Klagen til Europa-Kommissionen

1. Den 20. august 2018 sendte klageren en traktatbrudsklage til Europa-Kommissionen med påstand om, at Health Service Executive (HSE) i Irland havde krænket hendes ret til beskyttelse af hendes personoplysninger.

2. I klagen og de efterfølgende breve til Kommissionen anførte klageren, at HSE og det organ, der er ansvarligt for regulering af sundheds- og socialpersoner (CORU), havde behandlet hendes personoplysninger ulovligt i strid med EU's generelle forordning om databeskyttelse (GDPR)[1].  Hun henviste også til en klage, som hun havde indgivet mod Office of the Data Protection Commissioner (ODPC) for ikke at have undersøgt hendes klage over CORU. Hun bemærkede endvidere, at ODPC ikke havde været i stand til at give hende en tidsplan for at afslutte sin undersøgelse af to andre klager, som hun havde indgivet til ODPC mod det irske børne- og familieagentur (Tusla).

Europa-Kommissionens svar til klageren

3.  Den 21. september 2018 sendte Kommissionen et brev til klageren, hvori den forklarede, at det var op til de nationale myndigheder at behandle de sager, hun havde klaget over, og at det ville være op til klageren at forfølge sagerne ved den relevante nationale domstol.

4. Klageren var ikke tilfreds med Kommissionens svar og klagede til Ombudsmanden over Kommissionens afslag på at indlede en traktatbrudsprocedure mod Irland vedrørende GDPR. Hun gjorde også opmærksom på, at Kommissionen ikke besvarede hendes seneste korrespondance, herunder hendes anmodning om oplysninger om, hvordan man kan klage over Kommissionens skrivelse om foreløbig afslutning af hendes traktatbrudsklage [2].

Den Europæiske Ombudsmands konklusioner

5. Efter at klageren henvendte sig til Ombudsmanden, besvarede Kommissionen hendes seneste korrespondance og gav hende en mere omfattende forklaring på, hvorfor den ikke kan overvåge medlemsstaternes overholdelse af den generelle forordning om databeskyttelse (GDPR) i individuelle sager.

6. I sit svar påpegede Kommissionen med rette, at medlemsstaterne "har det primære ansvar for at gennemføre, implementere og anvende EU-retten korrekt", og at "overvågningen og håndhævelsen af anvendelsen af GDPR i dette tilfælde henhører under databeskyttelsesmyndighedernes (for Irlands vedkommende ODPC) og domstolenes (...) kompetence".

7. Klageren havde også bemærket, at ODPC ved ikke at behandle hendes klage og give hende oplysninger om forløbet og resultatet af sin undersøgelse havde frataget hende muligheden for at appellere sin afgørelse til de kompetente irske domstole. Igen gjorde Kommissionen ret i at påpege, at i henhold til artikel 78, stk. 2, i GDPR har "hvis ODPC ikke behandler klagen eller ikke underretter dig inden for tre måneder om forløbet eller resultatet af klagen, har du ret til at indbringe sagen for den kompetente nationale domstol".

8. Med hensyn til klagemuligheder bør klageren, som beskrevet af Kommissionen i dens skrivelse om foreløbig afslutning, kontakte Kommissionen senest fire uger efter modtagelsen af skrivelsen, hvis hun har nye oplysninger, der kan være relevante for den fornyede vurdering af hendes sag. Ud over denne mulighed bemærker Ombudsmanden, at der ikke er nogen klagemuligheder.

9. På grundlag af oplysningerne fra klageren konstaterer Ombudsmanden ingen fejl eller forsømmelser i denne sag [3].

Lambros Papadias

Forespørgselschef - Kontor 3

Strasbourg, den 23. november 2018

[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse), http://data.europa.eu/eli/reg/2016/679/2016-05-04

[2] Hvis Kommissionen påtænker at henlægge en klage, giver den normalt en klager forudgående meddelelse herom i en såkaldt "forhåndsafslutningsskrivelse".

[3] Denne klage er blevet behandlet i henhold til delegeret sagsbehandling i overensstemmelse med artikel 11 i Den Europæiske Ombudsmands afgørelse om vedtagelse af gennemførelsesbestemmelser.