1. Uvod

Varuh človekovih pravic lahko poleg obdelave osebnih podatkov posameznikov, ki vložijo pritožbo, glede na dejstva primera obdeluje tudi osebne podatke v zvezi z drugimi posamezniki (v nadaljnjem besedilu: posamezniki, na katere se nanašajo osebni podatki, ki so tretje osebe).

Varuh človekovih pravic po prejemu pritožbe oceni, ali predložene informacije vsebujejo kakršne koli osebne podatke tretjih oseb, tj. kakršne koli informacije, ki se nanašajo na določeno ali določljivo fizično osebo, ki ni pritožnik.

Pojem osebnih podatkov je zelo širok [1]. Vključuje na primer informacije o identiteti in osebnih značilnostih osebe, njenih izjavah in mnenjih ter njenem civilnem in zaposlitvenem statusu [2].

Ta politika se nanaša na način, kako varuh človekovih pravic izvaja dolžnost obveščanja posameznikov, na katere se nanašajo osebni podatki, o obdelavi njihovih osebnih podatkov v okviru pritožbe ali preiskave, kadar podatki niso bili pridobljeni od teh posameznikov, na katere se nanašajo osebni podatki. Varuh človekovih pravic je pri pripravi te politike upošteval smernice Evropskega nadzornika za varstvo podatkov (v nadaljnjem besedilu: ENVP)[3].

2. Dolžnost obveščanja

Kadar so osebni podatki posameznika, na katerega se nanašajo osebni podatki, vključeni v pritožbo ali druge dokumente, povezane s preiskavo, mora varuh človekovih pravic zadevni osebi zagotoviti nekatere informacije [4], in sicer:

(a) identiteto in kontaktne podatke upravljavca, tj. varuha človekovih pravic [5];

(b) kontaktne podatke pooblaščene osebe za varstvo podatkov pri varuhu človekovih pravic;

(c) namen postopka obdelave (na primer obravnava pritožbe) in pravno podlago za obdelavo (na primer pravila v zvezi z obdelavo osebnih podatkov v institucijah EU [6] in/ali statut varuha človekovih pravic [7]);

(d) kategorije zadevnih podatkov (na primer identiteta in zaposlitveni status zadevne osebe);

(e) prejemnike podatkov [8];

(f) kadar je ustrezno, da namerava varuh človekovih pravic prenesti osebne podatke v tretjo državo ali mednarodno organizacijo ter obstoj ali neobstoj sklepa Komisije o ustreznosti ali ustreznih ali primernih zaščitnih ukrepov in sredstev za pridobitev njihove kopije ali kje so bili dani na voljo; in

(g) naslednje dodatne informacije, potrebne za zagotovitev poštene in pregledne obdelave osebnih podatkov osebe:

(i) roke za shranjevanje ustreznih podatkov;

(ii) dejstvo, da ima oseba pravico zahtevati dostop do svojih osebnih podatkov, njihov popravek, izbris ali omejitev njihove obdelave ali pravico do ugovora obdelavi [9];

(iii) pravico osebe, da se obrne na Evropskega nadzornika za varstvo podatkov, in

(iv) izvor podatkov (po potrebi vključno z javno dostopnimi viri).

3. Politika

A – Pritožbe zunaj mandata

Če varuh človekovih pravic ugotovi, da pritožba, ki vsebuje osebne podatke tretjih oseb, ne spada v njegovo pristojnost, o tem obvesti pritožnika in mu po možnosti svetuje o organu, ki bi lahko obravnaval pritožbo. Če se pritožnik strinja s prenosom svoje pritožbe, če je varuh človekovih pravic ne more obravnavati, jo posreduje pristojnemu organu (na primer nacionalnemu varuhu človekovih pravic).

V takih primerih varuh človekovih pravic meni, da zagotavljanje posameznih informacij iz točke 2 zgoraj ni potrebno, ker (i) namen, za katerega varuh človekovih pravic obdeluje te osebne podatke (ocena, ali je pritožba v pristojnosti varuha človekovih pravic, in če ni, morebiten prenos pritožbe na drug organ), ne zahteva, da varuh človekovih pravic identificira posameznika, na katerega se nanašajo osebni podatki, ki je tretja oseba [10]; in (ii) posamično obveščanje tretjih oseb, na katere se nanašajo osebni podatki, o tem, da varuh človekovih pravic morda obdeluje podatke, ki se nanašajo nanje, tudi če je to mogoče, bi povzročilo nepotrebno množenje osebnih podatkov in bi zato vključevalo nesorazmeren napor [11].

Namesto tega varuhinja človekovih pravic na svoji spletni strani objavi informativno obvestilo, s katerim širšo javnost obvešča, da pri obravnavi pritožb morda obdeluje osebne podatke oseb, ki niso pritožnikove. To obvestilo vsebuje povezavo do te politike in izjave o obdelavi osebnih podatkov v okviru obravnave pritožb in preiskav s strani varuha človekovih pravic. Ta opomba, ta politika in izjava se štejejo za zadostne, da se zagotovijo vse ustrezne informacije posameznikom, katerih osebne podatke varuh človekovih pravic morda obdeluje [12], in da se jim omogoči, da zahtevajo dostop, popravek, izbris in omejitev obdelave svojih osebnih podatkov, če to želijo [13].

B - V okviru mandata, vendar nedopusten in nedopusten brez pritožbenih razlogov

V zgoraj navedenih primerih varuh človekovih pravic meni, da zagotavljanje posameznih informacij iz točke 2 zgoraj ni potrebno, ker bi individualno obveščanje tretjih oseb, na katere se nanašajo osebni podatki, o dejstvu, da varuh človekovih pravic morda obdeluje podatke, ki se nanašajo nanje, tudi če je to mogoče, povzročilo nepotrebno množenje osebnih podatkov, kar bi glede na omejene ukrepe, ki so povezani s tem, in sicer da pritožba ni bila prenesena iz urada varuha človekovih pravic, pomenilo nesorazmeren napor [14].

Informativno obvestilo, objavljeno na spletni strani varuha človekovih pravic, ter ta politika in izjava se štejejo za zadostne, da se zagotovijo vse ustrezne informacije posameznikom, katerih osebne podatke varuh človekovih pravic morda obdeluje [15], in da se jim omogoči, da zahtevajo dostop, popravek, izbris in omejitev obdelave svojih osebnih podatkov, če to želijo [16].

C – Poizvedbe

V zgoraj navedenih primerih mora varuh človekovih pravic najprej odločiti, ali so podatki, ki se nanašajo na tretje osebe, pomembni za predmet preiskave ali ne. Eden od načinov za to je proučitev, ali bi varuh človekovih pravic preiskavo obravnaval drugače, če tretja oseba, na katero se nanašajo osebni podatki, ne bi bila omenjena ali identificirana v preiskovalnem spisu.

Upoštevni podatki bi lahko bili na primer podatki v zvezi z nekdanjimi poklicnimi izkušnjami uradnika EU, ki je član natečajne komisije, za katero se domneva, da je v navzkrižju interesov. Nepomembni podatki bi lahko bili na primer podatki, povezani z zakonskim stanom tega uradnika EU. Drugi nepomembni podatki, ki se bodo med preiskavo varuha človekovih pravic verjetno zbirali zgolj naključno, so na primer imena drugih uradnikov EU, navedena v sklepih zadevne institucije, in dokumenti, zbrani med preiskavo varuha človekovih pravic.

Odločitev o ustreznosti teh podatkov in analiza, na kateri temeljijo, bosta navedeni v povzetku, ki je evidentiran v ustreznem spisu zadeve v sistemu vodenja zadev varuha človekovih pravic (CMS).

Nepomembni podatki

V primerih, ko podatki niso pomembni za predmet preiskave, varuh človekovih pravic meni, da zagotavljanje posameznih informacij tretji osebi ni potrebno, ker (i) ker podatki niso pomembni, namen, za katerega varuh človekovih pravic obdeluje te osebne podatke (obravnava pritožbe/preiskave), ne zahteva, da varuh človekovih pravic identificira tretje osebe, na katere se nanašajo osebni podatki [17]; in (ii) bi individualno obveščanje takih tretjih oseb, na katere se nanašajo osebni podatki, tudi če je to mogoče, povzročilo nepotrebno množenje osebnih podatkov in zahtevalo nesorazmeren napor glede na dejstvo, da varuh človekovih pravic zadevnih podatkov ne uporablja v okviru svoje preiskave [18]. Očitno nepomembnih podatkov, vključenih v besedilo pritožbe, varuh človekovih pravic ne bo nadalje obdeloval [19].

Informativno obvestilo, objavljeno na spletni strani varuha človekovih pravic, ta politika in izjava se štejejo za zadostne, da se zagotovijo vse ustrezne informacije posameznikom, katerih osebne podatke varuh človekovih pravic morda obdeluje [20], in da se jim omogoči, da zahtevajo dostop, popravek, izbris in omejitev obdelave svojih osebnih podatkov, če to želijo [21].

Ustrezni podatki

Če so podatki pomembni, varuh človekovih pravic razmisli o zagotovitvi informacij iz točke 2 zgoraj tretji osebi, na katero se nanašajo osebni podatki.

Če pa je na podlagi ocene pritožbe mogoče sklepati, da tretja oseba, na katero se nanašajo osebni podatki, že ima informacije (kadar ima na primer uradnik EU, za katerega se domneva, da je v navzkrižju interesov, popolno kopijo pritožbe in spremnih dokumentov)[22] ali da zagotavljanje informacij ni mogoče ali vključuje nesorazmeren napor (kadar je na primer zadevna oseba medtem zapustila službo in je ni mogoče izslediti)[23], varuh človekovih pravic podrobno oceno, ki vodi do te ugotovitve, zabeleži v povzetku zadeve v CMS, obvestilo, objavljeno na spletnem mestu varuha človekovih pravic, pa skupaj s to politiko in izjavo zadostuje za zagotovitev potrebnih informacij posameznikom, katerih osebne podatke varuh človekovih pravic morda obdeluje [24], ter jim omogoči, da zahtevajo dostop, popravek, izbris in omejitev obdelave svojih osebnih podatkov, če to želijo [25].

V primerih, ko tretja oseba, na katero se nanašajo osebni podatki, nima informacij in je obveščanje mogoče ter ne vključuje nesorazmernega napora, varuh človekovih pravic preuči, ali bi obveščanje tretje osebe, na katero se nanašajo osebni podatki, verjetno onemogočilo ali resno oviralo doseganje ciljev te obdelave, in sicer ustrezno preiskati in odločiti o morebitnih nepravilnostih pri dejavnostih institucij, organov, uradov ali agencij EU na podlagi uveljavljanja temeljne pravice (pritožba varuhu človekovih pravic) ali na lastno pobudo [26].

To bi se zgodilo, če bi lahko na primer tretja oseba, na katero se nanašajo osebni podatki, vplivala na preiskavo: na primer s prikrivanjem pomembnih dokazov ali s povračilnimi ukrepi proti pritožniku zaradi uveljavljanja temeljne pravice (pritožba pri varuhu človekovih pravic), kar vpliva na preiskavo (pritožnik na primer ni več pripravljen prispevati k preiskavi).

Če varuh človekovih pravic na podlagi zgornje analize ugotovi, da bi zagotavljanje informacij tretji osebi, na katero se nanašajo osebni podatki, verjetno onemogočilo ali resno oviralo preiskavo in zmožnost varuha človekovih pravic, da sprejme odločitev o domnevnih nepravilnostih, se ocena in sklep, ki iz nje izhaja, zabeležita v spisu zadeve v sistemu vodenja zadev. Obvestilo, objavljeno na spletni strani varuha človekovih pravic, skupaj s to politiko in izjavo zadostuje za zagotovitev potrebnih informacij posameznikom, katerih osebne podatke varuh človekovih pravic lahko obravnava v takih izjemnih primerih [27], in za omogočanje, da zahtevajo dostop, popravek, izbris in omejitev obdelave svojih osebnih podatkov, če to želijo [28].

Če varuh človekovih pravic nasprotno ugotovi, da zagotavljanje informacij tretji osebi, na katero se nanašajo osebni podatki, verjetno ne bo onemogočilo ali resno oviralo preiskave in zmožnosti varuha človekovih pravic, da sprejme odločitev o domnevnih nepravilnostih, tretji osebi, na katero se nanašajo osebni podatki, zagotovi informacije iz točke 2 zgoraj, takoj ko je obravnava pritožbe končana in je institucija o tem obveščena [29].

4. Prispevki v odziv na javna posvetovanja varuha človekovih pravic

Načela, določena v tej politiki, se uporabljajo tudi za vse osebne podatke, prejete v okviru javnih posvetovanj varuha človekovih pravic.

 

Emily O'Reilly

Strasbourg, 16. julij 2019

 

[1] Člen 3(1) Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta z dne 23. oktobra 2018 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah, organih, uradih in agencijah Unije in o prostem pretoku takih podatkov ter o razveljavitvi Uredbe (ES) št. 45/2001 in Sklepa št. 1247/2002/ES (UL 2018, L 295, str. 39): „osebni podatki“ pomeni katero koli informacijo v zvezi z določenim ali določljivim posameznikom (v nadaljnjem besedilu: posameznik, na katerega se nanašajo osebni podatki); določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika“.

[2] Podrobna analiza pojma osebnih podatkov je na voljo v mnenju 4/2007 Delovne skupine za varstvo podatkov iz člena 29, ki je na voljo na: http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2007/wp136_en.pdf

[3] https://secure.edps.europa.eu/EDPSWEB/

[4] Člen 16(1) in (2) Uredbe 2018/1725.

[5] Člen 3(8) Uredbe 2018/1725: „‚upravljavec‘pomeni institucijo ali organ Unije ali generalni direktorat ali kateri koli drug organizacijski subjekt, ki sam ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov; kadar so nameni in sredstva take obdelave določeni s posebnim aktom Unije, se lahko upravljavec ali posebna merila za njegovo imenovanje določijo s pravom Unije.“

[6] Člen 5 Uredbe 2018/1725.

[7] Sklep Evropskega parlamenta z dne 9. marca 1994 o pravilih in splošnih pogojih, ki urejajo opravljanje funkcije varuha človekovih pravic (94/262/ESPJ, ES, Euratom), UL L 113, str. 15, kakor je bil spremenjen s sklepoma Evropskega parlamenta z dne 14. marca 2002, UL L 92, str. 13, in z dne 18. junija 2008, UL L 189, str. 25.

[8] Člen 3, točka 13, Uredbe 2018/1725: „uporabnik“pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki so mu bili osebni podatki razkriti, ne glede na to, ali je tretja oseba ali ne. Vendar se javni organi, ki lahko prejmejo osebne podatke v okviru posamezne poizvedbe v skladu s pravom Unije ali pravom države članice, ne štejejo za uporabnike; obdelava teh podatkov s strani navedenih javnih organov je v skladu z veljavnimi pravili o varstvu podatkov glede na namene obdelave.“

[9] Členi 17 do 20 in 23 Uredbe 2018/1725.

[10] Člen 12(1) Uredbe 2018/1725: „Če upravljavec za namene, za katere obdeluje osebne podatke, ne potrebuje ali ne potrebuje več identifikacije posameznika, na katerega se nanašajo osebni podatki, upravljavec ni dolžan hraniti, pridobivati ali obdelovati dodatnih informacij, da bi identificiral posameznika, na katerega se nanašajo osebni podatki, izključno zaradi skladnosti s to uredbo.“

[11] Člen 16(5)(b) Uredbe 2018/1725: „Odstavki 1 do 4 se ne uporabljajo, če in kolikor:... se posredovanje takih informacij izkaže za nemogoče ali bi vključevalo nesorazmeren napor...“

[12] Člen 16(6) Uredbe 2018/1725: „V primerih iz točke (b) odstavka 5 upravljavec sprejme ustrezne ukrepe za zaščito pravic in svoboščin ter zakonitih interesov posameznika, na katerega se nanašajo osebni podatki, vključno z dajanjem informacij na voljo javnosti.“

[13] Člen 12(2) Uredbe 2018/1725: „Kadar lahko upravljavec v primerih iz odstavka 1 tega člena dokaže, da ne more identificirati posameznika, na katerega se nanašajo osebni podatki, upravljavec o tem po možnosti ustrezno obvesti posameznika, na katerega se nanašajo osebni podatki. V takih primerih se členi 17 do 22 ne uporabljajo, razen kadar posameznik, na katerega se nanašajo osebni podatki, za namene uveljavljanja svojih pravic iz navedenih členov zagotovi dodatne informacije, ki omogočajo njegovo identifikacijo.“ To se lahko zgodi na primer, kadar tretja oseba, na katero se nanašajo osebni podatki, zahteva dostop do svojih osebnih podatkov, ki jih obdeluje varuh človekovih pravic, in ga varuh človekovih pravic po iskanju v sistemu vodenja zadev varuha človekovih pravic obvesti, da njegovih podatkov ni bilo mogoče najti. Če pa posameznik, na katerega se nanašajo osebni podatki, naknadno zagotovi dodatne informacije, kot je na primer številka pritožbe ali ime pritožnika, lahko to omogoči njegovo identifikacijo v spisih varuha človekovih pravic in mu omogoči, da sprejme odločitev o zahtevi.

[14] Člen 16(5)(b) Uredbe 2018/1725.

[15] Člen 16(6) Uredbe 2018/1725.

[16] Člen 12(2) Uredbe 2018/1725. Glej opombo 13 zgoraj.

[17] Člen 12(1) Uredbe 2018/1725

[18] Člen 16(5)(b) Uredbe 2018/1725.

[19] Možno je, da se lahko podatki, ki se v zgodnjih fazah preiskave ne morejo šteti za pomembne za predmet preiskave, na koncu uporabijo za namene preiskave in vplivajo na njen izid.

[20] Člen 16(6) Uredbe 2018/1725.

[21] Člen 12(2) Uredbe 2018/1725. Glej opombo 13 zgoraj.

[22] Člen 16(5)(a) Uredbe 2018/1725: „Odstavki 1 do 4 se ne uporabljajo, če in kolikor:  posameznik, na katerega se nanašajo osebni podatki, že ima informacije ...“

[23] Člen 16(5)(b) Uredbe 2018/1725: „Odstavki 1 do 4 se ne uporabljajo, če in kolikor: [...] se posredovanje takih informacij izkaže za nemogoče ali bi vključevalo nesorazmeren napor [...]“

[24] Člen 16(6) Uredbe 2018/1725.

[25] Člen 12(2) Uredbe 2018/1725. Glej opombo 13 zgoraj.

[26] Člen 16(5)(b) Uredbe 2018/1725: „Odstavki 1 do 4 se ne uporabljajo, če in kolikor: [...] obveznost iz odstavka 1 tega člena bi lahko onemogočila ali resno ovirala doseganje ciljev te obdelave [...]“

[27] Člen 16(6) Uredbe 2018/1725.

[28] Člen 12(2) Uredbe 2018/1725. Glej opombo 13 zgoraj.

[29] Člen 16(3) Uredbe 2018/1725: „Upravljavec zagotovi informacije iz odstavkov 1 in 2:... (c) če je predvideno razkritje drugemu prejemniku, najpozneje ob prvem razkritju osebnih podatkov.“