Antecedentes de la denuncia

1. En septiembre de 2013, un ciudadano alemán solicitó acceso a determinados documentos en poder de la Oficina Europea de Lucha contra el Fraude («OLAF») y de la Comisión Europea de conformidad con las normas de la UE sobre el acceso del público a los documentos [1]. Sin embargo, la OLAF y la Comisión tenían dudas sobre su identidad. Por lo tanto, la OLAF y la Comisión suspendieron temporalmente la tramitación de las solicitudes de acceso, ya que para tener derecho de acceso a los documentos hay que ser una persona física o jurídica que resida o sea ciudadana de un Estado miembro de la UE.

2. El hecho de que la OLAF y la Comisión hubieran suspendido temporalmente la tramitación de las solicitudes de acceso llevó al solicitante a presentar una reclamación ante el Defensor del Pueblo (asuntos 2309/2013/JAS y 2310/2013/JAS contra la OLAF y la Comisión [2]). En el curso de las investigaciones del Defensor del Pueblo sobre dichas reclamaciones, el demandante tuvo conocimiento de que la Comisión o la OLAF se habían puesto en contacto con lo que consideraban su empleador, una universidad alemana, para comprobar que era una persona real y establecer su profesión [3].

3. El demandante estaba insatisfecho con que la Comisión o la OLAF se hubieran puesto en contacto con una universidad para la que nunca había dicho que trabajaba y presentó una queja al Defensor del Pueblo también sobre esta cuestión. Presentó una denuncia, la presente contra la Comisión, y otra similar contra la OLAF [4].

La investigación

4. El Defensor del Pueblo inició una investigación sobre la alegación de que la Comisión había tratado ilegalmente los datos personales del demandante.

5. En el curso de la investigación, el Defensor del Pueblo recibió el dictamen de la Comisión sobre la reclamación y, posteriormente, los comentarios del demandante en respuesta al dictamen de la Comisión. Al llevar a cabo la investigación, el Defensor del Pueblo ha tenido en cuenta los argumentos y opiniones presentados por las partes.

Alegación de tratamiento ilícito de los datos personales del reclamante

Argumentos presentados al Defensor del Pueblo

6. En apoyo de su alegación, el denunciante alegó que la Comisión a) había registrado incorrectamente información sobre su actividad profesional, b) había transferido sus datos personales a un tercero sin su consentimiento, y c) había conservado datos personales en su base de datos durante un período de tiempo desproporcionado.

7. En su dictamen, la Comisión afirmaba que la información sobre la propia profesión no es una condición para ejercer el derecho de acceso a los documentos. La Comisión solicitó esta información únicamente con fines estadísticos. Será opcional proporcionar este tipo de información en el futuro.

8. La información inexacta sobre los vínculos profesionales del demandante con la universidad alemana se había introducido en la base de datos para las solicitudes de acceso de la OLAF, probablemente debido a un error administrativo. La Comisión declaró que la OLAF lamenta cualquier inconveniente causado al reclamante y que la OLAF ha corregido los datos.

9. Sin embargo, la Comisión desea reservarse el derecho de comprobar la identidad y la dirección de un solicitante que desee acceder al público a los documentos. La Comisión dice que realiza estos controles, utilizando información públicamente disponible, para determinar si los solicitantes son personas físicas que residen o son ciudadanos de un Estado miembro de la UE.

10. En cuanto al período de conservación de datos supuestamente desproporcionado, la Comisión alegó que almacena datos personales de conformidad con las normas de protección de datos de la UE. Está justificado conservar los datos personales de los solicitantes después de haber finalizado la tramitación de una solicitud de acceso con el fin de garantizar la coherencia jurídica y procesal. La Comisión necesita saber si ha tramitado solicitudes de acceso anteriores del mismo solicitante o solicitudes relativas a documentos idénticos o similares para determinar si estos documentos podrían considerarse ya "de dominio público". Asimismo, las decisiones por las que se deniegue el acceso a los documentos pueden presentarse ante el Defensor del Pueblo o ante el Tribunal de Justicia. La información personal sobre los solicitantes es necesaria para que la Comisión tramite las solicitudes correctamente y con pleno conocimiento de todas las circunstancias, por ejemplo, a la hora de decidir si debe ponerse en contacto informalmente con los solicitantes para encontrar una solución justa en caso de que una solicitud sea para un documento muy largo o para un gran número de documentos [5].

11. En sus observaciones, el demandante expresó su decepción por el hecho de que la Comisión no se hubiera disculpado por haber registrado incorrectamente su profesión en su base de datos.

12. El demandante remitió al Defensor del Pueblo una carta de la Comisión en la que afirmaba que había revelado su nombre a la universidad [6].

13. El demandante sostuvo que está justificado que la Comisión conserve los datos personales solo hasta que hayan transcurrido los plazos para acudir al Tribunal o al Defensor del Pueblo. En apoyo de su punto de vista, adjuntó una decisión del Supervisor Europeo de Protección de Datos (SEPD) en la que declaraba que la práctica de la OLAF de conservar datos personales en su base de datos de investigación durante quince años era desproporcionada.

Evaluación del Defensor del Pueblo

14. Es probable que la información incorrecta sobre el denunciante que trabajaba para una universidad alemana se haya introducido en la base de datos como consecuencia de un error administrativo de la OLAF. Dado que la OLAF ha lamentado el error y corregido los datos, el Defensor del Pueblo considera que este aspecto de la alegación del reclamante se ha resuelto. No está claro para el Defensor del Pueblo por qué la Comisión debería disculparse por un error cometido por la OLAF.

15. El Defensor del Pueblo acoge con satisfacción el hecho de que el formulario de solicitud de acceso público a los documentos en el sitio web de la Comisión ya no tenga el ámbito de las actividades profesionales como obligatorio [7].

16. La Comisión no ha negado ni confirmado que transfiriera los datos personales del demandante, es decir, su nombre, a la universidad alemana en la que pensaba que trabajaba. De hecho, la Comisión no abordó este asunto en absoluto en su opinión, a pesar de que el denunciante había planteado este argumento en apoyo de su alegación. Sin embargo, la carta de la Comisión de 4 de febrero de 2014 al denunciante no deja ninguna duda en cuanto a la cuestión de si la Comisión se había puesto en contacto con la universidad y le había revelado el nombre del denunciante. La carta, que es anterior al dictamen de la Comisión al Defensor del Pueblo, dice explícitamente que «en relación con su actividad profesional, indicó a la OLAF que trabajaba para el Instituto de Derecho Internacional y Europeo de [una universidad alemana]. Sin embargo, este Instituto no existe bajo dicho nombre. A raíz de nuestra solicitud [es decir, la Comisión], la universidad señaló que no tenía ningún empleado con el nombre [«Sr. X»] [8], es decir, con el nombre del denunciante.

17. El contacto de la Comisión con la universidad alemana no estaba previsto en sus propias normas internas sobre cuestiones de protección de datos (su notificación a su delegado de protección de datos en lo que respecta al tratamiento de datos personales en el contexto de su gestión del acceso público a las solicitudes de documentos [9]). Estas normas internas no prevén la transmisión de datos personales a terceros [10].

18. En su opinión, se limitó a hacer referencia a su supuesto derecho a llevar a cabo la verificación de la identidad y la dirección utilizando información públicamente disponible.

19. El Defensor del Pueblo considera que la insistencia de la Comisión en confirmar la identidad de un solicitante no se basa en ninguna disposición concreta ni promueve ninguno de los objetivos de las normas de la UE sobre el acceso del público a los documentos.

20. Además, ponerse en contacto con lo que la Comisión considera el empleador de una persona va más allá de consultar la información públicamente disponible, a la que la Comisión se refiere en su dictamen. Podría decirse que tal acción podría tener efectos negativos para un solicitante al suscitar sospechas por parte de su empleador en cuanto a la razón por la que una institución de la Unión intenta confirmar la identidad del solicitante, lo que constituye una grave injerencia en su vida personal.

21. Por lo tanto, al revelar el nombre del denunciante a la universidad, sin una justificación válida, la Comisión cometió mala administración. Dado que la protección de los datos personales es un derecho fundamental [11], y debido al carácter intrusivo de la acción de la Comisión, la mala administración es especialmente grave en este caso.

22. Tras constatar una mala administración, no es necesario que el Defensor del Pueblo se ocupe de la cuestión de si la Comisión infringió específicamente las normas de la UE en materia de protección de datos [12]. Si el reclamante desea seguir adelante con este aspecto en particular, sigue siendo libre de presentar una reclamación ante el Supervisor Europeo de Protección de Datos, que tiene experiencia especializada y responsabilidad en el ámbito de la protección de datos.

23. En cuanto al período de conservación supuestamente desproporcionado de los datos personales en la base de datos de acceso de la Comisión a los documentos, el Defensor del Pueblo señala que la decisión del Supervisor Europeo de Protección de Datos a la que se refiere el reclamante se refiere a la OLAF y no a la Comisión. El acceso de la Comisión a la base de datos de documentos también tiene otro propósito que el de la OLAF. Si bien la base de datos de la Comisión solo contiene datos personales relativos al acceso público a las solicitudes de documentos, la base de datos de la OLAF contiene información sobre sus investigaciones.

24. La notificación de la Comisión a su responsable de protección de datos en lo que respecta al tratamiento de datos personales en el contexto de su tratamiento de las solicitudes de acceso público a los documentos establece que los datos personales de los solicitantes se conservan durante un período no superior a cinco años, y normalmente se suprimen posteriormente [13]. Por lo tanto, el período de retención puede ampliarse en determinados casos.

25. Tanto la notificación al responsable de la protección de datos de la Comisión, como el dictamen de la Comisión en este caso, explican que este período de conservación es necesario porque las decisiones que conceden acceso parcial o nulo pueden presentarse ante el Tribunal o ante el Defensor del Pueblo. En opinión del Defensor del Pueblo, un período de conservación de cinco años es proporcional a los objetivos perseguidos, dado que los procedimientos ante los tribunales de la UE pueden durar varios años. La carta de la Comisión de 4 de febrero de 2014 al denunciante se refiere, entre otras cosas, a una solicitud de acceso a documentos presentada por el denunciante en 2007 [14]. Así pues, está claro que, en 2014, la Comisión seguía almacenando datos personales del denunciante que había presentado seis o siete años antes. En consecuencia, en el caso del demandante, la Comisión había conservado sus datos personales durante más de cinco años.

26. La Comisión no ha justificado por qué no había suprimido los datos personales del denunciante relativos a una solicitud de acceso a documentos presentada en 2007. Dado que la cuestión de si la Comisión debería haber justificado la conservación de los datos personales del reclamante a partir de 2007 no estaba explícitamente cubierta por la presente investigación, el Defensor del Pueblo no considera adecuado determinar si la Comisión mantuvo los datos personales del reclamante durante un período de tiempo desproporcionado e incumpliendo su notificación.

27. El Defensor del Pueblo informa de nuevo al reclamante de la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos en caso de que desee una decisión especializada sobre si el período de conservación de datos de la Comisión infringe específicamente las normas de la UE en materia de protección de datos. Por lo tanto, considera que no se justifican nuevas investigaciones sobre este aspecto de la denuncia.

28. La mala administración por parte de la Comisión no puede remediarse ahora y el denunciante no presentó ninguna alegación en la que deseara que la Comisión adoptara ninguna medida concreta. Por lo tanto, el Defensor del Pueblo archivará este aspecto de la reclamación con una observación crítica a la Comisión.

Conclusión

Sobre la base de la investigación de esta reclamación, el Defensor del Pueblo la cierra con las siguientes conclusiones:

Al rectificar la información incorrectamente registrada sobre la actividad profesional del demandante en la base de datos pertinente, se ha resuelto este aspecto de la queja del demandante.

Por lo que se refiere al período de conservación de los datos personales en la base de datos de la Comisión, el Defensor del Pueblo considera que no están justificadas más investigaciones.

Observación crítica

Al transferir los datos personales del reclamante a un tercero sin una justificación válida, la Comisión cometió mala administración. Dado que la protección de los datos personales es un derecho fundamental previsto en la Carta de los Derechos Fundamentales de la UE, y debido a que la acción de la Comisión en este caso fue muy intrusiva, la mala administración es particularmente grave.

Se informará de esta decisión al denunciante y a la Comisión.

Emily O'Reilly

Estrasburgo, 12.7.2016

[1] Reglamento (CE) n.o 1049/2001 del Parlamento Europeo y del Consejo, de 30 de mayo de 2001, relativo al acceso del público a los documentos del Parlamento Europeo, del Consejo y de la Comisión (DO L 145 de 31.5.2001, p. 43);

[2] Así pues, las decisiones de la OLAF y de la Comisión de interrumpir la tramitación de las solicitudes de acceso se trataron por separado y, por tanto, no entran en el ámbito de la presente investigación.

[3] La Comisión solicitó estos datos a los solicitantes para tramitar sus solicitudes de acceso público a los documentos.

[4] Tramitado por separado con la referencia del asunto 139/2015/PMC.

[5] Véase, a este respecto, el artículo 6, apartado 3, del Reglamento 1049/2001.

[6] La Comisión también envió esta carta al reclamante en el contexto de la investigación del Defensor del Pueblo sobre la reclamación 2310/2013/JAS.

[7] https://ec.europa.eu/transparency/regdoc/index.cfm?fuseaction=fmb&&CFID=6076842&CFTOKEN=2e4472e118d31678-CA79D075-9960-F842-29FFB98461CB0B5B

[8] La carta de la Comisión está redactada en alemán.

[9] Véase la notificación «DPO-1225.2 GestDem» sobre el tratamiento de datos personales en relación con la base de datos de acceso público de la Comisión a los documentos, disponible en línea: http://ec.europa.eu/dpo-register/details.htm?id=35247

[10] Véase, a este respecto, el punto 16.

[11] Artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea.

[12] Reglamento (CE) no 45/2001 del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos (DO L 8 de 12.1.2001, p. 1).

[13] Punto 13.

[14] Gestdem 2007/4845.