1. Inleiding

Naast de verwerking van persoonsgegevens van personen die een klacht indienen, kan het zijn dat de Ombudsman, afhankelijk van de feiten van de zaak, persoonsgegevens moet verwerken met betrekking tot andere personen ("derde betrokkenen").

Na ontvangst van een klacht beoordeelt de Ombudsman of de verstrekte informatie persoonsgegevens van derden bevat, d.w.z. informatie over een geïdentificeerde of identificeerbare natuurlijke persoon, anders dan de klager.

Het begrip persoonsgegevens is zeer ruim [1]. Het bevat bijvoorbeeld informatie over iemands identiteit en persoonlijke kenmerken, verklaringen en meningen, en burgerlijke en arbeidsstatus [2].

Dit beleid heeft betrekking op de wijze waarop de Ombudsman uitvoering geeft aan de verplichting om betrokkenen te informeren over de verwerking van hun persoonsgegevens in het kader van een klacht of een onderzoek, wanneer de gegevens niet van die betrokkenen zijn verkregen. Bij het opstellen van dit beleid heeft de Ombudsman rekening gehouden met de richtsnoeren van de Europese Toezichthouder voor gegevensbescherming (EDPS)[3].

2. De informatieplicht

Wanneer persoonsgegevens van een derde in een klacht of andere onderzoeksgerelateerde documenten worden opgenomen, heeft de Ombudsman de plicht de betrokken persoon bepaalde informatie te verstrekken [4], namelijk:

a) de identiteit en de contactgegevens van de verwerkingsverantwoordelijke, dat wil zeggen de Ombudsman [5];

b) de contactgegevens van de functionaris voor gegevensbescherming van de Ombudsman;

c) het doel van de verwerking (bijvoorbeeld de behandeling van een klacht) en de rechtsgrondslag voor de verwerking (bijvoorbeeld de regels betreffende de verwerking van persoonsgegevens door EU-instellingen [6] en/of het statuut van de Ombudsman [7]);

d) de betrokken categorieën gegevens (bijvoorbeeld de identiteit en de arbeidsstatus van de betrokkene);

e) de ontvangers van de gegevens [8];

f) indien van toepassing, dat de Ombudsman voornemens is de persoonsgegevens door te geven aan een derde land of een internationale organisatie en het al dan niet bestaan van een adequaatheidsbesluit van de Commissie of van passende of passende waarborgen en de middelen om een kopie ervan te verkrijgen of waar deze beschikbaar zijn gesteld; en

g) de volgende aanvullende informatie die nodig is om een eerlijke en transparante verwerking van de persoonsgegevens van de betrokkene te waarborgen:

i) de termijnen voor de opslag van de relevante gegevens;

ii) het feit dat de betrokkene het recht heeft te verzoeken om toegang tot, rectificatie, wissing of beperking van de verwerking van zijn persoonsgegevens of het recht om bezwaar te maken tegen de verwerking [9];

iii) het recht van de betrokkene om zich tot de EDPS te wenden, en

iv) de herkomst van de gegevens (met inbegrip van, indien van toepassing, openbaar beschikbare bronnen).

3. Het beleid

A - Klachten buiten het mandaat

Indien de Ombudsman van oordeel is dat een klacht met persoonsgegevens van derden niet onder haar mandaat valt, stelt zij de klager daarvan in kennis en adviseert zij hem/haar waar mogelijk over de instantie die de klacht zou kunnen behandelen. Wanneer de klager heeft ingestemd met een overdracht van zijn of haar klacht indien de Ombudsman deze niet kan behandelen, stuurt de Ombudsman de klacht door naar het bevoegde orgaan (bijvoorbeeld een nationale Ombudsman).

In dergelijke gevallen acht de Ombudsman het verstrekken van de in punt 2 hierboven genoemde individuele informatie niet vereist omdat i) het doel waarvoor de Ombudsman deze persoonsgegevens verwerkt (beoordeling van de vraag of de klacht binnen het mandaat van de Ombudsman valt en, zo niet, de eventuele overdracht van de klacht aan een ander orgaan) niet vereist dat de Ombudsman de betrokken derde partij identificeert [10]; en ii) het individueel informeren van betrokkenen van derden over het feit dat de Ombudsman mogelijk gegevens over hen verwerkt, zelfs indien mogelijk, zou leiden tot een onnodige vermenigvuldiging van persoonsgegevens en derhalve een onevenredige inspanning vergen [11].

In plaats daarvan publiceert de Ombudsman op haar website een informatieve nota waarin het grote publiek wordt geïnformeerd dat zij mogelijk persoonsgegevens van andere personen dan die van de klager verwerkt in het kader van haar behandeling van klachten. Deze nota bevat een link naar dit beleid en naar een verklaring voor de verwerking van persoonsgegevens in het kader van de behandeling van klachten en onderzoeken door de Ombudsman. Deze nota, dit beleid en deze verklaring worden voldoende geacht om alle relevante informatie te verstrekken aan personen van wie de Ombudsman persoonsgegevens kan verwerken [12] en om hen in staat te stellen desgewenst te verzoeken om toegang tot, rectificatie, wissing en beperking van de verwerking van hun persoonsgegevens [13].

B - Binnen het mandaat, maar niet ontvankelijk en ontvankelijk geen gronden klachten

In de bovengenoemde gevallen acht de Ombudsman het verstrekken van de in punt 2 hierboven genoemde individuele informatie niet vereist, omdat het individueel informeren van derde betrokkenen over het feit dat de Ombudsman mogelijk gegevens over hen verwerkt, zelfs indien mogelijk, zou leiden tot een onnodige vermenigvuldiging van persoonsgegevens die, gelet op de beperkte betrokken acties, namelijk het niet doorgeven van de klacht buiten het kantoor van de Ombudsman, een onevenredige inspanning zou vergen [14].

De op de website van de Ombudsman gepubliceerde informatieve nota en het huidige beleid en de verklaring worden toereikend geacht om alle relevante informatie te verstrekken aan personen van wie de Ombudsman persoonsgegevens kan verwerken [15] en om hen in staat te stellen desgewenst te verzoeken om toegang tot, rectificatie, wissing en beperking van de verwerking van hun persoonsgegevens [16].

C - Onderzoeken

In de bovengenoemde gevallen moet de Ombudsman eerst beslissen of de gegevens met betrekking tot derden al dan niet relevant zijn voor het voorwerp van het onderzoek. Een manier om dit te doen is te onderzoeken of de Ombudsman het onderzoek anders zou behandelen als de derde betrokkene niet in het onderzoeksdossier was genoemd of geïdentificeerd.

Relevante gegevens kunnen bijvoorbeeld betrekking hebben op eerdere beroepservaring van de EU-ambtenaar die lid is van een jury die een belangenconflict zou hebben. Onrelevante gegevens kunnen bijvoorbeeld betrekking hebben op de burgerlijke staat van die EU-ambtenaar. Andere irrelevante gegevens die tijdens het onderzoek van de Ombudsman waarschijnlijk louter incidenteel zullen worden verzameld, zijn bijvoorbeeld de namen van andere EU-ambtenaren die worden genoemd in de besluiten van de betrokken instelling en de documenten die tijdens het onderzoek van de Ombudsman zijn verzameld.

Het besluit over de relevantie van die gegevens en de onderliggende analyse zal worden uiteengezet in de samenvatting die is geregistreerd in het desbetreffende dossier van het casemanagementsysteem (CMS) van de Ombudsman.

Irrelevante gegevens

In gevallen waarin de gegevens niet relevant zijn voor het voorwerp van het onderzoek, acht de Ombudsman het verstrekken van individuele informatie aan de derde niet vereist omdat i) aangezien de gegevens niet relevant zijn, het doel waarvoor de Ombudsman deze persoonsgegevens verwerkt (behandeling van de klacht/het onderzoek) niet vereist dat de Ombudsman de derde betrokkenen identificeert [17]; en ii) het individueel informeren van dergelijke derde betrokkenen, zelfs indien mogelijk, zou leiden tot een onnodige vermenigvuldiging van persoonsgegevens en onevenredige inspanningen met zich meebrengen gezien het feit dat de Ombudsman in het kader van haar onderzoek geen gebruik maakt van de betrokken gegevens [18]. Kennelijk irrelevante gegevens in de tekst van de klacht zullen door de Ombudsman niet verder worden verwerkt [19].

De op de website van de Ombudsman gepubliceerde informatieve nota, het huidige beleid en de verklaring worden toereikend geacht om alle relevante informatie te verstrekken aan personen van wie de Ombudsman persoonsgegevens kan verwerken [20] en om hen in staat te stellen desgewenst te verzoeken om toegang tot, rectificatie, wissing en beperking van de verwerking van hun persoonsgegevens [21].

Relevante gegevens

Indien de gegevens relevant zijn, overweegt de Ombudsman de in punt 2 hierboven bedoelde informatie aan de derde betrokkene te verstrekken.

Indien op grond van de beoordeling van de klacht echter kan worden geconcludeerd dat de derde betrokkene reeds over de informatie beschikt (wanneer bijvoorbeeld de EU-ambtenaar die een belangenconflict zou hebben, een volledige kopie van de klacht en de ondersteunende documenten heeft)[22], of dat het verstrekken van de informatie onmogelijk is of onevenredig veel moeite kost (wanneer de betrokkene bijvoorbeeld intussen de dienst heeft verlaten en niet kan worden getraceerd)[23], registreert de Ombudsman de gedetailleerde beoordeling die tot die conclusie heeft geleid in de samenvatting van de zaak in het CMS en wordt de op de website van de Ombudsman gepubliceerde nota, samen met dit beleid en deze verklaring, toereikend geacht om de nodige informatie te verstrekken aan personen wier persoonsgegevens de Ombudsman mogelijk behandelt [24] en om hen in staat te stellen desgewenst om toegang tot, rectificatie, wissing en beperking van de verwerking van hun persoonsgegevens te verzoeken [25].

In gevallen waarin de derde betrokkene niet over de informatie beschikt en informatieverstrekking mogelijk is en geen onevenredige inspanning vergt, onderzoekt de Ombudsman of het informeren van de derde betrokkene de verwezenlijking van de doelstellingen van die verwerking onmogelijk kan maken of ernstig in het gedrang kan brengen, namelijk het naar behoren onderzoeken van en beslissen over mogelijk wanbeheer bij de activiteiten van de instellingen, organen en instanties van de Unie, na uitoefening van een grondrecht (een klacht bij de Ombudsman) of op eigen initiatief van de Ombudsman [26].

Dit zou bijvoorbeeld het geval zijn indien de derde-betrokkene in staat zou zijn het onderzoek te beïnvloeden: door bijvoorbeeld belangrijk bewijsmateriaal te verbergen of door de klager te vergelden omdat hij een grondrecht heeft uitgeoefend (om een klacht in te dienen bij de Ombudsman), wat gevolgen heeft voor het onderzoek (de klager is bijvoorbeeld niet langer bereid om bij te dragen aan het onderzoek).

Indien de Ombudsman na bovenstaande analyse tot de conclusie komt dat het verstrekken van informatie aan de derde betrokkene het onderzoek onmogelijk zal maken of ernstig zal belemmeren en de Ombudsman in staat zal stellen een besluit te nemen over de beschuldigingen van wanbeheer, zullen de beoordeling en de daaruit voortvloeiende conclusie in het dossier van de zaak in het CMS worden opgenomen. De op de website van de Ombudsman gepubliceerde nota wordt, samen met dit beleid en deze verklaring, toereikend geacht om de nodige informatie te verstrekken aan personen van wie de Ombudsman in dergelijke uitzonderlijke gevallen persoonsgegevens kan verwerken [27] en om hen in staat te stellen desgewenst om toegang tot, rectificatie, wissing en beperking van de verwerking van hun persoonsgegevens te verzoeken [28].

Indien de Ombudsman daarentegen concludeert dat het verstrekken van informatie aan de derde betrokkene het onderzoek niet onmogelijk zal maken of ernstig zal belemmeren en de Ombudsman niet in staat zal stellen een besluit te nemen over de beschuldigingen van wanbeheer, verstrekt hij de derde betrokkene de in punt 2 hierboven genoemde informatie zodra het onderzoek van de klacht is afgerond en de instelling daarvan in kennis is gesteld [29].

4. Bijdragen naar aanleiding van de openbare raadplegingen van de Ombudsman

De in dit beleid uiteengezette beginselen zijn ook van toepassing op alle persoonsgegevens die worden ontvangen in het kader van de openbare raadplegingen van de Ombudsman.

 

Emily O'Reilly

Straatsburg, 16/07/2019

 

[1] Artikel 3, lid 1, van verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van verordening (EG) nr. 45/2001 en besluit nr. 1247/2002/EG (PB 2018, L 295, blz. 39): “persoonsgegevens”: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (“betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, mentale, economische, culturele of sociale identiteit van die natuurlijke persoon."

[2] Voor een gedetailleerde analyse van het begrip persoonsgegevens, zie advies 4/2007 van de Groep gegevensbescherming artikel 29, dat hier beschikbaar is: http://ec.europa.eu/justitie/beleid/privacy/docs/wpdocs/2007/wp136_en.pdf

[3] https://secure.edps.europa.eu/EDPSWEB/

[4] Artikel 16, leden 1 en 2, van Verordening (EU) 2018/1725.

[5] Artikel 3, lid 8, van Verordening (EU) 2018/1725: ““verwerkingsverantwoordelijke”: de instelling of het orgaan van de Unie of het directoraat-generaal of enige andere organisatorische entiteit die, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; indien de doeleinden van en de middelen voor een dergelijke verwerking worden bepaald door een specifieke handeling van de Unie, kan de verwerkingsverantwoordelijke of de specifieke criteria voor de aanwijzing ervan worden bepaald door het Unierecht”.

[6] Artikel 5 van Verordening (EU) 2018/1725.

[7] Besluit van het Europees Parlement van 9 maart 1994 inzake het statuut van de Europese Ombudsman en de algemene voorwaarden voor de uitoefening van zijn ambt (94/262/EGKS, EG, Euratom), PB 1994, L 113, blz. 15, en gewijzigd bij zijn besluiten van 14 maart 2002, PB 2002, L 92, blz. 13, en 18 juni 2008, PB 2008, L 189, blz. 25.

[8] Artikel 3, lid 13, van Verordening (EU) 2018/1725: ""ontvanger": een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan, al dan niet een derde, aan wie de persoonsgegevens worden verstrekt. Overheidsinstanties die in het kader van een bepaald onderzoek overeenkomstig het Unierecht of het lidstatelijke recht persoonsgegevens kunnen ontvangen, worden echter niet als ontvangers beschouwd; de verwerking van die gegevens door die overheidsinstanties moet in overeenstemming zijn met de toepasselijke gegevensbeschermingsregels overeenkomstig de doeleinden van de verwerking."

[9] Artikelen 17 tot en met 20 en artikel 23 van Verordening (EU) 2018/1725.

[10] Artikel 12, lid 1, van Verordening 2018/1725: “Indien voor de doeleinden waarvoor een verwerkingsverantwoordelijke persoonsgegevens verwerkt, de identificatie van een betrokkene door de verwerkingsverantwoordelijke niet of niet langer vereist is, is de verwerkingsverantwoordelijke niet verplicht aanvullende informatie bij te houden, te verkrijgen of te verwerken om de betrokkene te identificeren, uitsluitend met het oog op de naleving van deze verordening.”

[11] Artikel 16, lid 5, onder b), van Verordening (EU) 2018/1725: “De leden 1 tot en met 4 zijn niet van toepassing indien en voor zover het verstrekken van dergelijke informatie onmogelijk blijkt of onevenredig veel inspanning zou vergen [...].”

[12] Artikel 16, lid 6, van Verordening 2018/1725: “In de in lid 5, onder b), bedoelde gevallen neemt de verwerkingsverantwoordelijke passende maatregelen om de rechten en vrijheden en de gerechtvaardigde belangen van de betrokkene te beschermen, met inbegrip van het openbaar maken van de informatie.”

[13] Artikel 12, lid 2, van Verordening 2018/1725: “Indien de verwerkingsverantwoordelijke in de in lid 1 van dit artikel bedoelde gevallen kan aantonen dat hij niet in staat is de betrokkene te identificeren, stelt hij de betrokkene daarvan zo mogelijk in kennis. In dergelijke gevallen zijn de artikelen 17 tot en met 22 niet van toepassing, tenzij de betrokkene, met het oog op de uitoefening van zijn rechten uit hoofde van die artikelen, aanvullende informatie verstrekt aan de hand waarvan hij kan worden geïdentificeerd.” Dit kan bijvoorbeeld het geval zijn wanneer een derde betrokkene verzoekt om toegang tot zijn/haar door de Ombudsman verwerkte persoonsgegevens en de Ombudsman hem/haar na een zoekopdracht in het casemanagementsysteem (CMS) van de Ombudsman meedeelt dat zijn/haar gegevens niet konden worden gevonden. Indien de betrokkene vervolgens echter aanvullende informatie verstrekt, zoals het nummer van de klacht of de naam van de klager, kan dit hem/haar in staat stellen zich in de dossiers van de Ombudsman te identificeren en de Ombudsman in staat stellen een besluit over het verzoek te nemen.

[14] Artikel 16, lid 5, onder b), van Verordening (EU) 2018/1725.

[15] Artikel 16, lid 6, van Verordening (EU) 2018/1725.

[16] Artikel 12, lid 2, van Verordening (EU) 2018/1725. Zie voetnoot 13 hierboven.

[17] Artikel 12, lid 1, van Verordening (EU) 2018/1725

[18] Artikel 16, lid 5, onder b), van Verordening (EU) 2018/1725.

[19] Het is mogelijk dat gegevens die in een vroeg stadium niet als relevant voor het voorwerp van een onderzoek kunnen worden beschouwd, uiteindelijk voor het onderzoek kunnen worden gebruikt en van invloed kunnen zijn op de uitkomst ervan.

[20] Artikel 16, lid 6, van Verordening (EU) 2018/1725.

[21] Artikel 12, lid 2, van Verordening (EU) 2018/1725. Zie voetnoot 13 hierboven.

[22] Artikel 16, lid 5, onder a), van Verordening (EU) 2018/1725: “De leden 1 tot en met 4 zijn niet van toepassing indien en voor zover:  de betrokkene beschikt reeds over de informatie [...]”

[23] Artikel 16, lid 5, onder b), van Verordening 2018/1725: “De leden 1 tot en met 4 zijn niet van toepassing indien en voor zover het verstrekken van dergelijke informatie onmogelijk blijkt of onevenredig veel inspanning zou vergen [...].”

[24] Artikel 16, lid 6, van Verordening (EU) 2018/1725.

[25] Artikel 12, lid 2, van Verordening (EU) 2018/1725. Zie voetnoot 13 hierboven.

[26] Artikel 16, lid 5, onder b), van Verordening (EU) 2018/1725: “De leden 1 tot en met 4 zijn niet van toepassing indien en voor zover: [...] de in lid 1 van dit artikel bedoelde verplichting de verwezenlijking van de doelstellingen van die verwerking onmogelijk dreigt te maken of ernstig in het gedrang dreigt te brengen [...]”

[27] Artikel 16, lid 6, van Verordening (EU) 2018/1725.

[28] Artikel 12, lid 2, van Verordening (EU) 2018/1725. Zie voetnoot 13 hierboven.

[29] Artikel 16, lid 3, van Verordening 2018/1725: “De verwerkingsverantwoordelijke verstrekt de in de leden 1 en 2 bedoelde informatie: ... c) indien openbaarmaking aan een andere ontvanger wordt overwogen, uiterlijk bij de eerste openbaarmaking van de persoonsgegevens.