Kantelun tausta

1. Kantelija on entinen EU:n henkilöstön jäsen. Hän teki joulukuussa 2017 Euroopan tietosuojavaltuutetulle kantelun henkilötietojensa käsittelystä Euroopan ulkosuhdehallinnossa. Hän pyysi saada tutustua useisiin asiakirjoihin, joiden hän väitti sisältävän hänen henkilötietojaan, mukaan lukien hallinnolliseen tutkimukseen liittyvät asiakirjat, ja oikaista niitä.

2. Huhti- ja kesäkuussa 2018 EUH oli yhteydessä kantelijaan asiassa ja antoi pääsyn joihinkin henkilötietoihin. Se ei kuitenkaan myöntänyt oikeutta tutustua muihin henkilötietoihin hallinnollisen tutkimuksen ollessa käynnissä. Kantelija ilmoitti kesä- ja lokakuussa 2018 Euroopan tietosuojavaltuutetulle, ettei hän ollut tyytyväinen siihen, miten EUH käsitteli asiaa.

3. Tietosuojavaltuutettu otti joulukuussa 2018 yhteyttä EUH:hon saadakseen selvennyksiä ja huomautuksia kantelijan väitteistä.

4. Huhtikuussa 2019 Euroopan tietosuojavaltuutettu keskeytti [1] kantelun käsittelyn, koska kantelija oli käynnistänyt asiaa koskevan oikeudellisen menettelyn. Tämä oli Euroopan tietosuojavaltuutetun työtä koskevien sääntöjen mukaista [2].

5. Tällä välin EUH ilmoitti Euroopan tietosuojavaltuutetulle antaneensa kantelijalle oikeuden tutustua kaikkiin asiakirjoihin, jotka hänellä oli oikeus saada hallinnollisen tutkimuksen yhteydessä.

6. Joidenkin oikeudenkäyntien päätyttyä kantelija ilmoitti maaliskuussa 2020 Euroopan tietosuojavaltuutetulle, ettei hän ollut tyytyväinen saamiinsa asiakirjoihin ja henkilötietoihin. Hän pyysi saada tutustua muihin asiakirjoihin, joiden hän väitti sisältävän hänen henkilötietojaan.

7. Euroopan tietosuojavaltuutettu otti kesäkuussa 2020 uudelleen yhteyttä EUH:hon ja pyysi sitä selventämään, sisälsivätkö kantelijan mainitsemat asiakirjat hänen henkilötietojaan. EUH vastasi, että kantelijan pyyntö saada tutustua henkilötietoihin ei ollut riittävän selkeä. EUH totesi myös, että joitakin asiakirjoja ei joko ollut olemassa tai ne eivät sisältäneet kantelijan henkilötietoja. Euroopan tietosuojavaltuutettu toimitti EUH:n vastauksen kantelijalle. Hän toisti Euroopan tietosuojavaltuutetulle esittämänsä vaatimuksen, jonka mukaan hänelle olisi annettava oikeus tutustua useampaan hänen henkilötietojaan sisältävään asiakirjaan.

8. Joulukuussa 2020 Euroopan tietosuojavaltuutettu keskeytti jälleen kantelun käsittelyn, koska kantelija oli hakenut muutosta joihinkin tuomioistuimen tuomioihin.[3] Euroopan tietosuojavaltuutettu aloitti asian käsittelyn uudelleen maaliskuussa 2022.

9. Euroopan tietosuojavaltuutettu ilmoitti heinäkuussa 2022 kantelijalle, että se ei henkilöstöresursseihin liittyvistä syistä pystyisi tekemään päätöstä hänen kantelustaan ennen marraskuuta 2022 [4].

10. Oikeusasiamiehen puututtua asiaan [5] Euroopan tietosuojavaltuutettu otti kesäkuussa 2023 yhteyttä kantelijaan selventääkseen tiettyjä kysymyksiä. 

11. Tyytymättömänä siihen, miten Euroopan tietosuojavaltuutettu käsitteli asiaa, kantelija kääntyi oikeusasiamiehen puoleen uudelleen syyskuussa 2023.

Tiedustelu

12. Oikeusasiamies aloitti tutkimuksen Euroopan tietosuojavaltuutetun kantelusta päättämiseen käyttämästä ajasta.

13. Tutkimuksen aikana oikeusasiamies sai Euroopan tietosuojavaltuutetun vastauksen, jossa esitettiin sen tutkintavaiheet kesäkuusta 2023 alkaen.[6] Oikeusasiamiehen tutkimusryhmä tapasi myös Euroopan tietosuojavaltuutetun asiaankuuluvia edustajia saadakseen lisätietoja tapauksesta. Kantelija esitti huomautuksia kokousraportista.

Esitetyt perustelut

14. Kantelija väitti, että Euroopan tietosuojavaltuutetulta kesti kohtuuttoman kauan käsitellä hänen kantelunsa. Hän väitti, että asian monimutkaisuus ja olosuhteet eivät voi oikeuttaa päätöksen tekemisen lykkäämistä yli kuudella vuodella.

15. Euroopan tietosuojavaltuutettu myönsi, että kuusi vuotta on pitkä aika käsitellä kantelu. Se väitti kuitenkin, että asian erityiset olosuhteet oikeuttivat viivästyksen. Euroopan tietosuojavaltuutettu viittasi erityisesti tarpeeseen keskeyttää asian käsittely eri yhteyksissä, kun vireillä oli erilaisia oikeudenkäyntejä tietosuojavaltuutetun työhön sovellettavien sääntöjen mukaisesti. Euroopan tietosuojavaltuutettu viittasi myös siihen, että se oli aktiivinen asiassa sen ajanjakson ulkopuolella, jona oikeudenkäynti oli käynnissä, ja mainitsi edellä esitetyt eri yhteydet kantelijaan ja EUH:hon. Kokouksen aikana tietosuojavaltuutettu selvensi myös, että yksi asia oli edelleen vireillä unionin yleisessä tuomioistuimessa.[7] Tietosuojavaltuutettu kuitenkin myönsi myös, että sisäinen uudelleenjärjestely ja henkilöresurssien puute ovat saattaneet viivästyttää valituksen käsittelyä.

16. Tutkinnan aikana Euroopan tietosuojavaltuutettu teki toukokuussa 2024 päätöksen asian käsittelyn osittaisesta päättämisestä [8]. 

Oikeusasiamiehen arviointi

17. Hyvän hallinnon periaatteet edellyttävät, että EU:n elimet tekevät päätökset kohtuullisessa ajassa. Tämä on erityisen tärkeää silloin, kun menettely liittyy henkilötietojen suojaa koskevan perusoikeuden tehokkaaseen käyttöön.

18. Se, mikä on ”kohtuullinen aika”, riippuu kunkin tapauksen olosuhteista. Huomioon otettavia tekijöitä ovat asian monimutkaisuus, osapuolten käyttäytyminen, hallinnon noudattamat menettelyn eri vaiheet ja asiayhteys.^[9] Kaikki menettelyn vaiheet olisi toteutettava kohtuullisessa ajassa edellisestä vaiheesta.^[10] Lisäksi jos kesto ylittää kohtuullisen ajan, hallinnon on osoitettava sellaisten erityisten olosuhteiden olemassaolo, jotka oikeuttavat viivästyksen ^[11], ja tiedotettava kantelijalle ennakoivasti asian etenemisestä.

19.  Oikeusasiamies on samaa mieltä siitä, että Euroopan tietosuojavaltuutettu toimi työtään koskevien sääntöjen [12] mukaisesti ja että sen oli perusteltua keskeyttää asian käsittely, kun eri oikeudelliset menettelyt olivat käynnissä. Tämä koski kuitenkin hieman yli kahta vuotta kuudesta päätöksentekovuodesta.

20. Oikeusasiamies panee myös merkille, että Euroopan tietosuojavaltuutettu pyysi kantelijalta selvennyksiä eri vaiheissa ja että kantelija lähetti myös säännöllisesti lisäaineistoa tai -huomautuksia. Tämä on saattanut vaikuttaa viivästymiseen.

21. Vaikka Euroopan tietosuojavaltuutettu ei ollut toimettomana neljän vuoden aikana (jolloin asian käsittelyä ei keskeytetty tuomioistuinkäsittelyn vuoksi), oikeusasiamiehen tutkimuksessa kävi ilmi, että oli kuitenkin ajanjaksoja, joina toimintaa ei näyttänyt tapahtuvan. Vaikuttaa esimerkiksi siltä, että huhtikuun 2022 ja kesäkuun 2023 välisenä aikana ei ole toteutettu mitään toimia yli vuoteen aikana, jolloin Euroopan tietosuojavaltuutetun olisi pitänyt olla erityisen valppaana, koska tapaus oli ollut vireillä joulukuusta 2017 lähtien.  

22. Euroopan tietosuojavaltuutettu selitti, että tämä johtui osittain hallinnollisten valmiuksien heikkenemisestä. EU:n elimillä on kuitenkin velvollisuus järjestää palvelunsa siten, että ne voivat täyttää tehtävänsä. Näin pitkää viivästystä ei sinänsä voida perustella henkilöstöpulalla. Kun otetaan huomioon, kuinka kauan tapaus oli avoinna, Euroopan tietosuojavaltuutetun olisi pitänyt varmistaa, että sen käytettävissä olevat henkilöresurssit kohdennetaan sen varmistamiseen, että se voidaan priorisoida ja sulkea.

23. On selvää, että asia oli monimutkainen ja sitä pahensivat erilaiset, toisinaan päällekkäiset hallinnolliset ja oikeudelliset menettelyt. Euroopan tietosuojavaltuutettu katsoi kuitenkin toukokuussa 2024 tekemässään päätöksessä lähinnä, että kantelija ei voinut vedota ”oikaisuoikeuteen” toivomansa lopputuloksen saavuttamiseksi tässä nimenomaisessa tapauksessa – lähinnä muuttamalla joidenkin kyseessä olevien asiakirjojen sisältöä – koska oikaisuoikeus koskee ainoastaan ”objektiivisia henkilötietoja”. Euroopan tietosuojavaltuutetun kanta tähän asiaan vaikuttaa vakiintuneelta, ja siksi on vaikea ymmärtää, miten tällaisen päätelmän tekeminen tässä tapauksessa kesti niin kauan [13].

24.  Euroopan tietosuojavaltuutetun olisi myös pitänyt tiedottaa kantelijalle ennakoivasti asian etenemisestä. Sen sijaan Euroopan tietosuojavaltuutettu reagoi melko reaktiivisesti ja vastaisi kantelijalle vasta oikeusasiamiehen puututtua asiaan.[14] Euroopan tietosuojavaltuutetun olisi harkittava anteeksipyyntöä kantelijalle tapahtuneesta viivästyksestä ja siitä, ettei tämä tiedottanut hänelle asian etenemisestä.  

25. Edellä esitetyn perusteella oikeusasiamies katsoo, että Euroopan tietosuojavaltuutetun laiminlyönti saattaa kantelijan joulukuussa 2017 tekemää kantelua koskeva arviointinsa päätökseen kohtuullisessa ajassa on hallinnollinen epäkohta.

Päätelmä

Tutkinnan perusteella oikeusasiamies päättää asian käsittelyn ja tekee seuraavan päätelmän:

Se, että Euroopan tietosuojavaltuutettu ei ole saattanut kantelua koskevaa arviointiaan päätökseen kohtuullisessa ajassa, on hallinnollinen epäkohta.

Tästä päätöksestä ilmoitetaan kantelijalle ja Euroopan tietosuojavaltuutetulle.

Emily O'Reilly
Euroopan oikeusasiamies

Strasbourgissa 7.11.2024

[1] Keskeytys kattaa huhtikuun 2019 ja maaliskuun 2020 välisen ajanjakson (11 kuukautta). 

[2] Euroopan tietosuojavaltuutettu viittasi luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä annetun asetuksen 2018/1725 57 artiklan 1 kohdan e alakohtaan ja Euroopan tietosuojavaltuutetun työjärjestyksen 16 artiklan 6 kohtaan, jotka ovat saatavilla osoitteessa https://eur-lex.europa.eu/eli/reg/2018/1725/oj ja https://www.edps.europa.eu/about/office-edps/edps-rules-procedure_en. 

[3] Keskeytys kattaa joulukuun 2020 ja maaliskuun 2022 välisen ajanjakson (16 kuukautta).

[4] Euroopan tietosuojavaltuutettu teki näin sen jälkeen, kun oikeusasiamies oli aloittanut tutkimuksen kantelijan kantelun johdosta (asia 33/2023/FA).

[5] Asia 768/2023/TM, joka koskee Euroopan tietosuojavaltuutetun laiminlyöntiä tiedottaa kantelijalle tämän joulukuussa 2017 tekemän kantelun etenemisestä.

[6] Kantelun 768/2023/TM käsittelyn lopettamisen jälkeen.

[7] Asia T-371/21. Unionin yleinen tuomioistuin antoi tuomionsa 24. tammikuuta 2024 eli päivänä, jona Euroopan tietosuojavaltuutetun edustajien kanssa pidettiin kokous. Tämän jälkeen kantelija valitti unionin yleisen tuomioistuimen päätöksestä (asia C-243/24 P). 

[8] Kantelija otti esiin kaksi kysymystä, jotka liittyivät yhtäältä tiedonsaantioikeuteen ja toisaalta oikeuteen oikaista henkilötietojaan. Päätöksessään Euroopan tietosuojavaltuutettu otti kantaa kantelijan väitteeseen, joka koski ainoastaan oikeutta oikaisuun. Euroopan tietosuojavaltuutettu keskeytti tiedonsaantioikeutta koskevan kysymyksen käsittelyn, koska asia C-243/24 P oli tuolloin edelleen vireillä.

[9] Ks. esimerkiksi yhteisöjen tuomioistuimen tuomio 17.12.1998, Baustahlgewebe v.

Komissio, asia C-185/95 P, 29 kohta, saatavilla osoitteessa

http://curia.europa.eu/juris/showPdf.jsf;jsessionid=8F1C0778C9B8C96192ACB213E890C455?text=&doci

d=43779&pageIndex=0&doclang=EN&mode=lst&dir=&occ=first&part=1&cid=4441718 ja

Oikeusasiamiehen päätös asiassa 484/2015/DR, 28 kohta, saatavilla osoitteessa

https://www.ombudsman.europa.eu/en/decision/en/90382.

[10] Ks. esimerkiksi yhteisöjen tuomioistuimen tuomio 2.6.1994, De Compte v. parlamentti, asia C-

326/91 P, 21 kohta, saatavilla osoitteessa

http://curia.europa.eu/juris/showPdf.jsf?text=&docid=98282&pageIndex=0&doclang=EN&mode=lst&dir=&

occ=first&part=1&cid=4442402.

[11] Ks. esimerkiksi yhteisöjen tuomioistuimen tuomio 5.5.1983, Ditterich v. komissio, asia 207/81,

26 kohta, saatavilla osoitteessa

http://curia.europa.eu/juris/showPdf.jsf?text=&docid=91654&pageIndex=0&doclang=EN&mode=lst&dir=&

occ=first&part=1&cid=4443230.

[12] Ks. edellä alaviite 2.

[13] Euroopan tietosuojavaltuutettu viittasi vuonna 2011 antamiinsa ohjeisiin henkilötietojen käsittelystä henkilöstön arvioinnin alalla ja vuonna 2016 antamiinsa ohjeisiin henkilötietojen käsittelystä hallinnollisissa tutkimuksissa ja kurinpitomenettelyissä, 50 kohta. Ks. esimerkiksi https://www.edps.europa.eu/sites/default/files/publication/16-11-18_guidelines_administrative_inquiries_en.pdf.

Ks. myös vuoden 2014 suuntaviivat yksilöiden oikeuksista henkilötietojen käsittelyssä:  https://www.edps.europa.eu/sites/default/files/publication/14-02-25_gl_ds_rights_en.pdf#page=18 

[14] Asiat 176/2019/JAP, 1658/2020/LM ja 33/2023/FA.