Baggrunden for klagen

1. I september 2013 anmodede en tysk statsborger om aktindsigt i visse dokumenter, som Det Europæiske Kontor for Bekæmpelse af Svig (OLAF) og Europa-Kommissionen ligger inde med, i overensstemmelse med EU-reglerne om aktindsigt [1]. OLAF og Kommissionen var imidlertid i tvivl om hans identitet. OLAF og Kommissionen suspenderede derfor midlertidigt deres behandling af anmodninger om aktindsigt, fordi du for at have ret til aktindsigt skal være en fysisk eller juridisk person, der har bopæl i eller er statsborger i en EU-medlemsstat.

2. Det forhold, at OLAF og Kommissionen midlertidigt havde suspenderet deres behandling af anmodninger om aktindsigt, fik den anmodende part til at klage til Ombudsmanden (sag 2309/2013/JAS og 2310/2013/JAS mod OLAF og Kommissionen [2]). I forbindelse med Ombudsmandens undersøgelser af disse klager erfarede klageren, at Kommissionen eller OLAF havde kontaktet, hvad de mente var hans arbejdsgiver, et tysk universitet, for at kontrollere, at han var en virkelig person, og for at etablere sit erhverv [3].

3. Klageren var utilfreds med, at Kommissionen eller OLAF havde kontaktet et universitet, hvor han aldrig havde sagt, at han arbejdede, og han klagede også til Ombudsmanden om dette spørgsmål. Han indgav en klage - den foreliggende mod Kommissionen og en lignende klage mod OLAF [4].

Undersøgelsen

4. Ombudsmanden indledte en undersøgelse af påstanden om, at Kommissionen ulovligt havde behandlet klagerens personoplysninger.

5. I løbet af undersøgelsen modtog Ombudsmanden Kommissionens udtalelse om klagen og efterfølgende klagerens bemærkninger som svar på Kommissionens udtalelse. Ombudsmanden har i forbindelse med undersøgelsen taget hensyn til parternes argumenter og udtalelser.

Påstand om ulovlig behandling af klagerens personoplysninger

Argumenter forelagt Ombudsmanden

6. Til støtte for sin påstand hævdede klageren, at Kommissionen a) havde registreret ukorrekte oplysninger om hans erhvervsmæssige aktivitet, b) overførte hans personoplysninger til en tredjepart uden hans samtykke og c) opbevarede personoplysninger i sin database i en uforholdsmæssig lang periode.

7. I sin udtalelse anførte Kommissionen, at oplysninger om ens erhverv ikke er en betingelse for at udøve retten til aktindsigt. Kommissionen anmodede udelukkende om disse oplysninger til statistiske formål. Det vil gøre det frivilligt at give denne form for oplysninger i fremtiden.

8. De unøjagtige oplysninger om klagerens faglige forbindelser med det tyske universitet var blevet indført i databasen for anmodninger om aktindsigt fra OLAF, sandsynligvis på grund af en skrivefejl. Kommissionen anførte, at OLAF beklager eventuelle ulemper for klageren, og at OLAF har korrigeret oplysningerne.

9. Kommissionen ønsker imidlertid at forbeholde sig ret til at kontrollere identiteten og adressen på en person, der anmoder om aktindsigt. Kommissionen foretager disse kontroller ved hjælp af offentligt tilgængelige oplysninger for at afgøre, om ansøgerne er fysiske personer, der bor i eller er statsborgere i en EU-medlemsstat.

10. Med hensyn til den angiveligt uforholdsmæssige dataopbevaringsperiode hævdede Kommissionen, at den opbevarer personoplysninger i overensstemmelse med EU's databeskyttelsesregler. Det er berettiget at opbevare ansøgernes personoplysninger efter at have afsluttet behandlingen af en anmodning om adgang for at sikre juridisk og proceduremæssig sammenhæng. Kommissionen har brug for at vide, om den har behandlet tidligere begæringer om aktindsigt fra den samme ansøger eller begæringer vedrørende de samme eller lignende dokumenter for at afgøre, om disse dokumenter allerede kan anses for at være "offentligt tilgængelige" . Afgørelser om afslag på aktindsigt kan også indbringes for Ombudsmanden eller Domstolen. Personoplysninger om ansøgere er nødvendige for, at Kommissionen kan behandle anmodninger korrekt og med fuldt kendskab til alle omstændigheder, f.eks. når den beslutter, om den vil kontakte ansøgere uformelt for at finde en retfærdig løsning, hvis en ansøgning vedrører et meget langt dokument eller et meget stort antal dokumenter [5].

11. I sine bemærkninger gav klageren udtryk for sin skuffelse over, at Kommissionen ikke havde undskyldt for at have registreret sit erhverv forkert i sin database.

12. Klageren sendte Ombudsmanden et brev fra Kommissionen til ham, hvori Kommissionen anførte, at den havde oplyst hans navn til universitetet [6].

13. Klageren fastholdt, at det er berettiget, at Kommissionen kun opbevarer personoplysninger, indtil fristerne for at indbringe sagen for Domstolen eller Ombudsmanden er udløbet. Til støtte for sit synspunkt vedlagde han en afgørelse fra Den Europæiske Tilsynsførende for Databeskyttelse (EDPS), hvori det blev fastslået, at OLAF's praksis med at opbevare personoplysninger i sin undersøgelsesdatabase i 15 år var uforholdsmæssig.

Ombudsmandens vurdering

14. Det er sandsynligt, at de ukorrekte oplysninger om klageren, der arbejder for et tysk universitet, blev indført i databasen som følge af en skrivefejl begået af OLAF. Eftersom OLAF har beklaget fejlen og rettet oplysningerne, mener Ombudsmanden, at dette aspekt af klagerens påstand er blevet løst. Det er ikke klart for Ombudsmanden, hvorfor Kommissionen skulle undskylde for en fejl begået af OLAF.

15. Ombudsmanden glæder sig over, at formularen til begæring om aktindsigt på Kommissionens websted ikke længere har fagområdet som obligatorisk område [7].

16. Kommissionen har hverken nægtet eller bekræftet, at den overførte klagerens personoplysninger, dvs. hans navn, til det tyske universitet, hvor den troede, at han arbejdede. Kommissionen behandlede faktisk slet ikke dette spørgsmål i sin udtalelse, selv om klageren havde fremført dette argument til støtte for sin påstand. Kommissionens brev af 4. februar 2014 til klageren efterlader imidlertid ingen tvivl med hensyn til spørgsmålet om, hvorvidt Kommissionen havde kontaktet universitetet og videregivet klagerens navn til det. I brevet - som ligger forud for Kommissionens udtalelse til Ombudsmanden - står der udtrykkeligt, at "med hensyn til din erhvervsmæssige virksomhed oplyste du OLAF om, at du arbejdede for instituttet for international og europæisk ret ved [et tysk universitet]. Dette institut eksisterer imidlertid ikke under det nævnte navn. Efter vores [dvs. Kommissionens] anmodning bemærkede universitetet, at det ikke havde nogen medarbejder med navnet ['Mr. X']"[8], dvs. med klagerens navn.

17. Kommissionens kontakt med det tyske universitet var ikke omfattet af dens egne interne regler om databeskyttelse (dens underretning af dens databeskyttelsesansvarlige om behandlingen af personoplysninger i forbindelse med dens behandling af anmodninger om aktindsigt [9]). Disse interne regler indeholder ikke bestemmelser om videregivelse af personoplysninger til tredjeparter [10].

18. I sin udtalelse henviste den blot til sin påståede ret til at foretage identitets- og adressekontrol ved hjælp af offentligt tilgængelige oplysninger.

19. Ombudsmanden mener, at Kommissionens insisteren på at bekræfte en ansøgers identitet ikke er baseret på nogen konkret bestemmelse og heller ikke fremmer nogen af målene med EU's regler om aktindsigt.

20. Desuden går kontakten til det, som Kommissionen mener er en persons arbejdsgiver, ud over at konsultere offentligt tilgængelige oplysninger, som Kommissionen henviser til i sin udtalelse. Et sådant søgsmål kan ganske vist have negative virkninger for en ansøger ved at rejse mistanke hos vedkommendes arbejdsgiver om årsagen til, at en EU-institution søger at bekræfte ansøgerens identitet, og dermed udgøre et alvorligt indgreb i vedkommendes privatliv.

21. Ved at oplyse klagerens navn til universitetet uden gyldig begrundelse begik Kommissionen derfor fejl eller forsømmelser. Da beskyttelsen af personoplysninger er en grundlæggende rettighed [11], og da Kommissionens handlinger er indgribende, er fejl og forsømmelser særlig alvorlige i denne sag.

22. Efter at have konstateret fejl eller forsømmelser er det ikke nødvendigt for Ombudsmanden at behandle spørgsmålet om, hvorvidt Kommissionen specifikt overtrådte EU-reglerne om databeskyttelse [12]. Hvis klageren ønsker at forfølge dette særlige aspekt yderligere, kan han frit klage til Den Europæiske Tilsynsførende for Databeskyttelse, som har specialiseret ekspertise og ansvar inden for databeskyttelse.

23. Med hensyn til den påståede uforholdsmæssige opbevaringsperiode for personoplysninger i Kommissionens database over aktindsigt bemærker Ombudsmanden, at den afgørelse fra Den Europæiske Tilsynsførende for Databeskyttelse, som klageren henviser til, vedrører OLAF og ikke Kommissionen. Kommissionens database over aktindsigt har også et andet formål end OLAF's. Mens Kommissionens database kun indeholder personoplysninger i forbindelse med anmodninger om aktindsigt, indeholder OLAF's database oplysninger om sine undersøgelser.

24. I Kommissionens meddelelse til dens databeskyttelsesansvarlige om behandling af personoplysninger i forbindelse med dens behandling af anmodninger om aktindsigt hedder det, at ansøgernes personoplysninger opbevares i højst fem år og normalt slettes derefter [13]. Opbevaringsperioden kan således forlænges i visse tilfælde.

25. Både meddelelsen til Kommissionens databeskyttelsesansvarlige - og Kommissionens udtalelse i denne sag - forklarer, at denne opbevaringsperiode er nødvendig, fordi afgørelser om ikke eller kun delvis aktindsigt kan indbringes for Domstolen eller Ombudsmanden. Efter Ombudsmandens opfattelse står en opbevaringsperiode på fem år i et rimeligt forhold til de tilstræbte mål, eftersom sager ved EU's retsinstanser kan vare i flere år. I Kommissionens brev af 4. februar 2014 til klageren henvises der bl.a. til en begæring om aktindsigt fremsat af klageren i 2007 [14]. Det er således klart, at Kommissionen i 2014 stadig lagrede personoplysninger om klageren, som han havde indgivet seks eller syv år tidligere. I klagerens tilfælde havde Kommissionen derfor opbevaret hans personoplysninger i mere end fem år.

26. Kommissionen har ikke givet nogen begrundelse for, hvorfor den ikke havde slettet klagerens personoplysninger vedrørende en anmodning om aktindsigt fremsat i 2007. Da spørgsmålet om, hvorvidt Kommissionen skulle have givet en begrundelse for at have opbevaret klagerens personoplysninger fra 2007, ikke udtrykkeligt var omfattet af denne undersøgelse, finder Ombudsmanden det ikke hensigtsmæssigt at afgøre, om Kommissionen opbevarede klagerens personoplysninger i uforholdsmæssig lang tid og i strid med sin meddelelse.

27. Ombudsmanden underretter igen klageren om muligheden for at klage til Den Europæiske Tilsynsførende for Databeskyttelse, hvis han ønsker en særlig afgørelse om, hvorvidt Kommissionens dataopbevaringsperiode specifikt er i strid med EU's regler om databeskyttelse. Hun mener derfor ikke, at der er grundlag for yderligere undersøgelser af dette aspekt af klagen.

28. Kommissionens fejl og forsømmelser kan nu ikke afhjælpes, og klageren fremsatte ikke nogen påstand om, at Kommissionen skulle træffe særlige foranstaltninger. Ombudsmanden vil derfor afslutte dette aspekt af klagen med en kritisk bemærkning til Kommissionen.

Konklusion

På grundlag af undersøgelsen af denne klage afslutter Ombudsmanden den med følgende konklusioner:

Ved at rette de ukorrekt registrerede oplysninger om klagerens erhvervsaktivitet i den relevante database er dette aspekt af klagerens klage blevet løst.

Med hensyn til opbevaringsperioden for personoplysninger i Kommissionens database mener Ombudsmanden ikke, at yderligere undersøgelser er berettigede.

Kritisk bemærkning

Ved at overføre klagerens personoplysninger til en tredjepart uden gyldig begrundelse har Kommissionen begået fejl eller forsømmelser. Da beskyttelsen af personoplysninger er en grundlæggende rettighed, der er fastsat i EU's charter om grundlæggende rettigheder, og da Kommissionens indsats i denne sag var meget indgribende, er fejlene og forsømmelserne særlig alvorlige.

Klageren og Kommissionen vil blive underrettet om denne afgørelse.

Emily O'Reilly

Strasbourg, den 12. juli 2016

[1] Europa-Parlamentets og Rådets forordning (EF) nr. 1049/2001 af 30. maj 2001 om aktindsigt i Europa-Parlamentets, Rådets og Kommissionens dokumenter (EFT L 145 af 31.5.2001, s. 43).

[2] OLAF's og Kommissionens beslutninger om at indstille behandlingen af begæringerne om aktindsigt blev således behandlet særskilt og falder derfor ikke ind under denne undersøgelse.

[3] Kommissionen anmodede ansøgerne om disse oplysninger for at kunne behandle deres begæringer om aktindsigt.

[4] Behandles særskilt under sagsnummer 139/2015/PMC.

[5] Jf. i denne forbindelse artikel 6, stk. 3, i forordning (EF) nr. 1049/2001.

[6] Kommissionen sendte også dette brev til klageren i forbindelse med Ombudsmandens undersøgelse af klage 2310/2013/JAS.

[7] https://ec.europa.eu/transparency/regdoc/index.cfm?fuseaction=fmb&&CFID=6076842&CFTOKEN=2e4472e118d31678-CA79D075-9960-F842-29FFB98461CB0B5B

[8] Kommissionens brev er affattet på tysk.

[9] Se meddelelse "DPO-1225.2 GestDem" om behandling af personoplysninger i forbindelse med Kommissionens database over aktindsigt, der er tilgængelig online: http://ec.europa.eu/dpo-register/details.htm?id=35247

[10] Jf. i denne forbindelse punkt 16.

[11] Artikel 8 i Den Europæiske Unions charter om grundlæggende rettigheder.

[12] Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 af 18. december 2000 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger, EFT L 8 af 12.1.2001, s. 1.

[13] Punkt 13.

[14] Gestdem 2007/4845.