1. Въведение

В допълнение към обработването на лични данни на физически лица, които подават жалби, омбудсманът може, в зависимост от фактите по случая, да трябва да обработва лични данни във връзка с други физически лица („субекти на данни — трети страни“).

При получаване на жалба омбудсманът преценява дали предоставената информация съдържа лични данни на трети страни, т.е. информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано, различно от жалбоподателя.

Понятието „лични данни“ е много широко [1]. Например тя включва информация за самоличността и личните характеристики, изявления и мнения на дадено лице, както и за гражданското и трудовото му състояние [2].

Настоящата политика се отнася до начина, по който омбудсманът изпълнява задължението за информиране на субектите на данни относно обработването на техните лични данни в контекста на жалба или разследване, когато данните не са получени от тези субекти на данни. При изготвянето на настоящата политика омбудсманът взе предвид насоките на Европейския надзорен орган по защита на данните (ЕНОЗД)[3].

2. Задължение за информиране

Когато личните данни на субект на данни, който е трета страна, са включени в жалба или други документи, свързани с разследването, омбудсманът е длъжен да предостави на въпросното лице определена информация [4], а именно:

а) самоличността и данните за контакт на администратора, т.е. омбудсмана [5];

б) данните за контакт на длъжностното лице по защита на данните на омбудсмана;

в) целта на операцията по обработване (например разглеждане на жалба) и правното основание за обработването (например правилата, свързани с обработването на лични данни от институциите на ЕС [6] и/или статута на омбудсмана [7]);

г) съответните категории данни (например самоличността и трудовия статус на въпросното лице);

д) получателите на данните [8];

е) когато е приложимо, че омбудсманът възнамерява да предаде личните данни на трета държава или международна организация и наличието или липсата на решение на Комисията относно адекватното ниво на защита или на подходящи или подходящи гаранции и средствата за получаване на копие от тях или когато те са били предоставени; и

ж) следната допълнителна информация, необходима за гарантиране на добросъвестно и прозрачно обработване на личните данни на лицето:

i) сроковете за съхранение на съответните данни;

ii) факта, че лицето има право да поиска достъп до, коригиране, изтриване или ограничаване на обработването на неговите лични данни или право да възрази срещу обработването [9];

iii) правото на лицето да се обърне към ЕНОЗД, и

iv) произхода на данните (включително, ако е приложимо, публично достъпни източници).

3. Политиката

А - Извън мандата жалби

Ако омбудсманът установи, че жалба, съдържаща лични данни на трети страни, не попада в неговия мандат, той информира жалбоподателя за това и го съветва, когато е възможно, относно органа, който би могъл да разгледа жалбата. Когато жалбоподателят се е съгласил жалбата му да бъде прехвърлена, в случай че омбудсманът не е в състояние да я разгледа, омбудсманът препраща жалбата до компетентния орган (например национален омбудсман).

В такива случаи Омбудсманът не счита, че предоставянето на индивидуалната информация, посочена в точка 2 по-горе, е необходимо, тъй като i) целта, за която Омбудсманът обработва тези лични данни (оценка на това дали жалбата е в рамките на мандата на Омбудсмана и, ако не е, евентуално предаване на жалбата на друг орган), не изисква Омбудсманът да идентифицира субекта на данни, който е трета страна [10]; и ii) индивидуалното информиране на субектите на данни, които са трети страни, за факта, че Омбудсманът може да обработва данни, свързани с тях, дори ако е възможно, би довело до ненужно умножаване на лични данни и следователно би довело до непропорционално усилие [11].

Вместо това омбудсманът публикува информационна бележка на своя уебсайт, с която информира широката общественост, че може да обработва лични данни на лица, различни от жалбоподателя, в контекста на разглеждането на жалби. Настоящата бележка включва връзка към тази политика и към декларация за обработването на лични данни в контекста на разглеждането на жалби и проверки от омбудсмана. Настоящата бележка, настоящата политика и декларацията се считат за достатъчни, за да предоставят цялата необходима информация на лицата, с чиито лични данни омбудсманът може да борави [12], и да им позволят да поискат достъп, коригиране, заличаване и ограничаване на обработването на техните лични данни, ако желаят това [13].

Б - В рамките на мандата, но недопустими и допустими няма основания за жалби

В горепосочените случаи Омбудсманът не счита, че предоставянето на индивидуална информация, посочена в точка 2 по-горе, е необходимо, тъй като индивидуалното информиране на субектите на данни — трети страни, за факта, че Омбудсманът може да обработва свързани с тях данни, дори ако е възможно, би довело до ненужно увеличаване на броя на личните данни, което, като се имат предвид ограничените действия, а именно липсата на прехвърляне на жалбата извън службата на Омбудсмана, би довело до несъразмерно големи усилия [14].

Информационната бележка, публикувана на уебсайта на омбудсмана, и настоящата политика и декларацията се считат за достатъчни, за да предоставят цялата необходима информация на лицата, с чиито лични данни омбудсманът може да борави [15], и да им позволят да поискат достъп, коригиране, заличаване и ограничаване на обработването на техните лични данни, ако желаят това [16].

C — Разследвания

В горепосочените случаи омбудсманът трябва първо да реши дали данните, свързани с трети страни, са от значение за предмета на проверката. Един от начините за това е да се провери дали омбудсманът би разгледал разследването по различен начин, ако субектът на данни, който е трета страна, не беше споменат или идентифициран в досието по разследването.

Релевантни данни биха могли да бъдат например данните относно предишния професионален опит на длъжностното лице на Съюза, което е член на конкурсна комисия, за която се твърди, че е в конфликт на интереси. Неотносими данни биха могли да бъдат например данните, свързани със семейното положение на това длъжностно лице на ЕС. Други неуместни данни, които е вероятно да бъдат събрани по време на разследването на Омбудсмана по чисто инцидентен начин, са например имената на други длъжностни лица на ЕС, посочени в решенията и документите на съответната институция, събрани по време на разследването на Омбудсмана.

Решението относно релевантността на тези данни и свързания с тях анализ ще бъде изложено в резюмето, което се регистрира в съответното досие на деловодната система на омбудсмана (CMS).

Неотносими данни

В случаите, когато данните не са от значение за предмета на проверката, омбудсманът не счита, че се изисква предоставянето на индивидуална информация на третата страна, тъй като i) тъй като данните не са от значение, целта, за която омбудсманът обработва тези лични данни (разглеждане на жалбата/разследването), не изисква омбудсманът да идентифицира субектите на данни, които са трети страни [17]; и ii) информирането на тези субекти на данни, които са трети страни, поотделно, дори ако е възможно, би довело до ненужно умножаване на личните данни и би довело до непропорционални усилия, като се има предвид фактът, че омбудсманът не използва въпросните данни в контекста на своето разследване [18]. Очевидно ирелевантните данни, включени в текста на жалбата, няма да бъдат допълнително обработвани от омбудсмана [19].

Информационната бележка, публикувана на уебсайта на омбудсмана, настоящата политика и декларацията се считат за достатъчни, за да предоставят цялата необходима информация на лицата, с чиито лични данни омбудсманът може да борави [20], и да им позволят да поискат достъп, коригиране, заличаване и ограничаване на обработването на техните лични данни, ако желаят това [21].

Съответни данни

Ако данните са от значение, омбудсманът обмисля да предостави информацията по точка 2 по-горе на субекта на данни, който е трета страна.

Ако обаче оценката на жалбата позволява да се заключи, че третата страна субект на данни вече разполага с информацията (когато например длъжностното лице на ЕС, за което се твърди, че има конфликт на интереси, разполага с пълно копие на жалбата и придружаващите документи)[22] или че предоставянето на информацията е невъзможно или изисква несъразмерно големи усилия (когато например въпросното лице междувременно е напуснало службата и не може да бъде проследено)[23], омбудсманът записва подробната оценка, водеща до това заключение, в резюмето на случая в системата за управление на случаите и бележката, публикувана на уебсайта на омбудсмана, заедно с настоящата политика и декларация, се считат за достатъчни, за да предоставят необходимата информация на лицата, чиито лични данни омбудсманът може да обработва [24], и да им позволят да поискат достъп, коригиране, заличаване и ограничаване на обработването на техните лични данни, ако желаят това [25].

В случаите, когато субектът на данни, който е трета страна, не разполага с информацията и когато информирането му е възможно и не изисква непропорционални усилия, омбудсманът проверява дали информирането на субекта на данни, който е трета страна, има вероятност да направи невъзможно или сериозно да затрудни постигането на целите на това обработване, а именно надлежно разследване и вземане на решение относно евентуално лошо администриране в дейностите на институциите, органите, службите или агенциите на ЕС след упражняване на основно право (жалба до омбудсмана) или по собствена инициатива на омбудсмана [26].

Такъв би бил случаят, ако например субектът на данни — трета страна, е в състояние да повлияе на разследването: например чрез укриване на важни доказателства или чрез ответни действия с цел отмъщение срещу жалбоподателя за това, че е упражнил основно право (да подаде жалба до омбудсмана), като това оказва въздействие върху разследването (например жалбоподателят вече не желае да участва в разследването).

Ако след горния анализ омбудсманът стигне до заключението, че предоставянето на информация на субекта на данни, който е трета страна, има вероятност да направи невъзможно или сериозно да накърни разследването и способността на омбудсмана да вземе решение по твърденията за лошо администриране, оценката и последващото заключение ще бъдат записани в досието по случая в CMS. Бележката, публикувана на уебсайта на омбудсмана, заедно с настоящата политика и изявление, се считат за достатъчни, за да предоставят необходимата информация на лицата, с чиито лични данни омбудсманът може да борави в такива изключителни случаи [27], и да им позволят да поискат достъп, коригиране, заличаване и ограничаване на обработването на техните лични данни, ако желаят това [28].

Ако, напротив, омбудсманът стигне до заключението, че предоставянето на информация на субекта на данни, който е трета страна, няма вероятност да направи невъзможно или сериозно да затрудни разследването и способността на омбудсмана да вземе решение по твърденията за лошо администриране, той предоставя на субекта на данни, който е трета страна, информацията, посочена в точка 2 по-горе, веднага след като приключи разглеждането на жалбата и институцията бъде информирана [29].

4. Мнения в отговор на обществените консултации на Омбудсмана

Принципите, изложени в настоящата политика, се прилагат и за всички лични данни, получени в контекста на обществените консултации на омбудсмана.

 

Емили О'Райли

Страсбург, 16.7.2019 г.

 

[1] Член 3, параграф 1 от Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета от 23 октомври 2018 година относно защитата на физическите лица във връзка с обработването на лични данни от институциите, органите, службите и агенциите на Съюза и относно свободното движение на такива данни и за отмяна на Регламент (ЕО) No 45/2001 и Решение No 1247/2002/ЕО, ОВ L 295, 2018 г., стр. 39: „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице“.

[2] За подробен анализ на понятието „лични данни“ вж. становище 4/2007 на Работната група за защита на личните данни по член 29, достъпно тук: http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2007/wp136_en.pdf

[3] https://secure.edps.europa.eu/EDPSWEB/

[4] Член 16, параграфи 1 и 2 от Регламент 2018/1725.

[5] Член 3, точка 8 от Регламент 2018/1725: „администратор“означава институцията или органът на Съюза, или генералната дирекция, или всяка друга организационна структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от конкретен акт на Съюза, администраторът или специалните критерии за неговото определяне могат да бъдат предвидени в правото на Съюза.“.

[6] Член 5 от Регламент 2018/1725.

[7] Решение на Европейския парламент от 9 март 1994 година относно правилата и общите условия за изпълнението на функциите на омбудсмана (94/262/ЕОВС, ЕО, Евратом) (ОВ L 113, 1994 г., стр. 15), изменено с решения от 14 март 2002 г. (ОВ L 92, 2002 г., стр. 13) и от 18 юни 2008 г. (ОВ L 189, 2008 г., стр. 25).

[8] Член 3, точка 13 от Регламент 2018/1725: „получател“означава физическо или юридическо лице, публичен орган, агенция или друга структура, пред която се разкриват личните данни, независимо дали е трета страна или не. Въпреки това публичните органи, които могат да получават лични данни в рамките на конкретно разследване в съответствие с правото на Съюза или правото на държава членка, не се считат за получатели; обработването на тези данни от тези публични органи е в съответствие с приложимите правила за защита на данните в зависимост от целите на обработването“.

[9] Членове 17—20 и 23 от Регламент 2018/1725.

[10] Член 12, параграф 1 от Регламент 2018/1725: „Ако за целите, за които администратор обработва лични данни, не се изисква или вече не се изисква администраторът да идентифицира даден субект на данни, администраторът не е задължен да поддържа, придобива или обработва допълнителна информация, за да идентифицира субекта на данни единствено с цел спазване на настоящия регламент“.

[11] Член 16, параграф 5, буква б) от Регламент 2018/1725:„Параграфи 1—4 не се прилагат, когато и доколкото:... предоставянето на такава информация се окаже невъзможно или би изисквало несъразмерно големи усилия...“

[12] Член 16, параграф 6 от Регламент 2018/1725: „В случаите, посочени в параграф 5, буква б), администраторът предприема подходящи мерки за защита на правата и свободите и законните интереси на субекта на данните, включително като предоставя публичен достъп до информацията“.

[13] Член 12, параграф 2 от Регламент 2018/1725: „Когато в случаите, посочени в параграф 1 от настоящия член, администраторът е в състояние да докаже, че не е в състояние да идентифицира субекта на данните, администраторът информира субекта на данните за това, ако е възможно. В такива случаи членове 17—22 не се прилагат, освен когато субектът на данни, с цел упражняване на правата си по тези членове, предостави допълнителна информация, позволяваща идентифицирането му“. Такъв би могъл да бъде случаят например, когато субект на данни — трета страна, поиска достъп до своите лични данни, обработвани от омбудсмана, и след търсене в деловодната система (CMS) на омбудсмана, омбудсманът го информира, че неговите данни не могат да бъдат намерени. Ако обаче субектът на данни впоследствие предостави допълнителна информация, като например номера на жалбата или името на жалбоподателя, това може да позволи идентифицирането му в досиетата на омбудсмана и той да вземе решение по искането.

[14] Член 16, параграф 5, буква б) от Регламент 2018/1725.

[15] Член 16, параграф 6 от Регламент 2018/1725.

[16] Член 12, параграф 2 от Регламент 2018/1725. Вж. бележка под линия 13 по-горе.

[17] Член 12, параграф 1 от Регламент 2018/1725

[18] Член 16, параграф 5, буква б) от Регламент 2018/1725.

[19] Възможно е обаче данните, които на ранен етап не могат да се считат за релевантни за предмета на разследването, в крайна сметка да могат да се използват за целите на разследването и да окажат въздействие върху неговия резултат.

[20] Член 16, параграф 6 от Регламент 2018/1725.

[21] Член 12, параграф 2 от Регламент 2018/1725. Вж. бележка под линия 13 по-горе.

[22] Член 16, параграф 5, буква а) от Регламент 2018/1725: „Параграфи 1—4 не се прилагат, когато и доколкото:...  субектът на данните вече разполага с информацията...“

[23] Член 16, параграф 5, буква б) от Регламент 2018/1725: „Параграфи 1—4 не се прилагат, когато и доколкото:... предоставянето на такава информация се окаже невъзможно или би изисквало несъразмерно големи усилия...“

[24] Член 16, параграф 6 от Регламент 2018/1725.

[25] Член 12, параграф 2 от Регламент 2018/1725. Вж. бележка под линия 13 по-горе.

[26] Член 16, параграф 5, буква б) от Регламент 2018/1725: „Параграфи 1—4 не се прилагат, когато и доколкото: [...] съществува вероятност задължението, посочено в параграф 1 от настоящия член, да направи невъзможно или сериозно да затрудни постигането на целите на това обработване...“

[27] Член 16, параграф 6 от Регламент 2018/1725.

[28] Член 12, параграф 2 от Регламент 2018/1725. Вж. бележка под линия 13 по-горе.

[29] Член 16, параграф 3 от Регламент 2018/1725: „Администраторът предоставя информацията, посочена в параграфи 1 и 2:... в) ако се предвижда разкриване пред друг получател, най-късно при първото разкриване на личните данни.“