Skutečnosti předcházející stížnosti

1. V září 2013 požádal jeden německý občan o přístup k některým dokumentům v držení Evropského úřadu pro boj proti podvodům (OLAF) a Evropské komise v souladu s pravidly EU o přístupu veřejnosti k dokumentům [1]. OLAF a Komise však měly pochybnosti o jeho totožnosti. Úřad OLAF a Komise proto dočasně pozastavily vyřizování žádostí o přístup, protože pro získání práva na přístup k dokumentům musíte být fyzickou nebo právnickou osobou, která má bydliště v členském státě EU nebo je jeho občanem.

2. Skutečnost, že úřad OLAF a Komise dočasně pozastavily vyřizování žádostí o přístup, vedla žadatele k podání stížnosti veřejnému ochránci práv (případy 2309/2013/JAS a 2310/2013/JAS proti úřadu OLAF a Komisi [2]). V průběhu šetření těchto stížností veřejným ochráncem práv se stěžovatel dozvěděl, že se Komise nebo OLAF obrátily na to, co považovaly za jeho zaměstnavatele, německou univerzitu, aby ověřily, že je skutečnou osobou, a založily jeho profesi [3].

3. Stěžovatel byl nespokojen s tím, že Komise nebo OLAF kontaktovaly univerzitu, pro kterou nikdy neřekl, že pracuje, a stěžoval si veřejnému ochránci práv i na tuto záležitost. Podal jednu stížnost - projednávanou věc proti Komisi a podobnou stížnost proti úřadu OLAF [4].

Šetření

4. Veřejná ochránkyně práv zahájila šetření týkající se tvrzení, že Komise zpracovávala osobní údaje stěžovatele protiprávně.

5. V průběhu šetření obdržel veřejný ochránce práv stanovisko Komise ke stížnosti a následně připomínky stěžovatele v reakci na stanovisko Komise. Při provádění šetření veřejný ochránce práv zohlednil argumenty a stanoviska předložená stranami.

Tvrzení o protiprávním zpracování osobních údajů stěžovatele

Argumenty předložené veřejnému ochránci práv

6. Na podporu svého tvrzení stěžovatel tvrdil, že Komise a) nesprávně zaevidovala informace o jeho profesní činnosti, b) předala jeho osobní údaje třetí straně bez jeho souhlasu a c) uchovávala osobní údaje ve své databázi po nepřiměřenou dobu.

7. Komise ve svém stanovisku uvedla, že informace o povolání nejsou podmínkou pro výkon práva na přístup k dokumentům. Komise si tyto informace vyžádala pouze pro statistické účely. Poskytnutí těchto informací bude v budoucnu dobrovolné.

8. Nepřesné informace o profesních vazbách stěžovatele na německou univerzitu byly vloženy do databáze žádostí o přístup ze strany úřadu OLAF, pravděpodobně kvůli administrativní chybě. Komise uvedla, že úřad OLAF vyjadřuje politování nad veškerými nepříjemnostmi způsobenými stěžovateli a že úřad OLAF údaje opravil.

9. Komise si však vyhrazuje právo ověřit totožnost a adresu žadatele, který žádá o přístup veřejnosti k dokumentům. Komise uvádí, že tyto kontroly provádí na základě veřejně dostupných informací, aby zjistila, zda jsou žadatelé fyzickými osobami s bydlištěm v některém členském státě EU nebo zda jsou jeho občany.

10. Pokud jde o údajně nepřiměřenou dobu uchovávání údajů, Komise tvrdila, že uchovává osobní údaje v souladu s pravidly EU pro ochranu údajů. Je odůvodněné uchovávat osobní údaje žadatelů po ukončení vyřizování žádosti o přístup, aby byla zajištěna právní a procesní jednotnost. Komise potřebuje vědět, zda se zabývala předchozími žádostmi o přístup od stejného žadatele nebo žádostmi týkajícími se stejných nebo podobných dokumentů, aby určila, zda by tyto dokumenty již mohly být považovány za „veřejně dostupné“. Rozhodnutí o odepření přístupu k dokumentům by rovněž mohla být předložena veřejnému ochránci práv nebo Soudnímu dvoru. Osobní informace o žadatelích jsou nezbytné k tomu, aby Komise mohla žádosti vyřizovat správně a s plnou znalostí všech okolností, například při rozhodování o tom, zda žadatele neformálně kontaktovat s cílem nalézt spravedlivé řešení v případě, že se žádost týká velmi dlouhého dokumentu nebo velkého počtu dokumentů [5].

11. Stěžovatel ve svém vyjádření vyjádřil zklamání nad tím, že se Komise neomluvila za to, že nesprávně zapsala jeho povolání do své databáze.

12. Stěžovatel zaslal veřejnému ochránci práv dopis od Komise, v němž Komise uvedla, že univerzita odhalila jeho jméno [6].

13. Stěžovatel tvrdil, že je odůvodněné, aby Komise uchovávala osobní údaje pouze do uplynutí lhůt pro podání žaloby k soudu nebo veřejnému ochránci práv. Na podporu svého názoru připojil rozhodnutí evropského inspektora ochrany údajů (EIOÚ), v němž konstatoval, že praxe úřadu OLAF spočívající v uchovávání osobních údajů ve vyšetřovací databázi po dobu 15 let je nepřiměřená.

Posouzení veřejného ochránce práv

14. Je pravděpodobné, že nesprávné informace o stěžovateli pracujícím pro německou univerzitu byly vloženy do databáze v důsledku administrativní chyby úřadu OLAF. Vzhledem k tomu, že úřad OLAF této chyby litoval a údaje opravil, veřejný ochránce práv se domnívá, že tento aspekt tvrzení stěžovatele byl vyřešen. Veřejnému ochránci práv není jasné, proč by se Komise měla omluvit za chybu, které se dopustil úřad OLAF.

15. Veřejná ochránkyně práv vítá skutečnost, že formulář žádosti o přístup veřejnosti k dokumentům na internetových stránkách Komise již nemá oblast odborných činností jako povinnou [7].

16. Komise nepopřela ani nepotvrdila, že osobní údaje stěžovatele, tj. jeho jméno, převedla na německou univerzitu, kde podle jejího názoru pracoval. Komise se ve svém stanovisku touto záležitostí ve skutečnosti vůbec nezabývala, přestože stěžovatel toto tvrzení na podporu svého tvrzení uvedl. Dopis Komise stěžovateli ze dne 4. února 2014 však nenechává žádné pochybnosti, pokud jde o otázku, zda Komise univerzitu kontaktovala a sdělila jí jméno stěžovatele. V dopise, který předcházel stanovisku Komise adresovanému veřejnému ochránci práv, se výslovně uvádí, že „pokud jde o Vaši profesní činnost, sdělil jste úřadu OLAF, že pracujete pro Institut mezinárodního a evropského práva [německé univerzity]. Tento institut však pod uvedeným názvem neexistuje. Na základě naší žádosti [tj. žádosti Komise] univerzita uvedla, že nemá žádného zaměstnance se jménem ['pan X']"[8], tj. se jménem stěžovatele.

17. Kontakt Komise s německou univerzitou nebyl stanoven v jejích vlastních vnitřních předpisech o otázkách ochrany údajů (jeho oznámení inspektorovi ochrany údajů, pokud jde o zpracování osobních údajů v souvislosti s vyřizováním žádostí veřejnosti o přístup k dokumentům [9]). Tato vnitřní pravidla neupravují předávání osobních údajů třetím stranám [10].

18. Ve svém stanovisku se omezila na odkaz na své údajné právo provést ověření totožnosti a adresy za použití veřejně dostupných informací.

19. Veřejná ochránkyně práv se domnívá, že trvání Komise na potvrzení totožnosti žadatele není založeno na žádném konkrétním ustanovení ani nepodporuje žádný z cílů pravidel EU o přístupu veřejnosti k dokumentům.

20. Kromě toho kontaktování toho, co Komise považuje za zaměstnavatele určité osoby, přesahuje rámec nahlížení do veřejně dostupných informací, na které Komise ve svém stanovisku odkazuje. Taková žaloba by pravděpodobně mohla mít negativní účinky na žalobce tím, že by u jeho zaměstnavatele vyvolala podezření, pokud jde o důvod, proč se unijní orgán snaží potvrdit totožnost žalobce, což představuje závažný zásah do jeho osobního života.

21. Zpřístupněním jména stěžovatele univerzitě bez platného odůvodnění se proto Komise dopustila nesprávného úředního postupu. Vzhledem k tomu, že ochrana osobních údajů je základním právem [11], a vzhledem k rušivé povaze opatření Komise je nesprávný úřední postup v tomto případě obzvláště závažný.

22. Po zjištění nesprávného úředního postupu není nutné, aby se veřejný ochránce práv zabýval otázkou, zda Komise konkrétně porušila pravidla EU o ochraně údajů [12]. Pokud se stěžovatel chce tímto konkrétním aspektem dále zabývat, může si stěžovat u evropského inspektora ochrany údajů, který má odborné znalosti a odpovědnost v oblasti ochrany údajů.

23. Pokud jde o údajně nepřiměřenou dobu uchovávání osobních údajů v databázi Komise pro přístup k dokumentům, veřejná ochránkyně práv konstatuje, že rozhodnutí evropského inspektora ochrany údajů, na které stěžovatel odkazuje, se týká úřadu OLAF, a nikoli Komise. Přístup Komise k databázi dokumentů má rovněž jiný účel než účel úřadu OLAF. Zatímco databáze Komise uchovává osobní údaje pouze v souvislosti s žádostmi veřejnosti o přístup k dokumentům, databáze úřadu OLAF obsahuje informace o jeho vyšetřováních.

24. Oznámení Komise svému pověřenci pro ochranu osobních údajů, pokud jde o zpracování osobních údajů v souvislosti s vyřizováním žádostí veřejnosti o přístup k dokumentům, uvádí, že osobní údaje žadatelů jsou uchovávány nejdéle po dobu pěti let a poté jsou obvykle vymazány [13]. Doba uchovávání tak může být v určitých případech prodloužena.

25. Jak oznámení inspektorovi ochrany údajů Komise, tak stanovisko Komise v tomto případě vysvětlují, že tato doba uchovávání je nezbytná, protože rozhodnutí o neudělení nebo pouze částečném přístupu mohou být předložena soudu nebo veřejnému ochránci práv. Podle názoru veřejného ochránce práv je pětiletá doba uchovávání přiměřená sledovaným cílům vzhledem k tomu, že řízení před soudy EU může trvat řadu let. V dopise Komise stěžovateli ze dne 4. února 2014 se mimo jiné odkazuje na žádost stěžovatele o přístup k dokumentům z roku 2007 [14]. Je tedy zřejmé, že v roce 2014 Komise stále uchovávala osobní údaje stěžovatele, které předložil před šesti nebo sedmi lety. V případě stěžovatele proto Komise uchovávala jeho osobní údaje déle než pět let.

26. Komise neposkytla žádné odůvodnění, proč nevymazala osobní údaje stěžovatele týkající se žádosti o přístup k dokumentům podané v roce 2007. Vzhledem k tomu, že otázka, zda měla Komise odůvodnit uchovávání osobních údajů stěžovatele z roku 2007, nebyla tímto šetřením výslovně pokryta, nepovažuje veřejný ochránce práv za vhodné určit, zda Komise uchovávala osobní údaje stěžovatele po nepřiměřenou dobu a v rozporu s jeho oznámením.

27. Veřejný ochránce práv opět informuje stěžovatele o možnosti podat stížnost evropskému inspektorovi ochrany údajů, pokud by chtěl získat odborné rozhodnutí o tom, zda doba uchovávání údajů Komisí konkrétně porušuje pravidla EU o ochraně údajů. Domnívá se proto, že žádná další šetření týkající se tohoto aspektu stížnosti nejsou odůvodněná.

28. Nesprávný úřední postup Komise nelze nyní napravit a stěžovatel nepředložil žádné tvrzení, v němž by si přál, aby Komise přijala konkrétní opatření. Veřejný ochránce práv proto uzavře tento aspekt stížnosti kritickou poznámkou určenou Komisi.

Závěr

Na základě šetření této stížnosti ji veřejná ochránkyně práv uzavírá těmito zjištěními:

Opravou nesprávně zaznamenaných informací o profesní činnosti stěžovatele v příslušné databázi byl tento aspekt stížnosti stěžovatele vyřešen.

Pokud jde o dobu uchovávání osobních údajů v databázi Komise, veřejná ochránkyně práv se domnívá, že žádná další šetření nejsou odůvodněná.

Kritická poznámka

Předáním osobních údajů stěžovatele třetí straně bez platného odůvodnění se Komise dopustila nesprávného úředního postupu. Vzhledem k tomu, že ochrana osobních údajů je základním právem stanoveným v Listině základních práv EU, a vzhledem ke skutečnosti, že opatření Komise v tomto případě bylo velmi rušivé, je nesprávný úřední postup obzvláště závažný.

Stěžovatel a Komise budou o tomto rozhodnutí informováni.

Emily O'Reillyová

Štrasburk, 12. července 2016

[1] nařízení Evropského parlamentu a Rady (ES) č. 1049/2001 ze dne 30. května 2001 o přístupu veřejnosti k dokumentům Evropského parlamentu, Rady a Komise (Úř. věst. L 145/43, 31.5.2001);

[2] Rozhodnutí úřadu OLAF a Komise o zastavení vyřizování žádostí o přístup byla tedy vyřízena odděleně, a proto nespadají do oblasti působnosti tohoto šetření.

[3] Komise si tyto údaje vyžádala od žadatelů za účelem zpracování jejich žádostí o přístup veřejnosti k dokumentům.

[4] Řešeno samostatně pod číslem jednacím 139/2015/PMC.

[5] V tomto ohledu viz čl. 6 odst. 3 nařízení č. 1049/2001.

[6] Tento dopis Komise rovněž zaslala stěžovateli v souvislosti s šetřením veřejné ochránkyně práv týkajícím se stížnosti 2310/2013/JAS.

[7] https://ec.europa.eu/transparency/regdoc/index.cfm?fuseaction=fmb&&CFID=6076842&CFTOKEN=2e4472e118d31678-CA79D075-9960-F842-29FFB98461CB0B5B

[8] Dopis Komise je napsán v němčině.

[9] Viz oznámení „DPO-1225.2 GestDem“ o zpracování osobních údajů v souvislosti s přístupem veřejnosti k databázi dokumentů, které je k dispozici online: http://ec.europa.eu/dpo-register/details.htm?id=35247

[10] V tomto ohledu viz bod 16.

[11] Článek 8 Listiny základních práv Evropské unie.

[12] Nařízení Evropského parlamentu a Rady (ES) č. 45/2001 ze dne 18. prosince 2000 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány a institucemi Společenství a o volném pohybu těchto údajů, Úř. věst. L 8, 12.1.2001, s. 1.

[13] Bod 13.

[14] Gestdem 2007/4845.