Certaines des procédures mises en place par les institutions de l’UE présentent des risques pour les droits en matière de protection des données et pour les libertés des personnes.
En vertu de l’ancien cadre juridique [le règlement (CE) nº 45/2001], les institutions de l’UE étaient tenues de nous notifier les opérations de traitement de données présentant des risques avant de les mettre en place.
En général, nos avis de contrôle préalable étaient publics.
Le règlement 2018/1725 est fondé sur l’ancien règlement et il est le reflet du règlement général sur la protection des données (UE) 2016/679 (le RGPD) qui s’applique à la plupart des organisations traitant des données à caractère personnel dans les États membres. Par rapport aux règles précédentes, le règlement 2018/1725 met davantage en adéquation les obligations de documentation avec les risques posés par le traitement de données à caractère personnel. Ainsi, par exemple, les exigences de documentation concernant un abonnement à une lettre d’information d’une institution de l’UE seront moins strictes que pour un système utilisant une «télévision en circuit fermé intelligente» qui couvrira un espace accessible au public ou que pour une base de données établissant le profil de voyageurs à des fins de filtrage.
Selon le traitement de données à caractère personnel qu’elles effectuent, les institutions de l’UE (les «responsables du traitement») peuvent ne pas devoir accomplir toutes les étapes ci-dessous [celles-ci sont décrites dans la Accountability on the ground toolkit (boîte à outils en matière de responsabilité sur le terrain)]:
L’article 39 du règlement 2016/794 relatif à Europol prévoit un mécanisme de consultation préalable ad hoc pour un nouveau type d’opérations de traitement, à savoir pour les données traitées par Europol afin d’aider les États membres à prévenir la grande criminalité et le terrorisme et à les combattre. De même, l’article 72 du règlement 2017/1939 relatif au Parquet européen prévoit un mécanisme spécifique de consultation préalable pour le traitement de données opérationnelles, à savoir des données traitées dans le cadre d’enquêtes et de poursuites pénales menées par le Parquet européen. Le règlement 2018/1725, y compris le mécanisme standard de consultation préalable, s’applique aux traitements de données effectués par Europol et le Parquet européen, notamment en ce qui concerne les données de membres du personnel et de visiteurs, par exemple.
Lorsqu’une institution de l’UE n’est pas certaine de devoir notifier un traitement de données en vue d’une consultation préalable, son DPD peut nous consulter afin d’obtenir une confirmation.
Tout comme c’était le cas pour les avis de contrôle préalable que nous émettions auparavant, en général, les avis de consultation préalable sont publics, mais nous pouvons, si nécessaire, supprimer des éléments sensibles, par exemple liés à la sécurité. Certains avis, qui possèdent, par nature, un caractère sensible, en particulier dans les domaines de la police et de la justice, peuvent ne pas être publiés. À des fins de transparence, ces avis sont résumés dans notre rapport annuel.
Opinion of 16 May 2008 on a notification for prior checking on the selection of candidates in order to establish a short-list for the position of European Data Protection Supervisor and the position of Assistant Supervisor (Case 2008-222)
Opinion of 29 April 2008 on a notification for prior checking on the selection procedure of members of the Agency's Scientific Committee (Joint cases 2008-179 and 2008-202)
In accordance with Regulation (EC) 168/2007 establishing the FRA, the Management Board of the Agency shall appoint a Scientific Committee after consultation of the competent Committee at the European Parliament. The FRA has therefore established a selection procedure for the selection of candidates for membership of the Scientific Committee and has submitted it to the EDPS for prior checking during the course of the procedure. Indeed, the shortlist of candidates has been established by the bodies involved in the selection procedure at the FRA (pre-selection panel, Executive Board, and Management Board) and the list of candidates is about to be communicated to the EP LIBE Committee.
The LIBE Committee requests that the Management Board provides the following information to the members of the Committee: a copy of the open call for tender and information on how the call was disseminated; a description of the selection criteria used during the procedure with justification of the selection methodology chosen; the number of applications received, broken down according to a Member State and gender, with information on how many of the applicants were not eligible to apply and a short list of candidates with their applications and CVs.
The LIBE Committee will discuss applications in a LIBE Committee session open to the public. It will then give its opinion about the candidates after receiving the above information by expressing its order of preference in a secret ballot. This opinion will be communicated to the FRA Management Board allowing it to nominate members of the Scientific Committee.
The LIBE Committee intends to make the names of the short listed candidates, their CVs and the results of the vote public based on the consent of the candidates. Non-consent on the part of any of the candidates will lead to the non publication on their data.
The EDPS adopted an opinion on this selection procedure and considered that although it was regrettable that the Notification from the FRA was submitted when the processing was well underway, all recommendations made by the EDPS, should be fully taken into account and the remedies should be put into practice. These recommendations where the following:
- that the FRA clarifies the periods for conservation of personal data; - that the FRA sets up procedures to ensure the right of access to candidates' personal data;
- that the FRA provides information to all the candidates in a privacy notice available on the FRA website and also to short listed candidates before communicating the data to the LIBE Committee;
- that the information on the processing of personal data remains available on the FRA website throughout the procedure in case applicants want to refer back to it;
- that the EP provides certain information on the processing of personal data to candidates when inviting them to attend the hearing before the LIBE Committee.
Avis du 29 avril sur la notification de contrôle préalable à propos du dossier "Sélection des personnes de confiance dans le cadre de la lutte contre le harcèlement moral et le harcèlement sexuel à la Commission européenne" (Dossier 2008-60)
Avis du 28 mars 2008 sur la notification d'un contrôle préalable à propos du dossier "Autorisations de témoigner en justice" (Dossier 2007-721)
Avis du 21 avril 2008 sur une notification en vue d'un contrôle préalable concernant la gestion des lieux d'accueil pour enfants (crèche/garderie) (Dossier 2007-544)