Décision du Contrôleur européen de la protection des données du 25 novembre 2025 relative à la gestion des pièces et des archives [2025/2608]

1. La présente décision établit les règles relatives à la gestion des pièces et des archives du CEPD sur support papier ou électronique, ainsi qu’à la conservation et à l’ouverture au public des archives du CEPD.

2. La présente décision s’applique aux pièces détenues par le CEPD et à ses archives, quels que soient leur format, leur support, leur ancienneté ou leur emplacement.

3. La présente décision est applicable à tous les membres du personnel du CEPD couverts par le statut des fonctionnaires et le régime applicable aux autres agents de l’Union européenne, c’est-à-dire les fonctionnaires, les agents temporaires et les agents contractuels. Elle s’applique également aux experts nationaux détachés et aux stagiaires.

4. La présente décision ne s’applique pas aux membres du personnel du secrétariat du comité européen de la protection des données. Comme indiqué à la section IV, paragraphe 2, point iv), du protocole d’accord conclu entre le comité européen de la protection des données et le Contrôleur européen de la protection des données (8), la gestion des pièces est incluse dans la liste des tâches à accomplir par le secrétariat du comité conformément à l’article 75, paragraphe 6, du règlement (UE) 2016/679 du Parlement européen et du Conseil (9).

1. Les pièces du CEPD sont créées sous une forme électronique et conservées dans ses répertoires électroniques officiels. Toutefois, dans des circonstances exceptionnelles, par exemple en raison d’obligations légales ou protocolaires, lorsqu’il n’est pas possible de numériser un document en raison de son format ou de sa taille, ou en raison de la valeur spécifique et unique de la version analogique, les pièces peuvent être créées sur un support différent ou conservées dans un format différent.

2. Les pièces au format analogique créées ou reçues par le CEPD sont systématiquement numérisées et saisies dans un répertoire électronique officiel. La version électronique numérisée qui en résulte remplace la validité du format analogique à partir de ce moment-là.

3. Les services du CEPD veillent à ce que les enregistrements de courriels fournissant des preuves et des informations sur leurs activités et transactions soient recensés, gérés et conservés conformément aux exigences en matière d’archivage énoncées dans la présente décision.

4. Toutes les pièces créées ou reçues par un membre du personnel dans le cadre ou à la suite de l’activité officielle du CEPD sont la propriété du CEPD.

1. Les services du CEPD examinent régulièrement les types d’informations créées ou reçues dans le cadre de leurs activités respectives, afin de recenser celles qui doivent être saisies dans un répertoire électronique officiel et, compte tenu du contexte dans lequel elles ont été produites, d’organiser leur gestion tout au long de leur cycle de vie.

2. Les pièces saisies ne sont pas modifiées. Elles peuvent être supprimées ou remplacées par des versions ultérieures jusqu’à la clôture du dossier dont elles font partie.

1. Les documents établis ou reçus par le CEPD doivent être enregistrés dans l’un des systèmes de gestion des pièces s’ils contiennent des informations importantes non éphémères ou s’ils peuvent donner lieu à une action ou à un suivi des services du CEPD.

2. Tout document ou contenu provenant de plateformes de travail collaboratives qui répond aux critères énoncés au paragraphe 1 doit être enregistré dans l’un des systèmes de gestion des documents officiels du CEPD.

3. Les systèmes d’archivage doivent générer des identifiants uniques pour les pièces enregistrées.

4. Les documents classifiés ne sont enregistrés que dans des systèmes d’enregistrement approuvés, conçus pour le traitement de documents du niveau de classification correspondant.

1. Le CEPD utilise et tient à jour un plan de classement reflétant ses activités.

2. Les pièces enregistrées sont organisées en dossiers et ces dossiers sont liés à la partie du plan de classement qui décrit les activités dans le contexte de leur création.

3. Un dossier officiel unique doit être constitué pour chaque affaire relevant de la compétence d’un service donné du CEPD. Chaque dossier officiel doit être complété par les pièces créées ou reçues en lien avec l’affaire concernée.

1. Un document créé ou reçu par le CEPD est considéré comme valable ou recevable aux fins de l’enregistrement lorsque les conditions suivantes sont remplies:

2. Une reproduction électronique générée par la numérisation d’un document analogique créé ou reçu par le CEPD est considérée comme valable ou recevable aux fins de l’enregistrement lorsque les conditions suivantes sont remplies:

Lorsque aucun document analogique signé n’est requis, cette reproduction électronique peut être utilisée pour tout échange d’informations et pour toute procédure au sein du CEPD.

3. Lorsqu’une disposition du droit de l’Union ou du droit national exige un original signé d’un document, un document établi ou reçu par le CEPD satisfait à cette exigence dès lors que le document contient l’un des éléments suivants:

4. Lorsqu’une procédure propre au CEPD requiert la signature d’une personne autorisée ou l’approbation d’une personne à un ou plusieurs stades de la procédure, la procédure peut être gérée par des systèmes informatiques, à condition que chaque personne soit identifiée de manière claire et non équivoque et que le système en cause garantisse que le contenu n’est pas modifié au cours de la procédure.

1. Lorsqu’une procédure fait intervenir le CEPD et d’autres entités et nécessite la signature d’une personne autorisée ou l’approbation d’une personne à un ou plusieurs stades de la procédure, la procédure peut être gérée par des systèmes informatiques dans lesquels les conditions d’utilisation et les garanties techniques sont déterminées par un accord entre les parties concernées.

2. Les signatures électroniques, simples, avancées ou qualifiées, remplacent les signatures manuscrites dans la mesure du possible.

3. Outre les prescriptions légales existantes, le CEPD détermine les catégories de documents qui peuvent nécessiter une signature avancée ou qualifiée.

4. Une signature électronique qualifiée produit un effet juridique équivalent à celui d’une signature manuscrite.

5. Un cachet électronique qualifié bénéficie de la présomption d’intégrité des données et d’authenticité de l’origine des données auxquelles il est lié.

6. Un horodatage électronique qualifié bénéficie de la présomption d’exactitude de la date et de l’heure qu’il indique et d’intégrité des données auxquelles la date et l’heure sont liées.

7. Dans le cadre de la mise en œuvre du présent article et des autres articles relatifs à la signature électronique, le CEPD applique le règlement (UE) no 910/2014, tel que modifié par le règlement (UE) 2024/1183.

1. Les pièces, fichiers, systèmes d’information et archives sont gérés conformément à la politique du CEPD en matière de sécurité de l’information et aux politiques connexes applicables.

2. Les informations classifiées doivent être traitées conformément aux règles applicables du CEPD.

1. La durée de conservation des différentes catégories de dossiers est fixée pour le CEPD par des décisions administratives, telles que des calendriers de conservation établis sur la base du contexte organisationnel, de la législation existante et des obligations juridiques du CEPD.

2. Le stockage et la conservation des pièces, pendant la durée requise, doivent être effectués dans les conditions suivantes:

1. L’évaluation des pièces et archives du CEPD est effectuée régulièrement afin de déterminer si elles doivent être transférées aux archives ou éliminées.

2. Un ensemble de métadonnées sur les pièces et dossiers évalués doit être conservé dans le répertoire électronique officiel en tant que preuve de l’existence de ces pièces et dossiers et de leur transfert aux archives ou de leur élimination, et afin de pouvoir répondre aux demandes de recherche internes ou externes.

3. Les pièces et dossiers réputés présenter un intérêt historique doivent être préparés en vue de leur conservation permanente et de leur transfert aux archives historiques.

4. La responsabilité du service concerné à l’égard du contenu intellectuel de toute pièce ou dossier demeure après le transfert aux archives du CEPD.

1. Lorsqu’il traite des données à caractère personnel à des fins d’archivage dans l’intérêt public, le CEPD met en œuvre des garanties appropriées afin d’assurer le respect de l’article 13 du règlement (UE) 2018/1725. Ces garanties incluent des mesures techniques et organisationnelles, en particulier, pour assurer le respect du principe de minimisation des données. Les garanties comprennent:

2. Conformément à l’article 25, paragraphe 4, du règlement (UE) 2018/1725, le CEPD peut appliquer des dérogations aux droits des personnes concernées visés aux articles 17 (Droit d’accès de la personne concernée), 18 (Droit de rectification), 20 (Droit à la limitation du traitement), 21 (Obligation de notification en ce qui concerne la rectification ou l’effacement de données à caractère personnel ou la limitation du traitement) et 23 (Droit d’opposition) dudit règlement, sous réserve des conditions et garanties appropriées visées à l’article 13, dans la mesure où l’application d’une dérogation est nécessaire pour atteindre des finalités archivistiques dans l’intérêt public et préserver l’intégrité des archives historiques du CEPD. Des dérogations aux droits suivants des personnes concernées peuvent être appliquées conformément aux dispositions de l’article 25, paragraphe 4, du règlement (UE) 2018/1725:

3. Le CEPD tient, à des fins de reddition de comptes, un dossier décrivant les raisons des dérogations appliquées, le droit de la personne concernée qui a fait l’objet de la dérogation et le résultat de l’évaluation effectuée. Ces dossiers et, le cas échéant, les documents concernant le contexte factuel ou juridique font partie d’un registre ad hoc, qui est mis, sur demande, à la disposition du Contrôleur européen de la protection des données, en tant qu’autorité de contrôle de la protection des données.

4. Le CEPD consulte le délégué à la protection des données (ci-après le «DPD») lorsqu’il envisage d’appliquer des dérogations aux droits des personnes concernées conformément à la présente décision dans un cas particulier et, en tout état de cause, avant de prendre la décision d’appliquer une telle dérogation en vertu de la présente décision. Le DPD a accès au registre et à tous les documents qui sous-tendent les éléments factuels et juridiques. La participation du DPD à ce processus doit être dûment documentée.

1. Conformément à l’article 8, paragraphe 1, du règlement (CEE, Euratom) no 354/83, tel que modifié par le règlement (UE) 2015/496, le CEPD dépose à l’Institut universitaire européen (ci-après l’«IUE») les documents qui font partie de ses archives historiques et qu’il a rendus accessibles au public.

2. Le dépôt peut être physique pour les dossiers papier originaux, ou électronique pour les pièces créées et conservées sous forme numérique. Dans ce dernier cas, des dispositions spécifiques sont prises pour veiller à ce que l’IUE de Florence ait accès aux archives électroniques du CEPD, conformément à l’article 1er de l’annexe du règlement (CEE, Euratom) no 354/83, tel que modifié par le règlement (UE) 2015/496.

3. Le CEPD fournit, dans la mesure du possible, à l’IUE un accès aux copies numérisées des pièces conservées sur un support analogique afin de promouvoir la consultation en ligne et la transparence des archives historiques du CEPD.

4. Il est dûment tenu compte des pièces contenant des documents classifiés ou des pièces relevant de l’exception concernant la vie privée et l’intégrité de l’individu, ou des intérêts commerciaux d’une personne physique ou morale déterminée, y compris la propriété intellectuelle telle qu’elle est définie à l’article 2 du règlement (CEE, Euratom) no 354/83, tel que modifié par le règlement (CE, Euratom) no 1700/2003.

5. L’IUE est le principal point d’accès aux archives historiques du CEPD qui sont ouvertes au public.

6. Le responsable des pièces et des archives du CEPD transmet à l’IUE des descriptions des archives qui font l’objet d’un dépôt à l’IUE. Afin de faciliter l’échange de métadonnées avec l’IUE, l’interopérabilité est utilisée conformément aux normes internationales.

7. L’IUE agit en qualité de sous-traitant conformément à l’article 8, paragraphe 11, du règlement (CEE, Euratom) no 354/83, tel que modifié par le règlement (UE) 2015/496, sur instruction du CEPD, qui agit en qualité de responsable du traitement des données à caractère personnel contenues dans ses archives historiques déposées à l’IUE.

8. Le CEPD fournit les instructions nécessaires au traitement des données à caractère personnel contenues dans les archives déposées à l’IUE et contrôle leur exécution.

1. Le CEPD veille à ce que les structures organisationnelles, administratives et physiques nécessaires soient mises en place en vue de la mise en œuvre de la présente décision, de ses modalités d’application et de toute procédure connexe.

2. Un responsable des pièces et des archives, possédant les compétences et aptitudes requises dans ce domaine, est désigné afin de promouvoir et de maintenir des processus et des systèmes efficaces de gestion des pièces et d’assurer la coordination avec tous les services.

3. Un responsable adjoint des pièces et des archives est désigné en vue d’assister le responsable dans toutes ses fonctions et d’assurer la continuité de la fonction en son absence.

4. Chaque service dispose d’un correspondant pour la gestion des pièces et des archives chargé de coordonner la mise en œuvre de la présente décision et de ses modalités d’application.

Les correspondants pour la gestion des pièces et des archives des différents services formeront un réseau interne présidé par le responsable des pièces et des archives et son adjoint.

Le réseau se réunira régulièrement pour traiter des questions communes et échanger de bonnes pratiques.

5. Le responsable des pièces et des archives collaborera avec le responsable local de la sécurité, le responsable local de la cybersécurité, le responsable local de la sécurité de l’information, le délégué à la protection des données ou toute autre fonction en lien avec les questions et responsabilités relatives à la gestion des pièces afin de garantir une approche cohérente et homogène et un flux d’informations efficace.

1. Le chef du secrétariat du CEPD est chargé de veiller à la mise en œuvre de la présente décision, de ses modalités d’application et des procédures connexes.

2. Tous les services du CEPD et tous les membres du personnel ont un devoir de diligence en ce qui concerne la gestion des documents et pièces qu’ils créent ou utilisent de manière responsable et adéquate, conformément à la présente décision, aux autres procédures en place et à leurs tâches respectives.

3. Le responsable des pièces et des archives:

Le responsable adjoint des pièces et des archives assiste le responsable dans les tâches susmentionnées et le remplace en cas d’absence.

4. Les correspondants pour la gestion des pièces et des archives assurent le partage des informations et la coordination en matière de gestion des pièces et d’archivage au sein de leurs services respectifs, et coordonnent la mise en œuvre de la présente décision et de ses modalités d’application.