Обстоятелства, предхождащи жалбата

1. През септември 2013 г. германски гражданин поиска достъп до определени документи, съхранявани от Европейската служба за борба с измамите (OLAF) и от Европейската комисия, в съответствие с правилата на ЕС относно публичния достъп до документи [1]. OLAF и Комисията обаче имаха съмнения относно неговата самоличност. Поради това OLAF и Комисията временно преустановиха обработването на заявленията за достъп, тъй като, за да имате право на достъп до документи, трябва да сте физическо или юридическо лице, пребиваващо или гражданин на държава — членка на ЕС.

2. Фактът, че OLAF и Комисията временно са преустановили обработването на исканията за достъп, е накарал заявителя да подаде жалба до омбудсмана (дела 2309/2013/JAS и 2310/2013/JAS срещу OLAF и Комисията [2]). В хода на проверките на омбудсмана по тези жалби жалбоподателят научи, че Комисията или OLAF са се свързали с това, което те смятат за негов работодател, германски университет, за да проверят дали той е истинско лице и да установят неговата професия [3].

3. Жалбоподателят е недоволен от факта, че Комисията или OLAF са се свързали с университет, за който никога не е казвал, че работи, и се е оплакал на омбудсмана и по този въпрос. Той е подал една жалба - настоящата срещу Комисията и подобна жалба срещу OLAF [4].

Проучването

4. Омбудсманът започна проверка във връзка с твърдението, че Комисията е обработила неправомерно личните данни на жалбоподателя.

5. В хода на проверката омбудсманът получи становището на Комисията по жалбата и впоследствие коментарите на жалбоподателя в отговор на становището на Комисията. При провеждането на проверката омбудсманът взе предвид аргументите и становищата, представени от страните.

Твърдение за неправомерно обработване на личните данни на жалбоподателя

Аргументи, представени на омбудсмана

6. В подкрепа на твърдението си жалбоподателят твърди, че Комисията е регистрирала а) неправилно информация за професионалната му дейност, б) е предала личните му данни на трета страна без негово съгласие и в) е запазила личните данни в своята база данни за непропорционален период от време.

7. В становището си Комисията заяви, че информацията за професията не е условие за упражняване на правото на достъп до документи. Комисията поиска тази информация единствено за статистически цели. Това ще направи незадължително предоставянето на този вид информация в бъдеще.

8. Неточната информация за професионалните връзки на жалбоподателя с германския университет е била въведена в базата данни за искания за достъп от OLAF, вероятно поради техническа грешка. Комисията заяви, че OLAF изразява съжаление за всички неудобства, причинени на жалбоподателя, и че OLAF е коригирала данните.

9. Комисията обаче желае да си запази правото да проверява самоличността и адреса на заявител, който иска публичен достъп до документи. Комисията извършва тези проверки, като използва публично достъпна информация, за да определи дали кандидатите са физически лица, пребиваващи или граждани на държава — членка на ЕС.

10. Що се отнася до предполагаемия непропорционален срок на съхранение на данните, Комисията заяви, че съхранява лични данни в съответствие с правилата на ЕС за защита на данните. Оправдано е личните данни на заявителите да се съхраняват след приключване на разглеждането на искане за достъп, за да се гарантира правна и процедурна съгласуваност. Комисията трябва да знае дали е разглеждала предишни искания за достъп от същия заявител или искания, отнасящи се до същите или подобни документи, за да определи дали тези документи вече могат да се считат за „публично достояние“. Освен това решенията за отказ на достъп до документи могат да бъдат подавани до омбудсмана или до Съда на Европейския съюз. Личната информация за заявителите е необходима, за да може Комисията да обработва исканията правилно и при пълно познаване на всички обстоятелства, например когато решава дали да се свърже неофициално със заявителите, за да намери справедливо решение, в случай че заявлението е за много дълъг документ или за много голям брой документи [5].

11. В становището си жалбоподателят изразява разочарованието си от факта, че Комисията не се е извинила за неправилното регистриране на неговата професия в нейната база данни.

12. Жалбоподателят е препратил на омбудсмана писмо от Комисията до него, в което Комисията заявява, че е разкрила името му на университета [6].

13. Жалбоподателят твърди, че е оправдано Комисията да съхранява лични данни само до изтичането на крайните срокове за сезиране на съда или на омбудсмана. В подкрепа на становището си той прилага решение на Европейския надзорен орган по защита на данните (ЕНОЗД), в което се констатира, че практиката на OLAF да съхранява лични данни в своята база данни за разследвания в продължение на 15 години е непропорционална.

Оценка на омбудсмана

14. Вероятно е невярната информация за жалбоподателя, работещ за германски университет, да е била въведена в базата данни в резултат на техническа грешка от страна на OLAF. Като се има предвид, че OLAF е изразила съжаление за грешката и е коригирала данните, омбудсманът счита, че този аспект от твърдението на жалбоподателя е разрешен. За Омбудсмана не е ясно защо Комисията следва да се извини за грешка, допусната от OLAF.

15. Омбудсманът приветства факта, че формулярът за искане на публичен достъп до документи на уебсайта на Комисията вече не е задължителен в областта на професионалните дейности [7].

16. Комисията нито отрича, нито потвърждава, че е предала личните данни на жалбоподателя, т.е. името му, на германския университет, в който е смятала, че работи. Всъщност Комисията изобщо не е разгледала този въпрос в становището си, въпреки че жалбоподателят е повдигнал този аргумент в подкрепа на твърдението си. Писмото на Комисията от 4 февруари 2014 г. до жалбоподателя обаче не оставя никакво съмнение по отношение на въпроса дали Комисията се е свързала с университета и му е разкрила името на жалбоподателя. В писмото, което предхожда становището на Комисията до омбудсмана, изрично се посочва, че „по отношение на Вашата професионална дейност сте посочили на OLAF, че работите за Института по международно и европейско право на [германски университет]. Този институт обаче не съществува под това име. След нашето [т.е. искането на Комисията] университетът отбеляза, че няма служител с името ['г-н X']"[8], т.е. с името на жалбоподателя.

17. Контактът на Комисията с германския университет не е предвиден в собствените ѝ вътрешни правила по въпроси, свързани със защитата на данните (неговото уведомяване на длъжностното лице по защита на данните по отношение на обработването на лични данни в контекста на обработването на искания за публичен достъп до документи [9]). Тези вътрешни правила не предвиждат предаването на лични данни на трети страни [10].

18. В становището си тя само се позовава на твърдяното си право да извършва проверка на самоличността и адреса, като използва публично достъпна информация.

19. Омбудсманът счита, че настояването на Комисията за потвърждаване на самоличността на заявителя не се основава на конкретна разпоредба, нито насърчава постигането на някоя от целите на правилата на ЕС относно публичния достъп до документи.

20. Освен това установяването на контакт с това, което Комисията счита за работодател на дадено лице, надхвърля консултирането с публично достъпна информация, на която Комисията се позовава в своето становище. Може да се твърди, че такъв иск би могъл да има отрицателни последици за кандидата, като породи подозрения от страна на неговия работодател относно причината, поради която институция на Съюза иска да потвърди самоличността на кандидата, като по този начин представлява сериозна намеса в личния му живот.

21. Поради това, като е разкрила името на жалбоподателя пред университета без валидна обосновка, Комисията е допуснала лошо управление. Като се има предвид, че защитата на личните данни е основно право [11] и поради инвазивния характер на действията на Комисията, лошото администриране е особено сериозно в този случай.

22. След установяването на лошо управление не е необходимо омбудсманът да разглежда въпроса дали Комисията е нарушила конкретно правилата на ЕС за защита на данните [12]. Ако жалбоподателят желае да продължи разглеждането на този конкретен аспект, той остава свободен да подаде жалба до Европейския надзорен орган по защита на данните, който разполага със специализиран експертен опит и отговорност в областта на защитата на данните.

23. Що се отнася до предполагаемия непропорционален срок на съхранение на личните данни в базата данни на Комисията за достъп до документи, омбудсманът отбелязва, че решението на Европейския надзорен орган по защита на данните, на което се позовава жалбоподателят, се отнася до OLAF, а не до Комисията. Достъпът на Комисията до базата данни с документи има и друга цел, различна от тази на OLAF. Въпреки че базата данни на Комисията съдържа лични данни само във връзка с искания за публичен достъп до документи, базата данни на OLAF съдържа информация за нейните разследвания.

24. В нотификацията на Комисията до длъжностното лице по защита на данните във връзка с обработването на лични данни в контекста на обработването на искания за публичен достъп до документи се посочва, че личните данни на заявителите се съхраняват за срок, не по-дълъг от пет години, и обикновено след това се заличават [13]. Следователно в някои случаи срокът на съхранение може да бъде удължен.

25. Както в уведомлението до длъжностното лице по защита на данните на Комисията, така и в становището на Комисията в този случай се обяснява, че този срок на съхранение е необходим, тъй като решенията, с които не се предоставя достъп или се предоставя само частичен достъп, могат да бъдат отнесени до Съда или до омбудсмана. Според омбудсмана периодът на съхранение от пет години е пропорционален на преследваните цели, като се има предвид, че производствата пред съдилищата на ЕС могат да продължат няколко години. Писмото на Комисията от 4 февруари 2014 г. до жалбоподателя се отнася, наред с другото, до заявление за достъп до документи, подадено от жалбоподателя през 2007 г.[14]. Следователно е ясно, че през 2014 г. Комисията все още е съхранявала лични данни на жалбоподателя, които той е представил преди шест или седем години. Съответно в случая на жалбоподателя Комисията е запазила личните му данни за повече от пет години.

26. Комисията не е предоставила никаква обосновка защо не е заличила личните данни на жалбоподателя, свързани със заявление за достъп до документи, подадено през 2007 г. Като се има предвид, че въпросът дали Комисията е трябвало да предостави обосновка за съхраняването на личните данни на жалбоподателя от 2007 г. не е бил изрично обхванат от настоящата проверка, омбудсманът не счита за целесъобразно да определя дали Комисията е съхранявала личните данни на жалбоподателя за непропорционален период от време и в нарушение на нейното уведомление.

27. Омбудсманът отново информира жалбоподателя за възможността да подаде жалба до Европейския надзорен орган по защита на данните, ако желае да получи специализирано решение относно това дали срокът за съхранение на данни на Комисията конкретно нарушава правилата на ЕС за защита на данните. Поради това тя счита, че не са оправдани допълнителни проверки по този аспект на жалбата.

28. Понастоящем лошото администриране от страна на Комисията не може да бъде отстранено и жалбоподателят не е представил никакво твърдение, с което да поиска от Комисията да предприеме конкретни действия. Поради това омбудсманът ще приключи разглеждането на този аспект на жалбата с критична забележка към Комисията.

Заключение

Въз основа на проверката по тази жалба Омбудсманът я приключва със следните констатации:

С коригирането на неправилно регистрираната информация за професионалната дейност на жалбоподателя в съответната база данни този аспект на оплакването на жалбоподателя е разрешен.

Що се отнася до срока на съхранение на личните данни в базата данни на Комисията, омбудсманът счита, че не са оправдани допълнителни проверки.

Критична забележка

Като е предала личните данни на жалбоподателя на трета страна без валидна обосновка, Комисията е допуснала лошо администриране. Като се има предвид, че защитата на личните данни е основно право, предвидено в Хартата на основните права на ЕС, и поради факта, че действията на Комисията в този случай бяха много натрапчиви, лошото администриране е особено сериозно.

Жалбоподателят и Комисията ще бъдат уведомени за това решение.

Емили О'Райли

Страсбург, 12.7.2016 г.

[1] Регламент (ЕО) No 1049/2001 на Европейския парламент и на Съвета от 30 май 2001 г. относно публичния достъп до документи на Европейския парламент, на Съвета и на Комисията (ОВ L 145/43, 31.5.2001 г.);

[2] Следователно решенията на OLAF и на Комисията за прекратяване на обработването на заявленията за достъп са разгледани поотделно и следователно не попадат в обхвата на настоящото разследване.

[3] Комисията поиска тези данни от заявителите, за да обработи техните искания за публичен достъп до документи.

[4] Разглежда се отделно под номер 139/2015/PMC.

[5] Вж. в това отношение член 6, параграф 3 от Регламент 1049/2001.

[6] Това писмо беше изпратено и от Комисията до жалбоподателя в контекста на проверката на омбудсмана по жалба 2310/2013/JAS.

[7] https://ec.europa.eu/transparency/regdoc/index.cfm?fuseaction=fmb&&CFID=6076842&CFTOKEN=2e4472e118d31678-CA79D075-9960-F842-29FFB98461CB0B5B

[8] Писмото на Комисията е написано на немски език.

[9] Вж. уведомление „DPO-1225.2 GestDem“ относно обработването на лични данни във връзка с базата данни на Комисията за публичен достъп до документи, достъпна онлайн: http://ec.europa.eu/dpo-register/details.htm?id=35247

[10] Вж. в това отношение точка 16.

[11] Член 8 от Хартата на основните права на Европейския съюз.

[12] Регламент (ЕО) No 45/2001 на Европейския парламент и на Съвета от 18 декември 2000 г. относно защитата на лицата по отношение на обработката на лични данни от институции и органи на Общността и за свободното движение на такива данни, ОВ L 8/1 от 12.1.2001 г.

[13] Точка 13.

[14] Gestdem 2007/4845.