1. Introduction

Outre le traitement des données à caractère personnel des personnes qui déposent des plaintes, le Médiateur peut, en fonction des faits de l’espèce, être amené à traiter des données à caractère personnel relatives à d’autres personnes («personnes concernées tierces»).

Dès réception d’une plainte, le Médiateur évalue si les informations fournies contiennent des données à caractère personnel de tiers, c’est-à-dire des informations relatives à une personne physique identifiée ou identifiable, autre que le plaignant.

La notion de données à caractère personnel est très large [1]. À titre d’exemple, il comprend des informations sur l’identité et les caractéristiques personnelles d’une personne, des déclarations et des opinions, ainsi que sur son état civil et son statut professionnel [2].

La présente politique concerne la manière dont le Médiateur donne effet à l’obligation d’informer les personnes concernées du traitement de leurs données à caractère personnel dans le cadre d’une plainte ou d’une enquête, lorsque les données n’ont pas été obtenues auprès de ces personnes. Lors de l'élaboration de la présente politique, le Médiateur a tenu compte des orientations du Contrôleur européen de la protection des données (CEPD)[3].

2. L'obligation d'informer

Lorsque les données à caractère personnel d'une personne concernée tierce sont incluses dans une plainte ou d'autres documents liés à une enquête, le Médiateur a l'obligation de fournir à la personne concernée certaines informations [4], à savoir:

a) l'identité et les coordonnées du responsable du traitement, c'est-à-dire le Médiateur [5];

b) les coordonnées du délégué à la protection des données du Médiateur;

c) la finalité du traitement (par exemple, le traitement d'une plainte) et la base juridique du traitement (par exemple, les règles relatives au traitement des données à caractère personnel par les institutions de l'UE [6] et/ou le statut du Médiateur [7]);

d) les catégories de données concernées (par exemple, l'identité et le statut professionnel de la personne concernée);

e) les destinataires des données [8];

f) le cas échéant, que le Médiateur a l’intention de transférer les données à caractère personnel à un pays tiers ou à une organisation internationale et l’existence ou l’absence d’une décision d’adéquation de la Commission ou de garanties appropriées ou appropriées et les moyens d’en obtenir une copie ou lorsqu’elles ont été mises à disposition; et

g) les informations complémentaires suivantes, nécessaires pour garantir un traitement équitable et transparent des données à caractère personnel de la personne:

i) les délais de conservation des données pertinentes;

ii) le fait que la personne a le droit de demander l’accès au traitement de ses données à caractère personnel, la rectification, l’effacement ou la limitation de celui-ci, ou le droit de s’opposer au traitement [9];

iii) le droit de la personne de saisir le CEPD, et

iv) l’origine des données (y compris, le cas échéant, les sources accessibles au public).

3. La politique

A - Plaintes hors mandat

Si le Médiateur constate qu’une plainte contenant des données à caractère personnel de tiers ne relève pas de son mandat, il en informe le plaignant et l’informe, dans la mesure du possible, de l’organe qui pourrait traiter la plainte. Lorsque le plaignant a accepté un transfert de sa plainte au cas où le Médiateur ne serait pas en mesure de la traiter, le Médiateur transmet la plainte à l’organe compétent (par exemple, un Médiateur national).

Dans de tels cas, le Médiateur ne considère pas que la fourniture des informations individuelles mentionnées au point 2 ci-dessus soit requise car i) la finalité pour laquelle le Médiateur traite ces données à caractère personnel (évaluation de la question de savoir si la plainte relève de son mandat et, dans la négative, transfert éventuel de la plainte à un autre organe) ne nécessite pas l’identification de la personne concernée par le tiers par le Médiateur [10]; et ii) informer individuellement les personnes concernées tierces du fait que le Médiateur peut traiter des données les concernant, même si cela est possible, entraînerait une multiplication inutile des données à caractère personnel et impliquerait donc un effort disproportionné [11].

Au lieu de cela, la Médiatrice publie une note d'information sur son site web informant le grand public qu'elle peut traiter des données à caractère personnel de personnes autres que la plaignante dans le cadre de son traitement des plaintes. La présente note contient un lien vers la présente politique et vers une déclaration relative au traitement des données à caractère personnel dans le cadre du traitement des plaintes et des enquêtes par le Médiateur. La présente note, la présente politique et la déclaration sont jugées suffisantes pour fournir toutes les informations pertinentes aux personnes dont le Médiateur peut traiter les données à caractère personnel [12] et pour leur permettre de demander l’accès, la rectification, l’effacement et la limitation du traitement de leurs données à caractère personnel si elles le souhaitent [13].

B - Dans le cadre du mandat, mais irrecevable et recevable

Dans les cas susmentionnés, le Médiateur ne considère pas que la fourniture des informations individuelles mentionnées au point 2 ci-dessus soit requise, car informer individuellement les personnes concernées tierces du fait que le Médiateur peut traiter des données les concernant, même si cela est possible, entraînerait une multiplication inutile des données à caractère personnel qui, compte tenu des actions limitées en cause, à savoir l'absence de transfert de la plainte en dehors du bureau du Médiateur, impliquerait un effort disproportionné [14].

La note d'information publiée sur le site web du Médiateur ainsi que la présente politique et la déclaration sont jugées suffisantes pour fournir toutes les informations pertinentes aux personnes dont le Médiateur peut traiter les données à caractère personnel [15] et pour leur permettre de demander l'accès, la rectification, l'effacement et la limitation du traitement de leurs données à caractère personnel si elles le souhaitent [16].

C - Demandes de renseignements

Dans les cas susmentionnés, le Médiateur doit d'abord décider si les données relatives à des tiers sont ou non pertinentes pour l'objet de l'enquête. Une façon de procéder consiste à examiner si le Médiateur traiterait l’enquête différemment si la tierce personne concernée n’avait pas été mentionnée ou identifiée dans le dossier d’enquête.

Les données pertinentes pourraient, par exemple, être celles relatives à l’expérience professionnelle antérieure du fonctionnaire de l’Union qui est membre d’un jury présumé en situation de conflit d’intérêts. Les données non pertinentes pourraient, par exemple, être celles relatives à l’état matrimonial de ce fonctionnaire de l’UE. D'autres données non pertinentes susceptibles d'être collectées au cours de l'enquête du Médiateur de manière purement accessoire sont, par exemple, les noms d'autres fonctionnaires de l'UE mentionnés dans les décisions de l'institution concernée et les documents recueillis au cours de l'enquête du Médiateur.

La décision quant à la pertinence de ces données et l'analyse sous-jacente seront exposées dans le résumé qui est enregistré dans le dossier correspondant du système de gestion des dossiers (CMS) du Médiateur.

Données non pertinentes

Dans les cas où les données ne sont pas pertinentes pour l’objet de l’enquête, le Médiateur estime que la fourniture d’informations individuelles au tiers n’est pas requise car i) étant donné que les données ne sont pas pertinentes, la finalité pour laquelle le Médiateur traite ces données à caractère personnel (traitement de la plainte/de l’enquête) n’exige pas l’identification des personnes concernées par le tiers par le Médiateur [17]; et ii) l’information individuelle de ces personnes concernées tierces, même si possible, entraînerait une multiplication inutile des données à caractère personnel et impliquerait des efforts disproportionnés compte tenu du fait que la Médiatrice n’utilise pas les données en question dans le cadre de son enquête [18]. Les données manifestement dénuées de pertinence figurant dans le texte de la plainte ne seront pas traitées ultérieurement par le Médiateur [19].

La note d'information publiée sur le site web du Médiateur, la présente politique et la déclaration sont jugées suffisantes pour fournir toutes les informations pertinentes aux personnes dont le Médiateur peut traiter les données à caractère personnel [20] et pour leur permettre de demander l'accès, la rectification, l'effacement et la limitation du traitement de leurs données à caractère personnel si elles le souhaitent [21].

Données pertinentes

Si les données sont pertinentes, le Médiateur envisage de fournir les informations visées au point 2 ci-dessus à la personne concernée.

Toutefois, si l’évaluation de la plainte permet de conclure que la personne concernée tierce dispose déjà des informations (lorsque, par exemple, le fonctionnaire de l’Union prétendument en situation de conflit d’intérêts dispose d’une copie complète de la plainte et des pièces justificatives)[22], ou que la fourniture des informations est impossible ou implique des efforts disproportionnés (lorsque, par exemple, la personne en question a, entre-temps, quitté le service et ne peut être retracée)[23], le Médiateur enregistre l’évaluation détaillée conduisant à cette conclusion dans le résumé de l’affaire dans le CMS et la note publiée sur le site web du Médiateur, ainsi que la présente politique et la présente déclaration, sont jugées suffisantes pour fournir les informations nécessaires aux personnes dont le Médiateur peut traiter les données à caractère personnel [24] et pour leur permettre de demander l’accès, la rectification, l’effacement et la limitation du traitement de leurs données à caractère personnel si elles le souhaitent [25].

Dans les cas où la personne concernée tierce ne dispose pas des informations et où l’informer est possible et n’implique pas un effort disproportionné, le Médiateur examine si l’information de la personne concernée tierce est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs de ce traitement, à savoir enquêter de manière appropriée sur un éventuel cas de mauvaise administration dans les activités des institutions, organes ou organismes de l’Union, à la suite de l’exercice d’un droit fondamental (plainte auprès du Médiateur) ou de sa propre initiative [26].

Tel serait le cas si, par exemple, la tierce personne concernée était en mesure d’influencer l’enquête: en cachant des éléments de preuve importants, par exemple, ou en exerçant des représailles contre le plaignant pour avoir exercé un droit fondamental (se plaindre au Médiateur), ce qui a une incidence sur l’enquête (le plaignant n’étant plus disposé à contribuer à l’enquête, par exemple).

Si, à la suite de l’analyse ci-dessus, le Médiateur conclut que la fourniture d’informations à la tierce personne concernée est susceptible de rendre impossible ou de compromettre gravement l’enquête et la capacité du Médiateur à prendre une décision sur les allégations de mauvaise administration, l’évaluation et les conclusions qui en découlent seront consignées dans le dossier de l’affaire dans le CMS. La note publiée sur le site web du Médiateur, ainsi que la présente politique et la présente déclaration, sont jugées suffisantes pour fournir les informations nécessaires aux personnes dont le Médiateur peut traiter les données à caractère personnel dans de tels cas exceptionnels [27] et pour leur permettre de demander l’accès, la rectification, l’effacement et la limitation du traitement de leurs données à caractère personnel si elles le souhaitent [28].

Si, au contraire, le Médiateur conclut que la fourniture d’informations à la personne concernée tierce n’est pas susceptible de rendre impossible ou de compromettre gravement l’enquête et la capacité du Médiateur à prendre une décision sur les allégations de mauvaise administration, il fournit à la personne concernée tierce les informations visées au point 2 ci-dessus dès que l’examen de la plainte est achevé et que l’institution en est informée [29].

4. Contributions en réponse aux consultations publiques de l'Ombudsman

Les principes énoncés dans la présente politique s'appliquent également à toutes les données à caractère personnel reçues dans le cadre des consultations publiques du Médiateur.

 

Emily O'Reilly

Strasbourg, le 16 juillet 2019

 

[1] Article 3, paragraphe 1, du règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (JO 2018, L 295, p. 39): «données à caractère personnel»: toute information relative à une personne physique identifiée ou identifiable («personne concernée»); une personne physique identifiable est une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne ou à un ou plusieurs facteurs spécifiques à l’identité physique, physiologique, génétique, mentale, économique, culturelle ou sociale de cette personne physique ».

[2] Pour une analyse détaillée de la notion de données à caractère personnel, veuillez consulter l'avis 4/2007 du groupe "Article 29" sur la protection des données, disponible à l'adresse suivante: http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2007/wp136_en.pdf

[3] https://secure.edps.europa.eu/EDPSWEB/

[4] Article 16, paragraphes 1 et 2, du règlement 2018/1725.

[5] Article 3, paragraphe 8, du règlement 2018/1725: «“responsable du traitement”», l’institution ou l’organe de l’Union, la direction générale ou toute autre entité organisationnelle qui, seule ou conjointement avec d’autres, détermine les finalités et les moyens du traitement des données à caractère personnel; lorsque les finalités et les moyens de ce traitement sont déterminés par un acte spécifique de l’Union, le responsable du traitement ou les critères spécifiques de sa désignation peuvent être prévus par le droit de l’Union».

[6] Article 5 du règlement 2018/1725.

[7] Décision du Parlement européen du 9 mars 1994 concernant le statut et les conditions générales d'exercice des fonctions du Médiateur (94/262/CECA, CE, Euratom), JO 1994, L 113, p. 15, et modifiée par ses décisions du 14 mars 2002, JO 2002, L 92, p. 13, et du 18 juin 2008, JO 2008, L 189, p. 25.

[8] Article 3, point 13, du règlement 2018/1725: ""destinataire", une personne physique ou morale, une autorité publique, un organisme ou un autre organisme auquel les données à caractère personnel sont communiquées, qu'il s'agisse ou non d'un tiers. Toutefois, les autorités publiques qui peuvent recevoir des données à caractère personnel dans le cadre d’une enquête particulière conformément au droit de l’Union ou au droit d’un État membre ne sont pas considérées comme des destinataires; le traitement de ces données par ces autorités publiques est conforme aux règles applicables en matière de protection des données en fonction des finalités du traitement».

[9] Articles 17 à 20 et article 23 du règlement (UE) 2018/1725.

[10] Article 12, paragraphe 1, du règlement 2018/1725: « Si les finalités pour lesquelles un responsable du traitement traite des données à caractère personnel ne nécessitent pas ou plus l’identification d’une personne concernée par le responsable du traitement, le responsable du traitement n’est pas tenu de conserver, d’acquérir ou de traiter des informations supplémentaires afin d’identifier la personne concernée dans le seul but de se conformer au présent règlement ».

[11] Article 16, paragraphe 5, point b), du règlement (UE) 2018/1725: « Les paragraphes 1 à 4 ne s’appliquent pas lorsque et dans la mesure où : [...] la fourniture de ces informations s’avère impossible ou impliquerait un effort disproportionné [...] »

[12] Article 16, paragraphe 6, du règlement 2018/1725: «Dans les cas visés au paragraphe 5, point b), le responsable du traitement prend les mesures appropriées pour protéger les droits et libertés et les intérêts légitimes de la personne concernée, y compris la mise à la disposition du public des informations».

[13] Article 12, paragraphe 2, du règlement 2018/1725: «Lorsque, dans les cas visés au paragraphe 1 du présent article, le responsable du traitement est en mesure de démontrer qu’il n’est pas en mesure d’identifier la personne concernée, il en informe la personne concernée, si possible. Dans ce cas, les articles 17 à 22 ne s’appliquent pas, sauf si la personne concernée, aux fins de l’exercice des droits qui lui sont conférés par ces articles, fournit des informations supplémentaires permettant son identification.» Tel pourrait être le cas, par exemple, lorsqu’une personne concernée tierce demande l’accès à ses données à caractère personnel traitées par le Médiateur et, après une recherche dans le système de gestion des dossiers (CMS) du Médiateur, le Médiateur l’informe que ses données n’ont pas pu être trouvées. Toutefois, si la personne concernée fournit ultérieurement des informations supplémentaires, telles que le numéro de la plainte ou le nom du plaignant, par exemple, cela peut alors permettre son identification dans les dossiers du Médiateur et permettre au Médiateur de prendre une décision sur la demande.

[14] Article 16, paragraphe 5, point b), du règlement 2018/1725.

[15] Article 16, paragraphe 6, du règlement 2018/1725.

[16] Article 12, paragraphe 2, du règlement 2018/1725. Voir note de bas de page 13 ci-dessus.

[17] Article 12, paragraphe 1, du règlement 2018/1725

[18] Article 16, paragraphe 5, sous b), du règlement 2018/1725.

[19] Il est possible que des données qui peuvent ne pas être considérées comme pertinentes pour l'objet d'une enquête à ses débuts puissent toutefois être utilisées aux fins de l'enquête et avoir une incidence sur son résultat.

[20] Article 16, paragraphe 6, du règlement 2018/1725.

[21] Article 12, paragraphe 2, du règlement 2018/1725. Voir note de bas de page 13 ci-dessus.

[22] Article 16, paragraphe 5, sous a), du règlement 2018/1725: «Les paragraphes 1 à 4 ne s’appliquent pas lorsque et dans la mesure où:  la personne concernée dispose déjà des informations...»

[23] Article 16, paragraphe 5, point b), du règlement 2018/1725: «Les paragraphes 1 à 4 ne s’appliquent pas lorsque et dans la mesure où : [...] la fourniture de ces informations s’avère impossible ou impliquerait un effort disproportionné [...]»

[24] Article 16, paragraphe 6, du règlement 2018/1725.

[25] Article 12, paragraphe 2, du règlement 2018/1725. Voir note de bas de page 13 ci-dessus.

[26] Article 16, paragraphe 5, sous b), du règlement 2018/1725: «Les paragraphes 1 à 4 ne s’appliquent pas lorsque et dans la mesure où: [...] l’obligation visée au paragraphe 1 du présent article est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs de ce traitement [...]»

[27] Article 16, paragraphe 6, du règlement 2018/1725.

[28] Article 12, paragraphe 2, du règlement 2018/1725. Voir note de bas de page 13 ci-dessus.

[29] Article 16, paragraphe 3, du règlement 2018/1725: «Le responsable du traitement fournit les informations visées aux paragraphes 1 et 2: [...] c) si une divulgation à un autre destinataire est envisagée, au plus tard lors de la première divulgation des données à caractère personnel.»