1. Wprowadzenie

Oprócz przetwarzania danych osobowych osób fizycznych, które składają skargi, Rzecznik Praw Obywatelskich może, w zależności od okoliczności sprawy, być zobowiązany do przetwarzania danych osobowych w odniesieniu do innych osób fizycznych ("osoby trzecie, których dane dotyczą").

Po otrzymaniu skargi Rzecznik Praw Obywatelskich ocenia, czy przekazane informacje zawierają jakiekolwiek dane osobowe osób trzecich, tj. wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej innej niż skarżący.

Pojęcie danych osobowych jest bardzo szerokie [1]. Na przykład obejmuje ono informacje na temat tożsamości i cech osobowych danej osoby, oświadczeń i opinii oraz statusu cywilnego i statusu zatrudnienia [2].

Niniejsza polityka dotyczy sposobu, w jaki Rzecznik realizuje obowiązek informowania osób, których dane dotyczą, o przetwarzaniu ich danych osobowych w kontekście skargi lub dochodzenia, w przypadku gdy dane nie zostały uzyskane od tych osób, których dane dotyczą. Przy opracowywaniu niniejszej polityki Rzecznik uwzględnił wytyczne Europejskiego Inspektora Ochrony Danych ("EIOD")[3].

2. Obowiązek informowania

W przypadku gdy dane osobowe osoby trzeciej, której dane dotyczą, są zawarte w skardze lub innych dokumentach związanych z dochodzeniem, Rzecznik Praw Obywatelskich ma obowiązek udzielić danej osobie pewnych informacji [4], a mianowicie:

a) tożsamość i dane kontaktowe administratora danych, tj. Rzecznika Praw Obywatelskich [5];

b) dane kontaktowe inspektora ochrony danych Rzecznika Praw Obywatelskich;

cel operacji przetwarzania (np. rozpatrzenie skargi) i podstawa prawna przetwarzania (np. przepisy dotyczące przetwarzania danych osobowych przez instytucje UE [6] lub statut Rzecznika Praw Obywatelskich [7]);

d) kategorie odnośnych danych (na przykład tożsamość i status zatrudnienia danej osoby);

e) odbiorców danych [8];

f) w stosownych przypadkach, zamiaru przekazania danych osobowych przez Rzecznika Praw Obywatelskich do państwa trzeciego lub organizacji międzynarodowej oraz istnienia lub braku decyzji Komisji stwierdzającej odpowiedni stopień ochrony lub odpowiednich lub odpowiednich zabezpieczeń oraz środków umożliwiających uzyskanie ich kopii lub w przypadku gdy zostały one udostępnione; oraz

g) następujące dalsze informacje, niezbędne do zagwarantowania rzetelnego i przejrzystego przetwarzania danych osobowych danej osoby:

(i) terminy przechowywania odpowiednich danych;

(ii) fakt, że dana osoba ma prawo do żądania dostępu do swoich danych osobowych, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub prawo do wniesienia sprzeciwu wobec przetwarzania [9];

(iii) prawo danej osoby do odwołania się do EIOD; oraz

(iv) pochodzenie danych (w tym, w stosownych przypadkach, publicznie dostępne źródła).

3. Polityka

A – Skargi niezwiązane z mandatem

Jeżeli Rzecznik stwierdzi, że skarga zawierająca dane osobowe osób trzecich nie wchodzi w zakres jego mandatu, informuje o tym skarżącego i w miarę możliwości informuje go o organie, który mógłby rozpatrywać skargę. Jeżeli skarżący wyraził zgodę na przekazanie skargi w przypadku, gdy Rzecznik Praw Obywatelskich nie jest w stanie jej rozpatrzyć, Rzecznik Praw Obywatelskich przekazuje skargę właściwemu organowi (na przykład krajowemu Rzecznikowi Praw Obywatelskich).

W takich przypadkach Rzecznik Praw Obywatelskich nie uważa, aby przekazanie indywidualnych informacji, o których mowa w pkt 2 powyżej, było wymagane, ponieważ (i) cel, w jakim Rzecznik Praw Obywatelskich przetwarza te dane osobowe (ocena, czy skarga wchodzi w zakres mandatu Rzecznika Praw Obywatelskich, a jeśli nie, ewentualne przekazanie skargi innemu organowi), nie wymaga identyfikacji osoby trzeciej, której dane dotyczą, przez Rzecznika Praw Obywatelskich [10]; oraz (ii) indywidualne informowanie osób trzecich, których dane dotyczą, o tym, że Rzecznik Praw Obywatelskich może przetwarzać dotyczące ich dane, nawet jeśli jest to możliwe, skutkowałoby niepotrzebnym zwielokrotnieniem danych osobowych, a zatem wiązałoby się z nieproporcjonalnym wysiłkiem [11].

Zamiast tego Rzecznik publikuje na swojej stronie internetowej notę informacyjną informującą ogół społeczeństwa, że może przetwarzać dane osobowe osób innych niż skarżący w kontekście rozpatrywania skarg. Niniejsza notatka zawiera link do niniejszej polityki oraz do oświadczenia dotyczącego przetwarzania danych osobowych w kontekście rozpatrywania skarg i dochodzeń przez Rzecznika Praw Obywatelskich. Niniejsza nota, niniejsza polityka i oświadczenie uznaje się za wystarczające do dostarczenia wszystkich istotnych informacji osobom, których dane osobowe Rzecznik Praw Obywatelskich może przetwarzać [12], oraz do umożliwienia im żądania dostępu do swoich danych osobowych, ich sprostowania, usunięcia i ograniczenia ich przetwarzania, jeśli sobie tego życzą [13].

B - W ramach mandatu, ale niedopuszczalne i dopuszczalne bezpodstawne zażalenia

W powyższych przypadkach Rzecznik nie uważa, aby przekazywanie indywidualnych informacji, o których mowa w pkt 2 powyżej, było wymagane, ponieważ indywidualne informowanie osób trzecich, których dane dotyczą, o tym, że Rzecznik może przetwarzać dotyczące ich dane, nawet jeśli jest to możliwe, skutkowałoby niepotrzebnym zwielokrotnieniem danych osobowych, co, biorąc pod uwagę ograniczone działania, a mianowicie brak przekazania skargi poza biuro Rzecznika, wiązałoby się z nieproporcjonalnym wysiłkiem [14].

Notę informacyjną opublikowaną na stronie internetowej Rzecznika Praw Obywatelskich oraz niniejszą politykę i oświadczenie uznaje się za wystarczające do przekazania wszystkich istotnych informacji osobom fizycznym, których dane osobowe Rzecznik Praw Obywatelskich może przetwarzać [15], oraz do umożliwienia im zwrócenia się o dostęp do ich danych osobowych, ich sprostowanie, usunięcie i ograniczenie ich przetwarzania, jeżeli sobie tego życzą [16].

C - Zapytania

W powyższych przypadkach Rzecznik Praw Obywatelskich musi najpierw zdecydować, czy dane dotyczące osób trzecich mają znaczenie dla przedmiotu dochodzenia. Jednym ze sposobów jest zbadanie, czy Rzecznik potraktowałby dochodzenie inaczej, gdyby osoba trzecia, której dane dotyczą, nie została wymieniona lub zidentyfikowana w aktach dochodzenia.

Istotnymi danymi mogą być na przykład dane dotyczące wcześniejszego doświadczenia zawodowego urzędnika Unii będącego członkiem komisji konkursowej, w przypadku którego zarzuca się konflikt interesów. Nieistotne mogą być na przykład dane dotyczące stanu cywilnego tego urzędnika Unii. Dalsze nieistotne dane, które mogą być gromadzone podczas dochodzenia Rzecznika w sposób czysto incydentalny, to na przykład nazwiska innych urzędników UE wymienionych w decyzjach danej instytucji i dokumenty zebrane podczas dochodzenia Rzecznika.

Decyzja co do istotności tych danych i leżące u ich podstaw analizy zostaną przedstawione w streszczeniu zarejestrowanym w odpowiednich aktach sprawy systemu zarządzania sprawami Rzecznika Praw Obywatelskich.

Nieistotne dane

W przypadkach, w których dane są nieistotne dla przedmiotu dochodzenia, Rzecznik nie uważa, aby przekazanie indywidualnych informacji osobie trzeciej było wymagane, ponieważ (i) ponieważ dane są nieistotne, cel, w jakim Rzecznik przetwarza te dane osobowe (rozpatrywanie skargi/dochodzenia), nie wymaga identyfikacji osób trzecich, których dane dotyczą, przez Rzecznika [17]; oraz (ii) indywidualne informowanie takich osób trzecich, których dane dotyczą, nawet jeśli jest to możliwe, skutkowałoby niepotrzebnym zwielokrotnieniem danych osobowych i wiązałoby się z nieproporcjonalnym wysiłkiem, biorąc pod uwagę fakt, że Rzecznik nie wykorzystuje przedmiotowych danych w kontekście prowadzonego przez siebie dochodzenia [18]. Oczywiście nieistotne dane zawarte w tekście skargi nie będą dalej przetwarzane przez Rzecznika Praw Obywatelskich [19].

Notę informacyjną opublikowaną na stronie internetowej Rzecznika Praw Obywatelskich, niniejszą politykę i oświadczenie uznaje się za wystarczające do przekazania wszystkich istotnych informacji osobom fizycznym, których dane osobowe Rzecznik Praw Obywatelskich może przetwarzać [20], oraz do umożliwienia im zwrócenia się o dostęp do ich danych osobowych, ich sprostowanie, usunięcie i ograniczenie ich przetwarzania, jeżeli sobie tego życzą [21].

Istotne dane

Jeżeli dane są istotne, Rzecznik Praw Obywatelskich rozważa przekazanie informacji, o których mowa w pkt 2 powyżej, osobie trzeciej, której dane dotyczą.

Jeżeli jednak ocena skargi pozwala stwierdzić, że osoba trzecia, której dane dotyczą, posiada już informacje (na przykład gdy urzędnik UE, któremu zarzuca się konflikt interesów, posiada pełną kopię skargi i dokumentów potwierdzających)[22] lub że przekazanie informacji jest niemożliwe lub wiąże się z nieproporcjonalnym wysiłkiem (na przykład gdy dana osoba opuściła służbę w międzyczasie i nie można jej namierzyć)[23], Rzecznik odnotowuje szczegółową ocenę prowadzącą do tego wniosku w streszczeniu sprawy w CMS, a notatkę opublikowaną na stronie internetowej Rzecznika, wraz z niniejszą polityką i oświadczeniem, uznaje się za wystarczającą do dostarczenia niezbędnych informacji osobom fizycznym, których dane osobowe Rzecznik może przetwarzać [24], oraz do umożliwienia im zwrócenia się o dostęp do ich danych osobowych, ich sprostowanie, usunięcie i ograniczenie ich przetwarzania, jeśli sobie tego życzą [25].

W przypadkach gdy osoba trzecia, której dane dotyczą, nie posiada tych informacji i gdy poinformowanie jej jest możliwe i nie wiąże się z nieproporcjonalnym wysiłkiem, Rzecznik Praw Obywatelskich bada, czy poinformowanie osoby trzeciej, której dane dotyczą, może uniemożliwić lub poważnie utrudnić osiągnięcie celów tego przetwarzania, a mianowicie właściwe zbadanie i podjęcie decyzji w sprawie ewentualnego niewłaściwego administrowania w działaniach instytucji, organów lub jednostek organizacyjnych UE, w następstwie wykonania prawa podstawowego (skarga do Rzecznika Praw Obywatelskich) lub z własnej inicjatywy Rzecznika Praw Obywatelskich [26].

Miałoby to miejsce, gdyby na przykład osoba trzecia, której dane dotyczą, była w stanie wpłynąć na dochodzenie: na przykład poprzez ukrywanie ważnych dowodów lub odwet na skarżącym za skorzystanie przez niego z prawa podstawowego (złożenie skargi do Rzecznika Praw Obywatelskich), co ma wpływ na dochodzenie (na przykład skarżący nie chce już uczestniczyć w dochodzeniu).

Jeżeli w wyniku powyższej analizy Rzecznik stwierdzi, że przekazanie informacji osobie trzeciej, której dane dotyczą, może uniemożliwić lub poważnie utrudnić dochodzenie oraz zdolność Rzecznika do podjęcia decyzji w sprawie zarzutów niewłaściwego administrowania, ocena i wynikające z niej wnioski zostaną zapisane w aktach sprawy w systemie zarządzania sprawami. Komunikat opublikowany na stronie internetowej Rzecznika Praw Obywatelskich, wraz z niniejszą polityką i oświadczeniem, uznaje się za wystarczający do dostarczenia niezbędnych informacji osobom, których dane osobowe Rzecznik Praw Obywatelskich może przetwarzać w takich wyjątkowych przypadkach [27], oraz do umożliwienia im zwrócenia się o dostęp do ich danych osobowych, ich sprostowanie, usunięcie i ograniczenie ich przetwarzania, jeżeli sobie tego życzą [28].

Jeżeli natomiast Rzecznik Praw Obywatelskich stwierdzi, że udzielenie informacji osobie trzeciej, której dane dotyczą, prawdopodobnie nie uniemożliwi lub poważnie nie utrudni dochodzenia i zdolności Rzecznika do podjęcia decyzji w sprawie zarzutów niewłaściwego administrowania, przekazuje osobie trzeciej, której dane dotyczą, informacje określone w pkt 2 powyżej niezwłocznie po zakończeniu rozpatrywania skargi i poinformowaniu instytucji [29].

4. Uwagi w odpowiedzi na konsultacje publiczne Rzecznika Praw Obywatelskich

Zasady określone w niniejszej polityce mają również zastosowanie do wszelkich danych osobowych otrzymanych w kontekście konsultacji publicznych Rzecznika Praw Obywatelskich.

 

Emily O'Reilly

Strasburg, 16 lipca 2019 r.

 

[1] Art. 3 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE, Dz.U. 2018, L 295, s. 39: „dane osobowe” oznaczają wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej („osoby, której dane dotyczą”); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość tej osoby fizycznej”.

[2] Szczegółowa analiza pojęcia danych osobowych znajduje się w opinii 4/2007 Grupy Roboczej Art. 29 dostępnej pod adresem: http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2007/wp136_en.pdf

[3] https://secure.edps.europa.eu/EDPSWEB/

[4] Art. 16 ust. 1 i 2 rozporządzenia 2018/1725.

[5] Art. 3 ust. 8 rozporządzenia 2018/1725: „»administrator danych« oznacza instytucję lub organ Unii, dyrekcję generalną lub inną jednostkę organizacyjną, która samodzielnie lub wspólnie z innymi określa cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w konkretnym akcie Unii, prawo Unii może przewidywać administratora lub szczególne kryteria jego wyznaczania”.

[6] Art. 5 rozporządzenia 2018/1725.

[7] Decyzja Parlamentu Europejskiego z dnia 9 marca 1994 r. w sprawie przepisów i ogólnych warunków regulujących wykonywanie funkcji Rzecznika Praw Obywatelskich (94/262/EWWiS, WE, Euratom), Dz.U. 1994, L 113, s. 15, zmieniona decyzjami z dnia 14 marca 2002 r., Dz.U. 2002, L 92, s. 13 i z dnia 18 czerwca 2008 r., Dz.U. 2008, L 189, s. 25.

[8] Art. 3 pkt 13 rozporządzenia 2018/1725: „odbiorca” oznacza osobę fizyczną lub prawną, organ publiczny, agencję lub inny podmiot, któremu ujawnia się dane osobowe, niezależnie od tego, czy jest osobą trzecią. Organów publicznych, które mogą otrzymywać dane osobowe w ramach konkretnego dochodzenia zgodnie z prawem Unii lub prawem państwa członkowskiego, nie uznaje się jednak za odbiorców; przetwarzanie tych danych przez te organy publiczne musi być zgodne z mającymi zastosowanie przepisami o ochronie danych stosownie do celów przetwarzania”.

[9] Art. 17–20 i 23 rozporządzenia 2018/1725.

[10] Artykuł 12 ust. 1 rozporządzenia 2018/1725: „Jeżeli cele, w których administrator przetwarza dane osobowe, nie wymagają lub już nie wymagają identyfikacji osoby, której dane dotyczą, przez administratora, administrator nie jest zobowiązany do przechowywania, uzyskiwania ani przetwarzania dodatkowych informacji w celu zidentyfikowania osoby, której dane dotyczą, wyłącznie w celu zastosowania się do niniejszego rozporządzenia”.

[11] Art. 16 ust. 5 lit. b) rozporządzenia 2018/1725: „Ustępy 1–4 nie mają zastosowania, jeżeli i w zakresie, w jakim: [...] udzielenie takich informacji okazuje się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku [...]”.

[12] Artykuł 16 ust. 6 rozporządzenia 2018/1725: „W przypadkach, o których mowa w ust. 5 lit. b), administrator podejmuje odpowiednie środki w celu ochrony praw, wolności i prawnie uzasadnionych interesów osoby, której dane dotyczą, w tym podaje informacje do wiadomości publicznej”.

[13] Artykuł 12 ust. 2 rozporządzenia 2018/1725: „Jeżeli w przypadkach, o których mowa w ust. 1 niniejszego artykułu, administrator jest w stanie wykazać, że nie jest w stanie zidentyfikować osoby, której dane dotyczą, w miarę możliwości informuje o tym osobę, której dane dotyczą. W takich przypadkach art. 17–22 nie mają zastosowania, z wyjątkiem sytuacji, gdy osoba, której dane dotyczą, do celów wykonywania swoich praw wynikających z tych artykułów dostarcza dodatkowych informacji umożliwiających jej identyfikację”. Może tak być na przykład w przypadku, gdy osoba trzecia, której dane dotyczą, zwraca się o dostęp do swoich danych osobowych przetwarzanych przez Rzecznika Praw Obywatelskich, a po przeszukaniu systemu zarządzania sprawami Rzecznika Praw Obywatelskich informuje go, że jego dane nie zostały znalezione. Jeżeli jednak osoba, której dane dotyczą, przedstawi następnie dodatkowe informacje, takie jak na przykład numer skargi lub imię i nazwisko skarżącego, może to umożliwić jej identyfikację w aktach Rzecznika Praw Obywatelskich oraz podjęcie przez Rzecznika Praw Obywatelskich decyzji w sprawie wniosku.

[14] Art. 16 ust. 5 lit. b) rozporządzenia 2018/1725.

[15] Art. 16 ust. 6 rozporządzenia 2018/1725.

[16] Art. 12 ust. 2 rozporządzenia 2018/1725. Zob. przypis 13 powyżej.

[17] Artykuł 12 ust. 1 rozporządzenia 2018/1725

[18] Art. 16 ust. 5 lit. b) rozporządzenia 2018/1725.

[19] Możliwe jest, że dane, których nie można uznać za istotne dla przedmiotu dochodzenia na jego wczesnym etapie, mogą jednak ostatecznie zostać wykorzystane do celów dochodzenia i mieć wpływ na jego wynik.

[20] Art. 16 ust. 6 rozporządzenia 2018/1725.

[21] Art. 12 ust. 2 rozporządzenia 2018/1725. Zob. przypis 13 powyżej.

[22] Art. 16 ust. 5 lit. a) rozporządzenia 2018/1725: „Ustępy 1–4 nie mają zastosowania, jeżeli i w zakresie, w jakim:  osoba, której dane dotyczą, posiada już informacje...”

[23] Art. 16 ust. 5 lit. b) rozporządzenia 2018/1725: „Ust. 1–4 nie mają zastosowania, jeżeli i w zakresie, w jakim: [...] udzielenie takich informacji okazuje się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku [...]”.

[24] Art. 16 ust. 6 rozporządzenia 2018/1725.

[25] Art. 12 ust. 2 rozporządzenia 2018/1725. Zob. przypis 13 powyżej.

[26] Art. 16 ust. 5 lit. b) rozporządzenia 2018/1725: „Ust. 1–4 nie mają zastosowania, jeżeli i w zakresie, w jakim: [...] obowiązek, o którym mowa w ust. 1 niniejszego artykułu, może uniemożliwić lub poważnie utrudnić osiągnięcie celów tego przetwarzania [...]”.

[27] Art. 16 ust. 6 rozporządzenia 2018/1725.

[28] Art. 12 ust. 2 rozporządzenia 2018/1725. Zob. przypis 13 powyżej.

[29] Artykuł 16 ust. 3 rozporządzenia 2018/1725: „Administrator przekazuje informacje, o których mowa w ust. 1 i 2:... c) jeżeli przewiduje się ujawnienie danych innemu odbiorcy, najpóźniej w momencie pierwszego ujawnienia danych osobowych.”.