1. Uvod

Osim obrade osobnih podataka pojedinaca koji podnose pritužbe, Europski ombudsman može, ovisno o činjenicama predmeta, morati obrađivati osobne podatke u odnosu na druge pojedince ("ispitanici treće strane").

Nakon primitka pritužbe Europski ombudsman procjenjuje sadržavaju li dostavljene informacije osobne podatke trećih strana, odnosno sve informacije koje se odnose na fizičku osobu čiji je identitet utvrđen ili se može utvrditi, osim podnositelja pritužbe.

Pojam osobnih podataka vrlo je širok [1]. Na primjer, uključuje informacije o identitetu i osobnim obilježjima osobe, izjavama i mišljenjima te građanskom i radnom statusu [2].

Ova se politika odnosi na način na koji Ombudsman izvršava dužnost obavješćivanja ispitanika o obradi njihovih osobnih podataka u kontekstu pritužbe ili istrage ako podaci nisu dobiveni od tih ispitanika. Pri izradi ove politike Europski ombudsman uzeo je u obzir smjernice Europskog nadzornika za zaštitu podataka („EDPS”)[3].

2. Obveza obavješćivanja

Ako su osobni podaci ispitanika treće strane uključeni u pritužbu ili druge dokumente povezane s istragom, Europski ombudsman dužan je dotičnoj osobi pružiti određene informacije [4], odnosno:

(a) identitet i podatke za kontakt voditelja obrade, odnosno Europskog ombudsmana [5];

(b) podatke za kontakt službenika Europskog ombudsmana za zaštitu podataka;

(c) svrhu postupka obrade (na primjer, rješavanje pritužbe) i pravnu osnovu za obradu (na primjer, pravila koja se odnose na obradu osobnih podataka u institucijama EU-a [6] i/ili Statut Europskog ombudsmana [7]);

(d) kategorije predmetnih podataka (na primjer, identitet i radni status dotične osobe);

(e) primatelje podataka [8];

(f) ako je primjenjivo, da Ombudsman namjerava prenijeti osobne podatke trećoj zemlji ili međunarodnoj organizaciji te postojanje ili nepostojanje odluke Komisije o primjerenosti ili odgovarajućih ili prikladnih zaštitnih mjera i sredstava za dobivanje njihove kopije ili mjesta na kojem su stavljeni na raspolaganje; i

(g) sljedeće dodatne informacije potrebne kako bi se zajamčila poštena i transparentna obrada osobnih podataka osobe:

i. rokove za pohranu relevantnih podataka;

ii. činjenicu da osoba ima pravo zatražiti pristup svojim osobnim podacima, njihov ispravak, brisanje ili ograničavanje njihove obrade ili pravo prigovora na obradu [9];

iii. pravo osobe da se obrati Europskom nadzorniku za zaštitu podataka i

iv. podrijetlo podataka (uključujući, ako je primjenjivo, javno dostupne izvore).

3. Politika

A – pritužbe izvan mandata

Ako Ombudsman utvrdi da pritužba koja sadržava osobne podatke trećih strana nije obuhvaćena njegovim mandatom, o tome obavješćuje podnositelja pritužbe i savjetuje ga, ako je moguće, o tijelu koje bi moglo rješavati pritužbu. Ako je podnositelj pritužbe pristao na prijenos svoje pritužbe u slučaju da je Europski ombudsman ne može obraditi, Europski ombudsman prosljeđuje pritužbu nadležnom tijelu (na primjer nacionalnom ombudsmanu).

U takvim slučajevima Europski ombudsman ne smatra da je pružanje pojedinačnih informacija navedenih u točki 2. potrebno jer i. svrha u koju Europski ombudsman obrađuje te osobne podatke (procjena je li pritužba u okviru mandata Europskog ombudsmana i, ako nije, mogući prijenos pritužbe drugom tijelu) ne zahtijeva da Europski ombudsman identificira treću stranu čiji se podaci obrađuju [10]; i ii. pojedinačno obavješćivanje trećih strana čiji se podaci obrađuju o činjenici da Europski ombudsman možda obrađuje podatke koji se na njih odnose, čak i ako je to moguće, dovelo bi do nepotrebnog umnožavanja osobnih podataka i stoga zahtijevalo nerazmjeran napor [11].

Umjesto toga, Ombudsman na svojoj internetskoj stranici objavljuje informativnu napomenu kojom obavještava javnost da u kontekstu rješavanja pritužbi može obrađivati osobne podatke osoba koje nisu podnositelji pritužbe. Ova napomena uključuje poveznicu na tu politiku i izjavu o obradi osobnih podataka u kontekstu Ombudsmanova postupanja s pritužbama i istragama. Ova napomena, ova politika i izjava smatraju se dostatnima za pružanje svih relevantnih informacija pojedincima čijim osobnim podacima Ombudsman može rukovati [12] i za omogućavanje da zatraže pristup svojim osobnim podacima, njihov ispravak, brisanje i ograničavanje njihove obrade ako to žele [13].

B – U okviru mandata, ali nedopušteni i dopušteni prigovori bez osnove

U prethodno navedenim slučajevima Europski ombudsman ne smatra da je pružanje pojedinačnih informacija iz prethodno navedene točke 2. potrebno jer bi pojedinačno obavješćivanje trećih strana čiji se podaci obrađuju o činjenici da Europski ombudsman možda obrađuje podatke koji se na njih odnose, čak i ako je to moguće, dovelo do nepotrebnog umnožavanja osobnih podataka koje bi, s obzirom na ograničene radnje, odnosno izostanak bilo kakvog prijenosa pritužbe izvan ureda Europskog ombudsmana, zahtijevalo nerazmjeran napor [14].

Informativna napomena objavljena na internetskim stranicama Europskog ombudsmana te ova politika i izjava smatraju se dostatnima za pružanje svih relevantnih informacija pojedincima čijim osobnim podacima Europski ombudsman može obrađivati [15] te za omogućavanje da zatraže pristup svojim osobnim podacima, njihov ispravak, brisanje i ograničavanje njihove obrade ako to žele [16].

C – Upiti

U prethodno navedenim slučajevima Europski ombudsman prvo mora odlučiti jesu li podaci koji se odnose na treće strane relevantni za predmet istrage. Jedan od načina da se to učini jest da se ispita bi li Ombudsman na drukčiji način obradio istragu ako treća strana čiji se podaci obrađuju nije spomenuta ili identificirana u istražnom spisu.

Relevantni podaci mogli bi, primjerice, biti podaci koji se odnose na prethodno radno iskustvo dužnosnika EU-a koji je član povjerenstva za odabir i za kojeg se tvrdi da je u sukobu interesa. Nerelevantni podaci mogli bi, na primjer, biti podaci povezani s bračnim statusom tog dužnosnika EU-a. Dodatni nevažni podaci koji će se vjerojatno prikupljati tijekom istrage Europskog ombudsmana na isključivo sporedan način jesu, na primjer, imena drugih dužnosnika EU-a navedena u odlukama i dokumentima relevantne institucije prikupljenima tijekom istrage Europskog ombudsmana.

Odluka o relevantnosti tih podataka i analiza na kojoj se oni temelje bit će navedeni u sažetku koji je registriran u relevantnom spisu predmeta Europskog ombudsmanova sustava vođenja predmeta (CMS).

Nerelevantni podaci

U slučajevima u kojima podaci nisu relevantni za predmet istrage, Europski ombudsman ne smatra da je pružanje pojedinačnih informacija trećoj strani potrebno jer i. s obzirom na to da podaci nisu relevantni, svrha u koju Europski ombudsman obrađuje te osobne podatke (postupanje s pritužbom/istragom) ne zahtijeva da Europski ombudsman identificira treće strane čiji se podaci obrađuju [17]; i ii. pojedinačno obavješćivanje takvih trećih strana čiji se podaci obrađuju, čak i ako je to moguće, dovelo bi do nepotrebnog umnožavanja osobnih podataka i zahtijevalo nerazmjeran napor s obzirom na činjenicu da Europski ombudsman ne upotrebljava predmetne podatke u kontekstu svoje istrage [18]. Ombudsman neće dalje obrađivati očito nebitne podatke uključene u tekst pritužbe [19].

Informativna napomena objavljena na internetskim stranicama Europskog ombudsmana, ova politika i izjava smatraju se dostatnima za pružanje svih relevantnih informacija pojedincima čijim osobnim podacima Europski ombudsman može obrađivati [20] te za omogućavanje da zatraže pristup svojim osobnim podacima, njihov ispravak, brisanje i ograničavanje njihove obrade ako to žele [21].

Relevantni podaci

Ako su podaci relevantni, Ombudsman razmatra pružanje informacija iz točke 2. trećoj strani čiji se podaci obrađuju.

Međutim, ako se na temelju procjene pritužbe može zaključiti da treća strana čiji se podaci obrađuju već ima informacije (kada, na primjer, dužnosnik EU-a za kojeg se tvrdi da je u sukobu interesa ima cjelovitu presliku pritužbe i popratne dokumente)[22] ili da je pružanje informacija nemoguće ili zahtijeva nerazmjeran napor (kada je, na primjer, dotična osoba u međuvremenu napustila službu i ne može se pratiti)[23], Ombudsman bilježi detaljnu procjenu koja je dovela do tog zaključka u sažetku predmeta u CMS-u i bilješka objavljena na internetskim stranicama Ombudsmana, zajedno s ovom politikom i izjavom, smatraju se dovoljnima za pružanje potrebnih informacija pojedincima čijim osobnim podacima Ombudsman može obrađivati [24] i za omogućavanje da zatraže pristup, ispravak, brisanje i ograničavanje obrade svojih osobnih podataka ako to žele [25].

U slučajevima kada treća strana čiji se podaci obrađuju nema informacije i kada je obavješćivanje moguće i ne uključuje nerazmjeran napor, Europski ombudsman ispituje je li vjerojatno da će obavješćivanje treće strane čiji se podaci obrađuju onemogućiti ili ozbiljno ugroziti postizanje ciljeva te obrade, odnosno pravilno istražiti i odlučiti o mogućim nepravilnostima u djelovanju institucija, tijela, ureda ili agencija EU-a nakon ostvarivanja temeljnog prava (pritužba Europskom ombudsmanu) ili na vlastitu inicijativu [26].

To bi bio slučaj ako bi, na primjer, treća strana čiji se podaci obrađuju mogla utjecati na istragu: skrivanjem važnih dokaza, na primjer, ili odmazdom protiv podnositelja pritužbe zbog toga što je ostvario temeljno pravo (pritužba Europskom ombudsmanu), što utječe na istragu (na primjer, podnositelj pritužbe više nije voljan doprinijeti istrazi).

Ako nakon prethodne analize Ombudsman zaključi da bi pružanje informacija trećoj strani čiji se podaci obrađuju vjerojatno onemogućilo ili ozbiljno narušilo istragu i sposobnost Ombudsmana da donese odluku o navodima o nepravilnostima u postupanju, procjena i posljedični zaključak evidentirat će se u spisu predmeta u CMS-u. Obavijest objavljena na internetskim stranicama Europskog ombudsmana, zajedno s ovom politikom i izjavom, smatra se dostatnom za pružanje potrebnih informacija pojedincima čijim osobnim podacima Europski ombudsman može obrađivati u takvim iznimnim slučajevima [27] i za omogućavanje da zatraže pristup svojim osobnim podacima, njihov ispravak, brisanje i ograničavanje njihove obrade ako to žele [28].

Ako, naprotiv, Ombudsman zaključi da pružanje informacija trećoj strani čiji se podaci obrađuju vjerojatno neće onemogućiti ili ozbiljno ugroziti istragu i sposobnost Ombudsmana da donese odluku o navodima o nepravilnostima u postupanju, on trećoj strani čiji se podaci obrađuju pruža informacije navedene u točki 2. čim se dovrši ispitivanje pritužbe i o tome obavijesti instituciju [29].

4. Doprinosi kao odgovor na javna savjetovanja Europskog ombudsmana

Načela utvrđena u ovoj politici primjenjuju se i na sve osobne podatke primljene u kontekstu javnih savjetovanja Europskog ombudsmana.

 

Emily O'Reilly

Strasbourg, 16.7.2019.

 

[1] Članak 3. stavak 1. Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća od 23. listopada 2018. o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama, tijelima, uredima i agencijama Unije i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Uredbe (EZ) br. 45/2001 i Odluke br. 1247/2002/EZ, SL 2018., L 295, str. 39.: „‚osobni podaci’ znači sve informacije koje se odnose na identificiranu fizičku osobu ili fizičku osobu koju se može identificirati („ispitanik”); fizička osoba čiji se identitet može utvrditi jest osoba koja se može izravno ili neizravno identificirati, posebno upućivanjem na identifikator kao što je ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili na jedan ili više čimbenika specifičnih za fizički, fiziološki, genetski, mentalni, gospodarski, kulturni ili socijalni identitet te fizičke osobe”.

[2] Detaljnu analizu pojma osobnih podataka potražite u mišljenju 4/2007 Radne skupine za zaštitu podataka iz članka 29. dostupnom ovdje: http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2007/wp136_en.pdf

[3] https://secure.edps.europa.eu/EDPSWEB/

[4] Članak 16. stavci 1. i 2. Uredbe 2018/1725

[5] Članak 3. stavak 8. Uredbe 2018/1725: „‚voditelj obrade’ znači institucija ili tijelo Unije ili glavna uprava ili bilo koji drugi organizacijski subjekt koji sam ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka; ako su svrhe i sredstva takve obrade utvrđeni posebnim aktom Unije, voditelj obrade ili posebni kriteriji za njegovo imenovanje mogu se predvidjeti pravom Unije”.

[6] Članak 5. Uredbe 2018/1725.

[7] Odluka Europskog parlamenta od 9. ožujka 1994. o propisima i općim uvjetima koji uređuju obnašanje dužnosti Europskog ombudsmana (94/262/EZUČ, EZ, Euratom), SL 1994., L 113, str. 15. i izmijenjena odlukama od 14. ožujka 2002., SL 2002., L 92, str. 13. i od 18. lipnja 2008., SL 2008., L 189, str. 25.

[8] Članak 3. točka 13. Uredbe 2018/1725: „primatelj” znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo kojem se otkrivaju osobni podaci, neovisno o tome je li on treća strana. Međutim, tijela javne vlasti koja mogu primiti osobne podatke u okviru određene istrage u skladu s pravom Unije ili države članice ne smatraju se primateljima; obrada tih podataka koju provode ta javna tijela mora biti u skladu s primjenjivim pravilima o zaštiti podataka u skladu sa svrhama obrade.”

[9] Članci 17. do 20. i članak 23. Uredbe 2018/1725.

[10] Članak 12. stavak 1. Uredbe 2018/1725: „Ako svrhe u koje voditelj obrade obrađuje osobne podatke ne zahtijevaju ili više ne zahtijevaju da voditelj obrade identificira ispitanika, voditelj obrade nije obvezan čuvati, prikupljati ili obrađivati dodatne informacije radi identifikacije ispitanika isključivo u svrhu usklađivanja s ovom Uredbom.”

[11] Članak 16. stavak 5. točka (b) Uredbe 2018/1725: „Stavci od 1. do 4. ne primjenjuju se ako i u mjeri u kojoj se:... pružanje takvih informacija pokaže nemogućim ili bi zahtijevalo nerazmjeran napor...”

[12] Članak 16. stavak 6. Uredbe 2018/1725: „U slučajevima iz stavka 5. točke (b) voditelj obrade poduzima odgovarajuće mjere za zaštitu prava i sloboda te legitimnih interesa ispitanika, uključujući stavljanje informacija na raspolaganje javnosti.”

[13] Članak 12. stavak 2. Uredbe 2018/1725: „Ako u slučajevima iz stavka 1. ovog članka voditelj obrade može dokazati da nije u mogućnosti identificirati ispitanika, voditelj obrade o tome na odgovarajući način obavješćuje ispitanika, ako je to moguće. U takvim se slučajevima članci od 17. do 22. ne primjenjuju, osim ako ispitanik u svrhu ostvarivanja svojih prava iz tih članaka pruži dodatne informacije koje omogućuju njegovu identifikaciju.” To bi mogao biti slučaj, na primjer, kada treća strana čiji se podaci obrađuju zatraži pristup svojim osobnim podacima koje obrađuje Ombudsman, a nakon pretraživanja njegova sustava vođenja predmeta (CMS) Ombudsman ga obavijesti da se njegovi podaci ne mogu pronaći. Međutim, ako ispitanik naknadno dostavi dodatne informacije, primjerice broj pritužbe ili ime podnositelja pritužbe, to može omogućiti njegovu identifikaciju u spisima Europskog ombudsmana, a Europskom ombudsmanu da donese odluku o zahtjevu.

[14] Članak 16. stavak 5. točka (b) Uredbe 2018/1725.

[15] Članak 16. stavak 6. Uredbe 2018/1725.

[16] Članak 12. stavak 2. Uredbe 2018/1725. Vidjeti bilješku 13. ovog mišljenja.

[17] Članak 12. stavak 1. Uredbe 2018/1725

[18] Članak 16. stavak 5. točka (b) Uredbe 2018/1725.

[19] Moguće je da se podaci koji se ne mogu smatrati relevantnima za predmet istrage u njezinim ranim fazama, međutim, u konačnici mogu upotrijebiti za potrebe istrage i utjecati na njezin ishod.

[20] Članak 16. stavak 6. Uredbe 2018/1725.

[21] Članak 12. stavak 2. Uredbe 2018/1725. Vidjeti bilješku 13. ovog mišljenja.

[22] Članak 16. stavak 5. točka (a) Uredbe 2018/1725: „Stavci od 1. do 4. ne primjenjuju se ako i u mjeri u kojoj:...  ispitanik već ima informacije...”

[23] Članak 16. stavak 5. točka (b) Uredbe 2018/1725: „Stavci od 1. do 4. ne primjenjuju se ako i u mjeri u kojoj se:... pružanje takvih informacija pokaže nemogućim ili bi zahtijevalo nerazmjeran napor...”

[24] Članak 16. stavak 6. Uredbe 2018/1725.

[25] Članak 12. stavak 2. Uredbe 2018/1725. Vidjeti bilješku 13. ovog mišljenja.

[26] Članak 16. stavak 5. točka (b) Uredbe 2018/1725: „Stavci od 1. do 4. ne primjenjuju se ako i u mjeri u kojoj: [...] vjerojatno je da će obveza iz stavka 1. ovog članka onemogućiti ili ozbiljno ugroziti postizanje ciljeva te obrade [...]”

[27] Članak 16. stavak 6. Uredbe 2018/1725.

[28] Članak 12. stavak 2. Uredbe 2018/1725. Vidjeti bilješku 13. ovog mišljenja.

[29] Članak 16. stavak 3. Uredbe 2018/1725: „Voditelj obrade pruža informacije iz stavaka 1. i 2.:... (c) ako je predviđeno otkrivanje drugom primatelju, najkasnije u trenutku kada su osobni podaci prvi put otkriveni.”