Certaines des procédures mises en place par les institutions de l’UE présentent des risques pour les droits en matière de protection des données et pour les libertés des personnes.
En vertu de l’ancien cadre juridique [le règlement (CE) nº 45/2001], les institutions de l’UE étaient tenues de nous notifier les opérations de traitement de données présentant des risques avant de les mettre en place.
En général, nos avis de contrôle préalable étaient publics.
Le règlement 2018/1725 est fondé sur l’ancien règlement et il est le reflet du règlement général sur la protection des données (UE) 2016/679 (le RGPD) qui s’applique à la plupart des organisations traitant des données à caractère personnel dans les États membres. Par rapport aux règles précédentes, le règlement 2018/1725 met davantage en adéquation les obligations de documentation avec les risques posés par le traitement de données à caractère personnel. Ainsi, par exemple, les exigences de documentation concernant un abonnement à une lettre d’information d’une institution de l’UE seront moins strictes que pour un système utilisant une «télévision en circuit fermé intelligente» qui couvrira un espace accessible au public ou que pour une base de données établissant le profil de voyageurs à des fins de filtrage.
Selon le traitement de données à caractère personnel qu’elles effectuent, les institutions de l’UE (les «responsables du traitement») peuvent ne pas devoir accomplir toutes les étapes ci-dessous [celles-ci sont décrites dans la Accountability on the ground toolkit (boîte à outils en matière de responsabilité sur le terrain)]:
L’article 39 du règlement 2016/794 relatif à Europol prévoit un mécanisme de consultation préalable ad hoc pour un nouveau type d’opérations de traitement, à savoir pour les données traitées par Europol afin d’aider les États membres à prévenir la grande criminalité et le terrorisme et à les combattre. De même, l’article 72 du règlement 2017/1939 relatif au Parquet européen prévoit un mécanisme spécifique de consultation préalable pour le traitement de données opérationnelles, à savoir des données traitées dans le cadre d’enquêtes et de poursuites pénales menées par le Parquet européen. Le règlement 2018/1725, y compris le mécanisme standard de consultation préalable, s’applique aux traitements de données effectués par Europol et le Parquet européen, notamment en ce qui concerne les données de membres du personnel et de visiteurs, par exemple.
Lorsqu’une institution de l’UE n’est pas certaine de devoir notifier un traitement de données en vue d’une consultation préalable, son DPD peut nous consulter afin d’obtenir une confirmation.
Tout comme c’était le cas pour les avis de contrôle préalable que nous émettions auparavant, en général, les avis de consultation préalable sont publics, mais nous pouvons, si nécessaire, supprimer des éléments sensibles, par exemple liés à la sécurité. Certains avis, qui possèdent, par nature, un caractère sensible, en particulier dans les domaines de la police et de la justice, peuvent ne pas être publiés. À des fins de transparence, ces avis sont résumés dans notre rapport annuel.
Opinion of 21 January 2010 on a notification for prior checking on the processing of personal data in the frame of the management of probationary periods (e-probation) (Case 2009-718)
Le fonctionnement du Régime Commun d’Assurance Maladie (RCAM) est assuré par un Comité de Gestion (ci-après CGAM), un Bureau central, des Bureaux liquidateurs et un Conseil médical. Le CGAM est un organe paritaire où siègent les représentants du personnel désignés par les Comités du Personnel de chaque Institution, ainsi que les représentants des administrations.
Ce Comité de Gestion traite de toutes les modifications de la réglementation par voie de proposition ou d'avis, des réclamations introduites par les affiliés, il émet des avis et des recommandations, ainsi que des propositions en relation avec le fonctionnement du régime commun.
Le CEPD a rencontré le CGAM en novembre 2008 afin de discuter des aspects protection de données dans le cadre des dossiers traités par le CGAM. Puisque les réclamations des affiliés comportent des données sensibles, il a été décidé que le comité enverrait une notification au CEPD.
Suite à cette notification, le CEPD a rendu un avis le 18 janvier 2010 avec les recommandations suivantes :
• au regard de la qualité des données, le CEPD s'est montré très soucieux à propos des données d'identification reçues par le CGAM et a suggéré que cela ne soit le cas que lorsque absolument indispensable. Le CEPD a également recommandé que les données soient gérées en accord avec les principes de nécessité et de proportionnalité et que les dossiers soient mis à jour.
• le CEPD a fortement recommandé qu'une période de rétention des données soit déterminée pour les données stockées sur CIRCA (application Internet utilisée comme un outil de collaboration pour l'échange de documentation et la création et la gestion de groupes de travail) et que les dossiers de réclamations soient anonymisés ou sujets à des accès plus restreints.
• Le CGAM doit mettre en place des droits d'accès et de rectification pour les personnes concernées tant aux versions papier qu'aux versions postées sur CIRCA et accorde ces droits à ces personnes.
• Le CGAM doit élaborer une note d'information afin que les personnes introduisant des demandes de remboursement ou des réclamations à propos de ces demandes puissent en prendre connaissance.
• au regard des mesures de sécurité le CEPD a exigé qu'une analyse de risques soit conduite et qu'une politique de sécurité soit mise en place dans les 6 mois qui suivent cet avis. A défaut ce manquement persistant sera considéré en violation du règlement 45/2001.
Avis du 18 janvier 2010 sur une notification en ve d'un contrôle préalable concernant la "procédure d'accès au disque/courrier électronique privé" (Dossier 2009-620)
Opinion reflected in a letter of 18 December 2009 on a notification of prior checking on the management of applications for short-term traineeship (Case 2009-701)
Opinion reflected in a letter of 18 December 2009 on a notification for prior checking concerning the recruitment of seconded national experts (Case 2009-720)