1. Ievads

Papildus to fizisko personu personas datu apstrādei, kuras iesniedz sūdzības, ombudam atkarībā no lietas faktiem var būt jāapstrādā personas dati attiecībā uz citām fiziskām personām ("trešo personu datu subjekti").

Saņemot sūdzību, ombuds novērtē, vai sniegtā informācija satur trešo personu personas datus, t. i., jebkādu informāciju, kas attiecas uz identificētu vai identificējamu fizisku personu, kura nav sūdzības iesniedzējs.

Personas datu jēdziens ir ļoti plašs [1]. Piemēram, tā ietver informāciju par personas identitāti un personiskajām īpašībām, paziņojumiem un uzskatiem, kā arī civilstāvokli un nodarbinātības statusu [2].

Šī politika attiecas uz to, kā ombuds īsteno pienākumu informēt datu subjektus par viņu personas datu apstrādi saistībā ar sūdzību vai izmeklēšanu, ja dati nav iegūti no šiem datu subjektiem. Izstrādājot šo politiku, ombuds ir ņēmis vērā Eiropas Datu aizsardzības uzraudzītāja ("EDAU") norādījumus [3].

2. Informēšanas pienākums

Ja trešās personas datu subjekta personas dati ir iekļauti sūdzībā vai citos ar izmeklēšanu saistītos dokumentos, ombudam ir pienākums sniegt attiecīgajai personai konkrētu informāciju [4], proti:

a) pārziņa, t. i., ombuda [5], identitāti un kontaktinformāciju;

b) ombuda datu aizsardzības speciālista kontaktinformācija;

apstrādes darbības mērķis (piemēram, sūdzības izskatīšana) un apstrādes juridiskais pamats (piemēram, noteikumi par personas datu apstrādi ES iestādēs [6] un/vai Ombuda statūti [7]);

d) attiecīgo datu kategorijas (piemēram, attiecīgās personas identitāte un nodarbinātības statuss);

e) datu saņēmēji [8];

f) attiecīgā gadījumā to, ka Ombuds plāno nosūtīt personas datus trešai valstij vai starptautiskai organizācijai, un to, vai pastāv vai nepastāv Komisijas lēmums par aizsardzības līmeņa pietiekamību vai atbilstošas vai piemērotas garantijas, un līdzekļus, lai iegūtu to kopiju, vai to, kur tie ir darīti pieejami; un

g) šādu papildu informāciju, kas vajadzīga, lai garantētu personas datu godprātīgu un pārredzamu apstrādi:

i) attiecīgo datu glabāšanas termiņus;

fakts, ka personai ir tiesības pieprasīt piekļuvi saviem personas datiem, to labošanu, dzēšanu vai apstrādes ierobežošanu vai tiesības iebilst pret apstrādi [9];

personas tiesības vērsties pie EDAU un

iv) datu izcelsme (tostarp attiecīgā gadījumā publiski pieejami avoti).

3. Politika

A - Sūdzības ārpus mandāta

Ja ombuds konstatē, ka sūdzība, kas satur trešo personu personas datus, neietilpst viņa pilnvarās, viņš attiecīgi informē sūdzības iesniedzēju un, ja iespējams, informē viņu par struktūru, kas varētu izskatīt sūdzību. Ja sūdzības iesniedzējs ir piekritis savas sūdzības pārsūtīšanai gadījumā, ja ombuds nespēj to izskatīt, ombuds pārsūta sūdzību kompetentajai struktūrai (piemēram, valsts ombudam).

Šādos gadījumos ombuds neuzskata, ka ir jāsniedz iepriekš 2. punktā minētā individuālā informācija, jo i) nolūks, kādā ombuds apstrādā šos personas datus (novērtējums par to, vai sūdzība ietilpst ombuda pilnvarās, un, ja tā nav, sūdzības iespējama nosūtīšana citai struktūrai), neprasa, lai ombuds identificētu trešo personu, kas ir datu subjekts [10]; un ii) trešo personu datu subjektu individuāla informēšana par to, ka ombuds var apstrādāt ar viņiem saistītus datus, pat ja tas ir iespējams, radītu nevajadzīgu personas datu pavairošanu un tādējādi būtu saistīta ar nesamērīgām pūlēm [11].

Tā vietā ombude savā tīmekļa vietnē publicē informatīvu piezīmi, informējot plašu sabiedrību, ka viņa, izskatot sūdzības, var apstrādāt citu personu, kas nav sūdzības iesniedzēja, personas datus. Šajā piezīmē ir iekļauta saite uz šo politiku un paziņojumu par personas datu apstrādi saistībā ar ombuda veikto sūdzību un izmeklēšanu izskatīšanu. Šī piezīme, pašreizējā politika un paziņojums tiek uzskatīti par pietiekamiem, lai sniegtu visu attiecīgo informāciju personām, kuru personas datus ombuds var apstrādāt [12], un ļautu tām pieprasīt piekļuvi saviem personas datiem, to labošanu, dzēšanu un apstrādes ierobežošanu, ja tās to vēlas [13].

B - Pilnvaru ietvaros iesniegtas sūdzības, kas ir nepieņemamas un pieņemamas bez pamatojuma

Iepriekš minētajās lietās ombuds neuzskata, ka būtu jāsniedz iepriekš 2. punktā minētā individuālā informācija, jo trešo personu datu subjektu individuāla informēšana par to, ka ombuds var apstrādāt ar viņiem saistītus datus, pat ja tas ir iespējams, radītu nevajadzīgu personas datu pavairošanu, kas, ņemot vērā ierobežotās darbības, proti, sūdzības nenosūtīšanu ārpus ombuda biroja, radītu nesamērīgas pūles [14].

Informatīvais paziņojums, kas publicēts ombuda tīmekļa vietnē, un pašreizējā politika un paziņojums tiek uzskatīti par pietiekamiem, lai sniegtu visu attiecīgo informāciju personām, kuru personas datus ombuds var apstrādāt [15], un ļautu tām pieprasīt piekļuvi saviem personas datiem, to labošanu, dzēšanu un apstrādes ierobežošanu, ja tās to vēlas [16].

C - Izmeklēšana

Iepriekš minētajos gadījumos ombudam vispirms ir jāizlemj, vai dati, kas attiecas uz trešām personām, ir vai nav būtiski izmeklēšanas priekšmetam. Viens no veidiem, kā to izdarīt, ir pārbaudīt, vai ombuds veiktu izmeklēšanu citādi, ja trešā persona, kas ir datu subjekts, nebūtu minēta vai identificēta izmeklēšanas lietā.

Attiecīgie dati varētu būt, piemēram, dati par tā ES ierēdņa iepriekšējo profesionālo pieredzi, kurš ir atlases komisijas loceklis un par kuru tiek apgalvots, ka viņam ir interešu konflikts. Neatbilstoši dati varētu būt, piemēram, dati, kas saistīti ar šā ES ierēdņa ģimenes stāvokli. Citi nebūtiski dati, kas, visticamāk, tiks vākti ombuda izmeklēšanas laikā tikai nejauši, ir, piemēram, citu ES ierēdņu vārdi, kas minēti attiecīgās iestādes lēmumos, un dokumenti, kas savākti ombuda izmeklēšanas laikā.

Lēmums par minēto datu atbilstību un to pamatā esošā analīze tiks izklāstīta kopsavilkumā, ko reģistrē ombuda lietu pārvaldības sistēmas (CMS) attiecīgajos lietas materiālos.

Neatbilstoši dati

Gadījumos, kad dati neattiecas uz izmeklēšanas priekšmetu, ombuds neuzskata, ka individuālas informācijas sniegšana trešai personai ir nepieciešama, jo i) tā kā dati nav būtiski, ombudam nav jāidentificē trešās personas datu subjekti saistībā ar nolūku, kādā šie personas dati tiek apstrādāti (sūdzības/izmeklēšanas izskatīšana)[17]; un ii) šādu trešo personu datu subjektu individuāla informēšana, pat ja tas ir iespējams, radītu nevajadzīgu personas datu pavairošanu un būtu saistīta ar nesamērīgām pūlēm, ņemot vērā to, ka Ombuds neizmanto attiecīgos datus saistībā ar savu izmeklēšanu [18]. Acīmredzami neatbilstošus datus, kas iekļauti sūdzības tekstā, ombuds turpmāk neapstrādās [19].

Informatīvais paziņojums, kas publicēts ombuda tīmekļa vietnē, pašreizējā politika un paziņojums tiek uzskatīti par pietiekamiem, lai sniegtu visu attiecīgo informāciju personām, kuru personas datus ombuds var apstrādāt [20], un ļautu tām pieprasīt piekļuvi saviem personas datiem, to labošanu, dzēšanu un apstrādes ierobežošanu, ja tās to vēlas [21].

Attiecīgie dati

Ja dati ir būtiski, ombuds apsver iespēju sniegt 2. punktā minēto informāciju trešai personai, kas ir datu subjekts.

Tomēr, ja sūdzības novērtējums ļauj secināt, ka trešās personas datu subjekta rīcībā jau ir informācija (kad, piemēram, ES ierēdnim, par kuru tiek apgalvots, ka tam ir interešu konflikts, ir sūdzības un apliecinošo dokumentu pilna kopija)[22] vai ka informācijas sniegšana ir neiespējama vai ir saistīta ar nesamērīgām pūlēm (kad, piemēram, attiecīgā persona pa to laiku ir atstājusi dienestu un to nevar izsekot)[23], ombuds lietas kopsavilkumā CMS reģistrē detalizētu novērtējumu, kura rezultātā ir izdarīts šāds secinājums, un ombuda tīmekļa vietnē publicētais paziņojums kopā ar pašreizējo politiku un paziņojumu tiek uzskatīts par pietiekamu, lai sniegtu nepieciešamo informāciju personām, kuru personas datus ombuds var apstrādāt [24], un ļautu tām pieprasīt piekļuvi saviem personas datiem, to labošanu, dzēšanu un apstrādes ierobežošanu, ja tās to vēlas [25].

Gadījumos, kad trešās personas datu subjekta rīcībā nav informācijas un ja viņa informēšana ir iespējama un nav saistīta ar nesamērīgām pūlēm, ombuds pārbauda, vai trešās personas datu subjekta informēšana varētu padarīt neiespējamu vai būtiski traucēt minētās apstrādes mērķu sasniegšanu, proti, pienācīgi izmeklēt un lemt par iespējamām administratīvām kļūmēm ES iestāžu, struktūru, biroju vai aģentūru darbībā pēc pamattiesību īstenošanas (sūdzība ombudam) vai pēc ombuda paša iniciatīvas [26].

Tas tā būtu, ja, piemēram, trešā persona, kas ir datu subjekts, varētu ietekmēt izmeklēšanu: piemēram, slēpjot svarīgus pierādījumus vai atriebjoties sūdzības iesniedzējam par to, ka viņš ir izmantojis pamattiesības (sūdzēt ombudu), kas ietekmē izmeklēšanu (piemēram, sūdzības iesniedzējs vairs nevēlas piedalīties izmeklēšanā).

Ja pēc iepriekš minētās analīzes ombuds secina, ka informācijas sniegšana trešai personai, kas ir datu subjekts, varētu padarīt neiespējamu vai nopietni kaitēt izmeklēšanai un ombuda spējai pieņemt lēmumu par apgalvojumiem par administratīvu kļūmi, novērtējums un no tā izrietošais secinājums tiks reģistrēts lietas materiālos CMS. Ombuda tīmekļa vietnē publicētā piezīme kopā ar pašreizējo politiku un paziņojumu tiek uzskatīta par pietiekamu, lai sniegtu nepieciešamo informāciju personām, kuru personas datus ombuds var apstrādāt šādos izņēmuma gadījumos [27], un ļautu tām pieprasīt piekļuvi saviem personas datiem, to labošanu, dzēšanu un apstrādes ierobežošanu, ja tās to vēlas [28].

Ja, gluži pretēji, ombuds secina, ka informācijas sniegšana trešai personai, kas ir datu subjekts, visticamāk, nepadarīs neiespējamu vai būtiski nekaitēs izmeklēšanai un ombuda spējai pieņemt lēmumu par apgalvojumiem par administratīvām kļūmēm, viņš sniedz trešai personai, kas ir datu subjekts, iepriekš 2. punktā minēto informāciju, tiklīdz ir pabeigta sūdzības izskatīšana un iestāde ir informēta [29].

4. Atbildes uz ombuda sabiedriskajām apspriešanām

Šajā politikā izklāstītie principi attiecas arī uz visiem personas datiem, kas saņemti saistībā ar Ombuda rīkotajām sabiedriskajām apspriešanām.

 

Emīlija O'Reilija

Strasbūrā, 2019. gada 16. jūlijā

 

[1] Eiropas Parlamenta un Padomes Regulas (ES) 2018/1725 (2018. gada 23. oktobris) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi Savienības iestādēs, struktūrās, birojos un aģentūrās un par šādu datu brīvu apriti un ar ko atceļ Regulu (EK) Nr. 45/2001 un Lēmumu Nr. 1247/2002/EK (OV 2018, L 295, 39. lpp.), 3. panta 1. punkts: “personas dati” ir jebkura informācija, kas attiecas uz identificētu vai identificējamu fizisku personu (“datu subjekts”); identificējama fiziska persona ir tāda, kuru var tieši vai netieši identificēt, jo īpaši atsaucoties uz identifikatoru, piemēram, minētās fiziskās personas vārdu, uzvārdu, identifikācijas numuru, atrašanās vietas datiem, tiešsaistes identifikatoru vai vienu vai vairākiem minētajai fiziskajai personai raksturīgiem fiziskās, fizioloģiskās, ģenētiskās, garīgās, ekonomiskās, kultūras vai sociālās identitātes faktoriem”.

[2] Sīkāku personas datu jēdziena analīzi skatīt 29. panta datu aizsardzības darba grupas atzinumā 4/2007, kas pieejams šeit: http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2007/wp136_en.pdf

[3] https://secure.edps.europa.eu/EDPSWEB/

[4] Regulas 2018/1725 16. panta 1. un 2. punkts.

[5] Regulas 2018/1725 3. panta 8. punkts: ““pārzinis” ir Savienības iestāde vai struktūra vai ģenerāldirektorāts, vai jebkura cita organizatoriska vienība, kas viena pati vai kopīgi ar citām nosaka personas datu apstrādes nolūkus un līdzekļus; ja šādas apstrādes nolūkus un līdzekļus nosaka ar konkrētu Savienības tiesību aktu, pārzini vai tā iecelšanas konkrētos kritērijus var paredzēt Savienības tiesību aktos”.

[6] Regulas 2018/1725 5. pants.

[7] Eiropas Parlamenta Lēmums (1994. gada 9. marts) par noteikumiem un vispārējiem nosacījumiem, kas reglamentē ombuda pienākumu izpildi (94/262/EOTK, EK, Euratom) (OV 1994, L 113, 15. lpp.), kas grozīts ar tā 2002. gada 14. marta lēmumu (OV 2002, L 92, 13. lpp.) un 2008. gada 18. jūnija lēmumu (OV 2008, L 189, 25. lpp.).

[8] Regulas 2018/1725 3. panta 13. punkts: ""saņēmējs" ir fiziska vai juridiska persona, publiska iestāde, aģentūra vai cita struktūra, kurai izpauž personas datus, neatkarīgi no tā, vai tā ir trešā persona vai nav. Tomēr publiskas iestādes, kas var saņemt personas datus saistībā ar konkrētu izmeklēšanu saskaņā ar Savienības vai dalībvalsts tiesību aktiem, neuzskata par saņēmējiem; minēto datu apstrāde, ko veic minētās publiskās iestādes, atbilst piemērojamajiem datu aizsardzības noteikumiem saskaņā ar apstrādes nolūkiem.”

[9] Regulas 2018/1725 17.–20. pants un 23. pants.

[10] Regulas 2018/1725 12. panta 1. punkts: “Ja nolūki, kādos pārzinis apstrādā personas datus, neprasa vai vairs neprasa, lai pārzinis identificētu datu subjektu, pārzinim nav pienākuma saglabāt, iegūt vai apstrādāt papildu informāciju, lai identificētu datu subjektu, ja vienīgais nolūks ir ievērot šo regulu.”

[11] Regulas 2018/1725 16. panta 5. punkta b) apakšpunkts: “Šā panta 1. līdz 4. punktu nepiemēro, ja un ciktāl: [..] šādas informācijas sniegšana izrādās neiespējama vai prasītu nesamērīgas pūles [..].”

[12] Regulas 2018/1725 16. panta 6. punkts: “Šā panta 5. punkta b) apakšpunktā minētajos gadījumos pārzinis veic atbilstīgus pasākumus, lai aizsargātu datu subjekta tiesības un brīvības un leģitīmās intereses, tostarp dara informāciju publiski pieejamu.”

[13] Regulas 2018/1725 12. panta 2. punkts: “Ja šā panta 1. punktā minētajos gadījumos pārzinis spēj uzskatāmi parādīt, ka nespēj identificēt datu subjektu, pārzinis, ja iespējams, attiecīgi informē datu subjektu. Šādos gadījumos 17.–22. pantu nepiemēro, izņemot gadījumus, kad datu subjekts, lai īstenotu savas tiesības saskaņā ar minētajiem pantiem, sniedz papildu informāciju, kas ļauj viņu identificēt.” Tas varētu būt, piemēram, gadījumā, kad trešā persona, kas ir datu subjekts, pieprasa piekļuvi saviem personas datiem, kurus apstrādā Ombuds, un pēc meklēšanas Ombuda lietu pārvaldības sistēmā (CMS) Ombuds informē viņu, ka viņa datus nav iespējams atrast. Tomēr, ja datu subjekts pēc tam sniedz papildu informāciju, piemēram, sūdzības numuru vai sūdzības iesniedzēja vārdu, tas var ļaut viņu identificēt ombuda lietas materiālos un ombudam pieņemt lēmumu par pieprasījumu.

[14] Regulas 2018/1725 16. panta 5. punkta b) apakšpunkts.

[15] Regulas 2018/1725 16. panta 6. punkts.

[16] Regulas 2018/1725 12. panta 2. punkts. Sk. iepriekš 13. zemsvītras piezīmi.

[17] Regulas 2018/1725 12. panta 1. punkts

[18] Regulas 2018/1725 16. panta 5. punkta b) apakšpunkts.

[19] Ir iespējams, ka dati, kurus to sākumposmā nevar uzskatīt par būtiskiem attiecībā uz izmeklēšanas priekšmetu, tomēr galu galā var tikt izmantoti izmeklēšanas vajadzībām un ietekmēt tās iznākumu.

[20] Regulas 2018/1725 16. panta 6. punkts.

[21] Regulas 2018/1725 12. panta 2. punkts. Sk. iepriekš 13. zemsvītras piezīmi.

[22] Regulas 2018/1725 16. panta 5. punkta a) apakšpunkts: “Šā panta 1. līdz 4. punktu nepiemēro, ja un ciktāl: [..]  datu subjekta rīcībā jau ir informācija...”

[23] Regulas 2018/1725 16. panta 5. punkta b) apakšpunkts: „Šā panta 1. līdz 4. punktu nepiemēro, ja un ciktāl: [..] šādas informācijas sniegšana izrādās neiespējama vai prasītu nesamērīgas pūles [..].”

[24] Regulas 2018/1725 16. panta 6. punkts.

[25] Regulas 2018/1725 12. panta 2. punkts. Sk. iepriekš 13. zemsvītras piezīmi.

[26] Regulas 2018/1725 16. panta 5. punkta b) apakšpunkts: „Šā panta 1. līdz 4. punktu nepiemēro, ja un ciktāl: [..] šā panta 1. punktā minētais pienākums varētu neļaut vai būtiski traucēt sasniegt minētās apstrādes mērķus [..].”

[27] Regulas 2018/1725 16. panta 6. punkts.

[28] Regulas 2018/1725 12. panta 2. punkts. Sk. iepriekš 13. zemsvītras piezīmi.

[29] Regulas 2018/1725 16. panta 3. punkts: “Pārzinis 1. un 2. punktā minēto informāciju sniedz: [..] c) ja ir paredzēts izpaust datus citam saņēmējam, vēlākais tad, kad personas datus pirmo reizi izpauž.”