Information sharing system

Le présent règlement définit les modalités pratiques et opérationnelles de création, de maintenance et de fonctionnement d’AGORA aux fins des activités de surveillance, d’enquête, d’exécution et de contrôle menées au titre du règlement (UE) 2022/2065, qui peuvent couvrir, entre autres, l’échange bilatéral d’informations, les procédures de notification, les mécanismes d’alerte, les accords d’assistance mutuelle et la résolution de problèmes entre les coordinateurs pour les services numériques, la Commission, le comité et d’autres autorités compétentes auxquelles l’accès à AGORA a été accordé en vertu du règlement (UE) 2022/2065 (ci-après les «acteurs d’AGORA»).

Compte tenu de la dimension transfrontière et transsectorielle des services intermédiaires, une coordination et une coopération à haut niveau entre les divers acteurs concernés sont nécessaires pour garantir la cohérence des activités de surveillance, d’enquête, d’exécution et de contrôle menées au titre du règlement (UE) 2022/2065, ainsi que la disponibilité des informations pertinentes via AGORA à cette fin.

Afin de surmonter les barrières linguistiques, il conviendrait de mettre AGORA à disposition dans toutes les langues officielles de l’Union. À cette fin, AGORA devrait proposer, pour la traduction des documents et messages échangés par son intermédiaire, les outils de traduction entièrement automatisés dont dispose actuellement la Commission. La Commission devrait fournir ces outils aux personnes physiques travaillant sous l’autorité des coordinateurs pour les services numériques, de la Commission, du comité ou d’autres autorités compétentes auxquelles l’accès à AGORA a été accordé (ci-après les «utilisateurs d’AGORA») et aux utilisateurs d’AGORA désignés en tant qu’administrateurs par les coordinateurs pour les services numériques, la Commission et le comité (ci-après les «administrateurs d’AGORA»). Les outils de traduction automatique devraient être compatibles avec les exigences de sécurité et de confidentialité applicables à l’échange d’informations dans AGORA.

Afin d’exécuter leurs tâches au titre du règlement (UE) 2022/2065, les coordinateurs pour les services numériques, la Commission et le comité peuvent avoir besoin d’échanger des informations susceptibles d’inclure des données à caractère personnel. Tout échange d’informations de ce type devrait être conforme aux règles relatives à la protection des données à caractère personnel énoncées dans les règlements (UE) 2016/679(²) et (UE) 2018/1725(³) du Parlement européen et du Conseil. En conséquence, l’échange de données à caractère personnel nécessaire pour remplir les obligations et exécuter les tâches prévues par le règlement (UE) 2022/2065 relève du traitement licite des données au titre de l’article 5, point a), du règlement (UE) 2018/1725 et de l’article 6, paragraphe 1, point e), du règlement (UE) 2016/679.

AGORA devrait être l’outil utilisé pour l’échange d’informations, y compris, le cas échéant, de données à caractère personnel, qui s’effectuerait sinon par d’autres moyens, y compris le courrier ordinaire ou le courrier électronique sur la base d’une obligation légale imposée aux coordinateurs pour les services numériques, à la Commission, au comité et aux autres autorités compétentes auxquelles l’accès à AGORA a été accordé en vertu du règlement (UE) 2022/2065. Les données à caractère personnel échangées via AGORA ne devraient être traitées qu’aux fins des activités de surveillance, d’enquête, d’exécution et de contrôle menées au titre du règlement (UE) 2022/2065. Lorsque des données à caractère personnel sont traitées dans le cadre du fonctionnement d’AGORA aux fins de partages d’informations, de demandes d’informations et d’accès à des informations, aux fins de répondre à des demandes de renseignements et aux fins de saisines, de demandes d’action et de demandes de soutien, les coordinateurs pour les services numériques devraient être des responsables du traitement distincts au sens du règlement (UE) 2016/679 pour les activités de traitement qu’ils accomplissent.

Chaque coordinateur pour les services numériques peut également décider d’utiliser AGORA pour les activités de traitement de dossiers qu’il mène lui-même aux fins de la surveillance, des enquêtes, de l’exécution et du contrôle effectués au titre du règlement (UE) 2022/2065. Lorsque des données à caractère personnel ne sont pas admissibles à être échangées dans AGORA aux fins de partages d’informations, de demandes d’informations et d’accès à des informations, aux fins de répondre à des demandes de renseignements et aux fins de saisines, de demandes d’action et de demandes de soutien, chaque coordinateur pour les services numériques et, le cas échéant, les autres autorités compétentes auxquelles l’accès à AGORA a été accordé devraient être seuls responsables du traitement au sens du règlement (UE) 2016/679 et du règlement (UE) 2018/1725 en ce qui concerne les activités de traitement des données effectuées au moyen d’AGORA.

La transmission, la conservation et les autres opérations de traitement de données à caractère personnel de personnes physiques devraient s’effectuer dans AGORA pour faciliter les communications entre les acteurs d’AGORA aux fins des activités de traitement de dossiers que ceux-ci mènent dans le cadre de la surveillance, des enquêtes, de l’exécution et du contrôle effectués au titre du règlement (UE) 2022/2065.

AGORA devrait traiter les données à caractère personnel dans la mesure strictement nécessaire aux activités de surveillance, d’enquête, d’exécution et de contrôle menées au titre du règlement (UE) 2022/2065. AGORA devrait traiter les données à caractère personnel, telles que les données d’identification (par exemple, nom, surnom, pseudonyme, date de naissance, lieu de naissance, nationalité, documents d’identification et, le cas échéant, d’autres caractéristiques susceptibles de contribuer à l’identification), les coordonnées (par exemple, adresse professionnelle et privée, adresse électronique et numéro de téléphone), les données relatives au rôle joué dans un dossier (par exemple, le poste et la fonction de la personne physique dans une entreprise, ou d’autres rôles comme celui de suspect, victime, lanceur d’alerte, informateur et témoin), les données relatives au dossier (par exemple, document, image, vidéo, enregistrement vocal, déclaration, avis et procès-verbal) et toute autre information jugée nécessaire pour satisfaire aux exigences du règlement (UE) 2022/2065.

Conformément aux principes de protection des données dès la conception et par défaut, AGORA devrait être développé et conçu dans le respect des exigences de la législation en matière de protection des données, notamment en raison des restrictions imposées à l’accès aux données à caractère personnel échangées dans AGORA. Par conséquent, AGORA devrait offrir un niveau de protection et de sécurité nettement supérieur à celui des autres méthodes d’échange d’informations, comme le téléphone, le courrier ordinaire, ou le courrier électronique.

La Commission devrait fournir et gérer les logiciels et l’infrastructure informatique d’AGORA, en assurer la fiabilité, la sécurité, la disponibilité, la maintenance et le fonctionnement, et participer à la formation et à l’assistance technique des administrateurs d’AGORA et des utilisateurs d’AGORA.

La compétence des États membres pour décider quelles autorités nationales remplissent les obligations découlant du présent règlement devrait être exercée conformément à l’article 49 et à l’article 62 du règlement (UE) 2022/2065. Les États membres devraient être en mesure d’adapter les fonctions et responsabilités liées à AGORA en fonction de leurs structures administratives internes, et de mettre en œuvre dans AGORA un type spécifique de travail ou d’y décider de l’ordre des étapes d’un processus de travail donné.

Chaque coordinateur pour les services numériques devrait désigner et notifier à la Commission au moins un administrateur d’AGORA dans son État membre pour les questions relatives à AGORA. Il convient que chaque coordinateur pour les services numériques soit également responsable de la désignation des administrateurs d’AGORA de ses autorités compétentes respectives auxquelles l’accès à AGORA a été accordé en vertu du règlement (UE) 2022/2065. Chaque administrateur d’AGORA devrait enregistrer, accorder et retirer l’accès à AGORA à ses propres utilisateurs d’AGORA. Afin de parvenir à une coopération efficace en matière d’activités de surveillance, d’enquête, d’exécution et de contrôle concernant les services qui relèvent du champ d’application du règlement (UE) 2022/2065 par l’intermédiaire d’AGORA, les États membres devraient veiller à ce que leurs administrateurs d’AGORA et leurs utilisateurs d’AGORA respectifs disposent des ressources nécessaires pour remplir leurs obligations conformément à l’article 50, paragraphe 1, du règlement (UE) 2022/2065.

Les informations que reçoivent un coordinateur pour les services numériques, la Commission, le comité ou une autre autorité compétente à laquelle l’accès à AGORA a été accordé, via AGORA et provenant d’un autre coordinateur pour les services numériques, de la Commission, du comité ou d’une autre autorité compétente du même type, ne devraient pas être privées de leur valeur en tant qu’éléments de preuve dans le cadre de procédures pénales, civiles ou administratives conformément au droit de l’Union et au droit national applicables au seul motif qu’elles proviennent d’un autre État membre, ou ont été reçues par voie électronique, et elles devraient être traitées par l’acteur d’AGORA concerné de la même manière que des documents similaires provenant de son État membre.

Il devrait être possible de traiter le nom et les coordonnées des administrateurs d’AGORA et des utilisateurs d’AGORA au regard des objectifs du règlement (UE) 2022/2065 et du présent règlement, y compris pour ce qui est du contrôle de l’utilisation d’AGORA par les administrateurs d’AGORA et les utilisateurs d’AGORA, des initiatives de communication, de formation et de sensibilisation, et de la collecte d’informations dans le cadre des activités de surveillance, d’enquête, d’exécution et de contrôle concernant les services qui relèvent du champ d’application du règlement (UE) 2022/2065, ou de l’assistance mutuelle en la matière.

Afin d’assurer le suivi efficace du fonctionnement d’AGORA et l’établissement de rapports à ce sujet, les coordinateurs pour les services numériques, le comité et les autres autorités compétentes auxquelles l’accès à AGORA a été accordé devraient mettre les informations pertinentes à la disposition de la Commission.

Les personnes concernées devraient être informées du traitement de leurs données à caractère personnel dans AGORA et des droits dont elles jouissent, tels que le droit d’accéder aux données les concernant ainsi que le droit d’obtenir la rectification des données inexactes et l’effacement des données traitées illégalement, conformément au règlement (UE) 2016/679 et au règlement (UE) 2018/1725.

Chaque acteur d’AGORA, en tant que responsable du traitement pour ce qui est des activités de traitement des données qu’il effectue dans le cadre de la surveillance, des enquêtes, de l’exécution et du contrôle concernant les services qui relèvent du champ d’application du règlement (UE) 2022/2065, devrait veiller à ce que les personnes concernées puissent exercer leurs droits conformément au règlement (UE) 2016/679 et au règlement (UE) 2018/1725. Il convient, notamment, de mettre en place une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement.

La mise en œuvre du présent règlement et les performances d’AGORA devraient faire l’objet d’un suivi dans le rapport sur le fonctionnement d’AGORA, établi sur la base des données statistiques d’AGORA et de toute autre donnée pertinente. La Commission devrait soumettre ce rapport au Parlement européen, au Conseil et au Contrôleur européen de la protection des données Il convient que les performances des coordinateurs pour les services numériques, du comité et des autres autorités compétentes auxquelles l’accès à AGORA a été accordé soient évaluées, entre autres, sur la base des délais de réponse moyens, dans le but de garantir des réponses efficaces et adéquates. Ce rapport devrait également aborder les aspects liés à la protection des données à caractère personnel dans AGORA, y compris la sécurité des données.

Le Contrôleur européen de la protection des données a été consulté conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 et a rendu un avis le 4 janvier 2024,