre à l’OEB d’accomplir les tâches relevant de sa compétence (179). Une décision d’adéquation est adoptée par le Président (180), qui, en cas de doute, décide après consultation du RPD et du CPD (181). Le RPD a mis au point un «référentiel d’adéquation» qui fixe les critères applicables aux décisions d’adéquation (182). Le cadre juridique du pays tiers ou de l’organisation internationale doit prévoir, en particulier, des principes clés de protection des données, des droits pour les personnes concernées, des règles relatives aux transferts ultérieurs, des mécanismes de procédure et de mise en œuvre, ainsi que des voies de recours pour les personnes physiques. Si une décision d’adéquation est adoptée par le Président, le transfert peut avoir lieu sans la mise en œuvre de garanties supplémentaires (183). Les États membres, ainsi que la Norvège, l’Islande, le Liechtenstein, tous les pays qui bénéficient d’une décision d’adéquation de la Commission (184) et les institutions et organes de l’Union sont actuellement considérés par l’OEB comme assurant un niveau de protection adéquat (185).

(70)

Conformément au RRPD, en l’absence de décision d’adéquation, le responsable du traitement ou le sous-traitant ne peut transférer des données à caractère personnel à des destinataires en dehors de l’OEB que s’il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de recours effectives (186). Ces garanties appropriées peuvent être prévues par des arrangements administratifs avec des autorités publiques ou des organisations internationales, par des clauses contractuelles (après consultation du CPD) (187) ou par des mécanismes de certification (188). Le RPD a élaboré une vue d’ensemble des dispositions à inclure dans les arrangements administratifs (189). Un modèle d’accord sur la protection des données pour les transferts à des sous-traitants est également disponible (190). Selon les orientations du RPD, l’OEB doit évaluer si l’importateur de données serait empêché de se conformer aux obligations qui lui incombent en vertu d’un outil de transfert en raison du cadre juridique auquel il est soumis et, le cas échéant, mettre en place des mesures supplémentaires (191). Pour procéder à cette évaluation, le RPD recommande, dans les notes explicatives de l’OEB relatives à la transmission et au transfert de données à caractère personnel, de tenir compte des orientations pertinentes de l’EDPB et du Contrôleur européen de la protection des données (192).

(71)

Conformément au RRPD, pour les transferts de données vers des pays ou à des organisations bénéficiant d’une décision d’adéquation, ainsi que pour les transferts de données sur la base de garanties appropriées, l’OEB doit démontrer la nécessité et la proportionnalité de chaque transfert aux fins du traitement (193). L’OEB doit en outre établir, après avoir mis en balance les différents intérêts en jeu, que le transfert est proportionné, s’il existe des raisons de penser qu’il pourrait porter atteinte aux intérêts légitimes des personnes concernées (194). Par ailleurs, il est impératif de veiller (par des garanties contractuelles) à ce que le destinataire ne puisse traiter ou utiliser les données qu’aux seules fins pour lesquelles elles ont été transférées et à ce qu’il les supprime dès que l’objectif a été atteint (195).

(72)

En vertu du RRPD, en l’absence de décision d’adéquation ou de garanties appropriées, le transfert de données à caractère personnel en dehors de l’OEB est autorisé «à titre exceptionnel» uniquement si une «dérogation» s’applique dans des conditions semblables à celles des dispositions correspondantes du droit de l’Union en matière de protection des données (196). Tel est le cas lorsque (a) la personne concernée a donné son consentement explicite au transfert (197); b) et c) le transfert est occasionnel et nécessaire à l’exécution d’un contrat avec la personne concernée ou dans l’intérêt de celle-ci (ou à la mise en œuvre de mesures précontractuelles prises à la demande de la personne concernée) (198); d) le traitement est nécessaire à l’accomplissement d’une tâche relevant des activités officielles de l’OEB ou de l’exercice légitime de l’autorité publique dont est investi le responsable du traitement (199); e) le transfert est occasionnel et nécessaire à la constatation, à l’exercice ou à la défense de droits en justice (200); f) le transfert est nécessaire à la sauvegarde des intérêts vitaux d’une personne, lorsque la personne concernée se trouve dans l’incapacité physique ou juridique de donner son consentement explicite (201); ou g) le transfert a lieu au départ d’un registre qui est destiné à l’information du public et est ouvert à la consultation du public en général ou de toute personne justifiant d’un intérêt légitime, dans la mesure où les conditions prévues pour une telle consultation sont remplies dans le cas d’espèce (202). Par nature, et selon les orientations du RPD, ces dérogations ne peuvent pas être invoquées pour des transferts systématiques et réguliers (203).

(73)

Enfin, en ce qui concerne les transferts de catégories spécifiques de données vers des pays ou à des organisations qui ne bénéficient pas d’une décision d’adéquation, le Président peut limiter davantage ces transferts pour des raisons importantes liées à l’exercice légitime de l’autorité publique dont est investi l’Office (204). Jusqu’à présent, le Président n’a pas fait usage de ces pouvoirs.

(74)

Selon le principe de responsabilité, les entités traitant des données sont tenues de mettre en place les mesures techniques et organisationnelles appropriées pour s’acquitter effectivement de leurs obligations en matière de protection des données et doivent être en mesure de démontrer le respect de ces obligations, en particulier à l’autorité de contrôle compétente.

(75)

L’article 4, paragraphe 1, du RRPD établit un principe général de responsabilité, en précisant que le responsable du traitement est responsable du respect du RRPD et doit être en mesure de démontrer que celui-ci est respecté. En particulier, le responsable du traitement doit mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir et être en mesure de démontrer le respect du règlement, compte tenu de la nature, de la portée, du contexte et des finalités du traitement ainsi que du degré de probabilité et de gravité variable des risques pour les droits des personnes physiques (205). À cet égard, le RRPD met également en œuvre les principes de protection de la vie privée dès la conception et par défaut en exigeant du responsable du traitement qu’il mette en œuvre des mesures qui sont conçues pour mettre en œuvre les principes relatifs à la protection des données et garantir la conformité au RRPD, et pour garantir que, par défaut, seules les données à caractère personnel nécessaires au regard de chaque finalité spécifique du traitement sont traitées (206).

(76)

Le responsable du traitement et les sous-traitants doivent tenir un registre des activités de traitement comportant, entre autres, des informations sur la finalité du traitement, les catégories de données traitées, les catégories de destinataires auxquels les données sont communiquées, et les transferts de données à caractère personnel (207). Ces registres sont en principe accessibles au public (à moins qu’ils ne contiennent des informations confidentielles) et sont intégrés dans un registre de la protection des données accessible au public, et doivent être mis à la disposition du CPD sur demande (208). Chaque unité opérationnelle doit également désigner au moins un coordonnateur de la protection des données (pour un mandat renouvelable d’un à trois ans), lequel doit suivre une formation obligatoire sur la protection des données et aider le responsable du traitement à se conformer à ses obligations (209).

(77)

Enfin, le RRPD prévoit différents instruments qui peuvent aider le responsable du traitement et les sous-traitants dans leurs efforts de mise en conformité. Ainsi, aux termes du RRPD, l’application de mécanismes de certification approuvés peut servir de preuve du respect des obligations du RRPD (210). En outre, sous certaines conditions, le RRPD exige la réalisation d’une analyse d’impact relative à la protection des données ou une consultation préalable du RPD et du CPD. Une analyse d’impact relative à la protection des données est requise lorsqu’un type de traitement est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne (211). Elle est requise, par exemple, lorsqu’il existe une évaluation systématique et approfondie d’aspects personnels sur laquelle des décisions automatisées sont fondées, ou dans le cas d’un traitement à grande échelle de catégories particulières de données (212). Si une analyse d’impact indique que le traitement engendrerait un risque élevé pour les droits et libertés des personnes physiques et que le risque ne peut être atténué par des mesures de sécurité raisonnables, le responsable du traitement doit consulter le CPD (213). Celui-ci doit fournir un avis écrit s’il est d’avis que le traitement envisagé constituerait une violation du RRPD (214). Plus généralement, le responsable du traitement est tenu de consulter le RPD lors de l’élaboration de règlements ou des documents opérationnels relatifs à la mise en œuvre des limitations des droits individuels (215).

(78)

Pour garantir un niveau adéquat de protection des données dans la pratique, il convient de mettre en place une autorité de contrôle indépendante chargée de surveiller et d’assurer le respect des règles en matière de protection des données. Cette autorité doit exercer en toute indépendance et en toute impartialité les missions et les pouvoirs dont elle est investie.

(79)

Le cadre juridique de l’OEB confie à deux organes le contrôle du respect des règles en matière de protection des données par l’OEB: le RPD et le CPD. Ces deux organes sont créés par l’article 32 bis du statut des fonctionnaires, tandis que leur statut et leurs pouvoirs sont précisés dans le RRPD (216). Leurs rôles sont complémentaires et supposent qu’ils collaborent, chaque organe continuant cependant d’exercer ses propres fonctions de façon indépendante.

(80)

Conformément au statut des fonctionnaires, le RPD et le CPD s’acquittent de leurs tâches et exercent leurs pouvoirs indépendamment de toute ingérence interne ou externe (217). Ce principe est complété par différentes garanties supplémentaires qui garantissent leur indépendance.

(81)

Le RPD (et ses suppléants) sont nommés par le Président sur la base de leurs qualifications professionnelles et, en particulier, de leurs connaissances spécialisées du droit et des pratiques en matière de protection des données (218). Le RPD est nommé pour une période de trois à cinq ans et son mandat est renouvelable. S’il est proposé de relever le RPD de ses fonctions ou de le révoquer, le CPD doit être consulté au préalable (219). Cette consultation préalable a pour but d’assurer un examen et un contrôle supplémentaires dans ce cas de figure. Il peut être proposé de relever le RPD de ses fonctions ou de le révoquer pour l’une des raisons suivantes (220): lorsque le RPD ne remplit plus les conditions nécessaires à l’exercice de ses fonctions (221); pour insuffisance professionnelle (222); ou par suite de sanctions disciplinaires (223). Le RRPD stipule également que le RPD ne peut être relevé de ses fonctions ou sanctionné pour l’exécution de ses tâches et ne peut recevoir aucune instruction (224). Il doit être associé à toutes les questions relatives à la protection des données à caractère personnel et présenter des rapports annuels d’activité au Président et au Conseil d’administration (225). L’Office doit fournir au RPD les ressources nécessaires à l’exécution de ses tâches (226).

(82)

Le CPD est composé de trois experts externes dans le domaine de la protection des données, à savoir un président et deux autres membres (227), ainsi qu’un membre suppléant, nommés par le Président de l’OEB pour un mandat renouvelable de trois ans (228). Les membres du CPD doivent avoir les qualifications requises pour être nommés à des fonctions juridictionnelles ou être des professionnels de la protection des données avec une expertise et une expérience avérées dans le domaine du droit de la protection des données acquises au niveau national ou international. Ils ne peuvent pas être des agents de l’OEB ou avoir été agents de l’OEB au cours des dix dernières années (229). Conformément à l’article 48, paragraphe 6, du RRPD, les membres du CPD exercent leurs fonctions en toute indépendance. En particulier, ils ne peuvent pas solliciter d’instructions de l’Office ou du Conseil d’administration et ne peuvent pas être liés par de telles instructions. Le règlement intérieur du CPD prévoit également qu’il doit exercer d’une manière impartiale et en toute indépendance les tâches qui lui sont conférées (230). En outre, les membres du CPD ne peuvent être licenciés par l’OEB que pour motif grave (231). Les membres du CPD sont liés par une obligation de confidentialité (232) et doivent s’abstenir d’agir dans une affaire dans laquelle ils ont un conflit d’intérêts, en particulier un intérêt personnel (233). L’OEB est tenue d’assister le CPD dans l’accomplissement de ses tâches en lui fournissant les ressources nécessaires, ainsi qu’un soutien juridique et administratif (par l’intermédiaire d’un secrétariat et en donnant au CPD accès aux données à caractère personnel et aux opérations de traitement) (234).

(83)

Les tâches du RPD sont notamment les suivantes: informer le responsable du traitement ou les sous-traitant des obligations qui leur incombent et les conseiller en conséquence; sensibiliser et former le personnel participant aux opérations de traitement; veiller à ce que les personnes concernées soient informées de leurs droits au titre du RRPD; et surveiller de manière indépendante l’application interne et le respect du RRPD, ainsi que d’autres dispositions juridiques de l’OEB ayant une incidence sur la protection des données (235). Les personnes concernées peuvent prendre contact avec le RPD au sujet de toute question relative au traitement de leurs données ou à l’exercice de leurs droits (236), et le responsable du traitement et les sous-traitants peuvent consulter le RPD concernant toute question liée à l’interprétation et à l’application du RRPD (237).

(84)

Dans le cadre de sa fonction de contrôle, le RPD a le pouvoir de mener des audits et des enquêtes sur la protection des données (238). Les audits sont menés à l’initiative du RPD conformément à un plan d’audit annuel élaboré en consultation avec le CPD (239). L’audit consiste essentiellement à évaluer les enregistrements et déclarations relatifs à la protection de données ainsi que la documentation pertinente, par exemple pour vérifier l’exactitude et l’exhaustivité de la documentation pertinente liée à la protection des données, l’application correcte des méthodes de gestion des risques, l’exactitude et la diligence des réponses apportées aux personnes concernées, ou la bonne conduite et le nombre d’analyses d’impact relatives à la protection des données (240). Selon les informations communiquées à la Commission par le RPD, trois audits ont été menés en 2023 et quatre en 2024. Le RPD peut prendre l’initiative d’ouvrir une enquête, à la suite d’une demande du CPD ou d’un organe de l’OEB (par exemple, le Président ou un responsable délégué du traitement) ou sur la base d’informations reçues d’une autre manière (y compris, par exemple, de tiers et de particuliers) (241). Les enquêtes demandées par le CPD sont menées par le RPD de manière indépendante. Le CPD peut formuler des observations et/ou demander une enquête complémentaire sur toute question qui aurait pu se poser (242). Les inspections sont axées sur les opérations de traitement ou certains aspects spécifiques de celles-ci, ou sur des faits qui y sont liés, afin de garantir que le traitement en question satisfait aux exigences du RRPD et d’assurer la protection des droits et libertés des personnes concernées (243).

(85)

Le RPD a accès à toutes les informations pertinentes, y compris aux données à caractère personnel qui font l’objet d’un traitement, ainsi qu’à tous les locaux, à toutes les installations de traitement de données et à tous les supports d’information (244). Tous les agents et toutes les unités opérationnelles de l’OEB sont tenus d’assister le RPD dans l’exercice de ses fonctions, notamment en lui donnant accès aux locaux et aux informations pertinentes (245).

(86)

Au terme de l’audit ou de l’enquête, le RPD adopte un rapport dans lequel il présente ses constats, ses conclusions et les mesures de correction recommandées (246). Ces mesures peuvent comprendre, par exemple, des mesures de prévention ou d’atténuation visant à améliorer le respect des règles, ainsi que des mesures visant à remédier aux manquements (par exemple, mettre le traitement en conformité avec le RRPD, traiter les demandes des personnes concernées d’exercer leurs droits, suspendre ou mettre fin à un traitement, etc.) (247). Le RPD peut également porter à l’attention de l’autorité investie du pouvoir de nomination compétente tout manquement au RRPD par des agents et, le cas échéant, recommander l’ouverture d’une enquête administrative pour déterminer s’il y a lieu de prendre des mesures disciplinaires ou autres (248). Tout agent qui ne se conforme pas au RRPD, que ce soit intentionnellement ou par négligence, est passible de sanctions disciplinaires ou d’une autre sanction conformément au statut des fonctionnaires (249).

(87)

Les résultats des audits et des enquêtes doivent être communiqués au CPD (250). Le rapport d’audit ou d’enquête doit être communiqué au CPD sur demande. Le CPD est autorisé à formuler des observations sur le rapport du RPD, y compris sur ses conclusions quant à l’existence ou non d’une violation du RRPD, sur les mesures de correction proposées, et il peut demander des mesures d’enquête supplémentaires (251). Si un audit ou une inspection mené par le RPD conclut à une non-conformité (c’est-à-dire à une violation du RRPD), le rapport du RPD doit être présenté au CPD en vue de la validation des conclusions et des mesures de correction recommandées. En cas de désaccord du CPD avec les conclusions du RPD ou les mesures de correction recommandées par celui-ci, le CPD fait part de ses observations au RPD, notamment pour modifier les conclusions proposées et les mesures de correction recommandées, lequel devrait les mettre en œuvre en conséquence. Les mesures de correction validées par le CPD sont contraignantes pour le responsable du traitement et les responsables délégués du traitement, et peuvent être invoquées par des personnes physiques devant les mécanismes de recours décrits au considérant 95 (252). Le RPD doit contrôler que les mesures de correction ont été mises en œuvre (en principe six mois après leur communication) et faire rapport chaque année au Président sur l’état d’avancement de la mise en œuvre (253).

(88)

Outre son rôle consistant à veiller au respect du RRPD, le CPD a également pour tâche de conseiller le Président sur l’adoption de décisions d’adéquation, de conseiller le responsable du traitement sur la nécessité de procéder à une analyse d’impact relative à la protection des données, et d’examiner les réclamations des personnes physiques (voir considérants 92 à 96) (254).

(89)

En vue d’une protection adéquate et, en particulier, du respect de ses droits individuels, la personne concernée doit disposer de possibilités de recours effectif, y compris d’indemnisation.

(90)

Le cadre juridique de l’OEB offre aux personnes physiques différentes voies de recours.

(91)

Premièrement, les personnes concernées qui considèrent que le traitement de leurs données à caractère personnel par l’OEB porte atteinte à leurs droits (c’est-à-dire viole le RRPD) peuvent introduire une demande de réexamen par le responsable délégué du traitement en vertu de l’article 49 du RRPD. Le responsable délégué du traitement examinera la réclamation et prendra une décision (255). Avant de prendre une décision, le responsable délégué du traitement doit consulter le RPD, lequel fournit un avis écrit au plus tard 15 jours civils après la réception de la demande de réexamen (256). Le responsable délégué du traitement doit répondre à la personne concernée dans un délai d’un mois à compter de la date de réception de la demande (257). La décision doit être communiquée à cette personne, accompagnée d’informations sur les autres voies de recours possibles (258). Si le responsable délégué du traitement ne prend aucune mesure dans un délai de trois mois, cela est considéré comme un rejet implicite de la demande.

(92)

Deuxièmement, les personnes physiques peuvent contester une décision ou un rejet implicite d’une demande de réexamen par un responsable délégué du traitement en introduisant une réclamation auprès du CPD (259).

(93)

Lors de l’examen d’une réclamation, le CPD doit inviter la personne concernée, le responsable du traitement et, le cas échéant, le sous-traitant à consigner par écrit leur position sur les allégations et les faits en cause et à fournir des preuves ou des observations et des arguments sur les preuves déjà disponibles (260). Dans ce contexte, le CPD peut demander aux parties toute information dont il a besoin pour traiter la réclamation et peut, en outre, obtenir des informations supplémentaires par l’intermédiaire du RPD (261). Pour décider de la suite à donner à une réclamation, le CPD doit tenir compte, entre autres, de la nature et de la gravité de la violation alléguée, du nombre de personnes concernées, des catégories de données concernées et de la durée de la violation (262). Le CPD peut inviter les parties à rechercher un règlement amiable, et encourage et soutient activement un tel règlement (263). Le plaignant peut également demander au CPD d’appliquer une procédure d’urgence, pour des raisons de gravité de la violation alléguée ou compte tenu de la gravité du risque imposé aux droits des personnes physiques (264).

(94)

Après avoir examiné une réclamation, le CPD adresse un avis motivé au responsable du traitement, qui comprend un exposé des faits, les principaux arguments des parties, ainsi que ses considérations et ses recommandations (265). En cas de procédure d’urgence, le CPD doit émettre formellement un avis motivé dans un délai de deux mois à compter du dépôt de la réclamation (266). Dans son avis motivé, le CPD peut émettre toute recommandation qu’il juge nécessaire, y compris des mesures de redressement par voie d’injonction (par exemple, la cessation d’un traitement illicite de données, la suppression de données traitées illégalement) ou l’octroi d’une indemnisation pour les dommages matériels ou immatériels (267). L’avis motivé doit être communiqué à la personne concernée et au responsable du traitement (à savoir, le président de l’Office, le président des chambres de recours, le président du conseil d’administration ou le président du comité restreint, selon que la réclamation concernait l’Office, les chambres de recours, le conseil ou le comité restreint). Le responsable du traitement prend alors une décision définitive contraignante en suivant l’avis motivé du CPD (268). La décision finale est communiquée à la personne concernée, au CPD et au RPD (269). Si le responsable du traitement décide de ne pas suivre un ou plusieurs aspects de l’avis motivé, il consigne par écrit, dans sa décision, les raisons pour lesquelles il s’en écarte (270).

(95)

Une personne concernée qui n’est pas satisfaite de la décision du responsable du traitement peut introduire un recours contre celle-ci, en mentionnant l’avis motivé du CPD. Les agents de l’OEB peuvent contester la décision devant le Tribunal administratif de l’Organisation internationale du travail (271). Toute autre personne concernée qui n’est pas d’accord avec la décision du responsable du traitement peut, dans un délai de trois mois à compter de la réception de la décision, demander au Président d’engager une procédure d’arbitrage ad hoc (272). Le RRPD prévoit une procédure spécifique à suivre en cas d’arbitrage ad hoc (273). Plus précisément, dans un délai de trois mois à compter de la réception de la demande de la personne concernée, un arbitre doit être désigné par le secrétaire général de la Cour permanente d’arbitrage sur la base des critères énoncés dans le RRPD (274). L’arbitre doit être juridiquement qualifié, autorisé à pratiquer le droit dans l’un des États contractants de l’OEB, pouvoir démontrer des connaissances spécialisées pertinentes en matière de protection des données et maîtriser le droit des organisations internationales (275). Outre l’obligation de satisfaire à ces critères, seules les personnes qui n’ont travaillé ni pour ni au service de l’OEB ou de la personne concernée peuvent être nommées à ce poste. Le RRPD prévoit que l’arbitre doit agir de manière indépendante et impartiale (276), traiter chaque partie sur un pied d’égalité et lui donner la possibilité de faire valoir ses droits à chaque étape de la procédure (277). La procédure d’arbitrage n’est pas publique (278) et est régie par la CBE, le RRPD, y compris toute disposition d’application, le droit des organisations internationales et les principes du droit international public (279). Si chaque partie doit prendre en charge ses propres frais de représentation juridique et dépenses (à moins que l’arbitre n’en décide autrement), les honoraires et dépenses de l’arbitre, ainsi que les frais d’éventuels conseils d’experts et témoins sont pris en charge par l’OEB (280). Un règlement doit être conclu sous la forme d’une sentence arbitrale écrite dans un texte convenu, qui est définitif et contraignant (281).

(96)

Toute personne ayant subi un dommage du fait d’une violation du RRPD peut demander une indemnisation à l’OEB selon les procédures décrites aux considérants 91 à 95 (282). L’OEB sera exonérée de toute responsabilité si elle prouve que le fait qui a provoqué le dommage ne lui est pas imputable.

(97)

Le cadre juridique en vertu duquel l’OEB examine les demandes émanant des autorités publiques (de ses États contractants et de pays tiers) concernant des données à caractère personnel traitées par l’OEB, et y répond découle du protocole sur les privilèges et immunités de l’OEB (ci-après le «PPI») (283), des exigences du RRPD en matière de transmission et de transfert de données à caractère personnel et du droit international public.

(98)

Premièrement, le traitement de données à caractère personnel par l’OEB aux fins de ses activités officielles est couvert par les immunités de l’Organisation. Les immunités de l’OEB sont complétées par un devoir de coopération établi à l’article 20 du PPI. Par conséquent, toute demande émanant d’une autorité publique d’un État contractant en vue d’obtenir des données traitées par l’OEB est examinée par le Président conformément au PPI (article 20, paragraphe 1), qui prévoit que l’Organisation «coopère en tout temps avec les autorités compétentes des États contractants, en vue de faciliter une bonne administration de la justice, d’assurer l’observation des règlements de police et de ceux concernant la santé publique et l’inspection du travail, ou autres lois nationales de nature analogue, et empêcher tout abus des privilèges, immunités et facilités prévus par le présent protocole». À titre exceptionnel, l’Organisation peut renoncer à son immunité de juridiction et d’exécution (284). Lorsqu’il statue sur une demande de coopération, le Président exerce son pouvoir d’appréciation et examine si la demande est conforme au cadre juridique de l’Organisation (285). Il peut conclure que l’Office peut répondre à une demande au titre du PPI et ne peut divulguer des données à caractère personnel que dans le respect des exigences relatives à la transmission de données prévues dans le RRPD (voir considérants 62 à 67). Conformément au RRPD, le destinataire doit apporter la preuve qu’il est nécessaire de faire transmettre les données à des fins spécifiques découlant des obligations de coopération de l’OEB avec les États contractants (286). Le responsable du traitement doit, pour chaque transmission, pouvoir démontrer que cette transmission est nécessaire et proportionnée à la finalité spécifique pour laquelle elle est effectuée (287). Toute transmission de données doit être effectuée de manière à garantir le maintien du niveau de protection offert par le RRPD (288). Selon les orientations du RPD, cela signifie que des garanties appropriées doivent être mises en place, notamment en veillant à ce que les données à partager doivent être réduites au minimum et limitées à ce qui est adéquat, pertinent et strictement nécessaire pour atteindre cet objectif (289). S’il existe des raisons de penser que la transmission pourrait porter atteinte aux droits et aux libertés de la personne concernée, le responsable du traitement doit établir qu’il est proportionné de transmettre les données à caractère personnel à cette fin précise, après avoir mis en balance les différents intérêts en jeu (290).

(99)

Deuxièmement, aucun instrument juridique applicable à l’OEB ne régit spécifiquement le traitement des demandes émanant des autorités publiques de pays tiers (c’est-à-dire qui ne sont pas parties à l’OEB) en vue d’obtenir des données traitées par l’OEB. En conséquence, toute divulgation en réponse à une telle demande ne peut avoir lieu que si les exigences relatives aux transferts internationaux de données prévues dans le RRPD (telles que décrites aux considérants 68 à 73) sont respectées. Tel ne serait le cas que si une décision d’adéquation couvrant le transfert a été adoptée pour le pays concerné, si des garanties appropriées ont été mises en place ou si une dérogation s’applique.

(100)

Le respect du PPI par le Président est soumis au contrôle du Conseil d’administration, y compris la suite réservée aux demande de coopération adressées par les pouvoirs publics, tandis que le respect des exigences relatives à la transmission et au transfert de données à caractère personnel figurant dans le RRPD est soumis au contrôle du RPD et du CPD, comme décrit aux considérants 84 à 88. Les personnes physiques peuvent utiliser les voies de recours décrites aux considérants 90 à 96 concernant les transmissions ou les transferts de leurs données à caractère personnel en violation du RRPD.

(101)

La Commission considère que l’OEB garantit un niveau de protection des données à caractère personnel transférées depuis l’Union qui est essentiellement équivalent à celui garanti par le règlement (UE) 2016/679.

(102)

Sur la base des constatations de la présente décision, il convient de décider que l’OEB assure un niveau de protection adéquat, au sens de l’article 45 du règlement (UE) 2016/679, interprété à la lumière de la Charte des droits fondamentaux de l’Union européenne, des données à caractère personnel transférées de l’Union européenne à l’OEB.

(103)

Les États membres et leurs organes sont tenus de prendre les mesures nécessaires pour se conformer aux actes des institutions de l’Union, car ces derniers jouissent d’une présomption de légalité et produisent, dès lors, des effets juridiques aussi longtemps qu’ils n’ont pas été retirés, annulés à la suite d’un recours en annulation ou déclarés invalides à la suite d’un renvoi préjudiciel ou d’une exception d’illégalité.

(104)

En conséquence, une décision d’adéquation de la Commission adoptée en vertu de l’article 45, paragraphe 3, du règlement (UE) 2016/679 a un caractère contraignant pour tous les organes des États membres destinataires, y compris leurs autorités de contrôle indépendantes. En particulier, les transferts d’un responsable du traitement ou d’un sous-traitant situé dans l’Union européenne à l’OEB peuvent avoir lieu sans qu’il soit nécessaire d’obtenir une autorisation supplémentaire.

(105)

Il convient de rappeler que, comme prévu à l’article 58, paragraphe 5, du règlement (UE) 2016/679 et ainsi que la Cour de justice l’a expliqué dans l’arrêt dans l’affaire C362/14 (291), lorsqu’une autorité nationale chargée de la protection des données met en cause, notamment après avoir été saisie d’une plainte, la compatibilité d’une décision d’adéquation de la Commission avec la protection des droits fondamentaux que constituent le respect de la vie privée et la protection des données, le droit national doit prévoir des voies de recours lui permettant de faire valoir ces griefs devant les juridictions nationales, qui, en cas de doute, doivent surseoir à statuer et procéder à un renvoi préjudiciel devant la Cour de justice.

(106)

Selon la jurisprudence de la Cour de justice, et conformément à l’article 45, paragraphe 4, du règlement (UE) 2016/679, la Commission doit suivre, de manière permanente, les évolutions pertinentes dans le pays tiers ou l’organisation internationale après l’adoption d’une décision d’adéquation, afin de déterminer si ce pays ou cette organisation continue d’assurer un niveau de protection essentiellement équivalent. Une telle vérification s’impose, en tout état de cause, lorsque la Commission reçoit des informations faisant naître un doute justifié à cet égard.

(107)

Par conséquent, la Commission devrait surveiller de manière permanente la situation en ce qui concerne le cadre juridique de l’OEB et la pratique proprement dite de traitement des données à caractère personnel tels qu’évalués dans la présente décision. Pour faciliter ce processus, il est attendu de l’OEB qu’elle informe la Commission de toute évolution importante en rapport avec la présente décision, concernant tant le traitement des données à caractère personnel que les limitations et garanties applicables à l’accès des autorités publiques aux données à caractère personnel.

(108)

En outre, afin de permettre à la Commission d’accomplir efficacement sa mission de suivi, les États membres devraient l’informer de toute mesure pertinente prise par les autorités nationales chargées de la protection des données, en particulier en ce qui concerne les questions ou les réclamations des personnes concernées de l’Union au sujet du transfert de données à caractère personnel des autorités compétentes de l’Union à l’OEB.

(109)

En application de l’article 45, paragraphe 3, du règlement (UE) 2016/679, et au regard du fait que le niveau de protection assuré par le cadre juridique de l’OEB est susceptible d’évoluer, la Commission, après l’adoption de la présente décision, devrait vérifier de manière périodique si les conclusions relatives au niveau adéquat de la protection assurée par l’OEB sont toujours justifiées en fait et en droit. Ces évaluations devraient avoir lieu au moins une fois tous les quatre ans et couvrir sur tous les aspects relatifs au fonctionnement de la présente décision, y compris le fonctionnement des mécanismes de surveillance et d’application pertinents.

(110)

En vue de la réalisation de cet examen, la Commission devrait rencontrer l’OEB, accompagnée de son RPD et du CPD. La participation à cette réunion devrait être ouverte aux représentants des membres du comité européen de la protection des données. Dans le cadre de l’examen, la Commission devrait demander à l’OEB de fournir des informations exhaustives sur tous les aspects pertinents pour le constat d’adéquation. La Commission devrait également demander des explications sur toute information reçue présentant de l’intérêt pour la présente décision, notamment de la part de l’EDPB, de diverses autorités de protection des données, de groupes de la société civile, des informations publiques ou relayés par les médias, ou toute autre source d’informations disponible.

(111)

Sur la base de l’examen, la Commission devrait élaborer un rapport public qui sera présenté au Parlement européen et au Conseil.

(112)

Lorsque des informations disponibles, en particulier les informations résultant du suivi par la Commission d’évolutions susceptibles d’entraver le fonctionnement de la présente décision conformément à l’article 45, paragraphe 4, du règlement (UE) 2016/679 ou fournies par l’OEB ou les autorités des États membres, révèlent que le niveau de protection assuré par l’OEB pourrait ne plus être adéquat, la Commission devrait en informer l’OEB et demander que des mesures appropriées soient prises dans un délai raisonnable bien défini.

(113)

Si, à l’expiration de la période précisée, l’OEB n’a pas pris ces mesures ou échoue à démontrer de manière satisfaisante que la présente décision reste fondée sur un niveau de protection adéquat, la Commission lancera la procédure visée à l’article 93, paragraphe 2, du règlement (UE) 2016/679 en vue de la suspension partielle ou complète ou de l’abrogation de la présente décision.

(114)

À défaut, la Commission lancera cette procédure visant à modifier la présente décision, notamment en soumettant les transferts de données à des conditions supplémentaires ou en limitant le constat d’adéquation aux seuls transferts de données pour lesquels un niveau de protection adéquat continue à être garanti.

(115)

La Commission devrait également envisager de lancer la procédure conduisant à la modification, à la suspension ou à l’abrogation de la présente décision si, dans le contexte ou non de l’examen, l’OEB ne fournit pas les informations ou les clarifications nécessaires pour apprécier le niveau de protection conféré aux données à caractère personnel transférées de l’Union, ou concernant le respect de la présente décision. À cet égard, la Commission devrait prendre en compte la mesure dans laquelle les informations concernées peuvent être obtenues auprès d’autres sources.

(116)

Pour des raisons d’urgence impérieuse dûment justifiées, la Commission aura recours à la possibilité d’adopter, conformément à la procédure visée à l’article 93, paragraphe 3, du règlement (UE) 2016/679, des actes d’exécution immédiatement applicables suspendant, abrogeant ou modifiant la décision.

(117)

Le comité européen de la protection des données a publié son avis (292), dont il a été tenu compte dans l’élaboration de la présente décision.

(118)

Les mesures prévues par la présente décision sont conformes à l’avis du comité institué en vertu de l’article 93, paragraphe 1, du règlement (UE) 2016/679,