(1)

Le CEPD peut, dans le cadre de son fonctionnement, mener des enquêtes administratives, des procédures pré-disciplinaires et disciplinaires, et des procédures de suspension en vertu de l'article 86 du statut des fonctionnaires de l'Union européenne (2) et des dispositions de son annexe IX, ainsi que de la décision du CEPD du 23 avril 2015 portant adoption de dispositions d'exécution concernant la conduite des enquêtes administratives et des procédures disciplinaires, et de l'accord de niveau de service concernant la collaboration entre la DG HR de la Commission européenne et le CEPD, signé le 29 janvier 2016, et notifier les cas à l'IDOC ou à l'OLAF, ce qui implique le traitement d'informations, y compris de données à caractère personnel.

(2)

Les membres du personnel du CEPD ont l'obligation de signaler toute activité illégale éventuelle, y compris la fraude ou la corruption, portant atteinte aux intérêts de l'Union, ou conduite en rapport avec l'exercice d'activités professionnelles pouvant constituer un manquement grave aux obligations aux obligations du fonctionnaire de l'Union. Ce principe est régi par la décision du CEPD portant règles internes relatives au lancement d'alertes du 14 juin 2016.

(3)

Le CEPD a défini une politique visant à prévenir et à traiter de manière efficace et efficiente les cas réels ou potentiels de harcèlement moral ou sexuel sur le lieu de travail, conformément à sa décision du 10 décembre 2014 adoptant des mesures d'exécution concernant les articles 12 bis et 24 du statut au sujet de la procédure relative à la lutte contre le harcèlement. La décision établit une procédure informelle dans laquelle la victime présumée du harcèlement peut contacter des conseillers confidentiels du CEPD.

(4)

En application de l'article 57, paragraphe 1, point e), du règlement, le CEPD traite les réclamations relatives aux activités de traitement effectuées par les institutions, organes et organismes de l'Union. Dans ce contexte, le CEPD peut mener des enquêtes concernant l'objet de la réclamation.

(5)

Conformément à l'article 57, paragraphe 1, point f), du règlement, le CEPD mène des enquêtes sur l'application du règlement afin de vérifier la conformité des institutions, organes et organismes de l'Union.

(6)

Le CEPD peut mener des enquêtes sur d'éventuelles violations concernant des informations classifiées de l'Union, en vertu de la décision du CEPD du 18 février 2014 modifiant ses règles sur la sécurité des ICUE.

(7)

Le CEPD peut réaliser des audits de ses activités. Cet exercice est actuellement réalisé par l'intermédiaire du service d'audit interne (SAI) de la Commission européenne (ci-après le «SAI»), en vertu de l'accord de niveau de service signé le 1er juin 2012. Il peut également être réalisé par le coordinateur du contrôle interne agissant en cette qualité.

(8)

Dans le cadre des tâches décrites aux considérants 1 à 7, le CEPD et les autres institutions, organes ou organismes de l'Union peuvent mutuellement se prêter assistance et coopérer, conformément aux dispositions des accords de niveau de service, des protocoles d'accord et des accords de coopération pertinents.

(9)

Le CEPD, les autorités nationales de pays tiers et les organisations internationales peuvent mutuellement se prêter assistance et coopérer, à la demande de celles-ci ou à l'initiative du CEPD, conformément aux dispositions de l'article 51 du règlement.

(10)

Le CEPD et les pouvoirs publics des États membres de l'Union peuvent mutuellement se prêter assistance et coopérer, à la demande de ceux-ci ou à l'initiative du CEPD.

(11)

En vertu de l'article 58, paragraphe 4 du règlement, le CEPD peut être impliqué dans des affaires portées devant la Cour de justice de l'Union européenne soit pour saisir la Cour, soit pour défendre les décisions du CEPD attaquées ou pour intervenir dans des affaires relatives à ses missions.

(12)

Dans le cadre des activités susmentionnées, le CEPD collecte et traite les informations pertinentes et plusieurs catégories de données à caractère personnel, y compris les données d'identification de personnes physiques, les coordonnées, les fonctions et rôles professionnels, les informations sur la conduite et les performances professionnelles et privées, ainsi que les données financières. Le CEPD agit en qualité de responsable du traitement des données.

(13)

Des garanties adéquates sont en place pour protéger les données à caractère personnel et empêcher que celles-ci ne fassent l'objet d'un accès ou d'un transfert accidentel ou illicite, qu'elles soient conservées dans un environnement physique ou électronique. Après leur traitement, les données sont conservées conformément aux règles du CEPD applicables à la conservation de ces données, telles que définies dans les registres relatifs à la protection des données, conformément à l'article 31 du règlement. Au terme de la durée de conservation, les informations des dossiers, y compris les données à caractère personnel, sont effacées, anonymisées ou transférées aux archives historiques.

(14)

Dans ce contexte, le CEPD est tenu de respecter son obligation de fournir des informations aux personnes concernées en ce qui concerne les activités de traitement susmentionnées et de respecter les droits des personnes concernées, comme le prévoit le règlement.

(15)

Il peut s'avérer nécessaire de concilier les droits des personnes concernées en vertu du règlement avec les besoins des activités susmentionnées, tout en respectant pleinement les libertés et droits fondamentaux d'autres personnes concernées. À cet effet, l'article 25 du règlement prévoit, dans des conditions strictes, la possibilité de limiter l'application des articles 14 à 20, 35 et 36, ainsi que de l'article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 20. Dans ce cas, il est nécessaire d'adopter des règles internes en vertu desquelles le CEPD peut limiter ces droits conformément au même article du règlement.

(16)

Cela peut notamment être le cas lorsqu'il s'agit de fournir des informations sur le traitement de données à caractère personnel à la personne concernée lors de la phase d'évaluation préliminaire d'une enquête administrative ou pendant l'enquête elle-même, préalablement à un classement éventuel de l'affaire ou à une phase pré-disciplinaire. Dans certaines circonstances, la communication de ces informations pourrait sérieusement compromettre la capacité du CEPD de mener l'enquête de manière efficace, lorsque, par exemple, la personne concernée risque de détruire des preuves ou de tenter d'influencer des témoins potentiels avant que ceux-ci ne soient interrogés. En outre, il pourrait être nécessaire que le CEPD protège leurs droits et leurs libertés, ainsi que les droits et libertés d'autres personnes concernées.

(17)

Il pourrait également être nécessaire de protéger la confidentialité d'un témoin ou d'un lanceur d'alerte qui a demandé à ne pas être identifié. Dans ce cas, le CEPD peut décider de limiter l'accès à l'identité, aux déclarations et aux autres données à caractère personnel du lanceur d'alerte et des autres personnes concernées, afin de protéger leurs droits et libertés.

(18)

Il pourrait s'avérer nécessaire de protéger la confidentialité d'un membre du personnel qui a contacté les conseillers confidentiels du CEPD dans le cadre d'une procédure relative au harcèlement. Dans ce cas, le CEPD peut décider de limiter l'accès à l'identité, aux déclarations et aux autres données à caractère personnel de la victime présumée, du harceleur présumé et des autres personnes concernées, afin de protéger leurs droits et libertés.

(19)

Lors du traitement des réclamations relatives à des activités de traitement effectuées par les institutions, organes et organismes de l'Union, le CEPD pourrait, dans certaines circonstances, devoir préserver l'efficacité de ses enquêtes et protéger, le cas échéant, les personnes concernées et leurs droits et libertés.

(20)

Lorsqu'il mène des enquêtes sur l'application du règlement afin de vérifier le respect du règlement par les institutions, organes et organismes de l'Union, le CEPD pourrait, dans certaines circonstances, devoir préserver l'efficacité de ses enquêtes et protéger, le cas échéant, les personnes impliquées et leurs droits et libertés.

(21)

Lorsqu'il mène des enquêtes sur d'éventuelles violations concernant des informations classifiées de l'Union, le CEPD pourrait, dans certaines circonstances, devoir préserver l'efficacité de ses enquêtes et protéger, le cas échéant, la sécurité intérieure des institutions, organes et organismes de l'Union, y compris leurs réseaux de communications électroniques, ainsi que les droits et libertés des personnes concernées.

(22)

Lors de l'assistance et de la coopération avec d'autres institutions, organes et organismes de l'Union, les pouvoirs publics des États membres de l'Union, les autorités nationales de pays tiers et les organisations internationales dans le cadre des activités susmentionnées, le CEPD pourrait, dans certaines circonstances, devoir préserver l'efficacité de ses enquêtes ou de celles menées par l'entité avec laquelle il coopère et protéger, le cas échéant, les personnes impliquées et leurs droits et libertés.

(23)

Lorsqu'il saisit ou intervient devant la Cour de justice de l'Union européenne, le CEPD peut devoir préserver la confidentialité des données à caractère personnel contenues dans les documents obtenus par les parties ou les parties intervenantes dans le cadre de l'affaire en cause.

(24)

Les limitations appliquées par le CEPD doivent toujours respecter l'essence des libertés et droits fondamentaux et constituer une mesure strictement nécessaire et proportionnée dans une société démocratique. Le CEPD doit justifier ces limitations.

(25)

Sur la base du principe de responsabilité, le CEPD doit tenir un registre relatif à l'application de ces limitations.

(26)

Lorsqu'il traite des données à caractère personnel échangées avec d'autres organisations dans le cadre de ses missions, le CEPD et ces organisations doivent se consulter sur les motifs pertinents de l'imposition des limitations et sur la nécessité et la proportionnalité des limitations, à moins que cela ne compromette les activités du CEPD.

(27)

L'article 25, paragraphe 6, du règlement (UE) 2018/1725 impose au responsable du traitement d'informer les personnes concernées des principales raisons qui motivent l'application de la limitation et de leur droit de saisir le CEPD.

(28)

Conformément à l'article 25, paragraphe 8, du règlement, le CEPD peut différer, omettre ou refuser la communication d'informations sur les motifs de l'application d'une limitation à la personne concernée si cela prive d'effet, de quelque manière que ce soit, la limitation imposée. Le CEPD doit évaluer au cas par cas si la communication des informations prive d'effet la limitation imposée.

(29)

Le CEPD doit lever la limitation dès que les conditions qui la justifient ne s'appliquent plus et évaluer régulièrement ces conditions.

(30)

Afin de garantir la plus grande protection des droits et libertés des personnes concernées et conformément à l'article 44, paragraphe 1, du règlement, le DPD doit être informé en temps utile de toute limitation appliquée et vérifier le respect de la présente décision.

(31)

L'application des limitations susmentionnées est sans préjudice de l'application éventuelle des dispositions de l'article 16, paragraphe 5, et de l'article 17, paragraphe 4, qui portent, respectivement, sur le droit à l'information lorsque les données à caractère personnel n'ont pas été recueillies auprès de la personne concernée, et sur le droit d'accès de la personne concernée.