Print

Avis de contrôle préalable et consultations préalables

Certaines des procédures mises en place par les institutions de l’UE présentent des risques pour les droits en matière de protection des données et pour les libertés des personnes.

En vertu de l’ancien cadre juridique [le règlement (CE) nº 45/2001], les institutions de l’UE étaient tenues de nous notifier les opérations de traitement de données présentant des risques avant de les mettre en place.

En général, nos avis de contrôle préalable étaient publics.

Le règlement 2018/1725 est fondé sur l’ancien règlement et il est le reflet du règlement général sur la protection des données (UE) 2016/679 (le RGPD) qui s’applique à la plupart des organisations traitant des données à caractère personnel dans les États membres. Par rapport aux règles précédentes, le règlement 2018/1725 met davantage en adéquation les obligations de documentation avec les risques posés par le traitement de données à caractère personnel. Ainsi, par exemple, les exigences de documentation concernant un abonnement à une lettre d’information d’une institution de l’UE seront moins strictes que pour un système utilisant une «télévision en circuit fermé intelligente» qui couvrira un espace accessible au public ou que pour une base de données établissant le profil de voyageurs à des fins de filtrage.

Selon le traitement de données à caractère personnel qu’elles effectuent, les institutions de l’UE (les «responsables du traitement») peuvent ne pas devoir accomplir toutes les étapes ci-dessous [celles-ci sont décrites dans la Accountability on the ground toolkit (boîte à outils en matière de responsabilité sur le terrain)]:

    • produire des documents de base (appelés «registres») pour tous les traitements;
    • vérifier si le traitement est susceptible de présenter des risques élevés pour les personnes dont les données sont traitées et consulter le DPD si tel semble être le cas;
    • si les institutions de l’UE doivent réaliser une analyse d’impact relative à la protection des données (AIPD), elles examinent ces risques de manière plus détaillée et prévoient des garanties/contrôles spécifiques afin de les gérer;
    • si les résultats de cette analyse continuent de faire apparaître des risques résiduels élevés en matière de protection des données, l’institution de l’UE concernée doit saisir le CEPD en vue d’une consultation préalable (voir l’article 40 du règlement 2018/1725 pour les données administratives à caractère personnel et l’article 90 de ce même règlement pour les données opérationnelles à caractère personnel).

L’article 39 du règlement 2016/794 relatif à Europol prévoit un mécanisme de consultation préalable ad hoc pour un nouveau type d’opérations de traitement, à savoir pour les données traitées par Europol afin d’aider les États membres à prévenir la grande criminalité et le terrorisme et à les combattre. De même, l’article 72 du règlement 2017/1939 relatif au Parquet européen prévoit un mécanisme spécifique de consultation préalable pour le traitement de données opérationnelles, à savoir des données traitées dans le cadre d’enquêtes et de poursuites pénales menées par le Parquet européen. Le règlement 2018/1725, y compris le mécanisme standard de consultation préalable, s’applique aux traitements de données effectués par Europol et le Parquet européen, notamment en ce qui concerne les données de membres du personnel et de visiteurs, par exemple.

Lorsqu’une institution de l’UE n’est pas certaine de devoir notifier un traitement de données en vue d’une consultation préalable, son DPD peut nous consulter afin d’obtenir une confirmation.

Tout comme c’était le cas pour les avis de contrôle préalable que nous émettions auparavant, en général, les avis de consultation préalable sont publics, mais nous pouvons, si nécessaire, supprimer des éléments sensibles, par exemple liés à la sécurité. Certains avis, qui possèdent, par nature, un caractère sensible, en particulier dans les domaines de la police et de la justice, peuvent ne pas être publiés. À des fins de transparence, ces avis sont résumés dans notre rapport annuel.

Filters

29
Nov
2007
Opinions Prior Check and Prior Consultations

Certification - Comité des Régions

Avis du 29 novembre 2007 sur la notification d'un contrôle préalable à propos du dossier "procédure de certification" (Dossier 2007-353)

Le traitement intitulé "procédure de certification par le Comité des Régions" concerne une procédure de sélection d'un nombre restreint de fonctionnaires du groupe de fonction des assistants d'accéder à un emploi vacant du groupe de fonction des administrateurs, sans changement de grade, à condition d'avoir été sélectionnés pour participer à un programme de formation obligatoire, d'avoir suivi ce programme de formation avec assiduité et de réussir les épreuves écrites et orales organisées dans ce contexte et d'avoir été sélectionnés pour le poste en question. Il s'agit donc d'une procédure permettant à l'AIPN d'identifier les assistants disposant du potentiel et de la capacité requis pour assumer des fonctions d'administrateur.
 
D'après la procédure prévue dans la Décision du CdR relative à la procédure de certification la procédure comporte 6 étapes qui sont:
  1. la détermination par l'AIPN du nombre de fonctionnaires autorisés à suivre le programme de formation et la publication d'un appel à candidatures;
  2. l’examen de l’admissibilité des candidatures par l'AIPN;
  3. l’établissement par l'AIPN de la liste des fonctionnaires sélectionnés pour participer au programme de formation;
  4. la participation au programme de formation organisée par l'Ecole européenne d'administration;
  5. l’organisation d’épreuves écrites et orales et l’établissement par l'Office européen de sélection du personnel de la liste des fonctionnaires ayant réussi les épreuves attestant qu'ils ont suivi avec succès le programme de formation;
  6. la publication par l'AIPN de la liste des fonctionnaires ayant réussi les épreuves.
Le traitement en l'espèce fait l'objet d'un contrôle préalable, car l'évaluation des compétences de candidats potentiels est basée non seulement sur des rapports de notation existants mais elle est également fondée sur d'autres critères, à savoir le niveau d'enseignement et de formation ainsi que les besoins dans certains domaines du service, l'expérience professionnelle et la formation professionnelle acquise dans ces domaines.
 

Dans le cadre de ses recommandations, le CEPD a notamment souligné que le Comité des Régions joigne au dossier personnel de la personne concernée les appels motivés des candidats qui contestent la liste de projet ou/et la liste finale. Il a été également recommandé le Comité des Régions ajoute au dossier personnel les conclusions et les raisons pour ces conclusions de l'avis du Comité de Certification concernant l'appel d'une personne concernée afin d'assurer que ce dossier soit complet et que le droit d'accès et de rectification de la personne concernée soient garantis.

Langues disponibles: français
Topics
Respect de la vie privée dans les institutions de l'UE
Évaluation du personnel
29
Nov
2007
Opinions Prior Check and Prior Consultations

Procédure d'attestation - Comité des Régions

Avis du 29 novembre 2007 sur la notification d'un contrôle préalable à propos du dossier "procédure d'attestation" (Dossier 2007-352)

Langues disponibles: anglais, français
Topics
Respect de la vie privée dans les institutions de l'UE
Conditions de travail
22
Nov
2007
Opinions Prior Check and Prior Consultations

Promotions - Ombudsman

Avis du 22 octobre 2007 sur la notification d'un contrôle préalable à propos du dossier "Promotion du personnel statutaire" (Dossier 2007-407)

Langues disponibles: anglais, français
Topics
Respect de la vie privée dans les institutions de l'UE
Évaluation du personnel
22
Nov
2007
Opinions Prior Check and Prior Consultations

Retraite anticipée - OHMI

Avis du 22 novembre 2007 sur une notification de contrôle préalable concernant la procédure de retraite anticipée sans réduction des droits à pension (Dossier 2007-575)

Langues disponibles: anglais, français
Topics
Respect de la vie privée dans les institutions de l'UE
Évaluation du personnel
21
Nov
2007
Opinions Prior Check and Prior Consultations

Intelligence databases - OLAF

Opinion of 21 November 2007 on a notification for prior checking on information and intelligence data pool and intelligence databases (Joint cases 2007-27 and 2007-28)

Information and Intelligence Data Pool” is the description given to all data held within the remit of Operational Intelligence Unit C4 in OLAF, including the Intelligence Databases.

Operational Information and Intelligence support are essential aspects of OLAF’s mandate to fight fraud, corruption, and any other illegal activity affecting the financial interests of the European Community, and serious matters relating to the discharge of professional duties - as established in Article 1 of Regulation (EC) n° 1073/1999 and Commission Decision 1999/352/EC Article 2 (5).

The purpose of the processing under analysis is then to further OLAF intelligence/analysis and operational activity. It also aims to support specific case requests, operations and investigations with a view to ensuring the optimum accuracy and relevance of information received, disseminated and otherwise processed for intelligence, financial, administrative, disciplinary and judicial use. This support may be provided throughout the various stages of OLAF investigation and operational activities, over all sectors and is recorded within the CMS (Case Management System) where applicable.

OLAF’s operational intelligence role also includes supporting the control, intelligence and enforcement activities in Member States, for OLAF partners and Operational DGs. Chapter 2.4.3 of the OLAF Manual further explains the role of OLAF's operational intelligence.

In his prior checking Opinion, the EDPS issued the main following recommendations:

  • to acknowledge in the intelligence files when any restriction based on Article 20 of the Regulation is operated;
  • to respect the confidentiality of the identity of whistleblowers during OLAF intelligence activities and in the later stages when appropriate;
  • to provide the information (Article 12 of the Regulation) to the data subjects whose names appear in the documentation under analysis, but who are not persons concerned, witnesses, whistleblowers or informants, unless such activity would be impossible or would involve a disproportionate effort, in which case the obligation to provide directly the information could only be replaced by the indirect provision through the privacy statement published on the OLAF website. The same principle should be applied when intelligence activities are conducted independently of an investigation;
  • to supplement the publication on the website with personalised information notices addressed to individuals (unless such activity would be impossible or would involve a disproportionate effort). The EDPS therefore calls upon OLAF to develop practices in providing personalised information to the individuals concerned to the degree it is appropriate in the context of intelligence activities and inform the EDPS about such guidelines.
Langues disponibles: anglais
Topics
Respect de la vie privée dans les institutions de l'UE
Discipline, Enquêtes