1. Sissejuhatus

Lisaks kaebusi esitavate üksikisikute isikuandmete töötlemisele võib ombudsman juhtumi asjaoludest sõltuvalt olla kohustatud töötlema teiste üksikisikute (edaspidi „kolmandatest isikutest andmesubjektid“) isikuandmeid.

Kaebuse saamisel hindab ombudsman, kas esitatud teave sisaldab kolmandate isikute isikuandmeid, st teavet tuvastatud või tuvastatava füüsilise isiku kohta, kes ei ole kaebuse esitaja.

Isikuandmete mõiste on väga lai [1]. Näiteks sisaldab see teavet isiku identiteedi ja isikuomaduste, avalduste ja arvamuste ning tsiviil- ja tööalase staatuse kohta [2].

Käesolev poliitika käsitleb viisi, kuidas ombudsman täidab kohustust teavitada andmesubjekte nende isikuandmete töötlemisest kaebuse või uurimise raames, kui andmeid ei ole saadud nendelt andmesubjektidelt. Käesoleva poliitika väljatöötamisel on ombudsman võtnud arvesse Euroopa Andmekaitseinspektori suuniseid [3].

2. Teavitamiskohustus

Kui kolmandast isikust andmesubjekti isikuandmed sisalduvad kaebuses või muudes uurimisega seotud dokumentides, on ombudsman kohustatud andma asjaomasele isikule teatavat teavet,[4] nimelt:

a) vastutava töötleja, st ombudsmani nimi ja kontaktandmed [5];

b) ombudsmani andmekaitseametniku kontaktandmed;

c) töötlemistoimingu eesmärk (näiteks kaebuse käsitlemine) ja töötlemise õiguslik alus (näiteks isikuandmete töötlemist ELi institutsioonides käsitlevad eeskirjad [6] ja/või ombudsmani põhikiri [7]);

d) asjaomaste andmete kategooriad (näiteks asjaomase isiku nimi ja tööalane staatus);

e) andmete vastuvõtjad [8];

f) asjakohasel juhul teave selle kohta, et ombudsman kavatseb edastada isikuandmed kolmandale riigile või rahvusvahelisele organisatsioonile, ning teave komisjoni kaitse piisavuse otsuse olemasolu või puudumise kohta või asjakohaste või sobivate kaitsemeetmete ja nende koopia saamise vahendite kohta või selle kohta, kus need on tehtud kättesaadavaks; ja

g) järgmine täiendav teave, mis on vajalik isiku isikuandmete õiglase ja läbipaistva töötlemise tagamiseks:

i) asjakohaste andmete säilitamise tähtajad;

ii) asjaolu, et isikul on õigus taotleda juurdepääsu oma isikuandmetele, nende parandamist, kustutamist või nende töötlemise piiramist või õigus esitada töötlemise suhtes vastuväiteid [9];

iii) isiku õigus pöörduda Euroopa Andmekaitseinspektori poole ja

iv) andmete päritolu (sealhulgas vajaduse korral avalikult kättesaadavad allikad).

3. Poliitika

A – Väljaspool mandaati esitatud kaebused

Kui ombudsman leiab, et kaebus, mis sisaldab kolmandate isikute isikuandmeid, ei kuulu tema pädevusse, teavitab ta sellest kaebuse esitajat ja annab talle võimaluse korral nõu asutuse kohta, kes võiks kaebusega tegeleda. Kui kaebuse esitaja on nõustunud oma kaebuse üleandmisega juhul, kui ombudsman ei saa sellega tegeleda, edastab ombudsman kaebuse pädevale asutusele (näiteks riiklikule ombudsmanile).

Sellistel juhtudel ei pea ombudsman eespool punktis 2 nimetatud individuaalse teabe esitamist vajalikuks, sest i) eesmärk, milleks ombudsman neid isikuandmeid töötleb (hinnang selle kohta, kas kaebus kuulub ombudsmani pädevusse, ja kui mitte, siis kaebuse võimalik edastamine teisele asutusele), ei nõua, et ombudsman tuvastaks kolmandast isikust andmesubjekti [10]; ning ii) kolmandatest isikutest andmesubjektide individuaalne teavitamine asjaolust, et ombudsman võib töödelda nendega seotud andmeid, isegi kui see on võimalik, tooks kaasa isikuandmete tarbetu paljunemise ja nõuaks seetõttu ebaproportsionaalseid jõupingutusi [11].

Selle asemel avaldab ombudsman oma veebisaidil teatise, milles teavitab üldsust sellest, et ta võib kaebuste käsitlemisel töödelda muude isikute kui kaebuse esitajate isikuandmeid. Käesolev teade sisaldab linki sellele poliitikale ja avaldusele isikuandmete töötlemise kohta ombudsmani poolt kaebuste ja uurimiste käsitlemisel. Käesolevat märgukirja, kehtivaid põhimõtteid ja avaldust peetakse piisavaks, et anda kogu asjakohane teave üksikisikutele, kelle isikuandmeid ombudsman võib töödelda,[12] ning võimaldada neil soovi korral taotleda juurdepääsu oma isikuandmetele, nende parandamist, kustutamist ja nende töötlemise piiramist [13].

B. Volituse piires, kuid vastuvõetamatud ja vastuvõetavad alusetud kaebused

Eespool nimetatud juhtudel ei pea ombudsman punktis 2 nimetatud individuaalse teabe esitamist vajalikuks, sest kolmandatest isikutest andmesubjektide individuaalne teavitamine asjaolust, et ombudsman võib töödelda nendega seotud andmeid, isegi kui see on võimalik, tooks kaasa isikuandmete tarbetu paljunemise, mis tooks kaasa ebaproportsionaalsed jõupingutused, võttes arvesse sellega seotud piiratud meetmeid, nimelt seda, et kaebust ei edastata väljapoole ombudsmani bürood [14].

Ombudsmani veebisaidil avaldatud teatisest ning käesolevast poliitikast ja avaldusest peetakse piisavaks, et anda kogu asjakohane teave üksikisikutele, kelle isikuandmeid ombudsman võib töödelda,[15] ning võimaldada neil soovi korral taotleda juurdepääsu oma isikuandmetele, nende parandamist, kustutamist ja nende töötlemise piiramist [16].

C. Uurimised

Eespool nimetatud juhtudel peab ombudsman kõigepealt otsustama, kas kolmandate isikutega seotud andmed on uurimise eseme seisukohast asjakohased või mitte. Üks viis seda teha on uurida, kas ombudsman käsitleks uurimist teisiti, kui kolmandast isikust andmesubjekti ei oleks uurimistoimikus mainitud või tuvastatud.

Asjakohased andmed võivad olla näiteks andmed väidetava huvide konfliktiga konkursikomisjoni liikmeks oleva liidu ametniku varasema töökogemuse kohta. Asjakohatud andmed võivad olla näiteks andmed, mis on seotud selle ELi ametniku perekonnaseisuga. Täiendavad ebaolulised andmed, mida tõenäoliselt kogutakse ombudsmani uurimise käigus puhtjuhuslikult, on näiteks asjaomase institutsiooni otsustes nimetatud teiste ELi ametnike nimed ja ombudsmani uurimise käigus kogutud dokumendid.

Otsus nende andmete asjakohasuse ja nende aluseks oleva analüüsi kohta esitatakse kokkuvõttes, mis registreeritakse ombudsmani kohtuasjade haldamise süsteemi asjaomases juhtumitoimikus.

Asjakohatud andmed

Kui andmed ei ole uurimise eseme seisukohast olulised, ei pea ombudsman vajalikuks anda kolmandale isikule individuaalset teavet, sest i) kuna andmed ei ole asjakohased, ei nõua eesmärk, milleks ombudsman neid isikuandmeid töötleb (kaebuse/uurimise käsitlemine), et ombudsman tuvastaks kolmandatest isikutest andmesubjektid [17]; ning ii) selliste kolmandatest isikutest andmesubjektide individuaalne teavitamine, isegi kui see on võimalik, tooks kaasa isikuandmete tarbetu paljunemise ja nõuaks ebaproportsionaalseid jõupingutusi, võttes arvesse asjaolu, et ombudsman ei kasuta kõnealuseid andmeid oma uurimise raames [18]. Ombudsman ei töötle edasi kaebuse tekstis sisalduvaid ilmselgelt ebaolulisi andmeid [19].

Ombudsmani veebisaidil avaldatud teatist, praegust poliitikat ja avaldust peetakse piisavaks, et anda kogu asjakohane teave üksikisikutele, kelle isikuandmeid ombudsman võib töödelda,[20] ning võimaldada neil soovi korral taotleda juurdepääsu oma isikuandmetele, nende parandamist, kustutamist ja nende töötlemise piiramist [21].

Asjakohased andmed

Kui andmed on asjakohased, kaalub ombudsman eespool punktis 2 osutatud teabe esitamist kolmandast isikust andmesubjektile.

Kui aga kaebuse hindamine võimaldab järeldada, et kolmandast isikust andmesubjektil on teave juba olemas (näiteks kui väidetava huvide konfliktiga ELi ametnikul on kaebuse ja tõendavate dokumentide täielik koopia)[22] või et teabe esitamine on võimatu või nõuab ebaproportsionaalseid jõupingutusi (näiteks kui asjaomane isik on vahepeal teenistusest lahkunud ja teda ei ole võimalik jälgida)[23], registreerib ombudsman üksikasjaliku hinnangu, mille alusel see järeldus tehti, juhtumi kokkuvõttes kohtuasjade haldamise süsteemis ja ombudsmani veebisaidil avaldatud teates koos käesoleva poliitika ja avaldusega, mida peetakse piisavaks, et anda vajalikku teavet isikutele, kelle isikuandmeid ombudsman võib töödelda,[24] ning võimaldada neil soovi korral taotleda juurdepääsu oma isikuandmetele, nende parandamist, kustutamist ja nende töötlemise piiramist [25].

Juhul kui kolmandast isikust andmesubjektil ei ole teavet ja kui tema teavitamine on võimalik ega nõua ebaproportsionaalseid jõupingutusi, uurib ombudsman, kas kolmandast isikust andmesubjekti teavitamine võib muuta võimatuks või tõsiselt kahjustada sellise töötlemise eesmärkide saavutamist, nimelt nõuetekohaselt uurida võimalikku haldusomavoli ELi institutsioonide, organite või asutuste tegevuses ja teha selle kohta otsus pärast põhiõiguse kasutamist (ombudsmanile esitatud kaebus) või ombudsmani omal algatusel [26].

Nii oleks see näiteks juhul, kui kolmandast isikust andmesubjektil oleks võimalik uurimist mõjutada: varjates olulisi tõendeid või avaldades kaebuse esitajale survet selle eest, et ta on kasutanud põhiõigust (esitada kaebus ombudsmanile), mis mõjutab uurimist (näiteks ei soovi kaebuse esitaja enam uurimisele kaasa aidata).

Kui ombudsman jõuab eespool esitatud analüüsi põhjal järeldusele, et kolmandast isikust andmesubjekti teavitamine muudab tõenäoliselt uurimise võimatuks või kahjustab oluliselt ombudsmani suutlikkust teha otsus väidetava haldusomavoli kohta, kantakse hinnang ja sellest tulenev järeldus juhtumi toimikusse kohtuasjade haldamise süsteemis. Ombudsmani veebisaidil avaldatud teadet koos käesoleva poliitika ja avaldusega peetakse piisavaks, et anda vajalikku teavet üksikisikutele, kelle isikuandmeid ombudsman võib sellistel erandjuhtudel töödelda,[27] ning võimaldada neil soovi korral taotleda juurdepääsu oma isikuandmetele, nende parandamist, kustutamist ja nende töötlemise piiramist [28].

Kui aga ombudsman jõuab järeldusele, et kolmandast isikust andmesubjekti teavitamine ei muuda uurimist võimatuks ega kahjusta oluliselt ombudsmani võimet teha otsus väidetava haldusomavoli kohta, esitab ta kolmandast isikust andmesubjektile punktis 2 sätestatud teabe niipea, kui kaebuse läbivaatamine on lõpule viidud ja institutsiooni on sellest teavitatud [29].

4. Vastused ombudsmani avalikele konsultatsioonidele

Käesolevas poliitikas sätestatud põhimõtteid kohaldatakse ka ombudsmani avalike konsultatsioonide käigus saadud isikuandmete suhtes.

 

Emily O'Reilly

Strasbourg, 16. juuli 2019

 

[1] Euroopa Parlamendi ja nõukogu 23. oktoobri 2018. aasta määruse (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ (ELT 2018, L 295, lk 39), artikli 3 lõige 1: „isikuandmed“– igasugune teave tuvastatud või tuvastatava füüsilise isiku (edaspidi „andmesubjekt“) kohta; tuvastatav füüsiline isik on isik, keda saab otseselt või kaudselt tuvastada, eelkõige sellise identifitseerimistunnuse põhjal nagu nimi, isikukood, asukohateave, võrguidentifikaator või selle füüsilise isiku ühe või mitme füüsilise, füsioloogilise, geneetilise, vaimse, majandusliku, kultuurilise või sotsiaalse tunnuse põhjal “.

[2] Isikuandmete mõiste üksikasjaliku analüüsi leiate artikli 29 alusel asutatud andmekaitse töörühma arvamusest 4/2007, mis on kättesaadav aadressil: http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2007/wp136_en.pdf

[3] https://secure.edps.europa.eu/EDPSWEB/

[4] Määruse 2018/1725 artikli 16 lõiked 1 ja 2.

[5] Määruse 2018/1725 artikli 3 lõige 8: „vastutav töötleja“ – liidu institutsioon või asutus, peadirektoraat või muu organisatsiooniline üksus, kes üksi või koos teistega määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid; kui sellise töötlemise eesmärgid ja vahendid on kindlaks määratud konkreetse liidu õigusaktiga, võib vastutava töötleja või tema määramise konkreetsed kriteeriumid sätestada liidu õiguses.“

[6] Määruse 2018/1725 artikkel 5.

[7] Euroopa Parlamendi 9. märtsi 1994. aasta otsus 94/262/ESTÜ, EÜ, Euratom ombudsmani ülesannete täitmist reguleeriva korra ja üldtingimuste kohta (EÜT 1994, L 113, lk 15), mida on muudetud parlamendi 14. märtsi 2002. aasta otsusega (EÜT 2002, L 92, lk 13) ja 18. juuni 2008. aasta otsusega (ELT 2008, L 189, lk 25).

[8] Määruse 2018/1725 artikli 3 punkt 13: „vastuvõtja”– füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kellele isikuandmed avaldatakse, olenemata sellest, kas tegemist on kolmanda isikuga või mitte. Vastuvõtjateks ei loeta siiski avaliku sektori asutusi, kes võivad saada isikuandmeid konkreetse päringu raames kooskõlas liidu või liikmesriigi õigusega; kõnealused avaliku sektori asutused töötlevad neid andmeid kooskõlas kohaldatavate andmekaitse-eeskirjadega vastavalt töötlemise eesmärkidele.“

[9] Määruse 2018/1725 artiklid 17–20 ja 23.

[10] Määruse 2018/1725 artikli 12 lõige 1: „Kui eesmärgid, milleks vastutav töötleja isikuandmeid töötleb, ei nõua või enam ei nõua andmesubjekti tuvastamist vastutava töötleja poolt, ei ole vastutav töötleja kohustatud säilitama, hankima või töötlema lisateavet andmesubjekti tuvastamiseks üksnes käesoleva määruse täitmise eesmärgil.“

[11] Määruse 2018/1725 artikli 16 lõike 5 punkt b: „Lõikeid 1–4 ei kohaldata, kui ja niivõrd kui:... sellise teabe esitamine osutub võimatuks või nõuaks ülemääraseid jõupingutusi...”

[12] Määruse 2018/1725 artikli 16 lõige 6: „Lõike 5 punktis b osutatud juhtudel võtab vastutav töötleja asjakohased meetmed, et kaitsta andmesubjekti õigusi ja vabadusi ning õigustatud huve, sealhulgas teeb teabe üldsusele kättesaadavaks.“

[13] Määruse 2018/1725 artikli 12 lõige 2: „Kui vastutav töötleja suudab käesoleva artikli lõikes 1 osutatud juhtudel tõendada, et tal ei ole võimalik andmesubjekti tuvastada, teavitab ta sellest võimaluse korral andmesubjekti. Sellistel juhtudel artikleid 17–22 ei kohaldata, välja arvatud juhul, kui andmesubjekt esitab oma nimetatud artiklitest tulenevate õiguste kasutamiseks täiendavat teavet, mis võimaldab teda tuvastada.“ Nii võib see olla näiteks juhul, kui kolmandast isikust andmesubjekt taotleb juurdepääsu oma isikuandmetele, mida ombudsman töötleb, ja pärast otsingut ombudsmani kohtuasjade haldamise süsteemis teatab ombudsman talle, et tema andmeid ei ole võimalik leida. Kui aga andmesubjekt esitab hiljem lisateavet, näiteks kaebuse numbri või kaebuse esitaja nime, võib see võimaldada tema tuvastamist ombudsmani toimikutes ja ombudsmanil teha taotluse kohta otsuse.

[14] Määruse 2018/1725 artikli 16 lõike 5 punkt b.

[15] Määruse 2018/1725 artikli 16 lõige 6.

[16] Määruse 2018/1725 artikli 12 lõige 2. Vt joonealune märkus 13.

[17] Määruse 2018/1725 artikli 12 lõige 1

[18] Määruse 2018/1725 artikli 16 lõike 5 punkt b.

[19] On võimalik, et andmeid, mida ei saa uurimise varases etapis pidada uurimise eseme seisukohast asjakohasteks, võib siiski lõpuks kasutada uurimise eesmärgil ja need võivad mõjutada selle tulemust.

[20] Määruse 2018/1725 artikli 16 lõige 6.

[21] Määruse 2018/1725 artikli 12 lõige 2. Vt joonealune märkus 13.

[22] Määruse 2018/1725 artikli 16 lõike 5 punkt a: „Lõikeid 1–4 ei kohaldata, kui ja niivõrd kui:  andmesubjektil on teave juba olemas...“

[23] Määruse 2018/1725 artikli 16 lõike 5 punkt b: „Lõikeid 1–4 ei kohaldata, kui ja niivõrd kui:... sellise teabe esitamine osutub võimatuks või nõuaks ülemääraseid jõupingutusi...”

[24] Määruse 2018/1725 artikli 16 lõige 6.

[25] Määruse 2018/1725 artikli 12 lõige 2. Vt joonealune märkus 13.

[26] Määruse 2018/1725 artikli 16 lõike 5 punkt b: „Lõikeid 1–4 ei kohaldata, kui ja niivõrd kui: [...] käesoleva artikli lõikes 1 osutatud kohustus muudab tõenäoliselt võimatuks kõnealuse töötlemise eesmärkide saavutamise või häirib seda oluliselt [...]”

[27] Määruse 2018/1725 artikli 16 lõige 6.

[28] Määruse 2018/1725 artikli 12 lõige 2. Vt joonealune märkus 13.

[29] Määruse 2018/1725 artikli 16 lõige 3: „Vastutav töötleja esitab lõigetes 1 ja 2 osutatud teabe: c) kui on ette nähtud andmete avaldamine teisele vastuvõtjale, siis hiljemalt isikuandmete esmakordsel avaldamisel.”