Décision32026D00866
Décision n° 2/2026 de la Secrétaire générale du Conseil de l'Union Européenne du 30 janvier 2026 établissant des modalités d'exécution concernant l'application du règlement (UE) 2018/1725 du Parlement européen et du Conseil et la limitation des droits des personnes concernées aux fins des mesures restrictives
| CELEX | 32026D00866 |
| Type | Décision |
| Date | vendredi 30 janvier 2026 |
Résumé IA
Cette décision établit les modalités d'exécution du règlement (UE) 2018/1725 (RGPD européen) pour le traitement des données à caractère personnel dans le cadre des mesures restrictives (sanctions) de l'UE. Elle prévoit la limitation de certains droits des personnes concernées (comme l'accès ou la rectification) lorsque cela est nécessaire pour garantir l'efficacité des sanctions et protéger les intérêts de l'Union. Le texte précise les conditions et la procédure permettant à la Secrétaire générale du Conseil de restreindre ces droits, conformément à l'article 25 du règlement.
Texte intégral
 | Journal officiel | FR Série C |
| C/2026/866 | 9.2.2026 |
DÉCISION NO 2/2026 DE LA SECRÉTAIRE GÉNÉRALE DU CONSEIL DE L'UNION EUROPÉENNE
du 30 janvier 2026
établissant des modalités d'exécution concernant l'application du règlement (UE) 2018/1725 du Parlement européen et du Conseil et la limitation des droits des personnes concernées aux fins des mesures restrictives
(C/2026/866)
LA SECRÉTAIRE GÉNÉRALE DU CONSEIL DE L'UNION EUROPÉENNE,
vu le traité sur le fonctionnement de l'Union européenne, et notamment son article 235, paragraphe 4, et son article 240, paragraphe 2,
vu le règlement (UE) 2018/1725 du 23 octobre 2018 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions, organes et organismes de l'Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (1), et notamment son article 25,
vu l'avis du Contrôleur européen de la protection des données (CEPD) du 13 juin 2025, consulté conformément à l'article 41, paragraphe 2, du règlement (UE) 2018/1725,
considérant ce qui suit:
| (1) | Le règlement (UE) 2018/1725 énonce les principes et règles applicables au traitement des données à caractère personnel par l'ensemble des institutions et organes de l'Union, ainsi que les droits des personnes concernées. |
| (2) | Dans certains cas, le secrétariat général du Conseil (SGC) peut être amené à concilier les droits des personnes concernées prévus dans le règlement (UE) 2018/1725 avec les objectifs des mesures restrictives. Il pourrait également être amené à mettre en balance les droits d'une personne concernée et les droits et libertés fondamentaux d'autres personnes concernées. À cette fin, l'article 25, paragraphe 1, du règlement (UE) 2018/1725 donne à chaque institution ou organe de l'Union la possibilité de limiter l'application des articles 14 à 21, 35 et 36 dudit règlement, ainsi que de son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 21 du même règlement. À moins que des limitations ne soient prévues dans un acte juridique adopté sur la base des traités, il est nécessaire d'adopter des règles internes en vertu desquelles le SGC est habilité à limiter ces droits. |
| (3) | Le Conseil peut adopter des mesures restrictives à l'encontre de personnes physiques ou morales, de groupes ou d'entités non étatiques dans le cadre de la politique étrangère et de sécurité commune (PESC). Les actes juridiques instituant des mesures restrictives sont proposés par le haut représentant pour ce qui est de la décision PESC, sur la base de l'article 29 du traité sur l'Union européenne (TUE). Les mesures restrictives peuvent comprendre des embargos sur les exportations d'armes et de matériel utilisé à des fins de répression interne, des interdictions d'entrée dans l'Union de personnes désignées, un gel des avoirs à l'encontre de personnes et d'entités désignées, ainsi que d'autres mesures économiques générales telles que des restrictions à l'importation ou à l'exportation de certains biens ou services, des interdictions relatives à la fourniture de services financiers ou d'autres services et des restrictions de l'accès aux marchés des capitaux. En outre, une proposition conjointe de règlement est présentée par le haut représentant et la Commission, sur la base de l'article 215 du traité sur le fonctionnement de l'Union européenne (TFUE), si les mesures restrictives consistent en des restrictions économiques ou financières qui doivent être mises en œuvre directement par des opérateurs économiques de l'Union. |
| (4) | La position commune 2001/931/PESC du Conseil (2) et le règlement (CE) no 2580/2001 du Conseil (3) fixent les critères d'inscription sur la liste des personnes, groupes et entités impliqués dans des actes de terrorisme qui doivent faire l'objet de mesures restrictives. La position commune 2001/931/PESC et le règlement (CE) no 2580/2001 définissent en outre à cette fin les actes qui constituent des actes de terrorisme ainsi que les mesures restrictives qui doivent être appliquées. Ces mesures concernent le gel des fonds et des ressources économiques ainsi que des mesures liées à la coopération policière et judiciaire. |
| (5) | La décision (PESC) 2016/1693 du Conseil (4) et les règlements (CE) no 881/2002 du Conseil (5) et (UE) 2016/1686 (6) du Conseil définissent le cadre juridique de l'Union pour imposer des restrictions de déplacement à des personnes, ainsi qu'un embargo sur les armes et un gel des avoirs à l'encontre des personnes et entités, qui sont désignées par le Conseil de sécurité de l'Organisation des Nations unies comme étant liées à l'EIIL (Daech)/Al-Qaida. |
| (6) | Lors de l'élaboration et du réexamen des mesures restrictives, les services compétents du SGC traitent différents types de données à caractère personnel, notamment les noms et prénoms (y compris les pseudonymes) et (s'ils sont connus) la date et le lieu de naissance, la nationalité, les numéros de passeport et de carte d'identité, le sexe, l'adresse, la fonction ou la profession, le parcours professionnel, la formation, les intérêts commerciaux, la composition de la famille, les données financières, les décisions administratives nationales, les condamnations pénales et les mises en accusation. Le nom, l'adresse professionnelle, le passeport et les coordonnées professionnelles du ou des avocat(s) de la personne nécessaires à la correspondance peuvent également être traités. Le cas échéant, des informations sur l'appartenance à des organisations terroristes sont également traitées. Les services compétents s'assurent que les données à caractère personnel qu'ils traitent sont adéquates, pertinentes et non excessives au regard des finalités de l'élaboration de la mesure restrictive. Les personnes concernées par une mesure restrictive devraient être informées soit au moyen d'une communication personnelle si leur adresse est connue, soit au moyen d'un avis publié au Journal officiel de l'Union européenne. Elles devraient également être informées du type de données qui sont ou seront traitées, de la manière dont elles seront traitées et de leurs droits à cet égard. |
| (7) | Lors de l'élaboration et du réexamen des décisions désignant des personnes physiques et morales, toutes les données à caractère personnel sont partagées avec les États membres, la Commission européenne et le Service européen pour l'action extérieure (SEAE). Dans le cadre d'une procédure juridictionnelle, des éléments de données à caractère personnel pourraient également être invoqués par le Conseil au cours de la procédure. |
| (8) | Tous les régimes de mesures restrictives font l'objet d'un réexamen régulier en ce qui concerne les objectifs déclarés et l'efficacité des mesures, et compte tenu des informations et observations actualisées reçues. La procédure de réexamen peut impliquer un échange de correspondance entre le Conseil et les personnes ou entités inscrites sur la liste, ou leurs avocats, dans le cadre duquel des données à caractère personnel peuvent être traitées (y compris la notification préalable d'un projet de motifs d'inscription, des informations actualisées, des observations et des demandes de radiation, ainsi que des demandes d'accès public ou privilégié au dossier). |
| (9) | Lors de l'élaboration et du réexamen des mesures restrictives, des données à caractère personnel peuvent également être traitées à des fins de communication avec des organisations internationales ou régionales et des pays tiers sur la base stricte du besoin d'en connaître, pour des motifs importants d'intérêt public et pour la constatation, l'exercice ou la défense de droits en justice. |
| (10) | Lorsqu'il existe un risque sérieux que l'application des articles 14 à 21, 35 et 36 du règlement (UE) 2018/1725 nuise à l'efficacité des mesures restrictives, il peut être nécessaire de limiter l'application de ces articles. Dans de tels cas, il est nécessaire de concilier les droits des personnes concernées en vertu du règlement (UE) 2018/1725 et la nécessité pour le Conseil de garantir l'efficacité de la mesure restrictive. Toute limitation du droit des personnes concernées faisant l'objet d'une mesure restrictive ne devrait s'appliquer que dans des circonstances limitées et être traitée de manière transparente et proportionnée en termes de portée et de durée. |
| (11) | Il peut s'avérer nécessaire de protéger l'anonymat d'une source. Dans ce cas, le droit d'accès à l'identité, aux témoignages et à d'autres données à caractère personnel de ces personnes peut être restreint, dans les limites des droits de la défense. |
| (12) | Le SGC ne devrait appliquer des limitations aux droits des personnes concernées que lorsque ces limitations respectent l'essence des libertés et droits fondamentaux, sont strictement nécessaires et constituent une mesure proportionnée dans une société démocratique. Le SGC devrait indiquer les motifs justifiant ces limitations. |
| (13) | En vertu du principe de responsabilité, le service compétent du SGC devrait enregistrer et consigner dans un registre l'application de toute limitation. |
| (14) | Conformément à l'article 25, paragraphe 6, du règlement (UE) 2018/1725, le responsable du traitement est tenu d'informer les personnes concernées des principales raisons qui motivent une limitation et de leur droit de saisir le CEPD. |
| (15) | En vertu de l'article 25, paragraphe 8, du règlement (UE) 2018/1725, le SGC est habilité à différer, omettre ou refuser la communication d'informations à la personne concernée au sujet des raisons qui motivent une limitation si elle prive d'effet la limitation d'une quelconque manière. Le SGC devrait évaluer au cas par cas si la communication de la limitation prive celle-ci de son effet. |
| (16) | Les limitations devraient être levées dès que les conditions qui les justifient cessent de s'appliquer ou lorsque leur maintien porterait atteinte aux droits de la défense. La nécessité de mesures restrictives devrait être évaluée régulièrement. |
| (17) | Le délégué à la protection des données (DPD) devrait être consulté en temps utile et être informé de toute limitation à appliquer, et il devrait avoir la possibilité de formuler des observations sur la conformité d'une telle limitation avec la présente décision. |
DÉCIDE:
Article premier
Champ d'application
1. La présente décision établit les règles relatives aux conditions dans lesquelles le secrétariat général du Conseil (SGC) peut limiter l'application des articles 14 à 21, 35 et 36 du règlement (UE) 2018/1725, ainsi que de l'article 4 dudit règlement, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 21 de ce même règlement, conformément à son article 25.
2. Aux fins de la présente décision, le SGC est considéré comme le responsable du traitement au sens de l'article 3, point 8), du règlement (UE) 2018/1725. Le SGC est représenté par son secrétaire général.
Article 2
Limitations
1. Le SGC peut limiter l'application des articles 14 à 21, 35 et 36 du règlement (UE) 2018/1725, ainsi que de l'article 4 dudit règlement, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 21 de ce même règlement dans l'une des circonstances suivantes:
| a) | conformément à l'article 25, paragraphe 1, points a) à d), g) et h), du règlement (UE) 2018/1725, lorsque le Conseil élabore, adopte et réexamine des mesures restrictives prévues dans des actes juridiques fondés sur l'article 29 du traité sur l'Union européenne (TUE) et sur l'article 215 du traité sur le fonctionnement de l'Union européenne (TFUE); ainsi qu'en vertu de la position commune 2001/931/PESC, du règlement (CE) no 2580/2001, de la décision (PESC) 2016/1693 et des règlements (CE) no 881/2002 et (UE) 2016/1686 du Conseil; |
| b) | conformément à l'article 25, paragraphe 1, points a) à d), g) et h), du règlement (UE) 2018/1725, lorsqu'il s'agit de permettre à des tiers de partager de manière confidentielle des informations sur des faits qui donnent lieu à l'élaboration et au réexamen de mesures restrictives prévues dans des actes juridiques fondés sur l'article 29 du TUE et l'article 215 du TFUE; ainsi qu'en vertu de la position commune 2001/931/PESC, du règlement (CE) no 2580/2001, de la décision (PESC) 2016/1693 et des règlements (CE) no 881/2002 et (UE) 2016/1686 du Conseil; |
| c) | conformément à l'article 25, paragraphe 1, points a) à d), g) et h), du règlement (UE) 2018/1725, lorsqu'il apporte ou bénéficie de l'assistance ou de la coopération mutuelles avec d'autres institutions, organes, organismes et agences de l'Union conformément aux dispositions des accords de niveau de service, des protocoles d'accord et des accords de coopération pertinents; |
| d) | conformément à l'article 25, paragraphe 1, points a) à d), g) et h), du règlement (UE) 2018/1725, lorsqu'il apporte ou bénéficie de l'assistance et de la coopération mutuelles avec les pouvoirs publics des États membres, à la demande de ceux-ci ou de sa propre initiative; |
| e) | conformément à l'article 25, paragraphe 1, points a) à d), g) et h), du règlement (UE) 2018/1725, lorsqu'il apporte ou bénéficie de l'assistance ou de la coopération mutuelles avec les autorités nationales de pays tiers et des organisations internationales ou régionales, à la demande de ceux-ci ou de sa propre initiative; ou |
| f) | conformément à l'article 25, paragraphe 1, points e) et h), du règlement (UE) 2018/1725, lors du traitement des données à caractère personnel dans le cadre de procédures administratives, judiciaires ou d'autres procédures. |
Article 3
Application de limitations
1. Toute limitation des droits et obligations visée à l'article 2 est nécessaire et proportionnée, compte tenu des risques qui pèsent sur les droits et libertés des personnes concernées.
2. Avant d'appliquer l'une des limitations prévues à l'article 2, le service compétent du SGC procède à une évaluation de la nécessité et de la proportionnalité. Les limitations se réduisent à ce qui est strictement nécessaire pour atteindre leur objectif.
3. Le service compétent du SGC enregistre les motifs de toute limitation appliquée en vertu de la présente décision, y compris l'évaluation prévue au paragraphe 2 du présent article et les moyens visés à l'article 25, paragraphe 1, du règlement (UE) 2018/1725. Les informations relatives aux limitations et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents font partie d'un registre tenu par le service compétent du SGC. Ces informations et documents sont mis à la disposition du Contrôleur européen de la protection des données (CEPD) sur demande.
Article 4
Durée et validité
1. Les limitations visées à l'article 2 continuent de s'appliquer aussi longtemps que les motifs qui les justifient restent valables.
2. Le service compétent du SGC réexamine l'application des limitations visées à l'article 2 au moins tous les douze mois, ou plus tôt si les motifs qui les justifient cessent d'exister.
3. Les limitations sont levées dès que les motifs qui les justifient cessent d'exister.
4. Lorsque les motifs d'une limitation visée à l'article 2 ne sont plus valables, le SGC lève la limitation et communique les motifs de cette dernière à la personne concernée. Dans le même temps, le SGC informe la personne concernée de la possibilité d'introduire une réclamation auprès du CEPD.
5. Le SGC met en œuvre des garanties afin de prévenir les abus ou l'accès ou le transfert illicites de données à caractère personnel susceptibles de faire l'objet de limitations. Ces garanties comprennent des mesures techniques et organisationnelles et sont détaillées, le cas échéant, dans les décisions, procédures et dispositions d'application du SGC. Les garanties comprennent:
| a) | une définition adéquate des rôles, des responsabilités et des étapes de la procédure; |
| b) | le cas échéant, un environnement électronique sécurisé qui empêche l'accès ou le transfert illicites ou accidentels de données électroniques à des personnes non autorisées; |
| c) | le cas échéant, la conservation et le traitement sécurisés des documents papier; et |
| d) | un suivi approprié des limitations et un réexamen périodique de leur application. |
Article 5
Participation du délégué à la protection des données
1. Lorsque le service compétent du SGC conclut que les droits d'une personne concernée devraient être limités en vertu de la présente décision, il en informe le délégué à la protection des données (DPD). Il donne également au DPD l'accès aux informations consignées dans le registre et à tous les documents contenant des éléments factuels et juridiques sous-jacents. Le service compétent du SGC enregistre la participation du DPD à l'application des limitations, y compris à l'évaluation de la nécessité et de la proportionnalité de la limitation.
2. Le DPD peut demander au service compétent du SGC de réexaminer l'application des limitations. Ce dernier informe le DPD par écrit du résultat du réexamen demandé.
Article 6
Information des personnes concernées
1. Le SGC inclut, dans la déclaration de confidentialité et les relevés des activités de traitement publiés dans le registre des opérations de traitement tenu par le DPD, une section fournissant des informations générales aux personnes concernées sur les limitations potentielles des droits des personnes concernées, conformément à l'article 2, paragraphe 1. Ces informations portent sur les droits susceptibles d'être limités, les motifs pour lesquels des limitations peuvent s'appliquer, ainsi que leur durée potentielle.
2. Les services compétents informent les personnes concernées, sous une forme appropriée, de toute limitation en cours ou future de leurs droits. Ils informent la personne concernée des principales raisons qui motivent la limitation, de leur droit de consulter le DPD et de leur droit de saisir le CEPD.
3. Les services compétents peuvent différer, omettre ou refuser la communication d'informations aux personnes concernées visées au paragraphe 2 du présent article aussi longtemps qu'elle prive d'effet la limitation. L'évaluation visant à déterminer si cela est justifié se fait au cas par cas. Dès lors que cela ne prive plus d'effet la limitation, les informations sont communiquées à la personne concernée.
4. Lorsque le service compétent du SGC limite, entièrement ou partiellement, la communication des informations aux personnes concernées visée au paragraphe 2 du présent article, le SGC enregistre et consigne dans un registre les motifs de la limitation conformément à l'article 3.
Article 7
Communication à la personne concernée d'une violation de données à caractère personnel
1. Lorsque le SGC a l'obligation de communiquer une violation de données en vertu de l'article 35, paragraphe 1, du règlement (UE) 2018/1725, il peut, dans des cas exceptionnels, limiter cette communication en tout ou en partie. Il documente cette décision conformément à l'article 3, paragraphe 3, de la présente décision.
2. Lorsque les motifs de la limitation ne s'appliquent plus, le SGC communique la violation de données à caractère personnel à la personne concernée et l'informe des principaux motifs de la limitation et de son droit de saisir le CEPD.
Article 8
Confidentialité des communications électroniques
1. Dans des circonstances exceptionnelles, le SGC peut limiter le droit à la confidentialité des communications électroniques en vertu de l'article 36 du règlement (UE) 2018/1725.
2. Lorsque le SGC limite le droit à la confidentialité des communications électroniques, il informe la personne concernée, dans sa réponse à une demande de la personne concernée, des principales raisons qui motivent l'application de la limitation et de son droit de saisir le CEPD.
3. Le SGC peut différer, omettre ou refuser la communication d'informations concernant les motifs de la limitation et le droit de saisir le CEPD aussi longtemps que ces informations risquent de compromettre l'effet la limitation. L'évaluation visant à déterminer si cela est justifié se fait au cas par cas.
Article 9
Risques pour les droits et libertés des personnes concernées
1. Toute limitation respecte l'essence des libertés et droits fondamentaux et constitue une mesure nécessaire et proportionnée dans une société démocratique.
2. Lorsque le service compétent du SGC chargé de l'élaboration ou du réexamen des mesures restrictives évalue la nécessité et la proportionnalité d'une limitation, il tient compte des risques potentiels pour les droits et libertés de la personne concernée.
3. Aucune limitation ne peut avoir pour effet d'empêcher les personnes concernées par des mesures restrictives d'exercer leurs droits de défense, notamment leur droit d'être entendues dans le cadre du réexamen des mesures restrictives.
Article 10
Entrée en vigueur
La présente décision entre en vigueur le jour suivant celui de sa publication au Journal officiel de l'Union européenne.
Fait à Bruxelles, le 30 janvier 2026.
La secrétaire générale
Thérèse BLANCHET
(1) JO L 295 du 21.11.2018, p. 39, ELI: https://eur-lex.europa.eu/eli/reg/2018/1725/oj.
(2) Position commune du Conseil du 27 décembre 2001 relative à l'application de mesures spécifiques en vue de lutter contre le terrorisme (JO L 344 du 28.12.2001, p. 93, ELI: http://data.europa.eu/eli/compos/2001/931/oj).
(3) Règlement (CE) no 2580/2001 du Conseil du 27 décembre 2001 concernant l'adoption de mesures restrictives spécifiques à l'encontre de certaines personnes et entités dans le cadre de la lutte contre le terrorisme (JO L 344 du 28.12.2001, p. 70, ELI: http://data.europa.eu/eli/reg/2001/2580/oj).
(4) Décision (PESC) 2016/1693 du Conseil du 20 septembre 2016 concernant des mesures restrictives à l'encontre de l'EIIL (Daech) et d'Al-Qaida et de personnes, groupes, entreprises et entités associés, et abrogeant la position commune 2002/402/PESC (JO L 255 du 21.9.2016, p. 25, ELI: http://data.europa.eu/eli/dec/2016/1693/oj).
(5) Règlement (CE) no 881/2002 du Conseil du 27 mai 2002 instituant certaines mesures restrictives spécifiques à l'encontre de certaines personnes et entités liées aux organisations EIIL (Daech) et Al-Qaida (JO L 139 du 29.5.2002, p. 9, ELI: http://data.europa.eu/eli/reg/2002/881/oj).
(6) Règlement (UE) 2016/1686 du Conseil du 20 septembre 2016 instituant des mesures restrictives supplémentaires à l'encontre de l'EIIL (Daech) et d'Al-Qaida ainsi que des personnes physiques et morales, des entités ou des organismes qui leur sont liés (JO L 255 du 21.9.2016, p. 1, ELI: http://data.europa.eu/eli/reg/2016/1686/oj).
ELI: http://data.europa.eu/eli/C/2026/866/oj
ISSN 1977-0936 (electronic edition)
Documents similaires
Décision32026D1713R(02)
Décision (UE) 2026/1713
13/08/2026
Décision32026D1858R(01)
Rectificatif à la décision (PESC) 2026/1858 du Conseil du 24 juillet 2026 modifiant la décision (PESC) 2019/2110 relative à une mission de conseil PSDC de l’Union européenne en République centrafricaine (EUAM RCA) (JO L, 2026/1858, 27.7.2026)
11/08/2026
Décision32024D2082R(01)
Décision (UE) 2024/2082
11/08/2026
Décision32026D0504R(01)
Rectificatif à la décision (PESC) 2026/504 du Conseil du 23 avril 2026 modifiant la décision 2014/145/PESC concernant des mesures restrictives eu égard aux actions compromettant ou menaçant l’intégrité territoriale, la souveraineté et l’indépendance de l’Ukraine (JO L, 2026/504, 23.4.2026)
11/08/2026