Afgørelse af den Europæiske Ombudsmand om klage 224/2004/PB over Europa-Kommissionen

Strasbourg, den 23. marts 2005

Den 18. januar 2004 indgav De en klage til Den Europæiske Ombudsmand om overtrædelser af Rådets forordning (EF) nr. 45/2001 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne. I Deres klage anmodede De mig om ikke at offentliggøre personoplysninger om Dem. Jeg besluttede derfor at klassificere Deres klage som fortrolig.

Den 18. februar 2004 videresendte jeg klagen til formanden for Europa-Kommissionen. Den 27. maj 2004 sendte Kommissionen sin udtalelse, som jeg videresendte til Dem med en opfordring til at fremkomme med eventuelle bemærkninger. Den 31. juli 2004 sendte De mig en meddelelse med flere bemærkninger. I meddelelsen blev det præciseret, at bemærkningerne ikke skulle betragtes og behandles som bemærkninger til Kommissionens udtalelse.

Jeg skriver til Dem nu for at gøre Dem bekendt med resultaterne af de undersøgelser, der er foretaget.

Jeg undskylder, at det har taget så lang tid at behandle Deres klage.

KLAGEN

Den 10. juni 2003 anmodede klageren Kommissionens Repræsentation i Danmark om en "meddelelse" i henhold til § 31 i den danske persondatalov, der gennemfører Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger(1). Den meddelelse, der blev anmodet om, var de oplysninger, som nævnes i artikel 12 a) i direktiv 95/46, der giver registrerede ret til indsigt i oplysninger om dem(2).

I sin anmodning bemærkede klageren, at en medarbejder ved Kommissionens Repræsentation havde henvendt sig telefonisk til ham samme dag(3). Klageren havde spurgt den pågældende medarbejder, hvordan han var kommet i besiddelse af hans telefonnummer. Han var blevet informeret om, at telefonnummeret var i "noget korrespondance".

Den 13. juni 2003 sendte Repræsentationen klageren et svar, hvor den relevante del indeholdt følgende erklæring:

"Den 10. juni 2003 ringede jeg til Dem. Deres navn, adresse og telefonnummer har De anført på Deres klage sendt til den Europæiske Ombudsmand(4). Denne klage har den Europæiske Ombudsmand efterfølgende sendt til Kommissionen for kommentarer."

Klageren mente ikke, at dette svar opfyldte kravene til en "meddelelse". Den 14. juni 2003 klagede han til Datatilsynet.

Den 1. juli 2003 sendte Kommissionens Repræsentation endnu et brev til klageren. Brevet indeholdt følgende erklæring:

"Som supplement til mit brev til Dem af 13 juni 2003, J nr. 150603, kan jeg vedlægge udskrift af skærmbillede fra vores Registreringssystem af indgående & udgående post. Som De kan se er De oprettet som "Privat Person fra [by] i Danmark" med Adressen "[adresse]". Deres navn er anført som "[navn]". Seneste opdatering er dags dato (01/07/2003) hvor skærmbilledet er udskrevet. Europa Kommissionens Repræsentation i Danmark har ikke registreret yderligere personoplysninger på Dem."

Den 21. juli 2003 oplyste Datatilsynet klageren om, at det fandt, at Repræsentationen havde optrådt i overensstemmelse med den danske persondatalov. Det henviste til det ovenfor citerede brev af 1. juli 2003 fra Repræsentationen, som det vedlagde en kopi af. Det vedlagde også en kopi af det brev, som Repræsentationen havde sendt til det som svar på klagerens klage til Datatilsynet. Dette brev indeholdt primært henvisninger til Repræsentationens brev af 1. juli 2003 til klageren. Datatilsynet sendte også klageren en kopi af brevet til Repræsentationen.

Den 4. august 2003 anmodede klageren Datatilsynet om at revidere sin afgørelse. Han bemærkede, at den "meddelelse", som han havde modtaget, ikke syntes at vedrøre data registreret under hans navn på den dato, hvor han havde anmodet om meddelelsen. Han fremhævede, at han havde fremsat sin anmodning den 10. juni 2003, men at Repræsentationens meddelelse vedrørte en senere dato (dvs. revisionen den 1. juli 2003). Klageren bemærkede endvidere, at han ikke mente, at han havde modtaget alle de oplysninger, som han burde have modtaget i henhold til § 31 i den danske persondatalov. Af denne paragraf fremgår det, at "meddelelsen" skal indeholde følgende:

1. hvilke oplysninger der behandles,

2. behandlingens formål,

3. kategorierne af modtagere af oplysningerne og

4. tilgængelig information om, hvorfra disse oplysninger stammer.

Klageren mente, at han ikke havde fået oplysninger om punkt 2-4.

Datatilsynet oplyste den 25. august 2003 klageren om, at det have anmodet Kommissionens Repræsentation om 1) at oplyse det om, hvorvidt der havde været nogen ændring af de personoplysninger, der var registreret under klagerens navn siden den 10. juni 2003 (dvs. den dato, hvor han anmodede om en "meddelelse"), og 2) at give klageren oplysninger om § 31, stk. 1, nr. 2-4, i ovennævnte danske persondatalov.

Den 27. august 2003 sendte Kommissionens Repræsentation et brev til henholdsvis Datatilsynet og klageren. Den relevante del af brevet til Datatilsynet indeholdt følgende erklæring:

"Som supplement til vores brev til Dem af 3. juli 2003, J nr. 150683, kan det oplyses, at der tidligere i vores journalsystem, har været anført et telefonnummer. Dette telefonnummer blev slettet, efter at jeg ringede til [klageren] og klart fik at vide, at han IKKE ønskede at tale med mig, og at han IKKE ønskede at blive kontaktet via telefon. Derudover er der IKKE ændret eller slettet i disse stamoplysninger i vores journalsystem."

I brevet til klageren skrev Repræsentationen følgende:

"Der kan gives meddelelse om:

• at der i vores interne journalsystem registreres indgående og udgående post, herunder navn, adresse og evt. telefonnummer, fax-nummer og/eller e-mail adresse på den person eller organisation, vi er i kontakt med. Oplysningerne fremgår af bilag til brev til Dem af 3 juli 2003, j. nr. 150681(5)

• at behandlingen har til formål at sikre en korrekt styring af vores indgående og udgående post

• at journalsystemet er et internt system for Europa-Kommissionen, og at oplysningerne ikke videregives

• at oplysningerne i journalsystemet stammer fra korrespondance fra Dem selv. Dog har vi for at komme i kontakt med Dem søgt et telefonnummer på TDC's internetservice. Dette nummer, der i øvrigt viste sig ikke at være korrekt, har været optaget i vores journalsystem, men er senere blevet slettet."

Den 16. december 2003 oplyste Datatilsynet klageren om, at det fandt, at Repræsentationen havde handlet i overensstemmelse med den danske persondatalov. Det henviste til de ovenfor citerede breve af 27. august 2003, som det vedlagde kopier af.

I sin klage til Ombudsmanden gjorde klageren gældende, at Repræsentationen havde overtrådt Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 af 18. december 2000 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger(6). Han mente, at Repræsentationen havde overtrådt forordningens artikel 12(7) ved at indsamle oplysninger om ham fra andre kilder end ham selv, og at den havde overtrådt artikel 13(8) ved ikke at give ham letforståelige oplysninger om Repræsentationens behandling af personoplysninger om ham. Hvad angår sidstnævnte, bemærkede klageren særligt, at de to ovenfor citerede breve af 27. august 2003 syntes at være indbyrdes uoverensstemmende på et punkt. Han påpegede, at der i brevet til Datatilsynet faktisk blev henvist til to telefonnumre, dvs. i) det forkerte nummer, der var blevet slettet fra Repræsentationens register, og ii) - i det mindste indirekte - det korrekte nummer, da det i brevet blev nævnt, at Repræsentationen havde ringet til ham. I brevet til klageren blev kun det forkerte telefonnummer nævnt. Klageren konkluderede, at Repræsentationen må have registreret to telefonnumre under hans navn og ikke kun et, som det fremgår af dens brev til ham.

I sin klage stiller klageren desuden krav om, at:

"1) Det erkendes, at Kommissionens Repræsentationskontor i København betjener sig af en løgnagtig medarbejder, der oven i købet er så stupid, at han tror at kunne slippe afsted med at fortælle forskellige historier til h.hv. tilsynsmyndighed og borger.

2) Det erkendes, at Kommissionens Repræsentationskontor i København uberettiget har indsamlet telefonnumre vedrørende en privatperson, der ikke selv havde oplyst sådanne til Repræsentationen, uden at oplyse privatpersonen herom.

3) Den Europæiske Ombudsmand viser sig at være i stand til at behandle en klage fra en borger over Kommissionen uden i sit svar at være nødt til at skrive af fra Kommissionens høringssvar og uden for enhver pris at skulle holde sig gode venner med Kommissionen."

Af de årsager, der er angivet i afgørelsens del 1 nedenfor, anmodede Ombudsmanden ikke om, at Kommissionen kommenterede disse krav. Ombudsmandens anmodning om en udtalelse om klagen vedrørte kun de ovenfor anførte påstande.

UNDERSØGELSEN

Kommissionens udtalelse

Klagen blev fremsendt til Kommissionen, som fremsatte følgende bemærkninger:

1. Kommissionen har noteret sig de bemærkninger, som klageren har fremsat angående den påståede utilfredsstillende indsigt i og meddelelse af de personoplysninger, der er registreret om ham ved Europa-Kommissionens Repræsentation i Danmark.

2. Klageren hævder, at den måde, som hans sag er blevet behandlet på i Repræsentationen, udgør en overtrædelse af artikel 12 (om indsamling af personoplysninger fra andre end den registrerede) og artikel 13 (om letforståelig meddelelse om oplysningerne) i Rådets forordning (EF) nr. 45/2001.

3. Den her omhandlede sag har forbindelse med en tidligere klage, som klageren har indgivet til Den Europæiske Ombudsmand (sag nr. 5/2003/PB). I sine bestræbelser på at give klageren den bedst mulige behandling i forbindelse med hans efterfølgende anmodning om aktindsigt i dokumenterne vedrørende den første klage havde Repræsentationen forsøgt at kontakte ham personligt ved telefonisk henvendelse.

4. Til orientering skal det desuden bemærkes, at klagerens aktuelle klage allerede er blevet sendt til Datatilsynet med påstand om, at Repræsentationen har undladt at give korrekt meddelelse i henhold til § 31 i den danske persondatalov. Selv om Datatilsynet måske i princippet ikke var forpligtet til at behandle denne klage vedrørende databehandling i en EU-institution (i modsætning til en national myndighed), behandlede det rent faktisk sagen, og efter en grundig gennemgang af den danske lovgivning (hvor ordlyden vedrørende meddelelser er næsten identisk med ordlyden i ovennævnte forordning (EF) nr. 45/2001) konkluderede Datatilsynet den 21.7.2003, at det ikke havde til hensigt at foretage sig yderligere i sagen.

5. Med hensyn til den nu foreliggende klage til Den Europæiske Ombudsmand vil Kommissionen gerne over for Den Europæiske Ombudsmand oplyse følgende om sagsforløbet:

- Den 10.6.2003 ringede Europa-Kommissionens Repræsentation i København to gange til klageren for at få præciseret, hvilke dokumenter der refereredes til i hans brev af 29.5.2003 til Repræsentationen, ved hvilket han anmodede om aktindsigt i dokumenter vedrørende hans klage nr. 5/2003/PB til Den Europæiske Ombudsmand.

- Det første telefonnummer, der benyttedes for at kontakte klageren, fandt Repræsentationen ved en søgning på TDC (det nationale danske telefonselskab) på grundlag af det navn og den adresse, som klageren selv havde oplyst over for Repræsentationen ved en e-mail af 4.11.2002. Repræsentationen registrerede dette TDC-nummer i Repræsentationens register over indgående og udgående post (Adonis). Det var imidlertid ikke klageren, der svarede, og det oplystes over for Repræsentationen, at han ikke kunne kontaktes på det pågældende telefonnummer. Repræsentationen gik derfor ud fra, at den havde benyttet et forkert telefonnummer.

- I bestræbelserne på at finde ud af, hvilke dossierer eller dokumenter klageren anmodede om at få aktindsigt i, kom man derefter i Repræsentationen i tanke om, at der i et brev af 11.2.2003 fra Generaldirektoratet for Presse og Kommunikation til den daværende leder af Repræsentationen, hr. J., var vedlagt et dokument, nemlig klage nr. 5/2003/PB til Den Europæiske Ombudsmand, hvori klageren selv havde angivet sit private telefonnummer. Repræsentationen foretog derefter et opkald til dette nummer, og klageren svarede. Klageren reagerede imidlertid meget vredt på opringningen og erklærede, at han ikke mere ønskede at blive kontaktet telefonisk. Dette nummer var således det korrekte telefonnummer, men det blev aldrig registreret. Herefter slettede Repræsentationen i overensstemmelse med klagerens klare instrukser ovennævnte TDC-nummer i Adonis-registeret. Af samme grund sendte Repræsentationen i stedet klageren et brev af 11.6.2003, hvori den anførte de dokumenter, der muligvis kunne være relevante for klage nr. 5/2003/PB.

- Som følge af ovennævnte telefonopringninger skrev klageren samme dag et brev til Repræsentationen, hvori han anmodede om aktindsigt i den korrespondance, der havde gjort det muligt for Repræsentationen at få kendskab til hans telefonnummer, ligesom han tillige i henhold til § 31 i den danske persondatalov anmodede om meddelelse af alle de personoplysninger, der var registreret om ham.

- Den 13.6.2003 svarede Repræsentationen, idet den oplyste, at klagerens navn, adresse og telefonnummer fremgik af klage 5/2003/PB, som var blevet sendt til Repræsentationen for kommentarer. Repræsentationen anførte ikke udtrykkeligt, hvilke personoplysninger den havde registreret.

- Den 14.6.2003 indgav klageren en klage til Datatilsynet.

- Den 1.7.2003 sendte Repræsentationen yderligere klageren en kopi af skærmbillede fra Repræsentationens registreringssystem for indgående og udgående post (Adonis), som nu kun indeholdt registrering af klagerens navn og adresse og ingen telefonnumre.

- Den 4.8.2003 klagede klageren igen til Datatilsynet, idet han hævdede ikke at have modtaget en korrekt meddelelse i henhold til persondatalovens § 31 om data-status på det nøjagtige tidspunkt for hans oprindelige anmodning, dvs. den 10.6.2003, hvad angik de telefonnumre, Repræsentationen havde benyttet til at kontakte ham.

- Den 27.8.2003 sendte Repræsentationen efter Datatilsynets mellemkomst klageren en yderligere meddelelse, hvori man dels klart redegjorde for behandlingen af hans personoplysninger i journalsystemet, dels oplyste, at det telefonnummer, som Repræsentationen havde søgt på TDC's internetservice, i en kortere periode havde været optaget i journalsystemet. Samme dag sendte Repræsentationen også et brev til Datatilsynet, hvor man ligeledes redegjorde for behandlingen af klagerens data og klart anførte, at et telefonnummer, der var fundet ved hjælp af TDC's internetservice, tidligere havde været registreret. Klageren påstod herefter, at indholdet af disse to breve var indbyrdes uoverensstemmende, hvorefter han indgav nærværende klage til Den Europæiske Ombudsmand.

6. Efter en gennemgang af Repræsentationens skrivelser af henholdsvis 11.6.2003, 13.6.2003, 1.7.2003 og 27.8.2003 til klageren i denne sag, er det Kommissionens opfattelse, at sagen er blevet behandlet korrekt og i overensstemmelse med artikel 12 og 13 i Rådets forordning 45/2001. Det skal navnlig bemærkes, at ovennævnte artikel 13 fastsætter en frist på tre måneder fra tidspunktet for anmodningen til meddelelsen af oplysningerne om de registrerede personoplysninger, og at Repræsentationen i hvert fald har overholdt denne frist. Med hensyn til klagerens ønske om at få en kopi af de personoplysninger, der var registreret i journalsystemet på selve dagen for hans anmodning, nemlig den 10.6.2003, skal det anføres, at det uheldigvis ikke er teknisk muligt at vise Adonis-journalsystemets indhold på en tidligere dato. Repræsentationen forsøgte derfor i stedet skriftligt at forklare klageren, at et TDC-telefonnummer tidligere havde været registreret. Det skal desuden bemærkes, at Repræsentationen har forsøgt at give klageren en god behandling, dels ved altid at give ham, hvad han ønskede, dels ved at slette de data, som han tilkendegav, at han ikke ønskede registreret. Man har således nøje fulgt klagerens egne instrukser.

7. Endelig er det Kommissionens opfattelse, at denne sag bør forelægges Den Europæiske Tilsynsførende for Databeskyttelse, da klagerens klage vedrører behandlingen af hans personoplysninger inden for en EU-institution.

Klagerens bemærkninger

Kommissionens udtalelse blev sendt til klageren, således at han kunne fremkomme med bemærkninger. Den 31. juli 2004 sendte han Ombudsmanden en meddelelse med flere bemærkninger. I den meddelelse blev det præciseret, at bemærkningerne ikke skulle betragtes og behandles som bemærkninger til Kommissionens udtalelse. Det fremgik imidlertid tydeligt, at klageren fastholdt sin klage.

AFGØRELSEN

1 Indledende bemærkninger

1.1 Nærværende klage vedrører det svar, som Kommissionens Repræsentation i København gav på klagerens anmodning om oplysninger vedrørende Repræsentationens behandling af personoplysninger om ham. Da klageren ikke var tilfreds med Repræsentationens svar, sendte han først klager til Datatilsynet. Dette indhentede oplysninger fra Repræsentationen og fandt, at der ikke var tale om nogen overtrædelser af den relevante lovgivning. Datatilsynets undersøgelse blev udført på grundlag af den danske persondatalov, der gennemfører Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger(9). I sin klage til Ombudsmanden henviste klageren til Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 af 18. december 2000 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger(10).

1.2 Eftersom de relevante databeskyttelsesbestemmelser i den danske lov (der gennemfører direktiv 95/46) og forordning nr. 45/2001 tager sigte på at give registrerede samme type beskyttelse, undersøgte Ombudsmanden omhyggeligt, om det ville være rimeligt at indlede en undersøgelse desuagtet de undersøgelser, som Datatilsynet har foretaget. Ombudsmanden konkluderede, at en undersøgelse ville være relevant, 1) fordi forskellene i ordlyden af Repræsentationens breve af 27. august 2003 til henholdsvis klageren og Datatilsynet berettigede klageren til at sætte spørgsmålstegn ved, om han havde modtaget letforståelige oplysninger, og 2) fordi Datatilsynet tilsyneladende ikke havde undersøgt, hvorvidt Repræsentationen ulovligt havde indsamlet og registreret oplysninger om klageren.

1.3 Hvad angår Kommissionens erklæring om, at denne sag bør forelægges Den Europæiske Tilsynsførende for Databeskyttelse, mener Ombudsmanden, at det bestemt er fornuftigt at informere Den Europæiske Tilsynsførende for Databeskyttelse om beslutninger vedrørende databeskyttelse med henblik på udveksling af oplysninger og ensartet fortolkning. I nærværende sag vil Den Europæiske Tilsynsførende for Databeskyttelse derfor blive informeret om Ombudsmandens afgørelse(11). I visse tilfælde, f.eks. i sager, der indebærer komplekse spørgsmål om juridisk fortolkning, kan Ombudsmanden endvidere finde det formålstjenligt at høre Den Europæiske Tilsynsførende for Databeskyttelse direkte. Nærværende sags omstændigheder synes dog ikke at nødvendiggøre en sådan høring.

1.4 Hvad angår klagerens tre krav (der er citeret ovenfor i slutningen af sammendraget af klagen), fandt Ombudsmanden, at spørgsmålene i første og andet krav kunne besvares fyldestgørende i hans undersøgelse af de påstande, der er resumeret ovenfor under "Klagen". Derfor blev Kommissionen ikke anmodet om at kommentere disse krav direkte i sin udtalelse. I det tredje krav gives der udtryk for en tvivl om Ombudsmandens uafhængighed, som klageren allerede rejste i forbindelse med klage 5/2003/(PB)BB. Ombudsmanden finder, at der er blevet svaret fyldestgørende på disse tvivlsspørgsmål inden for rammerne af den undersøgelse. I nærværende undersøgelse gentages det i brevet til klageren om indledningen af undersøgelsen, at Den Europæiske Ombudsmand optræder med fuld uafhængighed.

2 Påstået overtrædelse af forordning nr. 45/2001

2.1 Klageren gjorde gældende, at Repræsentationen havde overtrådt Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 af 18. december 2000 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger(12). Han mente, at Repræsentationen havde overtrådt forordningens artikel 12 ved at indsamle oplysninger om ham fra andre kilder end ham selv, og at den havde overtrådt artikel 13 ved ikke at give ham forståelige oplysninger om Repræsentationens behandling af personoplysninger om ham.

2.2 Kommissionens afviste klagerens påstande i sin udtalelse.

2.3 Hvad angår klagerens synspunkt om, at Kommissionens Repræsentation overtrådte artikel 12 i forordning nr. 45/2001 ved at indsamle oplysninger om ham fra andre kilder end ham selv, bemærker Ombudsmanden, at artiklen fastslår følgende:

1. Når personoplysningerne ikke er indsamlet hos den registrerede, skal den registeransvarlige ved registreringen af personoplysningerne eller, hvis personoplysningerne påtænkes videregivet til tredjemand, senest når personoplysningerne første gang videregives, give den registrerede mindst følgende informationer, medmindre den pågældende i forvejen er bekendt hermed:

a) den registeransvarliges identitet
b) formålene med behandlingen
c) hvilken type personoplysninger der er tale om
d) modtagerne eller kategorierne af modtagere
e) retten til indsigt i og til berigtigelse af personoplysninger vedrørende den registrerede selv
f) alle yderligere informationer f.eks.:
i) retsgrundlaget for den behandling, hvortil personoplysningerne er bestemt
ii) tidsfristerne for opbevaring af personoplysningerne
iii) retten, til enhver tid, at rette henvendelse til den europæiske tilsynsførende for databeskyttelse
iv) hvor personoplysningerne stammer fra, medmindre den registeransvarlige ikke kan oplyse herom på grund af tavshedspligt
for så vidt disse yderligere informationer er nødvendige under hensyntagen til de konkrete omstændigheder, hvorunder personoplysningerne indsamles, for at garantere en loyal behandling af personoplysningerne i forhold til den registrerede.

2. Bestemmelserne i stk. 1 finder ikke anvendelse, hvis det, navnlig i forbindelse med behandling til statistiske formål eller med henblik på historisk eller videnskabelig forskning viser sig umuligt eller kræver en uforholdsmæssig stor indsats at give den registrerede disse informationer, eller hvis registreringen eller videregivelsen af personoplysningerne er udtrykkeligt hjemlet i fællesskabsretten. I så fald yder fællesskabsinstitutionen eller -organet de fornødne garantier efter at have hørt den europæiske tilsynsførende for databeskyttelse.

2.4 Det fremgår af sagens faktiske omstændigheder, at Kommissionens Repræsentation udførte en søgning i en onlinedatabase med henblik på at kontakte klageren telefonisk for at få præciseret en anmodning om aktindsigt, som han havde fremsat den 29. maj 2003. Det fundne telefonnummer blev registreret i Repræsentationens register under klagerens navn. Telefonnummeret viste sig imidlertid at være forkert. Repræsentationen fandt dernæst det korrekte nummer i en klage fra klageren, som Den Europæiske Ombudsmand havde videresendt til Europa-Kommissionen. Efter at have fundet det korrekte nummer ringede Repræsentationen til klageren den 10. juni 2003. Efter samtalen med klageren, som tilsyneladende har udtrykt ønske om ikke at blive kontaktet telefonisk, slettede Repræsentationen det forkerte telefonnummer fra sit register. Hvad angår det korrekte telefonnummer, hvormed Repræsentationen kontaktede klageren den 10. juni 2003, viser det sig, at dette nummer aldrig blev indført i Repræsentationens register. Denne del af nærværende sag vedrører derfor kun Repræsentationens håndtering af det forkerte telefonnummer.

2.5 Det står klart, at Repræsentationen i henhold til forordning nr. 45/2001 har indsamlet oplysninger (det forkerte telefonnummer) fra en anden kilde end klageren (onlinedatabasen) og behandlet disse oplysninger (ved at registrere dem). At telefonnummeret efterfølgende viste sig at være forkert, ændrer ikke på dets status som oplysninger om klageren, da det blev fundet og registreret under hans navn. Formelt var det derfor ikke i overensstemmelse med forordning nr. 45/2001 ikke at oplyse klageren i henhold til artikel 12 i forordningen. Det fremgår imidlertid tydeligt af Kommissionens udtalelse, at Repræsentationen ringede til klageren i hans egen interesse for at få præciseret en anmodning om dokumenter, som han havde fremsat kort forinden. Da klageren oplyste Repræsentationen om, at han ikke ønskede at blive kontaktet telefonisk, slettede Repræsentationen på behørig vis det forkerte telefonnummer fra sit register. Repræsentationen synes derfor at have taget fornuftige skridt til at varetage klagerens interesser. Under disse omstændigheder finder Ombudsmanden, at det ikke er nødvendigt at undersøge denne del af klagen yderligere. Det står imidlertid klageren frit for at kontakte Den Europæiske Tilsynsførende for Databeskyttelse, hvis han ønsker dennes vurdering(13).

2.6 Hvad angår klagerens synspunkt om, at Kommissionens Repræsentation overtrådte artikel 13 i forordning nr. 45/2001, bemærker Ombudsmanden, at artiklen fastslår følgende:

"Ret til indsigt
Den registrerede har indtil tre måneder efter modtagelsen af anmodningen til enhver tid ret til hos den registeransvarlige uden begrænsning og vederlagsfrit at få oplyst:
a) om personoplysninger vedrørende den pågældende selv behandles eller ikke behandles
b) i det mindste hvad formålene med behandlingen er, hvilken type personoplysninger der er tale om, og hvilke modtagere eller kategorier af modtagere de videregives til
c) i letforståelig form, hvilke personoplysninger der er genstand for behandling, og alle foreliggende informationer om, hvor de stammer fra
d) hvilket logisk system der ligger til grund for enhver edb-baseret behandling af personoplysninger vedrørende den pågældende selv."

2.7 Ifølge klageren gav Repræsentationen ham ikke letforståelige oplysninger og overtrådte dermed artikel 13 i forordning nr. 45/2001. I denne bestemmelse fastsættes de kategorier af oplysninger, som den pågældende registrerede har ret til, f.eks. hvilke oplysninger der behandles, hvor de stammer fra og deres eventuelle modtagere. Ombudsmanden mener, at det er god forvaltningsskik at sikre, at de oplysninger, der gives i den forbindelse, er korrekte og letforståelige.

2.8 Med henblik på at undersøge klagerens påstand finder Ombudsmanden det hensigtsmæssigt at undersøge al korrespondance mellem klageren og Repræsentationen.

- Den 10. juni 2003 ringede Repræsentationen til klageren i forbindelse med en anmodning om aktindsigt. Samme dag anmodede klageren Repræsentationen om at oplyse ham om, hvordan den havde fået kendskab til hans telefonnummer. Repræsentationen oplyste ham den 13. juni 2003 om, at telefonnummeret "har De anført på Deres klage sendt til den Europæiske Ombudsmand."

- Den 14. juni 2003 anmodede klageren Repræsentationen om alle oplysninger om dens behandling af personoplysninger om ham. Hans anmodning blev fremsat i henhold til den danske persondatalov, der gennemfører direktiv 95/46/EF, og som stort set indeholder de samme krav som dem, der er fastsat i den ovenfor citerede artikel 13 i forordning nr. 45/2001. Den 1. juli 2003 informerede Repræsentationen klageren som følger: "Som supplement til mit brev til Dem af 13 juni 2003, J nr. 150603, kan jeg vedlægge udskrift af skærmbillede fra vores Registreringssystem af indgående & udgående post. Som De kan se er De oprettet som "Privat Person fra [by] i Danmark" med Adressen "[adresse]". Deres navn er anført som "[navn]". Seneste opdatering er dags dato (01/07/2003) hvor skærmbilledet er udskrevet. Europa Kommissionens Repræsentation i Danmark har ikke registreret yderligere personoplysninger på Dem." (Fremhævelse tilføjet)

- Senere, efter klagerens klage til Datatilsynet, oplyste Repræsentationen i sit brev af 27. august 2003 klageren om, at "oplysningerne i journalsystemet stammer fra korrespondance fra Dem selv. Dog har vi for at komme i kontakt med Dem søgt et telefonnummer på TDC's internetservice. Dette nummer, der i øvrigt viste sig ikke at være korrekt, har været optaget i vores journalsystem, men er senere blevet slettet." (Fremhævelse tilføjet)

2.9 Det fremgår af ovenstående, at Kommissionens Repræsentation i sit brev af 13. juni 2003 ikke oplyste klageren om, hvorvidt det telefonnummer, som den benyttede til at kontakte ham den 10. juni 2003, faktisk var blevet registreret. Det var først i sin udtalelse forelagt i forbindelse med nærværende undersøgelse, at Kommissionen gjorde det klart, at dette telefonnummer ikke var blevet registreret. Det fremgår endvidere, at Repræsentationen, da den i sit brev af 27. august 2003 oplyste klageren om det forkerte telefonnummer, der var registreret under hans navn og senere slettet, ikke oplyste, hvornår nummeret var registreret, og hvornår det var slettet. Endvidere fremgår det tydeligt af Repræsentationens brev af 27. august 2003, at dens brev af 1. juli 2003, hvor den erklærede, at "Europa Kommissionens Repræsentation i Danmark har ikke registreret yderligere personoplysninger på Dem", var ukorrekt, eftersom det forkerte telefonnummer, der havde været registreret, ikke var nævnt i brevet. På grundlag af disse undersøgelsesresultater finder Ombudsmanden, at Repræsentationen ikke gav korrekte og letforståelige oplysninger i overensstemmelse med artikel 13 i forordning nr. 45/2001. Dette er et tilfælde af fejl eller forsømmelser, og Ombudsmanden fremsætter den kritiske bemærkning, der er anført nedenfor.

2.10 Hvad angår klagerens bemærkninger om den mulige indbyrdes uoverensstemmelse mellem de breve, som Repræsentationen sendte til henholdsvis ham og Datatilsynet den 27. august 2003, mener Ombudsmanden ikke, at det er nødvendigt at undersøge denne sag yderligere i lyset af ovenstående resultater.

3 Konklusion

På baggrund af Ombudsmandens undersøgelser af denne klage er det påkrævet at fremsætte følgende kritiske bemærkning:

I artikel 13 i forordning nr. 45/2001 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne fastsættes de kategorier af oplysninger, som den pågældende registrerede har ret til, f.eks. hvilke oplysninger der behandles, hvor de stammer fra og deres eventuelle modtagere. Ombudsmanden mener, at det er god forvaltningsskik at sikre, at de oplysninger, der gives i den forbindelse, er korrekte og letforståelige.

I nærværende sag oplyste Kommissionens Repræsentation i sit brev af 13. juni 2003 ikke klageren om, hvorvidt det telefonnummer, som den benyttede til at kontakte ham den 10. juni 2003, faktisk var blevet registreret eller ej. Det var først i sin udtalelse forelagt i forbindelse med nærværende undersøgelse, at Kommissionen gjorde det klart, at dette telefonnummer ikke var blevet registreret. Det fremgår endvidere, at Repræsentationen, da den i sit brev af 27. august 2003 oplyste klageren om det forkerte telefonnummer, der var registreret under hans navn og senere slettet, ikke oplyste, hvornår nummeret var registreret, og hvornår det var slettet. Endvidere fremgår det tydeligt af Repræsentationens brev af 27. august 2003, at dens brev af 1. juli 2003, hvor den erklærede, at "Europa Kommissionens Repræsentation i Danmark har ikke registreret yderligere personoplysninger på Dem", var ukorrekt, eftersom det forkerte telefonnummer, der havde været registreret, ikke var nævnt i brevet. På baggrund af disse resultater finder Ombudsmanden, at Repræsentationen ikke gav korrekte og letforståelige oplysninger i overensstemmelse med artikel 13 i forordning nr. 45/2001. Dette er et tilfælde af fejl eller forsømmelser.

Hvad angår muligheden for at foreslå en mindelig løsning(14), mener Ombudsmanden, at selv om Kommissionen ikke gav korrekte og letforståelige oplysninger i henhold til artikel 13 i forordning nr. 45/2001, da klageren anmodede om sådanne oplysninger i 2003, har Kommissionen givet disse oplysninger i sin udtalelse om nærværende klage. Han bemærker endvidere, at Kommissionen har forklaret, at det af tekniske årsager ikke er muligt at give klageren en kopi af de oplysninger, der oprindeligt var registreret og efterfølgende slettet. Under disse omstændigheder mener Ombudsmanden, at det ikke er relevant at forsøge at finde en mindelig løsning.

Hvad angår Ombudsmandens undersøgelser af klagerens påstand om, at artikel 12 i forordning nr. 45/2001 blev overtrådt, mener Ombudsmanden, at ingen yderligere undersøgelser er nødvendige.

Ombudsmanden afslutter derfor sagen.

Formanden for Europa-Kommissionen vil ligeledes blive underrettet om denne afgørelse. Det samme gælder Den Europæiske Tilsynsførende for Databeskyttelse.

Med venlig hilsen

 

P. Nikiforos DIAMANDOUROS

---

(1) EFT 1995 L 281, s. 31.

(2) Artikel 12 a) lyder som følger:
Ret til indsigt
Medlemsstaterne sikrer enhver registreret ret til hos den registeransvarlige:
a) frit og uhindret, med rimelige mellemrum og uden større ventetid eller større udgifter
- at få oplyst, om der behandles personoplysninger om den pågældende selv, samt mindst formålene med behandlingen, hvilken type oplysninger det drejer sig om, og modtagerne eller kategorierne af modtagere af oplysningerne
- at få meddelt letforståelig information om, hvilke oplysninger der er omfattet af behandlingerne, samt enhver tilgængelig information om, hvorfra disse oplysninger stammer
- at få at vide, hvilken logik der ligger bag edb-behandlingen af oplysningerne om den pågældende, i det mindste i forbindelse med edb-baserede afgørelser som omhandlet i artikel 15, stk. 1.

(3) Det fremgår af Kommissionens udtalelse (resumeret nedenfor), at klageren blev kontaktet for at få præciseret en anmodning om aktindsigt, som han havde sendt til Kommissionen kort forinden.

(4) Klageren havde forinden været i kontakt med Kommissionens Repræsentation vedrørende muligheden for at få råd om fællesskabslovgivningen. Denne kontakt gav anledning til klage 5/2003/(PB)BB til Den Europæiske Ombudsmand.

(5) Det fremgår af journalnummeret, at det brev, der refereres til her, er det, der blev sendt til klageren den 1. juli 2003 (se ovenfor).

(6) EFT 2001 L 8, s. 1.

(7) Artikel 12
Oplysningspligt, når personoplysningerne ikke er indsamlet hos den registrerede
1. Når personoplysningerne ikke er indsamlet hos den registrerede, skal den registeransvarlige ved registreringen af personoplysningerne eller, hvis personoplysningerne påtænkes videregivet til tredjemand, senest når personoplysningerne første gang videregives, give den registrerede mindst følgende informationer, medmindre den pågældende i forvejen er bekendt hermed:
a) den registeransvarliges identitet
b) formålene med behandlingen
c) hvilken type personoplysninger der er tale om
d) modtagerne eller kategorierne af modtagere
e) retten til indsigt i og til berigtigelse af personoplysninger vedrørende den registrerede selv
f) alle yderligere informationer f.eks.:
i) retsgrundlaget for den behandling, hvortil personoplysningerne er bestemt
ii) tidsfristerne for opbevaring af personoplysningerne
iii) retten, til enhver tid, at rette henvendelse til den europæiske tilsynsførende for databeskyttelse
iv) hvor personoplysningerne stammer fra, medmindre den registeransvarlige ikke kan oplyse herom på grund af tavshedspligt
for så vidt disse yderligere informationer er nødvendige under hensyntagen til de konkrete omstændigheder, hvorunder personoplysningerne indsamles, for at garantere en loyal behandling af personoplysningerne i forhold til den registrerede
2. 2. Bestemmelserne i stk. 1 finder ikke anvendelse, hvis det, navnlig i forbindelse med behandling til statistiske formål eller med henblik på historisk eller videnskabelig forskning viser sig umuligt eller kræver en uforholdsmæssig stor indsats at give den registrerede disse informationer, eller hvis registreringen eller videregivelsen af personoplysningerne er udtrykkeligt hjemlet i fællesskabsretten. I så fald yder fællesskabsinstitutionen eller -organet de fornødne garantier efter at have hørt den europæiske tilsynsførende for databeskyttelse.

(8) Artikel 13
Ret til indsigt
Den registrerede har indtil tre måneder efter modtagelsen af anmodningen til enhver tid ret til hos den registeransvarlige uden begrænsning og vederlagsfrit at få oplyst:
a) om personoplysninger vedrørende den pågældende selv behandles eller ikke behandles
b) i det mindste hvad formålene med behandlingen er, hvilken type personoplysninger der er tale om, og hvilke modtagere eller kategorier af modtagere de videregives til
c) i letforståelig form, hvilke personoplysninger der er genstand for behandling, og alle foreliggende informationer om, hvor de stammer fra
d) hvilket logisk system der ligger til grund for enhver edb-baseret behandling af personoplysninger vedrørende den pågældende selv.

(9) EFT 1995 L 281, s. 31.

(10) EFT 2001 L 8, s. 1.

(11) Da klagen er fortrolig, vil Den Europæiske Tilsynsførende for Databeskyttelse modtage en anonymiseret udgave af Ombudsmandens afgørelse. Denne udgave vil også blive offentliggjort på Ombudsmandens hjemmeside.

(12) EFT 2001 L 8, s. 1.

(13) Den Europæiske Tilsynsførende for Databeskyttelse, rue Wiertz 60, B-1047 Bruxelles, edps@edps.eu.int.

(14) Artikel 3, stk. 5, i Ombudsmandens statut lyder som følger: "Så vidt muligt forsøger ombudsmanden sammen med den berørte institution eller det berørte organ at finde en løsning, der kan bringe tilfælde af fejl eller forsømmelser til ophør og imødekomme klagen."