Baggrunden for klagen

1. En af opgaverne for Det Europæiske Kontor for Bekæmpelse af Svig (OLAF) er at foretage uafhængige administrative undersøgelser af alvorlige forseelser begået af ansatte og medlemmer af EU-institutionerne. Efter sine undersøgelser kan OLAF fremsætte henstillinger om foranstaltninger, der skal træffes af den berørte EU-institution, herunder »disciplinære henstillinger«, der har til formål at sanktionere enhver forseelse begået af ansatte og medlemmer af EU-institutionerne.[1] Gennem sin årsberetning informerer OLAF offentligheden om antallet af disciplinære henstillinger, det har fremsat til de berørte EU-institutioner i en given periode, og om institutionerne har fulgt op på disse [2].

2. Klageren, en journalist, ønskede at vide mere om OLAF's resultater og EU-institutionernes opfølgningsafgørelser i perioden 2015-2023. Med henblik herpå fremsatte han flere anmodninger [3] om aktindsigt i dokumenter til relevante EU-institutioner, herunder i juni 2024 til Den Europæiske Unions Agentur for Cybersikkerhed (ENISA), og anmodede om

· OLAF's endelige rapport(er) og henstillinger (og relaterede dokumenter) og

· de endelige rapporter fra ENISA om de disciplinære opfølgende foranstaltninger, det havde truffet.

3. Mellem 2015 og 2023 havde OLAF gennemført en undersøgelse vedrørende en ENISA-medarbejder, på grundlag af hvilken det havde fremsat to henstillinger til ENISA.

4. ENISA afslog at give aktindsigt i OLAF's rapport »og relaterede oplysninger« under henvisning til behovet for at beskytte personoplysninger om den person, der var berørt af OLAF's undersøgelse, og om andre personer [4] ENISA opregnede ikke de dokumenter, som det havde identificeret som værende omfattet af klagerens anmodning om aktindsigt.

5. Klageren anfægtede ENISA's afgørelse om afslag på aktindsigt (ved at indgive en "genfremsat begæring"). Han anfægtede ikke sletningen af personoplysninger om andre personer end den person, der var berørt af OLAF’s undersøgelse.

6. ENISA fastholdt som svar herpå sit standpunkt om, at der ikke kunne gives aktindsigt i de omtvistede dokumenter, eftersom udbredelsen af dokumenterne, selv delvist, ville være til skade for beskyttelsen af personoplysninger.

7. Klageren var utilfreds med dette resultat og henvendte sig til Ombudsmanden.

Undersøgelsen

8. Ombudsmanden indledte en undersøgelse af ENISA’s afgørelse om afslag på aktindsigt i de omtvistede dokumenter, for så vidt som de ikke udgjorde personoplysninger om andre personer end den person, der var berørt af OLAF’s undersøgelse.

9. I løbet af undersøgelsen modtog Ombudsmanden ENISA's svar på klagen, herunder fortrolige oplysninger. Ombudsmandens undersøgelseshold afholdt også et møde med en repræsentant for ENISA og inspicerede de omtvistede dokumenter, dvs.

1) OLAF's endelige rapport og bilagene hertil,

2) to henstillinger fra OLAF, og

3) tre dokumenter vedrørende ENISA's opfølgning,

samt tilhørende dokumenter.

Ombudsmandens forslag til en løsning

10. I lyset af det brede anvendelsesområde for begrebet "personoplysninger" fandt Ombudsmanden, at det var rimeligt for ENISA at antage, at "identifikatorer såsom navnet" på den person, der er berørt af OLAF's undersøgelse, samt visse operationelle oplysninger vedrørende denne person er omfattet af dette begreb.

11. Ombudsmanden fandt også, at klageren ikke havde fastslået, at det var nødvendigt at videregive de pågældende personoplysninger som krævet i EU-lovgivningen om databeskyttelse (forordning 2018/1725 [5]). Ombudsmanden konkluderede derfor, at ENISA var berettiget til at tilbageholde personoplysninger, der var indeholdt i de omtvistede dokumenter.

12. På grundlag af Ombudsmandens undersøgelsesteams inspektion af dokumenterne og oplysningerne fra ENISA var Ombudsmanden imidlertid ikke overbevist om, at dokumenterne udgør personoplysninger i deres helhed. Ombudsmanden satte f.eks. spørgsmålstegn ved, om oplysninger vedrørende den form for forseelse, som OLAF konstaterede, samt den form for opfølgningsforanstaltninger, som ENISA som sådan havde truffet, kan betragtes som personoplysninger. På grundlag af de foreliggende oplysninger fandt Ombudsmanden, at disse oplysninger i sig selv sandsynligvis ikke ville gøre det muligt at identificere den pågældende person.

13. På denne baggrund fremsatte Ombudsmanden følgende forslag til en løsning [6]:

ENISA bør genoverveje sin afgørelse om afslag på aktindsigt med henblik på at give meningsfuld delvis aktindsigt i de ønskede dokumenter, samtidig med at de berørte personers privatliv og integritet beskyttes.

14. Som svar på Ombudsmandens forslag til en løsning foretog ENISA en fornyet vurdering af de omtvistede dokumenter. På grundlag heraf konkluderede ENISA, at det, hvis det gav delvis aktindsigt, ikke kunne sikre et anonymiseringsniveau, der ville gøre dokumenterne nyttige for klageren og samtidig sikre beskyttelsen af personoplysninger.

15. Mere specifikt hævdede ENISA, at der for så vidt angår risikoen for identifikation af enkeltpersoner skal tages hensyn til alle rimelige midler, der kan være til rådighed for en tredjepart, såsom offentligt tilgængelige oplysninger eller oplysninger, der er tilgængelige for en tredjepart, herunder på grund af tredjepartens faglige eller personlige forhold [7]. I betragtning af konteksten og følsomheden af oplysningerne i dokumenterne, agenturets lille størrelse med hensyn til personale og yderligere fortrolige elementer konkluderede ENISA derfor, at dokumenterne skal betragtes som personoplysninger i deres helhed.

16. Efter sin fornyede vurdering fastholdt ENISA således, at der ikke kunne gives aktindsigt i de omtvistede dokumenter. ENISA oplyste imidlertid, at det havde truffet foranstaltninger til opfølgning af de omhandlede OLAF-henstillinger.

17. Efter modtagelse af ENISA's svar på hendes forslag til en løsning gav Ombudsmanden klageren mulighed for at kommentere sine drøftelser med ENISA.

18. Som svar herpå gjorde klageren gældende, at ENISA's fortolkning af begrebet "personoplysninger" var for bred, og anførte, at en sådan forståelse af databeskyttelsesreglerne effektivt ville forhindre enhver videregivelse af OLAF's dokumenter. For så vidt angår de omtvistede dokumenter anfægtede klageren ENISA’s synspunkt om, at en identifikation af enkeltpersoner var sandsynlig, hvis oplysninger om karakteren af forseelsen eller om ENISA’s opfølgning blev offentliggjort.

Ombudsmandens vurdering efter forslaget til løsning

19. Ombudsmanden noterer sig ENISA's vilje til at genoverveje sin tidligere holdning til anmodningen om aktindsigt og dermed acceptere hendes forslag til en løsning.

20. ENISA fastholdt, at der skal gives afslag på aktindsigt i dokumenterne i deres helhed, men Ombudsmanden finder denne holdning rimelig på grundlag af de supplerende oplysninger fra ENISA, herunder fortrolige elementer. Hun beklager imidlertid, at disse oplysninger ikke blev givet til klageren på et tidligere tidspunkt.

21. Ombudsmanden anerkender, at en vurdering af, om oplysninger vedrørende en OLAF-undersøgelse af tjenesteforseelser udgør personoplysninger som omhandlet i forordning 2018/1725, er en vanskelig opgave, som afhænger af de specifikke omstændigheder i den enkelte sag. For at muliggøre offentlig kontrol og sikre ansvarlighed bør de altid bestræbe sig på at give den bredest mulige adgang til dokumenter, der indeholder personoplysninger, som svar på en anmodning om aktindsigt i dokumenter.

22. Hvis den pågældende institution finder, at der ikke eller kun i meget begrænset omfang kan gives aktindsigt, mener Ombudsmanden, at det er god administrativ praksis at forsøge at imødekomme anmodningen om aktindsigt ved i stedet at give oplysninger.

23. Ombudsmanden glæder sig derfor over, at ENISA oplyste, at det havde fulgt op på OLAF's henstillinger i denne sag. På grundlag af Ombudsmandens undersøgelsesholds undersøgelse af dokumenterne kan Ombudsmanden bekræfte, at dette rent faktisk var tilfældet.

24. Endelig bemærker Ombudsmanden, at ENISA ikke opregnede de omtvistede dokumenter i sine svar på klagerens begæring om aktindsigt. Ombudsmanden har konsekvent været af den opfattelse, at fremlæggelse af lister over identificerede dokumenter er et spørgsmål om god forvaltningsskik, da det letter en anmodende parts forståelse af institutionens afgørelse og formuleringen af en anmodning om revision, hvis det er nødvendigt.[8] ENISA accepterede i løbet af Ombudsmandens undersøgelse at medtage en liste over identificerede dokumenter i rapporten om mødet i denne sag, som blev delt med klageren, men Ombudsmanden vil fremsætte et forslag til ENISA's håndtering af fremtidige anmodninger om aktindsigt.

Konklusion

På grundlag af undersøgelsen afslutter Ombudsmanden denne sag med følgende konklusion:

Den Europæiske Unions Agentur for Cybersikkerhed har accepteret Ombudsmandens forslag til en løsning.

Klageren og ENISA vil blive underrettet om denne afgørelse.

Forslag til forbedringer

Af hensyn til god forvaltningsskik bør Den Europæiske Unions Agentur for Cybersikkerhed fremlægge en liste over de dokumenter, det identificerer, når det besvarer en begæring om aktindsigt i henhold til forordning (EF) nr. 1049/2001, medmindre selve offentliggørelsen af en liste er til skade for den eller de interesser, der skal beskyttes.

Teresa Anjinho

Den Europæiske Ombudsmand

Strasbourg, den 27.8.2025

[1] Yderligere oplysninger findes på: https://anti-fraud.ec.europa.eu/about-us/what-we-do_en eller https://anti-fraud.ec.europa.eu/investigations/internal-administrative-investigations_en.

[2] Se f.eks. OLAF's rapport 2021, s. 52: https://anti-fraud.ec.europa.eu/document/download/8d92a187-fae8-449f-8600-e84af9b2dabf_en?filename=olaf-report-2021_en.pdf.

[3] I henhold til forordning (EF) nr. 1049/2001 om aktindsigt i Europa-Parlamentets, Rådets og Kommissionens dokumenter: http://data.europa.eu/eli/reg/2001/1049/oj, der finder anvendelse på dokumenter, som ENISA er i besiddelse af i henhold til artikel 28, stk. 1, i forordning 2019/881 om ENISA og om cybersikkerhedscertificering af informations- og kommunikationsteknologi: https://eur-lex.europa.eu/eli/reg/2019/881/oj.

[4] I overensstemmelse med artikel 4, stk. 1, litra b), i forordning (EF) nr. 1049/2001.

[5] Artikel 9, stk. 1, litra b), i forordning 2018/1725 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger: http://data.europa.eu/eli/reg/2018/1725/oj.

[6] En redigeret udgave af Ombudsmandens forslag til en løsning findes på: https://www.ombudsman.europa.eu/solution/209060.

[7] ENISA henviste til Domstolens dom af 7. marts 2024, OC mod Kommissionen, C-479/22 P: https://curia.europa.eu/juris/document/document.jsf?text=&docid=283526&pageIndex=0&doclang=EN&mode=lst&dir=&occ=first&part=1&cid=7294278.

[8] Se f.eks. Ombudsmandens forslag til en løsning i sag 1259/2024/NH om, hvordan Det Europæiske Agentur for Grænse- og Kystbevogtning (Frontex) behandlede en anmodning om aktindsigt i dokumenter vedrørende vejledning om tilbagesendelse rettet til børn: https://www.ombudsman.europa.eu/en/solution/en/201607.