Annexe I

Responsabilités des coordinateurs pour les services numériques en tant que responsables conjoints du traitement pour les activités de traitement des données menées dans le cadre d’agora pour les enquêtes conjointes et pour les activités du comité

1. SECTION 1

   1. Sous-section 1 Champ d’application de l’accord de responsabilité conjointe

      1. L’accord de responsabilité conjointe ci-après s’applique aux coordinateurs pour les services numériques concernés lorsqu’ils mènent des enquêtes conjointes en application de l’article 60 du règlement (UE) 2022/2065.

      2. L’accord de responsabilité conjointe ci-après s’applique aux coordinateurs pour les services numériques en leur qualité de membres du comité, pour les activités de traitement des données à caractère personnel réalisées par le comité, en application du règlement (UE) 2022/2065, dans le cadre de la surveillance, des enquêtes, de l’exécution et du contrôle concernant les services qui relèvent du champ d’application dudit règlement.

   2. Sous-section 2 Attribution des responsabilités

      1. Les responsables conjoints du traitement traitent les données à caractère personnel au moyen du système AGORA.

      2. Les coordinateurs pour les services numériques demeurent les seuls responsables du traitement en ce qui concerne la collecte, l’utilisation, la divulgation et tout autre traitement de données à caractère personnel réalisés en dehors d’AGORA. Les coordinateurs pour les services numériques demeurent également les seuls responsables du traitement en ce qui concerne les activités de traitement de données à caractère personnel qu’ils mènent au sein d’AGORA aux fins de la surveillance, des enquêtes, de l’exécution et du contrôle concernant les services qui relèvent du champ d’application du règlement (UE) 2022/2065.

      3. Chaque responsable conjoint du traitement est responsable de la conformité du traitement des données à caractère personnel effectué dans AGORA avec les articles 5, 24 et 26 du règlement (UE) 2016/679.

      4. Chaque responsable du traitement met en place un point de contact doté d’une boîte aux lettres fonctionnelle qui servira à la communication entre les responsables conjoints du traitement, ainsi qu’entre ces derniers et le sous-traitant.

      5. Chaque responsable conjoint du traitement apporte, sur demande, une assistance rapide et efficace aux autres responsables conjoints du traitement dans l’exécution du présent accord, en respectant toutes les exigences applicables du règlement (UE) 2016/679 et les autres règles applicables en matière de protection des données, notamment les obligations à l’égard de sa propre autorité de contrôle.

      6. Les responsables conjoints du traitement définissent les modalités de travail selon lesquelles le traitement des données à caractère personnel au moyen d’AGORA aura lieu et ils fournissent des instructions établies d’un commun accord à la Commission en sa qualité de sous-traitant.

      7. Les instructions à l’intention du sous-traitant sont envoyées par l’un des points de contact des responsables conjoints du traitement, en accord avec les autres responsables conjoints du traitement. Le responsable conjoint du traitement qui transmet les instructions les communique par écrit au sous-traitant et en informe tous les autres responsables conjoints du traitement. Si la question en cause est urgente au point de ne pas permettre la tenue d’une réunion des responsables conjoints du traitement, une instruction peut néanmoins être fournie, mais peut être annulée par les responsables conjoints du traitement. L’instruction est communiquée par écrit et tous les autres responsables conjoints du traitement en sont informés au moment de sa communication.

      8. Les modalités de travail entre responsables conjoints du traitement ne peuvent exclure le pouvoir individuel d’aucun de ces derniers d’informer son autorité de contrôle compétente conformément aux articles 24 et 33 du règlement (UE) 2016/679. Une telle notification ne nécessite le consentement d’aucun des autres responsables conjoints du traitement.

      9. Les modalités de travail entre responsables conjoints du traitement ne peuvent interdire à aucun de ces derniers de coopérer avec son autorité de contrôle compétente établie en vertu du règlement (UE) 2016/679 et du règlement (UE) 2018/1725.

      10. Seules les personnes autorisées par chaque responsable conjoint du traitement ont accès aux données à caractère personnel échangées.

      11. Chaque responsable conjoint du traitement tient un registre des activités de traitement effectuées sous sa responsabilité. La responsabilité conjointe du traitement est indiquée dans ledit registre.

   3. Sous-section 3 Responsabilités et rôles en matière de traitement des demandes et d’information des personnes concernées

      1. Chaque responsable du traitement fournit des informations aux personnes physiques dont les données sont traitées aux fins des enquêtes conjointes et des activités du comité menées dans le cadre de la surveillance, des enquêtes, de l’exécution et du contrôle concernant les services qui relèvent du champ d’application du règlement (UE) 2022/2065, conformément à l’article 14 du règlement (UE) 2016/679, à moins que cela ne s’avère impossible ou implique des efforts disproportionnés.

      2. Chaque responsable du traitement fait office de point de contact pour les personnes physiques dont il a traité les données à caractère personnel et il traite les demandes présentées par les personnes concernées ou leurs représentants dans l’exercice de leurs droits conformément au règlement (UE) 2016/679. Si un responsable conjoint du traitement reçoit d’une personne concernée une demande qui se rapporte au traitement effectué par un autre responsable conjoint du traitement, il informe la personne concernée de l’identité et des coordonnées de ce dernier. Sur demande d’un autre responsable conjoint du traitement, les responsables conjoints du traitement se prêtent mutuellement assistance pour le traitement des demandes des personnes concernées et se répondent sans retard indu, et au plus tard dans un délai d’un mois à compter de la réception d’une demande d’assistance.

      3. Chaque responsable du traitement met le contenu de la présente annexe à la disposition des personnes concernées.

2. SECTION 2 GESTION DES INCIDENTS DE SÉCURITÉ, NOTAMMENT DES VIOLATIONS DE DONNÉES À CARACTÈRE PERSONNEL

   1. Les responsables conjoints du traitement se prêtent mutuellement assistance pour la détection et la gestion des incidents de sécurité, notamment des violations de données à caractère personnel, en lien avec le traitement de données dans AGORA.

   2. En particulier, les responsables conjoints du traitement s’informent mutuellement des éléments suivants:

      1. tout risque potentiel ou réel pour la disponibilité, la confidentialité et/ou l’intégrité des données à caractère personnel faisant l’objet d’un traitement dans AGORA;

      2. toute violation de données à caractère personnel, ses conséquences probables et l’évaluation du risque pour les droits et libertés des personnes physiques, ainsi que toute mesure prise pour remédier à ladite violation et pour atténuer le risque pour les droits et libertés des personnes physiques; et

      3. toute atteinte aux garanties techniques et/ou organisationnelles du processus de traitement dans AGORA.

   3. Les responsables conjoints du traitement communiquent toute violation de données à caractère personnel liée au processus de traitement dans AGORA à la Commission, aux autorités compétentes en matière de contrôle de la protection des données et, lorsqu’ils sont tenus de le faire, aux personnes concernées, conformément aux articles 33 et 34 du règlement (UE) 2016/679 ou à la suite d’une notification par la Commission.

   4. Chaque responsable du traitement met en œuvre des mesures techniques et organisationnelles appropriées, destinées à:

      1. garantir et préserver la disponibilité, l’intégrité et la confidentialité des données à caractère personnel traitées de manière conjointe;

      2. se prémunir contre le traitement, la perte, l’utilisation, la divulgation ou l’acquisition non autorisés ou illégaux de toute donnée à caractère personnel en sa possession ou contre l’accès non autorisé ou illégal à ces données; et

      3. garantir que les données à caractère personnel ne sont ni divulguées ni rendues accessibles à des personnes autres que les destinataires ou le sous-traitant.

3. SECTION 3 ANALYSE D’IMPACT RELATIVE À LA PROTECTION DES DONNÉES

   1. Si, afin de remplir les obligations qui lui incombent en application des articles 35 et 36 du règlement (UE) 2016/679, un responsable du traitement a besoin de s’informer auprès d’un autre responsable du traitement ou auprès du sous-traitant, il adresse une demande spécifique à la boîte fonctionnelle visée à la section 1, sous-section 2, point 4). Le destinataire met tout en œuvre pour fournir les informations demandées.