1. Įžanga

Ombudsmenui gali tekti ne tik tvarkyti skundus pateikusių asmenų asmens duomenis, bet ir, atsižvelgiant į bylos faktus, tvarkyti kitų asmenų (trečiųjų šalių duomenų subjektų) asmens duomenis.

Gavęs skundą, ombudsmenas įvertina, ar pateiktoje informacijoje yra trečiųjų šalių asmens duomenų, t. y. bet kokios informacijos, susijusios su fiziniu asmeniu, kurio tapatybė yra nustatyta arba gali būti nustatyta, išskyrus skundo pateikėją.

Asmens duomenų sąvoka yra labai plati [1]. Pavyzdžiui, ji apima informaciją apie asmens tapatybę ir asmenines savybes, pareiškimus ir nuomones, taip pat civilinį ir užimtumo statusą [2].

Ši politika susijusi su tuo, kaip ombudsmenas vykdo pareigą informuoti duomenų subjektus apie jų asmens duomenų tvarkymą nagrinėjant skundą ar atliekant tyrimą, kai duomenys gauti ne iš tų duomenų subjektų. Rengdamas šią politiką ombudsmenas atsižvelgė į Europos duomenų apsaugos priežiūros pareigūno (EDAPP) gaires [3].

2. Pareiga informuoti

Kai trečiosios šalies duomenų subjekto asmens duomenys įtraukiami į skundą ar kitus su tyrimu susijusius dokumentus, ombudsmenas privalo atitinkamam asmeniui pateikti tam tikrą informaciją [4], t. y.:

a) duomenų valdytojo, t. y. ombudsmeno [5], tapatybę ir kontaktinius duomenis;

b) ombudsmeno duomenų apsaugos pareigūno kontaktiniai duomenys;

c) duomenų tvarkymo operacijos tikslą (pavyzdžiui, skundo nagrinėjimą) ir teisinį duomenų tvarkymo pagrindą (pavyzdžiui, taisykles, susijusias su ES institucijų atliekamu asmens duomenų tvarkymu [6], ir (arba) ombudsmeno statutą [7]);

d) atitinkamų duomenų kategorijas (pavyzdžiui, atitinkamo asmens tapatybę ir užimtumo statusą);

e) duomenų gavėjai [8];

f) kai taikytina, tai, kad ombudsmenas ketina perduoti asmens duomenis trečiajai valstybei arba tarptautinei organizacijai, ir tai, ar Komisija yra priėmusi sprendimą dėl tinkamumo arba ar nėra tinkamų ar tinkamų apsaugos priemonių ir priemonių jų kopijai gauti, arba tais atvejais, kai buvo suteikta galimybė su jais susipažinti; ir

g) toliau nurodytą papildomą informaciją, būtiną sąžiningam ir skaidriam asmens duomenų tvarkymui užtikrinti:

i) atitinkamų duomenų saugojimo terminai;

ii) tai, kad asmuo turi teisę prašyti leisti susipažinti su savo asmens duomenimis, juos ištaisyti, ištrinti arba apriboti jų tvarkymą, arba teisę nesutikti, kad jie būtų tvarkomi [9];

iii) asmens teisę kreiptis į EDAPP ir

iv) duomenų kilmę (įskaitant, jei taikoma, viešai prieinamus šaltinius).

3. Politika

A – Su įgaliojimais nesusiję skundai

Jei ombudsmenas nustato, kad skundas, kuriame yra trečiųjų šalių asmens duomenų, nepatenka į jo įgaliojimų sritį, jis apie tai informuoja skundo pateikėją ir, jei įmanoma, informuoja jį apie įstaigą, kuri galėtų nagrinėti skundą. Jei skundo pateikėjas sutinka, kad jo skundas būtų perduotas, jei ombudsmenas negali jo išnagrinėti, ombudsmenas perduoda skundą kompetentingai įstaigai (pavyzdžiui, nacionaliniam ombudsmenui).

Tokiais atvejais ombudsmenas nemano, kad reikia pateikti 2 punkte nurodytą individualią informaciją, nes i) dėl tikslo, kuriuo ombudsmenas tvarko šiuos asmens duomenis (vertinimas, ar skundas patenka į ombudsmeno įgaliojimų sritį, ir, jei ne, galimas skundo perdavimas kitai įstaigai), ombudsmenas neprivalo nustatyti trečiosios šalies duomenų subjekto [10]; ir ii) individualus trečiųjų šalių duomenų subjektų informavimas apie tai, kad ombudsmenas gali tvarkyti su jais susijusius duomenis, net jei tai įmanoma, lemtų nereikalingą asmens duomenų dauginimą, todėl tam reikėtų neproporcingų pastangų [11].

Vietoj to ombudsmenė savo interneto svetainėje paskelbia informacinį pranešimą, kuriuo plačiajai visuomenei pranešama, kad nagrinėdama skundus ji gali tvarkyti kitų asmenų nei skundo pateikėja asmens duomenis. Šiame pranešime pateikiama nuoroda į šią politiką ir pareiškimą dėl asmens duomenų tvarkymo ombudsmenui nagrinėjant skundus ir atliekant tyrimus. Laikoma, kad šio pranešimo, dabartinės politikos ir pareiškimo pakanka, kad asmenims, kurių asmens duomenis ombudsmenas gali tvarkyti [12], būtų pateikta visa svarbi informacija ir kad jie galėtų prašyti leisti susipažinti su savo asmens duomenimis, juos ištaisyti, ištrinti ir apriboti jų tvarkymą, jei to pageidauja [13].

B - Neviršijant įgaliojimų, bet nepriimtini ir nepriimtini kaltinimai be pagrindo

Pirmiau minėtais atvejais ombudsmenas nemano, kad reikia teikti 2 punkte nurodytą individualią informaciją, nes individualiai informavus trečiųjų šalių duomenų subjektus apie tai, kad ombudsmenas gali tvarkyti su jais susijusius duomenis, net jei tai įmanoma, be reikalo padaugėtų asmens duomenų, o tai, atsižvelgiant į ribotus veiksmus, t. y. skundo neperdavimą už ombudsmeno tarnybos ribų, pareikalautų neproporcingų pastangų [14].

Laikoma, kad ombudsmeno interneto svetainėje paskelbto informacinio pranešimo, dabartinės politikos ir pareiškimo pakanka, kad asmenims, kurių asmens duomenis ombudsmenas gali tvarkyti [15], būtų pateikta visa svarbi informacija ir kad jie galėtų prašyti leisti susipažinti su savo asmens duomenimis, juos ištaisyti, ištrinti ir apriboti jų tvarkymą, jei to pageidauja [16].

C - Užklausos

Pirmiau nurodytais atvejais ombudsmenas pirmiausia turi nuspręsti, ar su trečiosiomis šalimis susiję duomenys yra svarbūs tyrimo dalykui, ar ne. Vienas iš būdų tai padaryti – išnagrinėti, ar ombudsmenas tyrimą nagrinėtų kitaip, jei trečiosios šalies duomenų subjektas nebūtų paminėtas ar identifikuotas tyrimo byloje.

Svarbūs duomenys galėtų būti, pavyzdžiui, duomenys, susiję su ankstesne ES pareigūno, kuris yra atrankos komisijos narys, įtariamas interesų konfliktu, profesine patirtimi. Neaktualūs duomenys galėtų būti, pavyzdžiui, duomenys, susiję su to ES pareigūno šeimine padėtimi. Kiti neaktualūs duomenys, kurie gali būti renkami ombudsmeno tyrimo metu tik atsitiktinai, yra, pavyzdžiui, kitų ES pareigūnų, minimų atitinkamos institucijos sprendimuose ir dokumentuose, surinktuose ombudsmeno tyrimo metu, vardai ir pavardės.

Sprendimas dėl tų duomenų tinkamumo ir juos pagrindžianti analizė bus išdėstyti santraukoje, kuri užregistruojama atitinkamoje ombudsmeno bylų valdymo sistemos bylos medžiagoje.

Neaktualūs duomenys

Tais atvejais, kai duomenys nėra svarbūs tyrimo dalykui, ombudsmenas nemano, kad reikia pateikti individualią informaciją trečiajai šaliai, nes i) kadangi duomenys nėra svarbūs, siekiant tikslo, dėl kurio ombudsmenas tvarko šiuos asmens duomenis (nagrinėja skundą ir (arba) atlieka tyrimą), ombudsmenas neprivalo nustatyti trečiosios šalies duomenų subjektų tapatybės [17]; ir ii) individualus tokių trečiųjų šalių duomenų subjektų informavimas, net jei tai įmanoma, lemtų nereikalingą asmens duomenų dauginimą ir pareikalautų neproporcingų pastangų, atsižvelgiant į tai, kad ombudsmenas nesinaudoja atitinkamais duomenimis atlikdamas tyrimą [18]. Ombudsmenas toliau netvarkys į skundo tekstą įtrauktų akivaizdžiai nesusijusių duomenų [19].

Laikoma, kad ombudsmeno interneto svetainėje paskelbto informacinio pranešimo, šios politikos ir pareiškimo pakanka, kad asmenims, kurių asmens duomenis ombudsmenas gali tvarkyti [20], būtų pateikta visa svarbi informacija ir kad jie galėtų prašyti leisti susipažinti su savo asmens duomenimis, juos ištaisyti, ištrinti ir apriboti jų tvarkymą, jei to pageidauja [21].

Atitinkami duomenys

Jei duomenys yra svarbūs, ombudsmenas svarsto galimybę pateikti 2 punkte nurodytą informaciją duomenų subjektui, kuris yra trečioji šalis.

Tačiau, jei įvertinus skundą galima daryti išvadą, kad trečiosios šalies duomenų subjektas jau turi informacijos (kai, pavyzdžiui, ES pareigūnas, kuris įtariamas turėjęs interesų konfliktą, turi visą skundo ir patvirtinamųjų dokumentų kopiją)[22] arba kad informacijos pateikti neįmanoma arba tam reikia neproporcingų pastangų (kai, pavyzdžiui, atitinkamas asmuo per tą laiką pasitraukė iš tarnybos ir jo negalima atsekti)[23], ombudsmenas išsamų vertinimą, kuriuo remiantis padaryta ta išvada, įrašo į bylos santrauką BVS, o ombudsmeno interneto svetainėje paskelbtas pranešimas kartu su šia politika ir pareiškimu laikomi pakankamais, kad asmenims, kurių asmens duomenis ombudsmenas gali tvarkyti [24], būtų suteikta reikiama informacija ir jie galėtų prašyti leisti susipažinti su jų asmens duomenimis, juos ištaisyti, ištrinti ir apriboti jų tvarkymą, jei jie to pageidauja [25].

Tais atvejais, kai duomenų subjektas, kuris yra trečioji šalis, neturi informacijos ir kai jį galima informuoti ir tam nereikia neproporcingų pastangų, ombudsmenas nagrinėja, ar dėl duomenų subjekto, kuris yra trečioji šalis, informavimo gali tapti neįmanoma pasiekti to duomenų tvarkymo tikslų, t. y. tinkamai ištirti galimą netinkamą administravimą ES institucijų, įstaigų, organų ar agentūrų veikloje pasinaudojus pagrindine teise (skundas ombudsmenui) arba savo iniciatyva, ir priimti dėl jo sprendimą [26].

Taip būtų, jei, pavyzdžiui, trečiosios šalies duomenų subjektas galėtų daryti įtaką tyrimui: pavyzdžiui, slepiant svarbius įrodymus arba imantis atsakomųjų veiksmų prieš skundo pateikėją dėl to, kad jis pasinaudojo pagrindine teise (pateikti skundą ombudsmenui), o tai turi įtakos tyrimui (pavyzdžiui, skundo pateikėjas nebenori prisidėti prie tyrimo).

Jei, atlikęs pirmiau nurodytą analizę, ombudsmenas padaro išvadą, kad dėl informacijos teikimo duomenų subjektui, kuris yra trečioji šalis, gali tapti neįmanomas arba gali būti labai pakenkta tyrimui ir ombudsmeno gebėjimui priimti sprendimą dėl įtarimų netinkamu administravimu, vertinimas ir susijusi išvada įrašomi į CMS bylos medžiagą. Ombudsmeno interneto svetainėje paskelbtas pranešimas kartu su šia politika ir pareiškimu laikomi pakankamais, kad būtų galima suteikti būtiną informaciją asmenims, kurių asmens duomenis ombudsmenas gali tvarkyti tokiais išimtiniais atvejais [27], ir suteikti jiems galimybę prašyti leisti susipažinti su savo asmens duomenimis, juos ištaisyti, ištrinti ir apriboti jų tvarkymą, jei jie to pageidauja [28].

Jei, priešingai, ombudsmenas padaro išvadą, kad dėl informacijos teikimo duomenų subjektui, kuris yra trečioji šalis, tyrimas netaps neįmanomas arba nebus labai pakenkta ombudsmeno gebėjimui priimti sprendimą dėl įtarimų netinkamu administravimu, jis pateikia duomenų subjektui, kuris yra trečioji šalis, 2 punkte nurodytą informaciją, kai tik skundas baigiamas nagrinėti ir apie tai pranešama institucijai [29].

4. Nuomonės, pateiktos per ombudsmenės viešas konsultacijas

Šioje politikoje nustatyti principai taip pat taikomi visiems asmens duomenims, gautiems per ombudsmeno viešas konsultacijas.

 

Emily O'Reilly

Strasbūras, 2019 07 16

 

[1] 2018 m. spalio 23 d. Europos Parlamento ir Tarybos reglamento (ES) 2018/1725 dėl fizinių asmenų apsaugos Sąjungos institucijoms, organams, tarnyboms ir agentūroms tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo, kuriuo panaikinamas Reglamentas (EB) Nr. 45/2001 ir Sprendimas Nr. 1247/2002/EB (OL L 295, 2018, p. 39), 3 straipsnio 1 dalis: asmens duomenys – bet kokia informacija, susijusi su fiziniu asmeniu (duomenų subjektu), kurio tapatybė yra nustatyta arba gali būti nustatyta; fizinis asmuo, kurio tapatybę galima nustatyti, yra asmuo, kurio tapatybę tiesiogiai arba netiesiogiai galima nustatyti, visų pirma pagal identifikatorių, kaip antai vardą ir pavardę, asmens identifikavimo numerį, buvimo vietos duomenis ir interneto identifikatorių arba pagal vieną ar kelis to fizinio asmens fizinei, fiziologinei, genetinei, psichinei, ekonominei, kultūrinei ar socialinei tapatybei būdingus veiksnius.“.

[2] Išsamią asmens duomenų sąvokos analizę galima rasti 29 straipsnio duomenų apsaugos darbo grupės nuomonėje Nr. 4/2007, kurią galima rasti čia: http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2007/wp136_en.pdf

[3] https://secure.edps.europa.eu/EDPSWEB/

[4] Reglamento 2018/1725 16 straipsnio 1 ir 2 dalys.

[5] Reglamento 2018/1725 3 straipsnio 8 punktas: duomenų valdytojas – Sąjungos institucija ar įstaiga, generalinis direktoratas ar bet kuris kitas organizacinis vienetas, kuris vienas ar drauge su kitais nustato asmens duomenų tvarkymo tikslus ir priemones; kai tokio duomenų tvarkymo tikslai ir priemonės nustatyti konkrečiu Sąjungos aktu, duomenų valdytojas arba konkretūs jo skyrimo kriterijai gali būti nustatyti Sąjungos teisėje.“;

[6] Reglamento 2018/1725 5 straipsnis.

[7] 1994 m. kovo 9 d. Europos Parlamento sprendimas dėl ombudsmeno pareigų atlikimą reglamentuojančių nuostatų ir bendrųjų sąlygų (94/262/EAPB, EB, Euratomas) (OL L 113, 1994, p. 15) su pakeitimais, padarytais 2002 m. kovo 14 d. Europos Parlamento sprendimu (OL L 92, 2002, p. 13) ir 2008 m. birželio 18 d. Europos Parlamento sprendimu (OL L 189, 2008, p. 25).

[8] Reglamento 2018/1725 3 straipsnio 13 punktas: duomenų gavėjas – fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuriai atskleidžiami asmens duomenys, nesvarbu, ar tai trečioji šalis, ar ne. Tačiau valdžios institucijos, kurios pagal Sąjungos arba valstybės narės teisę gali gauti asmens duomenis atlikdamos konkretų tyrimą, duomenų gavėjais nelaikomos; tvarkydamos tuos duomenis tos valdžios institucijos laikosi taikomų duomenų apsaugos taisyklių, atsižvelgiant į duomenų tvarkymo tikslus.“

[9] Reglamento 2018/1725 17–20 ir 23 straipsniai.

[10] Reglamento 2018/1725 12 straipsnio 1 dalis: „Jei dėl tikslų, kuriais duomenų valdytojas tvarko asmens duomenis, duomenų valdytojui nereikia arba nebereikia nustatyti duomenų subjekto tapatybės, duomenų valdytojas neprivalo saugoti, gauti ar tvarkyti papildomos informacijos duomenų subjekto tapatybei nustatyti vien tam, kad būtų laikomasi šio reglamento.“

[11] Reglamento 2018/1725 16 straipsnio 5 dalies b punktas: „1–4 dalys netaikomos, kai ir tiek, kiek:... tokios informacijos pateikti neįmanoma arba tai pareikalautų neproporcingų pastangų...“

[12] Reglamento 2018/1725 16 straipsnio 6 dalis: „5 dalies b punkte nurodytais atvejais duomenų valdytojas imasi tinkamų priemonių duomenų subjekto teisėms ir laisvėms bei teisėtiems interesams apsaugoti, be kita ko, viešai paskelbia informaciją.“

[13] Reglamento 2018/1725 12 straipsnio 2 dalis: „Jeigu šio straipsnio 1 dalyje nurodytais atvejais duomenų valdytojas gali įrodyti, kad negali nustatyti duomenų subjekto tapatybės, duomenų valdytojas, jei įmanoma, apie tai informuoja duomenų subjektą. Tokiais atvejais 17–22 straipsniai netaikomi, išskyrus atvejus, kai duomenų subjektas, siekdamas pasinaudoti savo teisėmis pagal tuos straipsnius, pateikia papildomos informacijos, pagal kurią galima nustatyti jo tapatybę.“ Taip galėtų būti, pavyzdžiui, tuo atveju, kai trečiosios šalies duomenų subjektas prašo leisti susipažinti su ombudsmeno tvarkomais jo asmens duomenimis ir po paieškos ombudsmeno bylų valdymo sistemoje ombudsmenas jį informuoja, kad jo duomenų nerasta. Tačiau jei duomenų subjektas vėliau pateikia papildomos informacijos, pavyzdžiui, skundo numerį arba skundo pateikėjo vardą ir pavardę, tai gali leisti nustatyti jo tapatybę ombudsmeno bylose ir ombudsmenui priimti sprendimą dėl prašymo.

[14] Reglamento 2018/1725 16 straipsnio 5 dalies b punktas.

[15] Reglamento 2018/1725 16 straipsnio 6 dalis.

[16] Reglamento 2018/1725 12 straipsnio 2 dalis. Žr. 13 išnašą.

[17] Reglamento 2018/1725 12 straipsnio 1 dalis

[18] Reglamento 2018/1725 16 straipsnio 5 dalies b punktas.

[19] Gali būti, kad duomenys, kurie gali būti nelaikomi svarbiais tyrimo objektui ankstyvaisiais tyrimo etapais, vis dėlto galiausiai gali būti naudojami tyrimo tikslais ir turėti įtakos jo rezultatui.

[20] Reglamento 2018/1725 16 straipsnio 6 dalis.

[21] Reglamento 2018/1725 12 straipsnio 2 dalis. Žr. 13 išnašą.

[22] Reglamento 2018/1725 16 straipsnio 5 dalies a punktas: „1–4 dalys netaikomos, kai ir tiek, kiek:  duomenų subjektas jau turi informaciją...“

[23] Reglamento 2018/1725 16 straipsnio 5 dalies b punktas: „1–4 dalys netaikomos, kai ir tiek, kiek:... tokios informacijos pateikti neįmanoma arba tai pareikalautų neproporcingų pastangų...“

[24] Reglamento 2018/1725 16 straipsnio 6 dalis.

[25] Reglamento 2018/1725 12 straipsnio 2 dalis. Žr. 13 išnašą.

[26] Reglamento 2018/1725 16 straipsnio 5 dalies b punktas: „1–4 dalys netaikomos, kai ir tiek, kiek: dėl šio straipsnio 1 dalyje nurodytos pareigos gali tapti neįmanoma arba ji gali labai sukliudyti pasiekti to duomenų tvarkymo tikslus “

[27] Reglamento 2018/1725 16 straipsnio 6 dalis.

[28] Reglamento 2018/1725 12 straipsnio 2 dalis. Žr. 13 išnašą.

[29] Reglamento 2018/1725 16 straipsnio 3 dalis: „1 ir 2 dalyse nurodytą informaciją duomenų valdytojas pateikia: c) jei ketinama atskleisti duomenis kitam gavėjui, ne vėliau kaip tada, kai asmens duomenys atskleidžiami pirmą kartą.“