1. Uvod

Osim obrade osobnih podataka pojedinaca koji podnose pritužbe, Europski ombudsman može, ovisno o činjenicama slučaja, obrađivati osobne podatke u odnosu na druge pojedince ("treće osobe čiji se podaci obrađuju").

Nakon primitka pritužbe Europski ombudsman procjenjuje sadržavaju li dostavljene informacije osobne podatke trećih strana, odnosno sve informacije koje se odnose na fizičku osobu čiji je identitet utvrđen ili se može utvrditi, osim podnositelja pritužbe.

Pojam osobnih podataka vrlo je širok [1]. Na primjer, uključuje informacije o identitetu i osobnim obilježjima osobe, izjavama i mišljenjima te građanskom i radnom statusu [2].

Ova se politika odnosi na način na koji Europski ombudsman provodi dužnost obavješćivanja ispitanika o obradi njihovih osobnih podataka u kontekstu pritužbe ili istrage ako ti podaci nisu dobiveni od tih ispitanika. Pri izradi ove politike Ombudsman je uzeo u obzir smjernice Europskog nadzornika za zaštitu podataka (EDPS)[3].

2. Dužnost obavješćivanja

Ako su osobni podaci treće osobe čiji se podaci obrađuju uključeni u pritužbu ili druge dokumente povezane s istragom, Europski ombudsman dužan je predmetnoj osobi pružiti određene informacije [4], odnosno:

(a) identitet i kontaktne podatke voditelja obrade, odnosno Europskog ombudsmana [5];

(b) podatke za kontakt službenika Europskog ombudsmana za zaštitu podataka;

(c) svrhu postupka obrade (na primjer, rješavanje pritužbe) i pravnu osnovu za obradu (na primjer, pravila koja se odnose na obradu osobnih podataka u institucijama EU-a [6] i/ili Statut Europskog ombudsmana [7]);

(d) kategorije predmetnih podataka (na primjer, identitet i radni status dotične osobe);

(e) primateljima podataka [8];

(f) ako je primjenjivo, da Europski ombudsman namjerava prenijeti osobne podatke trećoj zemlji ili međunarodnoj organizaciji te postojanje ili nepostojanje odluke Komisije o primjerenosti ili odgovarajućih ili odgovarajućih zaštitnih mjera i sredstava za dobivanje njihove kopije ili ako su stavljeni na raspolaganje; i

(g) sljedeće dodatne informacije koje su potrebne kako bi se zajamčila poštena i transparentna obrada osobnih podataka osobe:

i. rokove za pohranu relevantnih podataka;

ii. činjenicu da osoba ima pravo zatražiti pristup svojim osobnim podacima, njihov ispravak, brisanje ili ograničavanje njihove obrade ili pravo na prigovor na obradu [9];

iii. pravo osobe da se obrati Europskom nadzorniku za zaštitu podataka i

iv. podrijetlo podataka (uključujući, ako je primjenjivo, javno dostupne izvore).

3. Politika

A – pritužbe izvan mandata

Ako Ombudsman utvrdi da pritužba koja sadržava osobne podatke trećih strana nije obuhvaćena njegovim mandatom, o tome obavješćuje podnositelja pritužbe i savjetuje ga, ako je to moguće, o tijelu koje bi moglo obraditi pritužbu. Ako je podnositelj pritužbe pristao na prijenos svoje pritužbe u slučaju da je Europski ombudsman ne može obraditi, Europski ombudsman prosljeđuje pritužbu nadležnom tijelu (na primjer, nacionalnom ombudsmanu).

U takvim slučajevima Europski ombudsman ne smatra da je pružanje pojedinačnih informacija navedenih u točki 2. potrebno jer i. svrha u koju Europski ombudsman obrađuje te osobne podatke (procjena o tome je li pritužba u okviru mandata Europskog ombudsmana i, ako nije, mogući prijenos pritužbe drugom tijelu) ne zahtijeva da Europski ombudsman identificira treću stranu čiji se podaci obrađuju [10]; i ii. pojedinačno obavješćivanje trećih strana čiji se podaci obrađuju o činjenici da Europski ombudsman može obrađivati podatke koji se odnose na njih, čak i ako je to moguće, dovelo bi do nepotrebnog umnožavanja osobnih podataka i stoga bi zahtijevalo nerazmjeran napor [11].

Umjesto toga, Ombudsmanica na svojim internetskim stranicama objavljuje informativnu napomenu kojom se javnost obavješćuje da u kontekstu obrade pritužbi može obrađivati osobne podatke osoba koje nisu podnositelji pritužbe. Ova napomena uključuje poveznicu na ovu politiku i izjavu o obradi osobnih podataka u kontekstu Ombudsmanova postupanja s pritužbama i istragama. Ova napomena, trenutačna politika i izjava smatraju se dostatnima za pružanje svih relevantnih informacija pojedincima s čijim osobnim podacima Europski ombudsman može postupati [12] i za omogućavanje da zatraže pristup svojim osobnim podacima, njihov ispravak, brisanje i ograničavanje njihove obrade ako to žele [13].

B – U okviru mandata, ali nedopušten i dopušten prigovor bez obrazloženja

U prethodno navedenim slučajevima Europski ombudsman ne smatra da je potrebno pružiti pojedinačne informacije navedene u točki 2. jer bi pojedinačno obavješćivanje trećih osoba čiji se podaci obrađuju o činjenici da Europski ombudsman može obrađivati podatke koji se na njih odnose, čak i ako je to moguće, dovelo do nepotrebnog umnožavanja osobnih podataka koje bi, s obzirom na ograničene mjere, odnosno izostanak bilo kakvog prijenosa pritužbe izvan ureda Europskog ombudsmana, uključivalo nerazmjeran napor [14].

Informativna napomena objavljena na internetskoj stranici Europskog ombudsmana te trenutačna politika i izjava smatraju se dostatnima za pružanje svih relevantnih informacija pojedincima s čijim osobnim podacima Europski ombudsman može postupati [15] i za omogućavanje da zatraže pristup svojim osobnim podacima, njihov ispravak, brisanje i ograničavanje njihove obrade ako to žele [16].

C – Upit

U prethodno navedenim slučajevima Europski ombudsman prvo mora odlučiti jesu li podaci koji se odnose na treće strane relevantni za predmet istrage. Jedan od načina da se to učini jest da se ispita bi li Ombudsman drukčije postupio s istragom ako treća strana čiji se podaci obrađuju nije spomenuta ili identificirana u istražnom spisu.

Relevantni podaci mogli bi, na primjer, biti oni koji se odnose na prethodno radno iskustvo dužnosnika EU-a koji je član povjerenstva za odabir za koje se tvrdi da je u sukobu interesa. Nerelevantni podaci mogli bi, na primjer, biti podaci povezani s bračnim statusom tog dužnosnika EU-a. Daljnji nevažni podaci koji će se vjerojatno prikupljati tijekom istrage Europskog ombudsmana isključivo slučajno jesu, na primjer, imena drugih dužnosnika EU-a navedenih u odlukama relevantne institucije i dokumenti prikupljeni tijekom istrage Europskog ombudsmana.

Odluka o relevantnosti tih podataka i analiza na kojima se oni temelje bit će navedeni u sažetku koji je evidentiran u relevantnom spisu predmeta Ombudsmanova sustava vođenja predmeta (CMS).

Nerelevantni podaci

U slučajevima u kojima podaci nisu relevantni za predmet istrage, Europski ombudsman ne smatra da je pružanje pojedinačnih informacija trećoj strani potrebno jer i. budući da podaci nisu relevantni, svrha u koju Europski ombudsman obrađuje te osobne podatke (rješavanje pritužbe/istrage) ne zahtijeva da Europski ombudsman identificira treće osobe čiji se podaci obrađuju [17] i ii. pojedinačno obavješćivanje takvih trećih osoba čiji se podaci obrađuju, čak i ako je to moguće, dovelo bi do nepotrebnog umnožavanja osobnih podataka i zahtijevalo nerazmjeran napor s obzirom na činjenicu da Europski ombudsman ne upotrebljava predmetne podatke u okviru svoje istrage [18]. Očigledno nebitne podatke uključene u tekst pritužbe Ombudsman neće dalje obrađivati [19].

Informativna napomena objavljena na internetskoj stranici Europskog ombudsmana, trenutačna politika i izjava smatraju se dostatnima za pružanje svih relevantnih informacija pojedincima s čijim osobnim podacima Europski ombudsman može postupati [20] i za omogućavanje da zatraže pristup svojim osobnim podacima, njihov ispravak, brisanje i ograničavanje njihove obrade ako to žele [21].

Relevantni podaci

Ako su podaci relevantni, Europski ombudsman razmatra pružanje informacija iz točke 2. trećoj strani čiji se podaci obrađuju.

Međutim, ako se na temelju ocjene pritužbe može zaključiti da treća strana čiji se podaci obrađuju već ima informacije (kada, na primjer, dužnosnik EU-a za kojeg se tvrdi da je u sukobu interesa ima potpunu presliku pritužbe i popratnih dokumenata)[22] ili da je pružanje informacija nemoguće ili zahtijeva nerazmjeran napor (kada je, na primjer, dotična osoba u međuvremenu napustila službu i ne može ga se pratiti)[23], Europski ombudsman evidentira detaljnu procjenu koja je dovela do tog zaključka u sažetku predmeta u CMS-u i bilješci objavljenoj na internetskoj stranici Europskog ombudsmana, zajedno s ovom politikom i izjavom, koji se smatraju dostatnima za pružanje potrebnih informacija pojedincima s čijim osobnim podacima Europski ombudsman može postupati [24] i za omogućivanje da zatraže pristup svojim osobnim podacima, njihov ispravak, brisanje i ograničavanje njihove obrade ako to žele [25].

U slučajevima kada treća strana čiji se podaci obrađuju nema informacije i kada je obavješćivanje moguće i ne uključuje nerazmjeran napor, Europski ombudsman ispituje je li vjerojatno da će obavješćivanje treće strane čiji se podaci obrađuju onemogućiti ili ozbiljno ugroziti postizanje ciljeva te obrade, odnosno pravilno istražiti i odlučiti o mogućim nepravilnostima u djelovanju institucija, tijela, ureda ili agencija EU-a nakon ostvarivanja temeljnog prava (pritužba Europskom ombudsmanu) ili na vlastitu inicijativu Europskog ombudsmana [26].

To bi bio slučaj ako bi, na primjer, treća strana čiji se podaci obrađuju mogla utjecati na istragu: skrivanjem važnih dokaza, na primjer, ili osvetom protiv podnositelja pritužbe zbog toga što je iskoristio temeljno pravo (podnijeti pritužbu Ombudsmanu), što bi utjecalo na istragu (na primjer, podnositelj pritužbe više nije voljan doprinijeti istrazi).

Ako nakon navedene analize Europski ombudsman zaključi da će pružanje informacija trećoj strani čiji se podaci obrađuju vjerojatno onemogućiti ili ozbiljno narušiti istragu i sposobnost Europskog ombudsmana da donese odluku o navodima o nepravilnostima u postupanju, procjena i posljedični zaključak evidentirat će se u spisu predmeta u CMS-u. Bilješka objavljena na internetskoj stranici Europskog ombudsmana, zajedno s ovom politikom i izjavom, smatra se dostatnom za pružanje potrebnih informacija pojedincima čijim osobnim podacima Europski ombudsman može rukovati u takvim iznimnim slučajevima [27] i kako bi im se omogućilo da zatraže pristup svojim osobnim podacima, njihov ispravak, brisanje i ograničavanje njihove obrade ako to žele [28].

Ako, naprotiv, Europski ombudsman zaključi da pružanje informacija trećoj strani čiji se podaci obrađuju vjerojatno neće onemogućiti ili ozbiljno narušiti istragu i sposobnost Europskog ombudsmana da donese odluku o navodima o nepravilnostima u postupanju, on trećoj strani čiji se podaci obrađuju pruža informacije navedene u točki 2. čim se završi ispitivanje pritužbe i institucija bude obaviještena [29].

4. Doprinosi kao odgovor na javna savjetovanja Europskog ombudsmana

Načela utvrđena u ovoj politici primjenjuju se i na sve osobne podatke primljene u okviru javnih savjetovanja Europskog ombudsmana.

 

Emily O'Reilly

Strasbourg, 16.7.2019.

 

[1] Članak 3. stavak 1. Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća od 23. listopada 2018. o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama, tijelima, uredima i agencijama Unije i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Uredbe (EZ) br. 45/2001 i Odluke br. 1247/2002/EZ, SL 2018., L 295, str. 39.: „‚osobni podaci’ znači sve informacije koje se odnose na fizičku osobu čiji je identitet utvrđen ili se može utvrditi („ispitanik”); fizička osoba čiji se identitet može utvrditi jest osoba čiji se identitet može utvrditi, izravno ili neizravno, posebno upućivanjem na identifikator kao što je ime, identifikacijski broj, podaci o lokaciji, internetski identifikator ili na jedan ili više čimbenika specifičnih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet te fizičke osobe”.

[2] Za detaljnu analizu pojma osobnih podataka vidjeti mišljenje 4/2007 Radne skupine za zaštitu podataka iz članka 29. dostupno na: http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2007/wp136_en.pdf

[3] https://secure.edps.europa.eu/EDPSWEB/

[4] Članak 16. stavci 1. i 2. Uredbe 2018/1725.

[5] Članak 3. stavak 8. Uredbe 2018/1725: „‚voditelj obrade’ znači institucija ili tijelo Unije ili glavna uprava ili bilo koji drugi organizacijski subjekt koji sam ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka; ako su svrhe i sredstva takve obrade utvrđeni posebnim aktom Unije, voditelj obrade ili posebni kriteriji za njegovo imenovanje mogu se predvidjeti pravom Unije”.

[6] Članak 5. Uredbe 2018/1725.

[7] Odluka Europskog parlamenta od 9. ožujka 1994. o propisima i općim uvjetima koji uređuju obnašanje dužnosti Europskog ombudsmana (94/262/EZUČ, EZ, Euratom), SL 1994., L 113, str. 15., i izmijenjena njegovim odlukama od 14. ožujka 2002., SL 2002., L 92, str. 13., i od 18. lipnja 2008., SL 2008., L 189, str. 25.

[8] Članak 3. stavak 13. Uredbe 2018/1725: "primatelj"znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo kojem se otkrivaju osobni podaci, neovisno o tome je li treća strana. Međutim, tijela javne vlasti koja mogu primiti osobne podatke u okviru određene istrage u skladu s pravom Unije ili pravom države članice ne smatraju se primateljima; obrada tih podataka od strane tih tijela javne vlasti mora biti u skladu s primjenjivim pravilima o zaštiti podataka u skladu sa svrhama obrade.”

[9] Članci od 17. do 20. i članak 23. Uredbe 2018/1725.

[10] Članak 12. stavak 1. Uredbe 2018/1725: „Ako svrhe u koje voditelj obrade obrađuje osobne podatke ne zahtijevaju ili više ne zahtijevaju da voditelj obrade identificira ispitanika, voditelj obrade nije obvezan održavati, prikupljati ili obrađivati dodatne informacije kako bi identificirao ispitanika isključivo u svrhu usklađivanja s ovom Uredbom”.

[11] Članak 16. stavak 5. točka (b) Uredbe 2018/1725: „Članci 1. do 4. ne primjenjuju se ako i u mjeri u kojoj:... se pružanje takvih informacija pokaže nemogućim ili bi zahtijevalo nerazmjeran napor...”

[12] Članak 16. stavak 6. Uredbe 2018/1725: „U slučajevima iz stavka 5. točke (b) voditelj obrade poduzima odgovarajuće mjere za zaštitu prava i sloboda te legitimnih interesa ispitanika, uključujući stavljanje informacija na raspolaganje javnosti”.

[13] Članak 12. stavak 2. Uredbe 2018/1725: „Ako u slučajevima iz stavka 1. ovog članka voditelj obrade može dokazati da nije u mogućnosti utvrditi identitet ispitanika, voditelj obrade o tome obavješćuje ispitanika, ako je to moguće. U takvim slučajevima ne primjenjuju se članci od 17. do 22., osim ako ispitanik, u svrhu ostvarivanja svojih prava iz tih članaka, pruži dodatne informacije koje omogućuju njegovu identifikaciju.” To bi, na primjer, mogao biti slučaj kada treća strana čiji se podaci obrađuju zatraži pristup svojim osobnim podacima koje je obradio Europski ombudsman, a nakon pretraživanja u sustavu Europskog ombudsmana za upravljanje predmetima (CMS) Europski ombudsman obavijesti ga da se njegovi podaci ne mogu pronaći. Međutim, ako ispitanik naknadno dostavi dodatne informacije, kao što su primjerice broj pritužbe ili ime podnositelja pritužbe, to može omogućiti njegovu identifikaciju u spisima Europskog ombudsmana i Ombudsmanu da donese odluku o zahtjevu.

[14] Članak 16. stavak 5. točka (b) Uredbe 2018/1725.

[15] Članak 16. stavak 6. Uredbe 2018/1725.

[16] Članak 12. stavak 2. Uredbe 2018/1725. Vidjeti bilješku 13. ovog mišljenja.

[17] Članak 12. stavak 1. Uredbe 2018/1725

[18] Članak 16. stavak 5. točka (b) Uredbe 2018/1725.

[19] Moguće je da se podaci koji se ne mogu smatrati relevantnima za predmet istrage u njezinim ranim fazama ipak mogu u konačnici upotrijebiti za potrebe istrage i utjecati na njezin ishod.

[20] Članak 16. stavak 6. Uredbe 2018/1725.

[21] Članak 12. stavak 2. Uredbe 2018/1725. Vidjeti bilješku 13. ovog mišljenja.

[22] Članak 16. stavak 5. točka (a) Uredbe 2018/1725: „Članci od 1. do 4. ne primjenjuju se ako i u mjeri u kojoj:...  osoba čiji se podaci obrađuju već ima informacije...”

[23] Članak 16. stavak 5. točka (b) Uredbe 2018/1725 : „Stavci 1. do 4. ne primjenjuju se ako i u mjeri u kojoj:... se pružanje takvih informacija pokaže nemogućim ili bi zahtijevalo nerazmjeran napor...”

[24] Članak 16. stavak 6. Uredbe 2018/1725.

[25] Članak 12. stavak 2. Uredbe 2018/1725. Vidjeti bilješku 13. ovog mišljenja.

[26] Članak 16. stavak 5. točka (b) Uredbe 2018/1725: „Stavci od 1. do 4. ne primjenjuju se ako i u mjeri u kojoj je vjerojatno da će obveza iz stavka 1. ovog članka onemogućiti ili ozbiljno ugroziti postizanje ciljeva te obrade...”

[27] Članak 16. stavak 6. Uredbe 2018/1725.

[28] Članak 12. stavak 2. Uredbe 2018/1725. Vidjeti bilješku 13. ovog mišljenja.

[29] Članak 16. stavak 3. Uredbe 2018/1725: „Voditelj obrade pruža informacije iz stavaka 1. i 2.:... (c) ako je predviđeno otkrivanje drugom primatelju, najkasnije kada su osobni podaci prvi put otkriveni.”