Antecedentes de la denuncia

1. Una de las tareas de la Oficina Europea de Lucha contra el Fraude (OLAF) es llevar a cabo investigaciones administrativas independientes sobre las faltas graves cometidas por el personal y los miembros de las instituciones de la UE. Tras sus investigaciones, la OLAF puede formular recomendaciones sobre las medidas que debe adoptar la institución de la UE de que se trate, incluidas «recomendaciones disciplinarias» destinadas a sancionar cualquier irregularidad cometida por el personal y los miembros de las instituciones de la UE [1]. Mediante su informe anual, la OLAF informa al público sobre el número de recomendaciones disciplinarias que ha formulado a las instituciones de la UE de que se trate en un período determinado y sobre si las instituciones han dado seguimiento a las mismas [2].

2. El denunciante, periodista, quería saber más sobre las conclusiones de la OLAF y las decisiones de seguimiento de las instituciones de la UE en el período comprendido entre 2015 y 2023. A tal fin, presentó varias solicitudes [3] de acceso público a documentos a las instituciones pertinentes de la UE, entre ellas, en junio de 2024, a la Agencia de la Unión Europea para la Ciberseguridad (ENISA), solicitando:

Informe(s) final(es) y recomendaciones (y documentos relacionados) de la OLAF, y

· los informes finales emitidos por ENISA sobre las medidas disciplinarias de seguimiento que había adoptado.

3. Entre 2015 y 2023, la OLAF había llevado a cabo una investigación relativa a un miembro del personal de ENISA sobre la base de la cual había formulado dos recomendaciones a ENISA.

4. La ENISA se negó a dar acceso público al informe de la OLAF «y a la información conexa», basándose en la necesidad de proteger los datos personales de la persona afectada por la investigación de la OLAF y de otras personas.[4] La ENISA no incluyó en la lista los documentos que había identificado como incluidos en el ámbito de aplicación de la solicitud de acceso del reclamante.

5. El denunciante impugnó la decisión de ENISA de denegar el acceso (mediante una «solicitud confirmatoria»). No impugnó la expurgación de datos personales de personas distintas de la persona afectada por la investigación de la OLAF.

6. En su respuesta, la ENISA mantuvo su postura de que no podía concederse acceso público a los documentos controvertidos, ya que la divulgación de los documentos, incluso en parte, menoscabaría la protección de los datos personales.

7. Insatisfecho con este resultado, el demandante recurrió al Defensor del Pueblo.

La investigación

8. La Defensora del Pueblo inició una investigación sobre la decisión de ENISA de denegar el acceso público a los documentos controvertidos en la medida en que no constituyen datos personales de personas distintas de la persona afectada por la investigación de la OLAF.

9. En el curso de la investigación, la Defensora del Pueblo recibió la respuesta de ENISA sobre la reclamación, incluida información confidencial. El equipo de investigación del Defensor del Pueblo también celebró una reunión con un representante de ENISA e inspeccionó los documentos en cuestión, es decir,

1) el informe final de la OLAF y sus anexos,

2) dos recomendaciones formuladas por la OLAF, y

3) tres documentos relacionados con el seguimiento de ENISA,

así como documentos relacionados.

Propuesta de solución del Defensor del Pueblo

10. A la luz del amplio alcance del concepto de «datos personales», el Defensor del Pueblo consideró que era razonable que ENISA considerara que «identificadores como el nombre» de la persona afectada en la investigación de la OLAF, así como determinada información operativa relacionada con esta persona, están cubiertos por este concepto.

11. El Defensor del Pueblo también constató que el reclamante no había establecido la necesidad de divulgar los datos personales en cuestión, tal como exige la legislación de la Unión en materia de protección de datos [Reglamento (UE) 2018/1725 [5]]. Por consiguiente, el Defensor del Pueblo llegó a la conclusión de que la ENISA estaba justificada para retener cualquier dato personal contenido en los documentos controvertidos.

12. Sin embargo, sobre la base de la inspección de los documentos por parte del equipo de investigación del Defensor del Pueblo y de la información facilitada por la ENISA, el Defensor del Pueblo no estaba convencido de que los documentos constituyan datos personales en su totalidad. El Defensor del Pueblo cuestionó, por ejemplo, si la información relacionada con el tipo de conducta indebida constatada por la OLAF, así como el tipo de medidas de seguimiento adoptadas por la ENISA como tal, podían considerarse datos personales. Sobre la base de la información disponible, el Defensor del Pueblo consideró que, por sí solo, no era probable que esta información permitiera la identificación de la persona afectada.

13. En vista de ello, el Defensor del Pueblo presentó la siguiente propuesta de solución [6]:

La ENISA debe reconsiderar su decisión de denegar el acceso público con vistas a proporcionar un acceso parcial significativo a los documentos solicitados, protegiendo al mismo tiempo la privacidad y la integridad de las personas afectadas.

14. En respuesta a la propuesta de solución del Defensor del Pueblo, la ENISA llevó a cabo una nueva evaluación de los documentos controvertidos. Sobre esta base, la ENISA concluyó que, si concediera un acceso parcial, no podría proporcionar un nivel de anonimización que hiciera que los documentos fueran útiles para el reclamante y, al mismo tiempo, garantizara la protección de los datos personales.

15. Más concretamente, ENISA alegó que, por lo que se refiere al riesgo de identificación de las personas, deben tenerse en cuenta todos los medios razonables que puedan estar a disposición de terceros, como la información públicamente disponible o la información de que disponga un tercero, también debido a las relaciones profesionales o personales del tercero.[7] Por lo tanto, y teniendo en cuenta el contexto y la sensibilidad de la información contenida en los documentos, el pequeño tamaño de la Agencia en términos de personal y elementos confidenciales adicionales, ENISA concluyó que los documentos deben considerarse datos personales en su totalidad.

16. Así pues, tras su nueva evaluación, la ENISA sostuvo que no podía concederse acceso público a los documentos controvertidos. Sin embargo, la ENISA reveló que había adoptado medidas de seguimiento de las recomendaciones de la OLAF en cuestión.

17. Tras recibir la respuesta de ENISA a su propuesta de solución, la Defensora del Pueblo dio a la reclamante la oportunidad de comentar sus intercambios con ENISA.

18. En su respuesta, el denunciante alegó que la interpretación de ENISA del concepto de «datos personales» era demasiado amplia, alegando que tal comprensión de las normas de protección de datos impediría efectivamente cualquier divulgación de documentos de la OLAF. Por lo que se refiere a los documentos controvertidos, el denunciante cuestionó la opinión de ENISA de que era probable la identificación de personas si se divulgaba al público información sobre la naturaleza de la falta o sobre el seguimiento de ENISA.

Evaluación del Defensor del Pueblo tras la propuesta de solución

19. La Defensora del Pueblo toma nota de la voluntad de ENISA de reconsiderar su posición anterior sobre la solicitud de acceso, aceptando así su propuesta de solución.

20. Si bien la ENISA sostuvo que debe denegarse el acceso público a los documentos en su totalidad, la Defensora del Pueblo considera que esta posición es razonable sobre la base de la información adicional facilitada por la ENISA, incluidos los elementos confidenciales. Lamenta, sin embargo, que esta información no se haya facilitado al autor en una fase anterior.

21. El Defensor del Pueblo reconoce que una evaluación de si la información relacionada con una investigación de la OLAF sobre faltas de conducta del personal constituye datos personales en el sentido del Reglamento 2018/1725 es una tarea delicada que depende de las circunstancias específicas de cada caso. Para permitir el control público y garantizar la rendición de cuentas, deben esforzarse siempre por dar el acceso más amplio posible a los documentos que contengan datos personales en respuesta a una solicitud de acceso público a los documentos.

22. Cuando la institución de que se trate considere que no puede concederse acceso público o que solo puede concederse un acceso muy limitado, el Defensor del Pueblo considera que es una buena práctica administrativa tratar de abordar la solicitud de acceso facilitando información en su lugar.

23. Por lo tanto, el Defensor del Pueblo acoge con satisfacción que la ENISA haya revelado el hecho de que había hecho un seguimiento de las recomendaciones de la OLAF en este caso. Sobre la base de la inspección de los documentos realizada por el equipo de investigación de la Defensora del Pueblo, la Defensora del Pueblo puede confirmar que este fue efectivamente el caso.

24. Por último, la Defensora del Pueblo señala que ENISA no incluyó los documentos en cuestión en sus respuestas a la solicitud de acceso del reclamante. La Defensora del Pueblo ha considerado reiteradamente que facilitar listas de documentos identificados es una cuestión de buena administración, ya que facilita la comprensión por parte del solicitante de la decisión de la institución y la formulación de una solicitud de revisión, en caso necesario.[8] Si bien la ENISA acordó en el curso de la investigación de la Defensora del Pueblo incluir una lista de documentos identificados en el informe sobre la reunión en este caso, que se compartió con el reclamante, la Defensora del Pueblo formulará una sugerencia sobre la forma en que la ENISA tratará las futuras solicitudes de acceso público a los documentos.

Conclusión

Sobre la base de la investigación, la Defensora del Pueblo archiva este asunto con la siguiente conclusión:

La Agencia de la Unión Europea para la Ciberseguridad ha aceptado la propuesta de solución del Defensor del Pueblo.

Se informará de esta decisión al denunciante y a la ENISA.

Sugerencias de mejora

Como cuestión de buena administración, la Agencia de la Unión Europea para la Ciberseguridad debe facilitar una lista de los documentos que identifique cuando responda a una solicitud de acceso público a documentos en virtud del Reglamento (CE) n.o 1049/2001, a menos que la divulgación misma de una lista socave el interés o intereses que deben protegerse.

Teresa Anjinho

Defensor del Pueblo Europeo

Estrasburgo, 27.8.2025

[1] Para obtener más información, visite: https://anti-fraud.ec.europa.eu/about-us/what-we-do_en o https://anti-fraud.ec.europa.eu/investigations/internal-administrative-investigations_en.

[2] Véase, por ejemplo, el informe de la OLAF de 2021, página 52: https://anti-fraud.ec.europa.eu/document/download/8d92a187-fae8-449f-8600-e84af9b2dabf_en?filename=olaf-report-2021_en.pdf.

[3] En virtud del Reglamento (CE) n.o 1049/2001 relativo al acceso del público a los documentos del Parlamento Europeo, del Consejo y de la Comisión: http://data.europa.eu/eli/reg/2001/1049/oj aplicable a los documentos en poder de ENISA de conformidad con el artículo 28, apartado 1, del Reglamento (UE) 2019/881 relativo a ENISA y a la certificación de la ciberseguridad de las tecnologías de la información y la comunicación: https://eur-lex.europa.eu/eli/reg/2019/881/oj.

[4] De conformidad con el artículo 4, apartado 1, letra b), del Reglamento 1049/2001.

[5] Artículo 9, apartado 1, letra b), del Reglamento (UE) 2018/1725 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos: http://data.europa.eu/eli/reg/2018/1725/oj.

[6] Una versión expurgada de la propuesta de solución del Defensor del Pueblo puede consultarse en: https://www.ombudsman.europa.eu/solution/209060.

[7] ENISA se remitió a la sentencia del Tribunal de Justicia de 7 de marzo de 2024, OC/Comisión, C-479/22 P: https://curia.europa.eu/juris/document/document.jsf?text=&docid=283526&pageIndex=0&doclang=EN&mode=lst&dir=&occ=first&part=1&cid=7294278.

[8] Véase, por ejemplo, la propuesta de solución del Defensor del Pueblo en el asunto 1259/2024/NH sobre la forma en que la Agencia Europea de la Guardia de Fronteras y Costas (Frontex) tramitó una solicitud de acceso público a documentos relacionados con las orientaciones sobre retorno dirigidas a menores: https://www.ombudsman.europa.eu/es/solution/es/201607.