Décision (UE) 2026/1446 de la Commission du 30 juin 2026 établissant des règles internes relatives à la communication d’informations aux personnes concernées et à la limitation de certains droits des personnes concernées à l’égard du traitement de données à caractère personnel par la Commission à des fins d’enquête, de coercition et de contrôle au titre du règlement (UE) 2022/1925 du Parlement européen et du Conseil

(1)

La Commission mène des enquêtes en vue de faire respecter les règles énoncées dans le règlement (UE) 2022/1925 du Parlement européen et du Conseil (2) à l’égard d’entreprises ou d’associations d’entreprises. À cette fin, elle exerce les pouvoirs d’enquête, de coercition et de contrôle que lui confère ledit règlement.

(2)

Les missions de la Commission au titre du règlement (UE) 2022/1925 sont exécutées, en son sein, par la direction générale de la concurrence et par la direction générale chargée des réseaux de communication, du contenu et des technologies.

(3)

Dans le cadre de ses missions d’enquête, de coercition et de contrôle prévues par le règlement (UE) 2022/1925, la Commission traite des informations. Ces informations peuvent comprendre des données à caractère personnel de personnes physiques, telles que les représentants légaux et les membres du personnel, respectivement, des contrôleurs d’accès et des tiers intéressés tout comme les témoins et les lanceurs d’alerte, ainsi que de personnes physiques dont les données à caractère personnel figurent dans des documents obtenus dans l’exercice des missions d’enquête, de coercition et de contrôle prévues par le règlement (UE) 2022/1925.

(4)

Le traitement de données à caractère personnel, au sens de l’article 3, point 3), du règlement (UE) 2018/1725, effectué au cours d’activités d’enquête et de coercition au titre du règlement (UE) 2022/1925, pourrait avoir lieu avant même que la Commission n’ouvre formellement une procédure en vertu de l’article 20 du règlement (UE) 2022/1925, pourrait se poursuivre tout au long de l’enquête et perdurer même après la clôture formelle de cette dernière (par exemple, aux fins d’activités de contrôle ou d’analyse de conformité, de l’évaluation de la nécessité d’entamer de nouvelles activités d’enquête ou d’engager une procédure juridictionnelle).

(5)

Aux fins des activités d’enquête, de coercition et de contrôle prévues par le règlement (UE) 2022/1925, la Commission en qualité de responsable du traitement traite plusieurs catégories de données à caractère personnel, telles que les données d’identification, les coordonnées, les données relatives au rôle joué dans un dossier (par exemple, le poste et la fonction de la personne physique dans l’entreprise concernée), les données relatives à un dossier (telles que les données à caractère personnel figurant dans des documents, des déclarations, des avis et des registres) et toutes autres informations jugées nécessaires à cette fin (y compris les données à caractère personnel concernant les utilisateurs finaux et les entreprises utilisatrices des services de plateforme essentiels). Bien que cela soit peu probable, les catégories de données à caractère personnel traitées pourraient également inclure les catégories particulières de données à caractère personnel énumérées à l’article 10, paragraphe 1, du règlement (UE) 2018/1725.

(6)

Dans l’exercice des missions qui lui incombent au titre du règlement (UE) 2022/1925, la Commission est tenue de respecter, d’une part, les droits des personnes physiques à l’égard du traitement des données à caractère personnel, qui sont reconnus par l’article 8, paragraphe 1, de la charte des droits fondamentaux de l’Union européenne et par l’article 16, paragraphe 1, du traité sur le fonctionnement de l’Union européenne, et, d’autre part, les exigences du règlement (UE) 2018/1725. Parallèlement, dans le cadre de ses activités au titre du règlement (UE) 2022/1925, la Commission est tenue de se conformer aux règles strictes de confidentialité et de secret professionnel énoncées à l’article 36 dudit règlement et à l’article 339 du traité sur le fonctionnement de l’Union européenne.

(7)

Dans certaines circonstances, il est nécessaire de concilier, d’une part, les droits des personnes concernées prévus par le règlement (UE) 2018/1725 et, d’autre part, l’exercice efficace, par la Commission, de ses missions d’enquête, de coercition et de contrôle au titre du règlement (UE) 2022/1925, y compris en coopération avec les autorités compétentes des États membres, ou de concilier ces droits et les libertés et droits fondamentaux d’autrui. À cette fin, l’article 25, paragraphe 1, du règlement (UE) 2018/1725 donne à la Commission la possibilité de limiter, dans des conditions strictes, l’application des articles 14 à 22, 35 et 36 du règlement (UE) 2018/1725, ainsi que de son article 4 dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 22 du règlement (UE) 2018/1725.

(8)

Dans certaines circonstances, il convient de concilier les droits des personnes concernées et la nécessité de préserver les activités d’enquête, de coercition et de contrôle menées par la Commission en vertu du règlement (UE) 2022/1925, lorsque celle-ci exerce, dans l’intérêt public général de l’Union, l’autorité publique dont elle est investie, ainsi qu’il est prévu à l’article 25, paragraphe 1, point g), du règlement (UE) 2018/1725, en liaison avec son article 25, paragraphe 1, point c). La Commission pourrait appliquer des limitations dans l’hypothèse, par exemple, où l’exercice de ces droits compromettrait une enquête en cours, notamment s’il existe un risque de destruction de preuves ou d’intimidation d’acteurs clés (comme des témoins) pendant l’enquête.

(9)

Dans certaines circonstances, il est nécessaire, dans le cadre des missions d’enquête, de coercition et de contrôle de la Commission prévues par le règlement (UE) 2022/1925, de mettre en balance les droits des personnes concernées et les libertés et droits fondamentaux de tiers concernés, tels que les tiers intéressés et les témoins. Dans ce cas, la Commission pourrait décider de limiter l’accès à l’identité, aux déclarations et à d’autres données à caractère personnel de telles personnes lorsque les données en cause concernent également une autre personne, afin de protéger leurs droits et libertés ainsi qu’il est prévu à l’article 25, paragraphe 1, point h), du règlement (UE) 2018/1725. La Commission pourrait décider d’agir ainsi notamment pour protéger ces personnes d’éventuelles représailles.

(10)

En particulier, il est nécessaire de protéger les informations confidentielles relatives à un lanceur d’alerte ou à toute autre personne physique qui a effectué un signalement à la Commission dans le cadre de l’exercice, par cette dernière, de ses missions d’enquête, de coercition et de contrôle prévues par le règlement (UE) 2022/1925. En pareil cas, la Commission pourrait devoir limiter l’accès à l’identité, aux déclarations et à d’autres données à caractère personnel de telles personnes afin de protéger les droits et libertés de toutes les personnes concernées, ainsi qu’il est prévu à l’article 25, paragraphe 1, point h), du règlement (UE) 2018/1725. Ce n’est qu’avec l’autorisation de l’auteur de signalement que la Commission peut révéler l’identité de celui-ci. Elle est tenue de le faire si la législation ou une autorité judiciaire l’exige.

(11)

Si une personne concernée présente une demande d’accès à ses données à caractère personnel, elle devrait y avoir accès, y compris à celles fournies par un auteur de signalement. Afin de protéger leur confidentialité, la Commission ne devrait pas communiquer à la personne concernée le nom de l’auteur de signalement ni aucun autre renseignement susceptible de permettre son identification directe ou indirecte.

(12)

En outre, afin d’exercer ses missions visant à assurer l’application effective du règlement (UE) 2022/1925, notamment dans le cadre de sa coopération avec les autorités compétentes des États membres, la Commission pourrait limiter l’application des droits des personnes concernées pour préserver l’exercice, dans l’intérêt public général, de l’autorité publique dont elle est investie, ainsi qu’il est prévu à l’article 25, paragraphe 1, point g), du règlement (UE) 2018/1725, en liaison avec son article 25, paragraphe 1, point c). La Commission pourrait agir de la sorte dans une situation où la finalité d’une limitation imposée par une autorité d’un État membre serait compromise, si la Commission n’appliquait pas de limitation équivalente aux mêmes données à caractère personnel. Lors de l’application d’une telle limitation, la Commission devrait consulter l’État membre concerné sur les raisons potentielles pertinentes pour imposer des limitations ainsi que sur la nécessité et la proportionnalité de celles-ci, à moins que cette consultation ne compromette les activités de la Commission.

(13)

Les limitations appliquées par la Commission doivent toujours respecter l’essence des libertés et droits fondamentaux et constituer une mesure strictement nécessaire et proportionnée dans une société démocratique. La Commission est tenue de justifier les limitations applicables.

(14)

L’article 25, paragraphe 6, du règlement (UE) 2018/1725 impose au responsable du traitement d’informer les personnes concernées des principales raisons qui motivent cette limitation et de leur droit de saisir le Contrôleur européen de la protection des données.

(15)

En vertu de l’article 25, paragraphe 8, du règlement (UE) 2018/1725, la Commission peut omettre ou refuser de communiquer, à la personne concernée, les informations sur les principales raisons qui motivent une limitation ou différer cette communication, si celle-ci prive d’effet la limitation d’une quelconque manière. La Commission est tenue d’évaluer au cas par cas si la communication de ces informations prive d’effet la limitation imposée.

(16)

La Commission devrait lever la limitation dès que les conditions qui la motivent ne s’appliquent plus et évaluer régulièrement lesdites conditions.

(17)

Afin de se conformer aux articles 14, 15 et 16 du règlement (UE) 2018/1725, la Commission devrait informer toutes les personnes concernées, d’une part, de ses activités qui impliquent le traitement de leurs données à caractère personnel et, d’autre part, de leurs droits, de manière transparente et cohérente, sous la forme d’un avis relatif à la protection des données publié sur son site internet. La Commission devrait informer individuellement, par des moyens appropriés, les représentants légaux et les membres du personnel des contrôleurs d’accès, les représentants légaux et les membres du personnel des tiers intéressés ainsi que les témoins et les lanceurs d’alerte, du traitement de leurs données à caractère personnel.

(18)

L’article 16, paragraphe 5, du règlement (UE) 2018/1725 prévoit des exceptions au droit à l’information des personnes concernées lorsque les données à caractère personnel ne sont pas collectées auprès des personnes concernées elles-mêmes. Si ces exceptions s’appliquent, la limitation du droit à l’information par la Commission, comme le prévoit la présente décision, n’est pas nécessaire. Les exceptions énoncées à l’article 16, paragraphe 5, point b), du règlement (UE) 2018/1725 doivent être applicables dans le cas où la fourniture des informations énumérées à l’article 16, paragraphes 1 à 4, dudit règlement se révélerait impossible, exigerait des efforts disproportionnés ou serait susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs du traitement. Dans le cas de personnes concernées étrangères à l’objet de l’enquête, qui ne sont pas les personnes concernées informées individuellement et dont les données à caractère personnel figurent dans des documents recueillis dans le cadre des activités d’enquête, de coercition et de contrôle prévues par le règlement (UE) 2022/1925, la fourniture de telles informations pourrait se révéler impossible ou exiger des efforts disproportionnés. Tel pourrait être le cas lorsque la Commission obtient des données à caractère personnel à la faveur d’un signalement par un lanceur d’alerte ou au cours de ses actions de contrôle visant à assurer la mise en œuvre et le respect effectifs du règlement (UE) 2022/1925.

(19)

Conformément aux principes de transparence, d’équité et de responsabilité, la Commission devrait traiter toutes les exceptions et limitations de manière transparente et tenir un registre de l’application qu’elle en fait.

(20)

Afin de garantir la protection des droits et libertés des personnes concernées et conformément à l’article 44, paragraphe 1, du règlement (UE) 2018/1725, la Commission devrait consulter le coordinateur de la protection des données de la direction générale de la concurrence et celui de la direction générale des réseaux de communication, du contenu et des technologies pendant toute la durée de la procédure d’application des limitations et elle devrait documenter cette consultation. En particulier, les coordinateurs de la protection des données devraient être consultés en temps utile sur toute limitation susceptible d’être appliquée et en vérifier la conformité avec la présente décision.

(21)

Le délégué à la protection des données de la Commission devrait procéder à un examen indépendant de l’application des limitations, afin d’assurer le respect de la présente décision.

(22)

Le Contrôleur européen de la protection des données a été consulté conformément à l’article 41, paragraphe 2, du règlement (UE) 2018/1725 et a rendu un avis le 26 mars 2026.