Réf. Ares(2024)1197492 - 16/02/2024

1/ Description du traitement

Le Médiateur mène des enquêtes sur d’éventuels cas de mauvaise administration au sein d’une institution, d’un organe ou d’un organisme de l’UE (ci-après l’«institution de l’UE») et en rend compte.

Le Médiateur traite les données à caractère personnel des personnes aux fins du traitement des plaintes et des enquêtes de sa propre initiative lorsqu’il collecte et enregistre des données à caractère personnel dans son système électronique de gestion des plaintes (CMS). Le Médiateur traite les données à caractère personnel des plaignants et des tiers qui sont liées à la plainte/à l’enquête, soit parce qu’elles sont fournies par le plaignant, soit parce qu’elles sont collectées au cours de l’enquête. Le Médiateur peut transférer des données à caractère personnel à d’autres institutions de l’UE ou, occasionnellement, aux autorités des États membres, comme décrit ci-dessous.

La base juridique de ce traitement est l’article 228 du traité sur le fonctionnement de l’Union européenne (TFUE) et le statut du Médiateur européen (ci-après le «statut»).

Les données à caractère personnel sont traitées conformément au règlement (UE) 2018/1725 du Parlement européen et du Conseil relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données.

2/ Quelles informations personnelles collectons-nous, dans quel but et par quels moyens techniques?

Qu'est-ce que

Dans le cadre du traitement des plaintes et des enquêtes, le Médiateur reçoit et/ou recueille des documents susceptibles de contenir des données à caractère personnel concernant:

i) les personnes physiques qui déposent des plaintes («plaignants») et

ii) d'autres personnes pertinentes à la plainte/enquête ou d'autres tiers nommés dans les plaintes ou d'autres documents liés à l'enquête qui ne sont pas pertinents ou simplement accessoires à l'enquête.

Ces données personnelles comprennent les informations d'identification et de contact (nom, adresse, e-mail, téléphone, fax), la nationalité, les informations professionnelles et toute autre information sur une personne liée à la demande. Il peut également y avoir des catégories particulières de données incluses dans une plainte, telles que, par exemple, des données révélant l'origine raciale ou ethnique, les opinions politiques, les croyances religieuses ou philosophiques, l'appartenance syndicale et des données concernant la santé ou la vie sexuelle.

Si le Médiateur décide de mener une consultation publique (générale ou ciblée) en ce qui concerne le traitement des affaires, les contributions qu’il reçoit en réponse à cette consultation contiendront principalement certaines données à caractère personnel. Les contributeurs aux consultations publiques (générales ou ciblées) sont invités à indiquer leur niveau de consentement préalable en ce qui concerne la divulgation de leurs données. Pour de plus amples informations, veuillez consulter la déclaration de confidentialité concernant les consultations du Médiateur européen sur ce site web.

Pourquoi

Le Médiateur doit traiter les données à caractère personnel afin d’enquêter sur d’éventuels cas de mauvaise administration pour atteindre les objectifs suivants:

a) trouver une solution aux problèmes spécifiques de la plainte en question,

b) identifier les problèmes systémiques possibles et faire des suggestions s'y rapportant, le cas échéant, et

c) ce faisant, assurer la consolidation continue à long terme des bases de connaissances pertinentes qui sous-tendent ces activités.

En ce qui concerne spécifiquement les consultations publiques relatives aux affaires, l’objectif est de veiller à ce que l’évaluation des questions concernées soit aussi bien informée que possible.

Les données à caractère personnel sont également utilisées pour communiquer avec les plaignants et pour déterminer si une plainte relève du mandat du Médiateur. Certaines données sont utilisées à des fins statistiques (pays, nationalité, catégorie professionnelle et langue) de manière anonymisée afin de satisfaire à l’obligation de déclaration prévue par le statut du Médiateur européen.

Comment

Le Médiateur recueille ou reçoit normalement les données à caractère personnel dans des documents, y compris des formulaires, qui sont pour la plupart électroniques.

Dans certains cas, les données font partie de l'information qui est initialement reçue oralement lors de réunions, d'inspections ou d'audiences. Pendant ou immédiatement après ces réunions, les informations pertinentes sont consignées dans les documents du dossier, principalement sous forme électronique, mais aussi, dans certains cas, sur papier.

3/ Qui a accès à vos informations et à qui sont-elles divulguées?

Personnel du Médiateur

Le personnel du Médiateur qui participe au traitement des dossiers de l’Office a accès aux dossiers et à leurs documents, dont certains contiennent des données à caractère personnel, ainsi qu’à la base de données contenant lesdits documents et les données connexes.

Institutions de l'UE

Lorsqu’une plainte est envoyée à une institution de l’UE dans le cadre d’une enquête, les données à caractère personnel restent normalement visibles dans les documents. C'est également le cas lorsque le plaignant a demandé le traitement confidentiel de sa plainte. Cette confidentialité ne s’applique pas à la communication liée à l’enquête entre le Médiateur et l’institution, cette dernière ayant le droit d’être pleinement informée de toutes les informations relatives aux accusations dont elle fait l’objet. Toutefois, avant l’envoi de la plainte et de ses éventuels documents connexes, le responsable des enquêtes du Médiateur procédera néanmoins à un contrôle afin de vérifier si le transfert des documents entraînerait un transfert manifestement inutile de données à caractère personnel. L'occultation des données personnelles excessives, comme décrit ici, est dûment enregistrée dans la note de cas établie pour l'ouverture de l'enquête. Si une plainte contient des données personnelles excessives, les données personnelles excessives seront supprimées.

Si le Médiateur n’est pas en mesure de traiter ou d’accepter la plainte, il peut également la transmettre à une autre institution ou à un autre organe compétent de l’UE qui pourrait être mieux placé pour traiter la question soulevée par le plaignant. Par exemple, la Commission européenne en ce qui concerne les plaintes relatives à une éventuelle violation du droit de l’Union, le Parlement européen en ce qui concerne les questions politiques, l’Office européen de lutte antifraude en ce qui concerne les questions de fraude et le Contrôleur européen de la protection des données.

Le Médiateur utilise «eTranslation» (traduction automatique) pour traduire automatiquement les documents relatifs aux plaintes, qui peuvent contenir des données à caractère personnel. eTranslation est un service géré par la Commission européenne, qui n’analyse pas le contenu du document traduit. Les traductions et autres sorties générées par le service sont retournées à leurs utilisateurs et sont conçues pour être inaccessibles pendant le traitement. Le Médiateur peut également envoyer des documents à traduire aux services de traduction du Parlement européen ou au Centre de traduction des organes de l’Union européenne lorsque des traductions de documents doivent être effectuées. Ces documents peuvent parfois contenir des données à caractère personnel. Les traducteurs travaillent dans le respect des obligations de confidentialité mises en place par les organes de l’UE susmentionnés.

Autres organismes ou organisations

De même, pour d’autres plaintes qu’il ne peut traiter, le Médiateur peut décider de transférer une plainte, sans occulter les données à caractère personnel, à des institutions ou organisations nationales qui pourraient être en mesure d’aider le plaignant. Il peut décider de le faire si le plaignant a donné son consentement explicite. Il effectue uniquement des transferts vers de tels organismes ou organisations situés dans l’UE.

Lorsque le Médiateur apprend des faits susceptibles de constituer ou de se rapporter à une infraction pénale, il en informe les autorités nationales compétentes, le Parquet européen et/ou l’Office européen de lutte antifraude (OLAF).[2] Ce faisant, il transmet normalement les documents pertinents, non expurgés, à l’autorité concernée.

Demandes individuelles d'accès du public aux documents

Les citoyens de l’Union peuvent exercer leur droit fondamental de demander l’accès du public à tout document détenu par le Médiateur, y compris les documents du dossier de l’affaire ou les documents y afférents. Ces demandes sont traitées sur la base du règlement (CE) n° 1049/2001 relatif à l'accès du public aux documents des institutions de l'UE.

En réponse aux demandes d’accès du public aux documents, les données à caractère personnel des plaignants et des tiers, à l’exclusion du personnel de l’UE, sont par défaut expurgées avant la divulgation publique des documents détenus par le Médiateur.

Droits des personnes concernées

Les personnes concernées peuvent exercer leur droit d'accès, de rectification ou d'effacement de leurs données personnelles dans le cadre du traitement des réclamations, en envoyant une demande par courrier électronique au responsable du traitement à la boîte aux lettres indiquée ci-dessous.

Ils ont la possibilité de demander le traitement confidentiel de leur plainte ou de certaines parties de celle-ci en indiquant une telle exigence dans la plainte et en fournissant une motivation ou une justification à l’appui.

Le Médiateur respecte les règles en matière de protection des données, y compris l’obligation d’informer les personnes concernées tierces du traitement de leurs données à caractère personnel et le droit de ces personnes d’avoir accès à leurs données à caractère personnel et de faire rectifier les erreurs dans ces données, ou de les restreindre ou de les effacer, conformément à ces règles. Compte tenu du principe de minimisation des données, il est conseillé au plaignant de ne fournir que des informations pertinentes pour l’objet de la plainte et d’éviter des détails inutiles et non pertinents, en particulier s’il s’agit de données à caractère personnel de tiers. Toutefois, le Médiateur tiendra toujours compte de la situation de la plaignante lorsqu’il se conformera à ses obligations en matière de protection des données, en particulier lorsque la plaignante se trouve dans une situation de vulnérabilité. Le Médiateur procédera à une évaluation au cas par cas en mettant en balance les droits et les intérêts légitimes du plaignant et de la tierce personne concernée.

Si le plaignant décide de déposer une plainte anonyme, une telle plainte sera toujours irrecevable [3]. Le Médiateur peut néanmoins, en fonction des informations figurant dans une telle plainte, décider de poursuivre la question au moyen d'une enquête d'initiative.

4/ Comment protégeons-nous et protégeons-nous vos données personnelles?

Au sein de l’organisation, le Médiateur européen protège les données à caractère personnel au moyen de règles et de mesures pratiques.

Tous les membres du personnel sont informés de leurs obligations strictes en matière de confidentialité et reçoivent une formation connexe ainsi que des informations actualisées sur les pratiques et les règles.

Chaque membre du personnel du Médiateur a une responsabilité de premier niveau en ce qui concerne la conservation de ses fichiers de travail de manière à garantir la sécurité des données à caractère personnel qu’ils contiennent.

Les documents relatifs aux dossiers et les formulaires de données sont presque entièrement traités par voie électronique, ce qui prévoit des droits d’accès configurables et réduit le risque de circulation accidentelle de copies papier. Comme indiqué plus haut, le personnel du Médiateur qui participe au traitement des affaires par l’Office a accès aux dossiers et à leurs documents.

Tout plaignant réel ou potentiel peut à tout moment présenter une demande motivée d’accès limité à son dossier de plainte, demande qui peut, par exemple, être pertinente si le plaignant est un membre actuel ou ancien du personnel du Médiateur, un autre membre du personnel de l’UE, un membre de réseaux ou de groupes similaires avec lesquels plusieurs membres du personnel du Bureau du Médiateur ont, ou sont censés avoir, des contacts. Les documents et formulaires de données sont stockés électroniquement sur des serveurs virtuels mis à la disposition du Médiateur par le Parlement européen. L’accès aux données par le Parlement européen est contrôlé et strictement à des fins d’administration et de support informatiques.

Les archives physiques sont conservées dans des salles d'archives séparées et, le cas échéant, dans des coffres-forts.

5/ Comment pouvez-vous nous demander de vérifier, modifier ou effacer vos informations?

Les personnes concernées ont le droit d’accéder aux données à caractère personnel que nous détenons à leur sujet et de demander au Médiateur de les corriger, de les compléter ou, le cas échéant, de les effacer [4]. Toute demande d’accès à des données à caractère personnel ou de rectification, de limitation et/ou d’effacement de données à caractère personnel doit être adressée à l’enquêteur responsable et/ou au responsable du traitement des données (courriel: EO@ombudsman.europa.eu).

Vous pouvez également contacter le délégué à la protection des données du Médiateur européen (DPO-Euro-Ombudsman@ombudsman.europa.eu) si vous avez des questions sur le traitement de vos données à caractère personnel.

Les restrictions prévues à l’article 25 du règlement (UE) 2018/1725 peuvent s’appliquer, voir la décision du Médiateur du 9 novembre 2020 [5].

6/ Combien de temps conservons-nous vos données?

Les dossiers, y compris les données relatives aux documents ou les données intégrées dans des bases de données, sont soumis à une période de conservation de:

• Deux ans pour les plaintes qui ne relèvent pas du mandat de l’Office.
• Dix ans pour les plaintes relevant du mandat de l’Office. Il s’agit notamment des plaintes dans lesquelles le Médiateur a ouvert une enquête et des plaintes dans lesquelles le Médiateur n’a pas ouvert d’enquête, soit parce qu’elles étaient irrecevables, soit parce qu’elles n’étaient pas fondées. Les documents relatifs aux plaintes revêtant une importance publique significative ou qui sont par ailleurs considérés comme des affaires majeures sont archivés ultérieurement, sous une forme anonymisée, à des fins historiques. Toutefois, à titre exceptionnel, des données à caractère personnel peuvent être conservées lorsque cela est nécessaire pour servir des intérêts historiques ou publics.

Des délais de conservation plus courts s’appliquent aux documents confidentiels qui font partie du dossier de l’affaire. En particulier, les documents confidentiels sont généralement supprimés une fois l’affaire clôturée et, lorsqu’un plaignant est impliqué, le délai de traitement de toute demande de réexamen a expiré.

Dans des cas exceptionnels, la période de conservation standard de dix ans s'applique aux documents confidentiels lorsque:

• a) il est clair que les informations en question sont, ou pourraient bien être, importantes pour la compréhension de l'affaire à l'avenir, y compris les circonstances dans lesquelles l'affaire a préséance ou valeur de formation;
• b) la conservation du document est susceptible de servir des intérêts historiques ou publics; ou
• c) la conservation du document peut être pertinente dans le cadre de procédures formelles effectives ou futures éventuelles.

Toutes les décisions et actions relatives au traitement des documents confidentiels susmentionnés sont dûment consignées dans le dossier de l’affaire.

7/ Recours

Les personnes concernées ont à tout moment le droit d’adresser une plainte au Contrôleur européen de la protection des données (edps@edps.europa.eu) si elles estiment que leurs droits au titre du règlement (UE) 2018/1725 ont été violés par le Médiateur.

[1] Article 10 du règlement 2018/1725.

[2] Article 9, paragraphe 2, du statut du médiateur.

[3] Article 2, paragraphe 2, du statut du médiateur.

[4] Articles 17 à 20 du règlement 2018/1725.

[5] Décision du Médiateur européen du 9 novembre 2020 relative aux règles internes visant à limiter certains droits des personnes concernées dans le traitement des données à caractère personnel, disponible à l’adresse https://www.ombudsman.europa.eu/fr/document/en/141577.