Opération de traitement: traitement des données des signataires recueillies dans le cadre des déclarations de soutien au moyen du système central de collecte en ligne de la Commission
Responsable du traitement des données: responsabilité conjointe entre, d’une part, la Commission européenne (responsable opérationnel du traitement des données, unité SG.A.1 «Priorités politiques et programme de travail») et, d’autre part, le représentant du groupe d’organisateurs de l’initiative ou, le cas échéant, l’entité juridique créée par ce groupe
Référence: DPR-EC-03486
1. Introduction
L’initiative citoyenne européenne (ci-après l’«ICE») est un instrument de démocratie participative qui permet aux citoyens de proposer des changements juridiques concrets dans tous les domaines dans lesquels la Commission européenne (ci-après la «Commission») est habilitée à présenter des propositions législatives. Le cadre juridique applicable à cet instrument est défini dans le règlement (UE) 2019/788 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’initiative citoyenne européenne (ci-après le «règlement ICE»).
Afin de soutenir une initiative citoyenne, vous devez fournir une série de données à caractère personnel dans le cadre d’une déclaration de soutien associée à cette initiative. Le groupe d’organisateurs d’une ICE doit recueillir au moins un million de déclarations de soutien de la part de citoyens de l’Union et atteindre des seuils spécifiques dans au moins sept pays, ainsi que faire valider et certifier ces déclarations de soutien par les États membres afin de soumettre une initiative valide à la Commission.
La présente déclaration relative à la protection de la vie privée concerne le traitement de vos données à caractère personnel recueillies dans le cadre d’une déclaration de soutien relative à une initiative citoyenne européenne par l’intermédiaire du système central de collecte en ligne mis en place et exploité par la Commission.
Les opérations de traitement de vos données sont menées sous la responsabilité conjointe, d’une part, de la Commission, et d’autre part, du représentant du groupe d’organisateurs de l’initiative concernée ou, le cas échéant, de l’entité juridique créée par ce groupe (ci-après les «organisateurs de l’initiative»). Par ailleurs, si vos données inscrites dans une déclaration de soutien ont été soumises aux fins de vérification et certification aux autorités compétentes de l’État membre responsable, ces autorités deviennent responsables du traitement des données à l’égard du traitement qu’elles effectuent.
Les responsabilités et les missions respectives de la Commission et des organisateurs sont énoncées en toute transparence dans un accord de coresponsabilité. Les éléments essentiels de cet accord sont publiés à l’adresse suivante: https://citizens-initiative.europa.eu/how-it-works/data-protection_en
La Commission s’engage à protéger vos données à caractère personnel et à respecter votre vie privée. Elle recueille et traite des données à caractère personnel conformément au règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données. De même, les organisateurs de l’initiative et les autorités des États membres sont soumis aux règles en matière de traitement des données à caractère personnel énoncées dans le règlement général sur la protection des données (ci-après le «RGPD»).
La présente déclaration relative à la protection de la vie privée explique les raisons du traitement de vos données à caractère personnel, la façon dont toutes les données à caractère personnel fournies sont recueillies, gérées et protégées, l'usage qui en est fait et les droits que vous pouvez exercer les concernant. Elle indique également les coordonnées des responsables du traitement des données auprès desquels vous pouvez exercer vos droits, du ou des délégués à la protection des données et du Contrôleur européen de la protection des données.
La présente déclaration relative à la protection de la vie privée prend comme référence et complète le texte relatif à la déclaration relative à la protection de la vie privée figurant à l’annexe III du règlement ICE, dont elle fait partie intégrante (voir le point 10 ci-dessous).
N.B.: la présente déclaration relative à la protection de la vie privée ne couvre pas le traitement de vos données à caractère personnel fournies dans une déclaration de soutien sur papier. La collecte et le traitement ultérieur de vos données (jusqu’à leur transfert aux États membres aux fins de vérification) sont effectués, dans ce cas, sous la responsabilité exclusive du représentant du groupe d’organisateurs. Ce responsable du traitement des données est chargé de vous fournir, au moment de la collecte de vos données, la déclaration relative à la protection de la vie privée correspondante, qui inclut au moins les éléments essentiels du modèle figurant à l’annexe III du règlement ICE. Si le transfert ultérieur des déclarations de soutien ainsi recueillies aux États membres aux fins de vérification est effectué par la Commission au moyen de son service d’échange de fichiers dans le cadre d’une responsabilité conjointe en matière de données avec le représentant, la Commission n’aura pas accès à vos données et ne sera pas en mesure de vous fournir une autre déclaration relative à la protection de la vie privée. La présente déclaration relative à la protection de la vie privée n’apporte que des informations utiles relatives aux délais de conservation des données applicables dans ce cas.
2. Pourquoi et comment traitons-nous vos données à caractère personnel?
L’objectif général du traitement de vos données auquel il est fait référence dans la présente déclaration relative à la protection de la vie privée est de mettre en œuvre le règlement (UE) 2019/788 relatif à l’initiative citoyenne européenne et de permettre ainsi aux citoyens de l’Union d’exercer le droit, conféré par l’article 11, paragraphe 4, du traité sur l’Union européenne, de s’adresser directement à la Commission pour lui présenter une demande l’invitant à soumettre une proposition d’acte juridique de l’Union aux fins de l’application des traités.
Vos données pourraient faire l’objet des principales opérations de traitement suivantes:
- la collecte de votre déclaration de soutien par l’intermédiaire du formulaire en ligne ou de la carte d’identité électronique, et sa conservation ultérieure dans le système central de collecte en ligne,
- la soumission de votre déclaration de soutien aux États membres aux fins de vérification,
- la vérification et la certification de votre déclaration de soutien par l’État membre de votre nationalité (cette opération de traitement est menée sous la responsabilité de l’autorité de l’État membre compétent).
Il convient donc de distinguer les objectifs plus spécifiques suivants:
- offrir la possibilité de soutenir les initiatives citoyennes européennes en ligne,
- veiller au transfert sécurisé de votre déclaration de soutien à l’État membre compétent aux fins de vérification,
- permettre aux autorités de cet État membre (les responsables de cette opération du traitement des données) de vérifier votre déclaration de soutien, afin que la Commission puisse confirmer ultérieurement la validité d’une initiative citoyenne européenne que vous avez soutenue, lorsqu’elle est soumise pour examen.
En outre, vos données peuvent être traitées dans le contexte d’opérations de soutien, telles que le traitement des demandes des personnes concernées, la vérification de la qualité technique par échantillonnage, les opérations nécessaires à la maintenance du système informatique et toute opération de ce type qui peut être prescrite par la loi.
Les données à caractère personnel traitées peuvent être réutilisées aux fins de procédures devant les juridictions de l’UE, les juridictions nationales, le Médiateur européen ou la Cour des comptes européenne.
Vos données à caractère personnel ne seront pas utilisées pour une prise de décision automatisée, y compris un profilage.
3. Sur quelle(s) base(s) juridique(s) traitons-nous vos données à caractère personnel?
Nous traitons vos données fournies dans le cadre d’une déclaration de soutien afin de vous permettre d’exprimer votre soutien pour une initiative citoyenne européenne. Le traitement de vos données permet de faire avancer la cause d’une initiative concrète, afin que les questions qui y sont soulevées soient, à terme, portées à l’attention des institutions de l’Union. Si l’initiative citoyenne européenne renforce ainsi le fonctionnement démocratique de l’Union, le traitement sert l’intérêt public conformément à l’article 5, paragraphe 1, point a), du règlement (UE) 2018/1725 [et à l’article 6, paragraphe 1, point e), du RGPD].
Par ailleurs, pour la Commission, le règlement ICE prévoit dans l’article 10 l’obligation légale de mettre en place et d’exploiter le système central de collecte en ligne afin de permettre la collecte en ligne de déclarations de soutien, et dans l’article 12, paragraphe 3, l’obligation de soumettre aux États membres aux fins de vérification les déclarations de soutien recueillies au moyen du système central de collecte en ligne, si le nombre requis de déclarations de soutien a été atteint (voir également l’article 12, paragraphe 2). La Commission remplit une obligation légale en permettant d’effectuer le traitement au moyen du système central de collecte en ligne (y compris le transfert) et, par conséquent, le traitement est également licite sur la base de l’article 5, paragraphe 1, point b), du règlement (UE) 2018/1725 [et de l’article 6, paragraphe 1, point c), du RGPD].
Les données que vous fournissez dans le cadre d’une déclaration de soutien ne sont pas considérées, en tant que telles, comme des données sensibles pour lesquelles le traitement est en principe interdit par l’article 10, paragraphe 1, du règlement (UE) 2018/1725 (et par l’article 9, paragraphe 1, du RGPD). Toutefois, l’interconnexion entre vos données et l’initiative soutenue peut révéler des informations à propos de votre santé, vos convictions et croyances politiques, philosophiques ou religieuses, vos affiliations politiques, votre vie sexuelle ou votre orientation sexuelle, votre origine raciale ou ethnique, ou même votre appartenance syndicale, selon l’objet de chaque initiative. Par conséquent, vos données peuvent revêtir un caractère sensible du fait de la sensibilité du sujet de l’initiative concernée.
Conformément à l’article 10, paragraphe 2, point g), du règlement (UE) 2018/1725 [et à l’article 9, paragraphe 2, point g), du RGPD], même si vos données peuvent être considérées comme appartenant à une catégorie particulière de données, leur traitement reste autorisé pour la raison suivante: «le traitement est nécessaire pour des motifs d’intérêt public important, sur la base du droit de l’Union [...] qui doit être proportionné à l’objectif poursuivi, respecter l’essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée».
À cet égard, le considérant 12 du règlement ICE précise ce qui suit: «S’il est vrai que les données à caractère personnel traitées conformément au présent règlement peuvent inclure des données sensibles, eu égard à la nature de l’initiative citoyenne européenne en tant qu’instrument de démocratie participative, il est justifié de demander la communication de données à caractère personnel aux fins de soutenir une initiative et de traiter ces données dans la mesure nécessaire pour permettre la vérification des déclarations de soutien conformément au droit et aux pratiques nationales.»
4. Quelles sont les données à caractère personnel que nous recueillons et traitons?
Afin d’enregistrer votre soutien pour une initiative citoyenne, nous recueillons différentes séries de données possibles qui dépendent du mode de soutien que vous avez choisi et de votre nationalité.
Si vous remplissez le formulaire de déclaration de soutien en ligne, un des deux ensembles de données possibles est recueilli comme le prévoit l’annexe III du règlement ICE:
Ensemble A:
- nationalité,
- prénoms complets,
- noms de famille,
- lieu de résidence (rue, numéro, code postal, localité et pays),
- date de naissance.
Ensemble B:
- nationalité,
- prénoms complets,
- noms de famille,
- numéro d’identification personnel/numéro d’un document d’identification personnel,
- type de numéro ou de document d’identification personnel.
Conformément à l’article 9, paragraphe 4, du règlement ICE, les États membres peuvent choisir s’ils souhaitent utiliser l'ensemble de données A ou B. Le 1er janvier 2020 (date d’entrée en vigueur du règlement ICE), 9 États membres (DE, DK, EL, FI, FR, IE, LU, NL et SK) ont choisi l'ensemble A, tandis que 18 États membres (AT, BE, BG, CY, CZ, ET, ES, HR, HU, IT, MT, LT, LV, PL, PT, RO, SE et SI) ont opté pour l'ensemble B.
Les États membres peuvent modifier ce choix ultérieurement, sans qu’il en soit tenu compte dans la présente déclaration relative à la protection de la vie privée.
Si vous soutenez une ICE à l’aide de votre carte d’identité électronique, vos données personnelles sont importées du système national de carte d’identité électronique après votre authentification. Les données concernées sont déterminées au titre du règlement sur l’identification électronique [règlement (UE) nº 910/2014], comme suit:
- nom(s) de famille actuel(s),
- prénom(s) actuel(s),
- date de naissance,
- identifiant unique.
En outre, les données sur la nationalité sont recueillies, dans ce cas, en fonction du système national de carte d’identité électronique dans le cadre duquel vous choisissez de vous authentifier.
De plus, afin de permettre un traitement efficace, nous recueillons certaines (méta)données relatives à la transmission/soumission électronique de la déclaration de soutien, dont votre adresse IP, vos données de connexion, ainsi que la date et l’heure de saisie électronique du formulaire dans le système central de collecte en ligne. Ces (méta)données sont conservées pendant une période maximale de six mois. En outre, un identifiant unique de déclaration de soutien est généré automatiquement pour chaque déclaration soumise. Cet identifiant est détruit à la fin de la période de collecte. Si la personne concernée a également fourni une adresse électronique, l’identifiant est détruit à la fin de la période de conservation de l’adresse électronique.
5. Combien de temps conservons-nous vos données à caractère personnel?
La période de conservation standard est de 21 mois à compter du début de la période de collecte.
Cette période est raccourcie dans les cas suivants:
- elle expire un mois après la présentation de l’initiative à la Commission conformément à l’article 13 du règlement ICE;
- si l’initiative est retirée après le début de la période de collecte, elle expire un mois après le retrait prévu par l’article 7 du règlement ICE.
Le délai de conservation standard est prolongé si des procédures judiciaires ou administratives concernant l’initiative en question le requièrent. Dans ce cas, les données sont détruites au plus tard un mois après la conclusion de ces procédures par une décision finale.
Dans le contexte de la pandémie de COVID-19, les durées standard de conservation des données établies à l’article 19, paragraphe 5, du règlement ICE ont été prolongées pour les initiatives dont la période de collecte des données est prolongée sur la base du règlement (UE) 2020/1042, la période maximale de prolongation étant de 12 mois.
Les durées de conservation des données décrites ci-dessus s’appliquent également:
- à la conservation, dans le service d’échange de fichiers de la Commission, des déclarations de soutien recueillies sur papier, qui sont chargées dans ledit service d’échange par les organisateurs de l’ICE en vue de leur transfert aux États membres aux fins de vérification;
- aux États membres s’ils vérifient les déclarations de soutien recueillies.
6. Comment protégeons-nous vos données à caractère personnel?
Toutes les données à caractère personnel sont conservées sous forme électronique sur les serveurs de la Commission. Toutes les opérations de traitement sont exécutées conformément à la décision (UE, Euratom) 2017/46 de la Commission du 10 janvier 2017 sur la sécurité des systèmes d’information et de communication au sein de la Commission européenne.
La Commission a pris un certain nombre de mesures techniques et organisationnelles pour protéger vos données à caractère personnel. Les mesures techniques comprennent des actions appropriées visant à assurer la sécurité en ligne et à atténuer les risques de perte de données, de modification des données ou d'accès non autorisé, en tenant compte du risque posé par le traitement et de la nature des données à caractère personnel traitées. Les mesures organisationnelles comprennent la limitation de l’accès aux données à caractère personnel aux seules personnes autorisées ayant un besoin légitime de les connaître aux fins de l'opération de traitement dont il est question ici.
7. Qui a accès à vos données à caractère personnel et à qui sont-elles communiquées?
Seuls les membres du personnel de la Commission, spécifiquement autorisés sur la base du principe du «besoin d’en connaître», ont accès à vos données lorsqu’elles sont conservées dans le système central de collecte en ligne. Ces personnes respectent les conventions réglementaires et, le cas échéant, des règles de confidentialité supplémentaires.
Si le nombre requis de déclarations de soutien a été atteint à l’égard de l’initiative concernée, la Commission (à la demande de l’organisateur) envoie ces déclarations aux autorités compétentes des États membres responsables aux fins de vérification et certification conformément à l’article 12, paragraphes 2 et 3, du règlement ICE.
8. Quels sont vos droits et comment les exercer?
Vous avez des droits spécifiques en qualité de «personne concernée» en vertu du chapitre III (articles 14 à 25) du règlement (UE) 2018/1725 (et du chapitre III du RGPD), en particulier le droit de consulter vos données à caractère personnel et de les rectifier si elles sont inexactes ou incomplètes. Dans certains cas, vous avez le droit d’effacer vos données à caractère personnel, de restreindre le traitement de vos données et de vous opposer à leur traitement.
En ce qui concerne le droit de vous opposer au traitement de vos données à caractère personnel, l’exercice de ce droit doit se fonder sur des motifs liés à votre situation particulière.
Vous pouvez exercer vos droits en prenant contact avec l’un des responsables conjoints du traitement des données ou (en particulier en cas de litige) avec le ou les délégués à la protection des données. Si nécessaire, vous pouvez également vous adresser au Contrôleur européen de la protection des données. Leurs coordonnées figurent au point 9 ci-dessous.
Si vous souhaitez exercer vos droits dans le cadre d’une ou de plusieurs opérations de traitement spécifiques, veuillez en indiquer la référence (telle que celle mentionnée au point 10 ci-dessous) dans votre demande.
Toute demande d’accès à des données à caractère personnel sera traitée dans un délai d’un mois à compter de la réception de la demande. Toute autre demande relevant des articles 18 à 25 du règlement (UE) 2018/1725 (et du chapitre III du RGPD) sera traitée dans les 15 jours ouvrables. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes.
9. Coordonnées
Responsables du traitement des données
Si vous souhaitez exercer vos droits en vertu du règlement (UE) 2018/1725 et du RGPD, si vous avez des observations, des questions ou des préoccupations, ou si vous souhaitez porter plainte concernant la collecte et l’utilisation de vos données à caractère personnel, veuillez prendre contact avec l’un des responsables conjoints du traitement des données.
- Pour ce qui est de la Commission, veuillez utiliser les coordonnées du responsable opérationnel du traitement des données ci-après:
Commission européenne
Secrétariat général
Direction A «Stratégie, Mieux légiférer et Corporate Governance»
Unité A.1 «Priorités politiques et programme de travail»
B – 1049 Bruxelles
Tél.: + 32 2 29 92165
Adresse électronique: SG-ECI-mailing@ec.europa.eu
- En ce qui concerne le représentant du groupe d’organisateurs, ou, le cas échéant, l’entité juridique créée par ledit groupe, leurs coordonnées figurent dans le registre ICE en ligne ainsi que dans le système central de collecte en ligne, sur les pages web spécifiquement consacrées à l’initiative concernée. Voir: https://citizens-initiative.europa.eu/find-initiative_en.
Si vos données inscrites dans une déclaration de soutien ont été soumises aux fins de vérification et certification aux autorités compétentes de l’État membre responsable, ces autorités deviennent responsables du traitement des données à l’égard du traitement qu’elles effectuent. Vous pouvez leur transmettre vos commentaires, questions ou demandes concernant le traitement de vos données en utilisant les coordonnées disponibles à l’adresse suivante: https://citizens-initiative.europa.eu/how-it-works/data-protection_en.
Délégués à la protection des données (DPD)
- Délégué à la protection des données (DPD) de la Commission
Vous pouvez prendre contact avec le délégué à la protection des données (DATA-PROTECTION-OFFICER@ec.europa.eu) pour des questions relatives au traitement de vos données à caractère personnel.
- Délégué à la protection des données (DPD) du groupe d’organisateurs (le cas échéant)
Si le groupe d’organisateurs a désigné un délégué à la protection des données, vous pouvez également prendre contact avec ce dernier à l’aide des coordonnées accessibles dans le registre ICE en ligne, ainsi que dans le système central de collecte en ligne, sur les pages web spécifiquement consacrées à l’initiative concernée. Voir: https://citizens-initiative.europa.eu/find-initiative_en.
Autorités de protection des données
- Contrôleur européen de la protection des données (CEPD)
Vous avez le droit de saisir le Contrôleur européen de la protection des données (edps@edps.europa.eu) si vous estimez que les droits dont vous jouissez en vertu du règlement (UE) 2018/1725 ont été enfreints à la suite du traitement de vos données à caractère personnel effectué par le responsable de ce traitement.
- Autorités nationales de protection des données
Vous avez également le droit de déposer une plainte auprès d’une autorité nationale de protection des données compétente, en particulier dans l’État membre dans lequel se trouve votre résidence habituelle, votre lieu de travail ou le lieu où la violation aurait été commise, si vous considérez que vos données ont été traitées illégalement. Les coordonnées des autorités nationales de protection des données sont disponibles à l’adresse suivante: https://citizens-initiative.europa.eu/how-it-works/data-protection_en.
10. Où trouver de plus amples informations?
Le règlement ICE établit dans son annexe III les éléments essentiels de la déclaration relative à la protection de la vie privée pour les déclarations de soutien recueillies en ligne par l’intermédiaire du système central de collecte en ligne, comme suit:
«Conformément au règlement (UE) 2018/1725 et au règlement (UE) 2016/679 (règlement général sur la protection des données), vos données à caractère personnel transmises par l’intermédiaire du présent formulaire ne seront utilisées qu’aux fins de soutien de l’initiative et communiquées qu’aux autorités nationales compétentes aux fins de vérification et de certification. Vous avez le droit de demander à la Commission européenne et au représentant du groupe d’organisateurs de cette initiative ou, le cas échéant, à l’entité juridique créée par celui-ci, l’accès à vos données à caractère personnel, la rectification ou l’effacement de ces données et la limitation de leur traitement. Vos données seront conservées par la Commission européenne pendant une période maximale d’un mois à compter de la présentation de l’initiative à la Commission européenne, ou vingt et un mois après le début de la période de collecte, la date la plus proche étant retenue. Elles peuvent être conservées au-delà de ces limites en cas de procédures judiciaires ou administratives, au maximum un mois après la date de clôture de ces procédures. Sans préjudice de tout autre recours administratif ou judiciaire, vous avez le droit de déposer une plainte à tout moment auprès d’une autorité de protection des données, en particulier dans l’État membre dans lequel se trouve votre résidence habituelle, votre lieu de travail ou le lieu où la violation aurait été commise, si vous considérez que vos données ont été traitées illégalement. La Commission européenne et le représentant du groupe d’organisateurs de l’initiative ou, le cas échéant, l’entité juridique créée par celui-ci sont les responsables conjoints du traitement au sens du règlement (UE) 2018/1725 et du règlement général sur la protection des données et peuvent être contactés à l’aide des coordonnées figurant dans le présent formulaire. Les coordonnées du délégué à la protection des données du groupe d’organisateurs, le cas échéant, sont disponibles à l’adresse internet de cette initiative dans le registre de la Commission européenne, comme indiqué au point 4 du présent formulaire. Les coordonnées du délégué à la protection des données de la Commission européenne, de l’autorité nationale compétente qui recevra et traitera les données à caractère personnel, du Contrôleur européen de la protection des données et des autorités nationales de protection des données peuvent être consultées sur: http://ec.citizens-initiative.europa.eu/public/data-protection»
Le délégué à la protection des données (DPD) de la Commission publie le registre de toutes les opérations de traitement de données à caractère personnel de la Commission qui ont été documentées et lui ont été notifiées. Ce registre se trouve à l’adresse suivante: http://ec.europa.eu/dpo-register.
L'opération de traitement spécifique dont il est question dans la présente déclaration a été consignée dans le registre public du DPD sous la référence suivante: DPR-EC-03486.
