1. Úvod

Okrem spracúvania osobných údajov fyzických osôb, ktoré podávajú sťažnosti, môže ombudsman v závislosti od okolností prípadu spracúvať osobné údaje vo vzťahu k iným fyzickým osobám („dotknuté osoby, ktoré sú tretími stranami“).

Po prijatí sťažnosti ombudsman posúdi, či poskytnuté informácie obsahujú akékoľvek osobné údaje tretích strán, t. j. akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby inej ako sťažovateľ.

Pojem osobné údaje je veľmi široký [1]. Napríklad obsahuje informácie o totožnosti a osobných charakteristikách osoby, vyhláseniach a názoroch, ako aj o občianskom a pracovnom postavení [2].

Táto politika sa týka spôsobu, akým ombudsman vykonáva povinnosť informovať dotknuté osoby o spracúvaní ich osobných údajov v súvislosti so sťažnosťou alebo vyšetrovaním, ak údaje neboli získané od týchto dotknutých osôb. Pri vypracúvaní tejto politiky ombudsman zohľadnil usmernenia európskeho dozorného úradníka pre ochranu údajov (ďalej len "EDPS")[3].

2. Povinnosť informovať

Ak sú osobné údaje tretej strany zahrnuté do sťažnosti alebo iných dokumentov súvisiacich s vyšetrovaním, ombudsman je povinný poskytnúť dotknutej osobe určité informácie [4], a to:

a) totožnosť a kontaktné údaje prevádzkovateľa, t. j. ombudsmana [5];

b) kontaktné údaje úradníka ombudsmana pre ochranu údajov;

c) účel spracovateľskej operácie (napríklad vybavovanie sťažnosti) a právny základ spracúvania (napríklad pravidlá týkajúce sa spracúvania osobných údajov inštitúciami EÚ [6] a/alebo štatút ombudsmana [7]);

d) kategórie dotknutých údajov (napríklad totožnosť a postavenie dotknutej osoby v zamestnaní);

e) príjemcovia údajov [8];

f) v prípade potreby informáciu o tom, že ombudsman má v úmysle preniesť osobné údaje do tretej krajiny alebo medzinárodnej organizácii, a informáciu o existencii alebo neexistencii rozhodnutia Komisie o primeranosti alebo primeraných alebo vhodných zárukách a prostriedkoch na získanie ich kópie alebo o tom, kde boli sprístupnené; a

g) tieto ďalšie informácie potrebné na zaručenie spravodlivého a transparentného spracúvania osobných údajov osoby:

i) lehoty na uchovávanie príslušných údajov;

ii) skutočnosť, že osoba má právo požiadať o prístup k svojim osobným údajom, ich opravu, vymazanie alebo obmedzenie ich spracúvania alebo právo namietať proti spracúvaniu [9];

iii) právo dotknutej osoby obrátiť sa na európskeho dozorného úradníka pre ochranu údajov a

iv) pôvod údajov (prípadne vrátane verejne dostupných zdrojov).

3. Politika

A – Sťažnosti mimo mandátu

Ak ombudsman zistí, že sťažnosť obsahujúca osobné údaje tretích strán nepatrí do jeho mandátu, informuje o tom sťažovateľa a ak je to možné, informuje ho o orgáne, ktorý by sa mohol sťažnosťou zaoberať. Ak sťažovateľ súhlasil s postúpením svojej sťažnosti v prípade, že ombudsman nie je schopný sa ňou zaoberať, ombudsman postúpi sťažnosť príslušnému orgánu (napríklad národnému ombudsmanovi).

V takýchto prípadoch ombudsman nepovažuje poskytnutie jednotlivých informácií uvedených v bode 2 za potrebné, pretože i) účel, na ktorý ombudsman spracúva tieto osobné údaje (posúdenie toho, či sťažnosť patrí do mandátu ombudsmana, a ak nie, prípadné postúpenie sťažnosti inému orgánu), si nevyžaduje, aby ombudsman identifikoval dotknutú tretiu stranu [10]; a ii) individuálne informovanie dotknutých osôb, ktoré sú tretími stranami, o skutočnosti, že ombudsman môže spracúvať údaje, ktoré sa ich týkajú, aj keby to bolo možné, by viedlo k zbytočnému množeniu osobných údajov, a preto by si vyžadovalo neprimerané úsilie [11].

Ombudsmanka namiesto toho na svojom webovom sídle uverejňuje informačnú poznámku, v ktorej informuje širokú verejnosť, že v rámci vybavovania sťažností môže spracúvať osobné údaje iných osôb, ako je sťažovateľka. Táto poznámka obsahuje odkaz na túto politiku a na vyhlásenie o spracúvaní osobných údajov v súvislosti s vybavovaním sťažností a vyšetrovaní ombudsmanom. Táto poznámka, táto politika a vyhlásenie sa považujú za dostatočné na to, aby poskytli všetky relevantné informácie jednotlivcom, ktorých osobné údaje môže ombudsman spracúvať [12], a aby im umožnili požiadať o prístup k ich osobným údajom, ich opravu, vymazanie a obmedzenie ich spracúvania, ak si to želajú [13].

B - V rámci mandátu, ale neprípustný a neprípustný žiadny dôvod sťažnosti

V uvedených prípadoch ombudsman nepovažuje poskytnutie jednotlivých informácií uvedených v bode 2 za potrebné, pretože individuálne informovanie dotknutých osôb, ktoré sú tretími stranami, o skutočnosti, že ombudsman môže spracúvať údaje, ktoré sa ich týkajú, aj keby to bolo možné, by viedlo k zbytočnému znásobeniu osobných údajov, čo by so zreteľom na obmedzené príslušné opatrenia, konkrétne na absenciu akéhokoľvek postúpenia sťažnosti mimo úradu ombudsmana, znamenalo neprimerané úsilie [14].

Informačná poznámka uverejnená na webovom sídle ombudsmana a táto politika a vyhlásenie sa považujú za dostatočné na poskytnutie všetkých relevantných informácií jednotlivcom, ktorých osobné údaje ombudsman môže spracúvať [15], a na to, aby im umožnili požiadať o prístup k ich osobným údajom, ich opravu, vymazanie a obmedzenie ich spracúvania, ak si to želajú [16].

C – Vyšetrovania

V uvedených prípadoch musí ombudsman najprv rozhodnúť, či údaje týkajúce sa tretích strán sú alebo nie sú relevantné pre predmet vyšetrovania. Jedným zo spôsobov, ako to dosiahnuť, je preskúmať, či by sa ombudsmanka zaoberala vyšetrovaním inak, ak by tretia strana, ktorej sa údaje týkajú, nebola uvedená alebo identifikovaná vo vyšetrovacom spise.

Relevantnými údajmi by mohli byť napríklad údaje týkajúce sa predchádzajúcej odbornej praxe úradníka EÚ, ktorý je členom výberovej komisie údajnej v konflikte záujmov. Nerelevantné údaje by mohli súvisieť napríklad s rodinným stavom tohto úradníka EÚ. Ďalšími nepodstatnými údajmi, ktoré sa pravdepodobne zhromaždia počas vyšetrovania ombudsmana čisto náhodným spôsobom, sú napríklad mená ďalších úradníkov EÚ uvedených v rozhodnutiach a dokumentoch príslušnej inštitúcie zhromaždených počas vyšetrovania ombudsmana.

Rozhodnutie o relevantnosti týchto údajov a súvisiaca analýza sa uvedú v zhrnutí, ktoré je zaznamenané v príslušnom spise ombudsmanovho systému správy prípadov (CMS).

Nerelevantné údaje

V prípadoch, keď údaje nie sú relevantné pre predmet vyšetrovania, ombudsman nepovažuje poskytnutie individuálnych informácií tretej strane za potrebné, pretože i) keďže údaje sú irelevantné, účel, na ktorý ombudsman spracúva tieto osobné údaje (vybavenie sťažnosti/vyšetrovania), si nevyžaduje, aby ombudsman identifikoval tretie dotknuté osoby [17]; a ii) individuálne informovanie takýchto tretích dotknutých osôb, aj keď je to možné, by viedlo k zbytočnému znásobeniu osobných údajov a vyžadovalo by si neprimerané úsilie vzhľadom na skutočnosť, že ombudsmanka nevyužíva predmetné údaje v súvislosti so svojím vyšetrovaním [18]. Zjavne irelevantné údaje uvedené v texte sťažnosti ombudsman nebude ďalej spracúvať [19].

Informačná poznámka uverejnená na webovom sídle ombudsmana, táto politika a vyhlásenie sa považujú za dostatočné na poskytnutie všetkých relevantných informácií jednotlivcom, ktorých osobné údaje ombudsman môže spracúvať [20], a na to, aby im umožnili požiadať o prístup k ich osobným údajom, ich opravu, vymazanie a obmedzenie ich spracúvania, ak si to želajú [21].

Príslušné údaje

Ak sú údaje relevantné, ombudsman zváži poskytnutie informácií uvedených v bode 2 dotknutej tretej strane.

Ak však posúdenie sťažnosti umožňuje dospieť k záveru, že dotknutá osoba, ktorá je treťou stranou, už má informácie (napríklad keď úradník EÚ, ktorý má údajne konflikt záujmov, má úplnú kópiu sťažnosti a podporných dokumentov)[22] alebo že poskytnutie informácií nie je možné alebo si vyžaduje neprimerané úsilie (napríklad keď dotknutá osoba medzitým odišla zo služby a nemožno ju vysledovať)[23], ombudsman zaznamená podrobné posúdenie vedúce k tomuto záveru v zhrnutí prípadu v CMS a oznámenie uverejnené na webovom sídle ombudsmana spolu s touto politikou a vyhlásením sa považujú za dostatočné na poskytnutie potrebných informácií jednotlivcom, ktorých osobné údaje ombudsman môže spracúvať [24], a na to, aby im umožnil požiadať o prístup k ich osobným údajom, ich opravu, vymazanie a obmedzenie ich spracúvania, ak si to želajú [25].

V prípadoch, keď dotknutá osoba, ktorá je treťou stranou, nemá informácie a keď je jej informovanie možné a nevyžaduje si neprimerané úsilie, ombudsman skúma, či je pravdepodobné, že informovanie dotknutej osoby, ktorá je treťou stranou, znemožní alebo závažným spôsobom sťaží dosiahnutie cieľov tohto spracúvania, konkrétne riadne vyšetriť možný nesprávny úradný postup inštitúcií, orgánov, úradov alebo agentúr EÚ a rozhodnúť o ňom v nadväznosti na výkon základného práva (sťažnosť ombudsmanovi) alebo z vlastnej iniciatívy [26].

Bolo by to tak napríklad v prípade, ak by dotknutá osoba, ktorá je treťou stranou, bola schopná ovplyvniť vyšetrovanie: skrývaním dôležitých dôkazov, napríklad, alebo odvetnými opatreniami voči sťažovateľovi za to, že uplatnil základné právo (sťažovať sa ombudsmanovi), čo má vplyv na vyšetrovanie (napríklad sťažovateľ už nie je ochotný prispieť k vyšetrovaniu).

Ak ombudsman na základe uvedenej analýzy dospeje k záveru, že poskytnutie informácií tretej strane, ktorej sa údaje týkajú, pravdepodobne znemožní alebo vážne naruší vyšetrovanie a schopnosť ombudsmana dospieť k rozhodnutiu o obvineniach z nesprávneho úradného postupu, posúdenie a následný záver sa zaznamenajú do spisu prípadu v CMS. Oznámenie uverejnené na webovom sídle ombudsmana spolu s touto politikou a vyhlásením sa považuje za dostatočné na poskytnutie potrebných informácií jednotlivcom, ktorých osobné údaje môže ombudsman spracúvať v takýchto výnimočných prípadoch [27], a na to, aby sa im umožnilo požiadať o prístup k ich osobným údajom, ich opravu, vymazanie a obmedzenie ich spracúvania, ak si to želajú [28].

Ak ombudsman naopak dospeje k záveru, že poskytnutie informácií tretej strane, ktorej sa údaje týkajú, pravdepodobne neznemožní alebo vážne nenaruší vyšetrovanie a schopnosť ombudsmana dospieť k rozhodnutiu o obvineniach z nesprávneho úradného postupu, poskytne tretej strane, ktorej sa údaje týkajú, informácie uvedené v bode 2 hneď po ukončení preskúmania sťažnosti a informovaní inštitúcie [29].

4. Príspevky v reakcii na verejné konzultácie ombudsmana

Zásady stanovené v tejto politike sa vzťahujú aj na všetky osobné údaje získané v rámci verejných konzultácií ombudsmana.

 

Emily O'Reilly

Štrasburg, 16. júla 2019

 

[1] Článok 3 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 z 23. októbra 2018 o ochrane fyzických osôb pri spracúvaní osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie a o voľnom pohybe takýchto údajov, ktorým sa zrušuje nariadenie (ES) č. 45/2001 a rozhodnutie č. 1247/2002/ES (Ú. v. EÚ L 295, 2018, s. 39): „osobné údaje“ sú akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby (ďalej len „dotknutá osoba“); identifikovateľná fyzická osoba je osoba, ktorú možno identifikovať priamo alebo nepriamo, najmä odkazom na identifikátor, ako je meno, identifikačné číslo, lokalizačné údaje, online identifikátor, alebo odkazom na jeden či viaceré prvky, ktoré sú špecifické pre fyzickú, fyziologickú, genetickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu tejto fyzickej osoby.“

[2] Podrobná analýza pojmu osobné údaje sa nachádza v stanovisku 4/2007 pracovnej skupiny pre ochranu údajov zriadenej podľa článku 29, ktoré je k dispozícii na adrese: http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2007/wp136_en.pdf

[3] https://secure.edps.europa.eu/EDPSWEB/

[4] Článok 16 ods. 1 a 2 nariadenia 2018/1725.

[5] Článok 3 ods. 8 nariadenia 2018/1725: „„prevádzkovateľ“je inštitúcia alebo orgán Únie alebo generálne riaditeľstvo alebo akákoľvek iná organizačná jednotka, ktorá sama alebo spoločne s inými určuje účely a prostriedky spracúvania osobných údajov; ak sú účely a prostriedky takéhoto spracúvania určené osobitným aktom Únie, možno prevádzkovateľa alebo osobitné kritériá na jeho určenie stanoviť v práve Únie.“

[6] Článok 5 nariadenia 2018/1725.

[7] Rozhodnutie Európskeho parlamentu z 9. marca 1994 o úprave a všeobecných podmienkach upravujúcich výkon funkcie ombudsmana (94/262/ESUO, ES, Euratom), Ú. v. ES L 113, 1994, s. 15, zmenené a doplnené jeho rozhodnutiami zo 14. marca 2002, Ú. v. ES L 92, 2002, s. 13, a z 18. júna 2008, Ú. v. EÚ L 189, 2008, s. 25.

[8] Článok 3 ods. 13 nariadenia 2018/1725: „príjemca“je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorému sa osobné údaje poskytujú bez ohľadu na to, či je treťou stranou. Orgány verejnej moci, ktoré môžu získať osobné údaje v rámci konkrétneho zisťovania v súlade s právom Únie alebo právom členského štátu, sa však nepovažujú za príjemcov; spracúvanie týchto údajov týmito orgánmi verejnej moci musí byť v súlade s uplatniteľnými pravidlami ochrany údajov podľa účelov spracúvania.“

[9] Články 17 až 20 a článok 23 nariadenia 2018/1725.

[10] Článok 12 ods. 1 nariadenia 2018/1725: „Ak si účely, na ktoré prevádzkovateľ spracúva osobné údaje, nevyžadujú alebo už nevyžadujú, aby prevádzkovateľ identifikoval dotknutú osobu, prevádzkovateľ nie je povinný uchovávať, získavať ani spracúvať dodatočné informácie s cieľom identifikovať dotknutú osobu výlučne na účely dodržiavania tohto nariadenia.“

[11] Článok 16 ods. 5 písm. b) nariadenia 2018/1725: „Odseky 1 až 4 sa neuplatňujú, ak a pokiaľ:... sa poskytnutie takýchto informácií ukáže ako nemožné alebo by si vyžadovalo neprimerané úsilie...“

[12] Článok 16 ods. 6 nariadenia 2018/1725: „V prípadoch uvedených v odseku 5 písm. b) prevádzkovateľ prijme primerané opatrenia na ochranu práv a slobôd a oprávnených záujmov dotknutej osoby vrátane sprístupnenia informácií verejnosti“.

[13] Článok 12 ods. 2 nariadenia 2018/1725: „Ak je prevádzkovateľ v prípadoch uvedených v odseku 1 tohto článku schopný preukázať, že nie je schopný identifikovať dotknutú osobu, informuje o tom dotknutú osobu, ak je to možné. V takýchto prípadoch sa články 17 až 22 neuplatňujú s výnimkou prípadov, keď dotknutá osoba na účely výkonu svojich práv podľa uvedených článkov poskytne dodatočné informácie umožňujúce jej identifikáciu.“ Mohlo by to byť napríklad v prípade, keď dotknutá osoba, ktorá je treťou stranou, požiada o prístup k svojim osobným údajom spracúvaným ombudsmanom, a po vyhľadávaní v ombudsmanovom systéme správy prípadov (CMS) ho ombudsman informuje, že jeho údaje nebolo možné nájsť. Ak však dotknutá osoba následne poskytne dodatočné informácie, napríklad číslo sťažnosti alebo meno sťažovateľa, môže to umožniť jej identifikáciu v spisoch ombudsmana a ombudsmanovi prijať rozhodnutie o žiadosti.

[14] Článok 16 ods. 5 písm. b) nariadenia 2018/1725.

[15] Článok 16 ods. 6 nariadenia 2018/1725.

[16] Článok 12 ods. 2 nariadenia 2018/1725. Pozri poznámku pod čiarou č. 13.

[17] Článok 12 ods. 1 nariadenia 2018/1725

[18] Článok 16 ods. 5 písm. b) nariadenia 2018/1725.

[19] Je možné, že údaje, ktoré sa nemusia považovať za relevantné pre predmet vyšetrovania v jeho počiatočných štádiách, sa však v konečnom dôsledku môžu použiť na účely vyšetrovania a môžu mať vplyv na jeho výsledok.

[20] Článok 16 ods. 6 nariadenia 2018/1725.

[21] Článok 12 ods. 2 nariadenia 2018/1725. Pozri poznámku pod čiarou č. 13.

[22] Článok 16 ods. 5 písm. a) nariadenia 2018/1725: „Odseky 1 až 4 sa neuplatňujú, pokiaľ:  dotknutá osoba už má informácie...“

[23] Článok 16 ods. 5 písm. b) nariadenia 2018/1725: „Odseky 1 až 4 sa neuplatňujú, ak a pokiaľ:... sa poskytnutie takýchto informácií ukáže ako nemožné alebo by si vyžadovalo neprimerané úsilie...“

[24] Článok 16 ods. 6 nariadenia 2018/1725.

[25] Článok 12 ods. 2 nariadenia 2018/1725. Pozri poznámku pod čiarou č. 13.

[26] Článok 16 ods. 5 písm. b) nariadenia 2018/1725: „Odseky 1 až 4 sa neuplatňujú, pokiaľ: ... povinnosť uvedená v odseku 1 tohto článku pravdepodobne znemožní alebo závažným spôsobom sťaží dosiahnutie cieľov takéhoto spracúvania...“

[27] Článok 16 ods. 6 nariadenia 2018/1725.

[28] Článok 12 ods. 2 nariadenia 2018/1725. Pozri poznámku pod čiarou č. 13.

[29] Článok 16 ods. 3 nariadenia 2018/1725: „Prevádzkovateľ poskytne informácie uvedené v odsekoch 1 a 2:... c) ak sa predpokladá poskytnutie údajov inému príjemcovi, najneskôr pri prvom poskytnutí osobných údajov.“