1. Indledning

Ud over at behandle personoplysninger om enkeltpersoner, der indgiver klager, kan Ombudsmanden afhængigt af sagens faktiske omstændigheder være nødt til at behandle personoplysninger i forbindelse med andre enkeltpersoner ("registrerede tredjeparter").

Efter modtagelse af en klage vurderer Ombudsmanden, om de fremlagte oplysninger indeholder personoplysninger om tredjeparter, dvs. oplysninger om en anden identificeret eller identificerbar fysisk person end klageren.

Begrebet personoplysninger er meget bredt [1]. Det omfatter f.eks. oplysninger om en persons identitet og personlige karakteristika, udtalelser og meninger samt civil- og beskæftigelsesstatus [2].

Den nuværende politik vedrører den måde, hvorpå Ombudsmanden gennemfører forpligtelsen til at underrette de registrerede om behandlingen af deres personoplysninger i forbindelse med en klage eller en undersøgelse, hvis oplysningerne ikke er indhentet fra disse registrerede. Ved udarbejdelsen af denne politik har Ombudsmanden taget hensyn til vejledningen fra Den Europæiske Tilsynsførende for Databeskyttelse (»EDPS«)[3].

2. Pligten til at underrette

Når en tredjeparts registreredes personoplysninger indgår i en klage eller andre undersøgelsesrelaterede dokumenter, har Ombudsmanden pligt til at give den pågældende person visse oplysninger [4], nemlig:

a) den registeransvarliges identitet og kontaktoplysninger, dvs. ombudsmanden [5]

b) kontaktoplysninger for Ombudsmandens databeskyttelsesansvarlige

c) formålet med behandlingen (f.eks. behandling af en klage) og retsgrundlaget for behandlingen (f.eks. reglerne for EU-institutionernes behandling af personoplysninger [6] og/eller Ombudsmandens statut [7])

d) de pågældende kategorier af oplysninger (f.eks. den pågældende persons identitet og beskæftigelsesstatus)

e) modtagerne af oplysningerne [8]

f) hvor det er relevant, at Ombudsmanden har til hensigt at overføre personoplysningerne til et tredjeland eller en international organisation, og hvorvidt Kommissionen har truffet en afgørelse om tilstrækkeligheden af beskyttelsesniveauet eller ikke har truffet passende eller passende garantier og midlerne til at få en kopi af dem, eller hvor de er blevet stillet til rådighed og

g) følgende yderligere oplysninger, der er nødvendige for at sikre en retfærdig og gennemsigtig behandling af personens personoplysninger:

i) tidsfristerne for lagring af de relevante data

ii) den pågældende har ret til at anmode om indsigt i, berigtigelse, sletning eller begrænsning af behandlingen af sine personoplysninger eller ret til at gøre indsigelse mod behandlingen [9]

iii) den pågældendes ret til at henvende sig til EDPS, og

iv) dataenes oprindelse (herunder, hvis det er relevant, offentligt tilgængelige kilder).

3. Politikken

A - Klager uden for mandatet

Hvis Ombudsmanden finder, at en klage, der indeholder personoplysninger om tredjeparter, ikke falder ind under hendes mandat, underretter hun klageren herom og rådgiver ham/hende, hvor det er muligt, om det organ, der kan behandle klagen. Hvis klageren har accepteret en overførsel af sin klage, hvis Ombudsmanden ikke er i stand til at behandle den, videresender Ombudsmanden klagen til det kompetente organ (f.eks. en national ombudsmand).

I sådanne tilfælde mener Ombudsmanden ikke, at det er nødvendigt at give de individuelle oplysninger, der er nævnt i punkt 2 ovenfor, fordi i) formålet med Ombudsmandens behandling af disse personoplysninger (vurdering af, om klagen ligger inden for Ombudsmandens mandat, og, hvis dette ikke er tilfældet, eventuel overførsel af klagen til et andet organ) ikke kræver, at Ombudsmanden identificerer den registrerede tredjepart [10], og ii) individuel underretning af tredjepartsregistrerede om, at Ombudsmanden kan behandle oplysninger om dem, selv om det er muligt, ville resultere i en unødvendig mangedobling af personoplysninger og derfor kræve en uforholdsmæssig stor indsats [11].

I stedet offentliggør Ombudsmanden en orienterende note på sit websted, der informerer offentligheden om, at hun kan behandle personoplysninger om andre personer end klagerens i forbindelse med sin behandling af klager. Dette notat indeholder et link til denne politik og til en erklæring om behandling af personoplysninger i forbindelse med Ombudsmandens behandling af klager og undersøgelser. Dette notat, denne politik og erklæringen anses for at være tilstrækkelige til at give alle relevante oplysninger til personer, hvis personoplysninger Ombudsmanden kan behandle [12], og til at give dem mulighed for at anmode om indsigt i, berigtigelse af, sletning af og begrænsning af behandlingen af deres personoplysninger, hvis de ønsker det [13].

B - Klager, der ikke opfylder betingelserne for behandling, men som ikke kan antages til realitetsbehandling

I ovennævnte tilfælde mener Ombudsmanden ikke, at det er nødvendigt at give de individuelle oplysninger, der er nævnt i punkt 2 ovenfor, fordi individuel underretning af tredjepartsregistrerede om, at Ombudsmanden kan behandle oplysninger om dem, selv om det er muligt, ville resultere i en unødvendig mangedobling af personoplysninger, hvilket i betragtning af de begrænsede foranstaltninger, der er tale om, nemlig at klagen ikke vil blive overført fra Ombudsmandens kontor, ville indebære en uforholdsmæssig stor indsats [14].

Den orienterende note, der er offentliggjort på Ombudsmandens websted, og denne politik og erklæringen anses for tilstrækkelige til at give alle relevante oplysninger til personer, hvis personoplysninger Ombudsmanden kan behandle [15], og til at give dem mulighed for at anmode om indsigt i, berigtigelse af, sletning af og begrænsning af behandlingen af deres personoplysninger, hvis de ønsker det [16].

C - Forespørgsler

I ovennævnte tilfælde skal Ombudsmanden først afgøre, om oplysningerne om tredjemand er relevante for undersøgelsens genstand eller ej. En måde at gøre dette på er at undersøge, om Ombudsmanden ville behandle undersøgelsen anderledes, hvis den registrerede tredjepart ikke var blevet nævnt eller identificeret i undersøgelsesdossieret.

Relevante oplysninger kan f.eks. være oplysninger om tidligere erhvervserfaring for den EU-tjenestemand, der er medlem af en udvælgelseskomité, og som angiveligt har en interessekonflikt. Urelevante data kan f.eks. være data vedrørende den pågældende EU-tjenestemands civilstand. Yderligere irrelevante oplysninger, der sandsynligvis vil blive indsamlet under Ombudsmandens undersøgelse på en rent tilfældig måde, er f.eks. navnene på andre EU-tjenestemænd, der er nævnt i den relevante institutions afgørelser, og dokumenter, der er indsamlet under Ombudsmandens undersøgelse.

Afgørelsen om relevansen af disse data og den underliggende analyse vil blive fastlagt i det resumé, der er registreret i de relevante sagsakter i Ombudsmandens sagsforvaltningssystem (CMS).

Urelevante oplysninger

I tilfælde, hvor oplysningerne er irrelevante for undersøgelsens genstand, mener Ombudsmanden ikke, at det er nødvendigt at give tredjeparten individuelle oplysninger, fordi i) formålet med Ombudsmandens behandling af disse personoplysninger (behandling af klagen/undersøgelsen) ikke kræver, at Ombudsmanden identificerer de tredjepartsregistrerede [17], da oplysningerne er irrelevante, og ii) individuel underretning af sådanne tredjepartsregistrerede, selv om det er muligt, ville medføre en unødvendig mangedobling af personoplysninger og indebære en uforholdsmæssig stor indsats i betragtning af, at Ombudsmanden ikke gør brug af de pågældende oplysninger i forbindelse med sin undersøgelse [18]. Åbenbart irrelevante oplysninger i klagens tekst vil ikke blive behandlet yderligere af Ombudsmanden [19].

Den orienterende note, der er offentliggjort på Ombudsmandens websted, denne politik og erklæringen anses for tilstrækkelige til at give alle relevante oplysninger til personer, hvis personoplysninger Ombudsmanden kan behandle [20], og til at give dem mulighed for at anmode om indsigt i, berigtigelse af, sletning af og begrænsning af behandlingen af deres personoplysninger, hvis de ønsker det [21].

Relevante oplysninger

Hvis oplysningerne er relevante, overvejer Ombudsmanden at give oplysningerne i punkt 2 ovenfor til den registrerede tredjepart.

Hvis vurderingen af klagen imidlertid gør det muligt at konkludere, at den registrerede tredjepart allerede har oplysningerne (når f.eks. den EU-tjenestemand, der hævdes at have en interessekonflikt, har en fuldstændig kopi af klagen og bilagene)[22], eller at det er umuligt eller uforholdsmæssigt vanskeligt at give oplysningerne (når f.eks. den pågældende person i mellemtiden har forladt tjenesten og ikke kan spores)[23], registrerer Ombudsmanden den detaljerede vurdering, der fører til denne konklusion, i sagsresuméet i CMS, og det notat, der er offentliggjort på Ombudsmandens websted, sammen med denne politik og erklæring anses for tilstrækkeligt til at give de nødvendige oplysninger til personer, hvis personoplysninger Ombudsmanden kan behandle [24], og til at give dem mulighed for at anmode om indsigt i, berigtigelse, sletning og begrænsning af behandlingen af deres personoplysninger, hvis de ønsker det [25].

I tilfælde, hvor den registrerede tredjepart ikke er i besiddelse af oplysningerne, og hvor det er muligt at underrette den pågældende og ikke indebærer en uforholdsmæssig stor indsats, undersøger Ombudsmanden, om underretning af den registrerede tredjepart sandsynligvis vil gøre det umuligt eller i alvorlig grad hindre opfyldelsen af formålene med denne behandling, nemlig at foretage en grundig undersøgelse af og træffe afgørelse om mulige fejl eller forsømmelser i forbindelse med handlinger foretaget af EU's institutioner, organer, kontorer eller agenturer som følge af udøvelsen af en grundlæggende rettighed (en klage til Ombudsmanden) eller på Ombudsmandens eget initiativ [26].

Dette ville f.eks. være tilfældet, hvis den registrerede tredjepart var i stand til at påvirke undersøgelsen: f.eks. ved at skjule vigtige beviser eller ved at gengælde klageren for at have udøvet en grundlæggende rettighed (at klage til Ombudsmanden), hvilket har indvirkning på undersøgelsen (f.eks. fordi klageren ikke længere er villig til at bidrage til undersøgelsen).

Hvis Ombudsmanden efter ovenstående analyse konkluderer, at videregivelsen af oplysninger til den registrerede tredjepart sandsynligvis vil gøre det umuligt eller i alvorlig grad forringe undersøgelsen og Ombudsmandens evne til at træffe en afgørelse om påstandene om fejl eller forsømmelser, vil vurderingen og den deraf følgende konklusion blive registreret i sagsakterne i CMS. Det notat, der er offentliggjort på Ombudsmandens websted, anses sammen med denne politik og erklæring for at være tilstrækkeligt til at give de nødvendige oplysninger til personer, hvis personoplysninger Ombudsmanden kan behandle i sådanne ekstraordinære tilfælde [27], og til at give dem mulighed for at anmode om indsigt i, berigtigelse af, sletning af og begrænsning af behandlingen af deres personoplysninger, hvis de ønsker det [28].

Hvis Ombudsmanden derimod konkluderer, at videregivelsen af oplysninger til den registrerede tredjepart sandsynligvis ikke vil gøre det umuligt eller i alvorlig grad forringe undersøgelsen og Ombudsmandens evne til at træffe afgørelse om påstandene om fejl eller forsømmelser, giver han/hun den registrerede tredjepart de oplysninger, der er anført i punkt 2 ovenfor, så snart behandlingen af klagen er afsluttet, og institutionen underrettes [29].

4. Bidrag som svar på Ombudsmandens offentlige høringer

Principperne i denne politik gælder også for alle personoplysninger, der modtages i forbindelse med Ombudsmandens offentlige høringer.

 

Emily O'Reilly

Strasbourg, den 16.7.2019

 

[1] Artikel 3, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (EUT 2018, L 295, s. 39): "personoplysninger": enhver form for information om en identificeret eller identificerbar fysisk person ("den registrerede") ved identificerbar fysisk person forstås en fysisk person, der direkte eller indirekte kan identificeres, navnlig ved en identifikator som f.eks. et navn, et identifikationsnummer, lokaliseringsdata, en onlineidentifikator eller et eller flere elementer, der er særlige for denne fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet".

[2] For en detaljeret analyse af begrebet personoplysninger henvises til udtalelse 4/2007 fra Artikel 29-Gruppen vedrørende Databeskyttelse, som findes her: http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2007/wp136_en.pdf

[3] https://secure.edps.europa.eu/EDPSWEB/

[4] Artikel 16, stk. 1 og 2, i forordning 2018/1725.

[5] Artikel 3, stk. 8, i forordning 2018/1725: ""dataansvarlig": den EU-institution eller det EU-organ eller det generaldirektorat eller enhver anden organisatorisk enhed, der alene eller sammen med andre afgør, til hvilket formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger hvis formålene med og hjælpemidlerne til en sådan behandling er fastlagt i en specifik EU-retsakt, kan den dataansvarlige eller de specifikke kriterier for udpegelse af denne fastsættes i EU-retten".

[6] Artikel 5 i forordning 2018/1725.

[7] Europa-Parlamentets afgørelse af 9.3.1994 vedrørende ombudsmandens statut og de almindelige betingelser for udøvelsen af hans hverv (94/262/EKSF, EF, Euratom), EFT 1994 L 113, s. 15, som ændret ved afgørelse af 14.3.2002, EFT 2002 L 92, s. 13, og af 18.6.2008, EUT 2008 L 189, s. 25.

[8] Artikel 3, stk. 13, i forordning 2018/1725: ""modtager": en fysisk eller juridisk person, en offentlig myndighed, en institution eller et andet organ, hvortil personoplysningerne videregives, uanset om det er en tredjepart eller ej. Offentlige myndigheder, der kan modtage personoplysninger i forbindelse med en bestemt forespørgsel i overensstemmelse med EU-retten eller medlemsstaternes nationale ret, betragtes dog ikke som modtagere disse offentlige myndigheders behandling af disse oplysninger skal være i overensstemmelse med de gældende databeskyttelsesregler i henhold til formålene med behandlingen."

[9] Artikel 17-20 og 23 i forordning 2018/1725.

[10] Artikel 12, stk. 1, i forordning 2018/1725: "Hvis de formål, hvortil en dataansvarlig behandler personoplysninger, ikke eller ikke længere kræver, at den dataansvarlige identificerer en registreret, er den dataansvarlige ikke forpligtet til at opbevare, indhente eller behandle yderligere oplysninger med henblik på at identificere den registrerede udelukkende med det formål at overholde denne forordning".

[11] Artikel 16, stk. 5, litra b), i forordning 2018/1725: »Stk. 1-4 finder ikke anvendelse, hvis og i det omfang: [...] meddelelse af sådanne oplysninger viser sig umulig eller vil kræve en uforholdsmæssig stor indsats [...]«

[12] Artikel 16, stk. 6, i forordning 2018/1725: "I de tilfælde, der er omhandlet i stk. 5, litra b), træffer den dataansvarlige passende foranstaltninger til at beskytte den registreredes rettigheder og frihedsrettigheder samt legitime interesser, herunder ved at gøre oplysningerne offentligt tilgængelige".

[13] Artikel 12, stk. 2, i forordning 2018/1725: "Hvis den dataansvarlige i de tilfælde, der er omhandlet i denne artikels stk. 1, kan påvise, at vedkommende ikke er i stand til at identificere den registrerede, underretter den dataansvarlige den registrerede herom, hvis det er muligt. I sådanne tilfælde finder artikel 17-22 ikke anvendelse, medmindre den registrerede med henblik på at udøve sine rettigheder i henhold til disse artikler giver yderligere oplysninger, der gør det muligt at identificere vedkommende." Dette kan f.eks. være tilfældet, når en registreret tredjepart anmoder om adgang til sine personoplysninger, der behandles af Ombudsmanden, og Ombudsmanden efter en søgning i Ombudsmandens sagsforvaltningssystem (CMS) underretter ham/hende om, at hans/hendes oplysninger ikke kunne findes. Hvis den registrerede imidlertid efterfølgende giver yderligere oplysninger, f.eks. klagens nummer eller klagerens navn, kan dette gøre det muligt at identificere den pågældende i Ombudsmandens sagsakter og for Ombudsmanden at træffe afgørelse om anmodningen.

[14] Artikel 16, stk. 5, litra b), i forordning 2018/1725.

[15] Artikel 16, stk. 6, i forordning 2018/1725.

[16] Artikel 12, stk. 2, i forordning 2018/1725. Jf. fodnote 13 ovenfor.

[17] Artikel 12, stk. 1, i forordning 2018/1725

[18] Artikel 16, stk. 5, litra b), i forordning 2018/1725.

[19] Det er muligt, at oplysninger, der ikke anses for at være relevante for genstanden for en undersøgelse i dens tidlige faser, dog i sidste ende kan anvendes med henblik på undersøgelsen og have en indvirkning på resultatet heraf.

[20] Artikel 16, stk. 6, i forordning 2018/1725.

[21] Artikel 12, stk. 2, i forordning 2018/1725. Jf. fodnote 13 ovenfor.

[22] Artikel 16, stk. 5, litra a), i forordning 2018/1725: "Stk. 1-4 finder ikke anvendelse, hvis og i det omfang:...  den registrerede allerede har oplysningerne..."

[23] Artikel 16, stk. 5, litra b), i forordning 2018/1725: "Stk. 1-4 finder ikke anvendelse, hvis og i det omfang:... afgivelse af sådanne oplysninger viser sig umulig eller ville kræve en uforholdsmæssig stor indsats..."

[24] Artikel 16, stk. 6, i forordning 2018/1725.

[25] Artikel 12, stk. 2, i forordning 2018/1725. Jf. fodnote 13 ovenfor.

[26] Artikel 16, stk. 5, litra b), i forordning 2018/1725: "Stk. 1-4 finder ikke anvendelse, hvis og i det omfang: [...] den forpligtelse, der er omhandlet i denne artikels stk. 1, sandsynligvis vil gøre det umuligt eller i alvorlig grad hindre opfyldelsen af formålene med den pågældende behandling [...]«

[27] Artikel 16, stk. 6, i forordning 2018/1725.

[28] Artikel 12, stk. 2, i forordning 2018/1725. Jf. fodnote 13 ovenfor.

[29] Artikel 16, stk. 3, i forordning 2018/1725: "Den dataansvarlige giver de oplysninger, der er omhandlet i stk. 1 og 2:... c) hvis en videregivelse til en anden modtager påtænkes, senest når personoplysningerne første gang videregives."