1. Johdanto

Kantelun tehneiden henkilöiden henkilötietojen käsittelyn lisäksi oikeusasiamies voi tapauksen tosiseikoista riippuen joutua käsittelemään muiden henkilöiden henkilötietoja ("kolmansien osapuolten rekisteröidyt").

Kantelun saatuaan oikeusasiamies arvioi, sisältävätkö toimitetut tiedot kolmansien osapuolten henkilötietoja eli tietoja, jotka liittyvät muuhun tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön kuin kantelijaan.

Henkilötietojen käsite on hyvin laaja [1]. Se sisältää esimerkiksi tietoja henkilön henkilöllisyydestä ja henkilökohtaisista ominaisuuksista, lausunnoista ja mielipiteistä sekä siviilisäädystä ja ammattiasemasta [2].

Tämä politiikka koskee tapaa, jolla oikeusasiamies toteuttaa velvollisuutensa ilmoittaa rekisteröidyille heidän henkilötietojensa käsittelystä kantelun tai tutkimuksen yhteydessä, jos tietoja ei ole saatu kyseisiltä rekisteröidyiltä. Tätä toimintapolitiikkaa laatiessaan oikeusasiamies on ottanut huomioon Euroopan tietosuojavaltuutetun ohjeet [3].

2. Tiedonantovelvollisuus

Kun kanteluun tai muuhun tutkimukseen liittyvään asiakirjaan sisältyy kolmannen osapuolen henkilötietoja, oikeusasiamiehellä on velvollisuus antaa asianomaiselle henkilölle seuraavat tiedot [4]:

a) rekisterinpitäjän eli oikeusasiamiehen henkilöllisyys ja yhteystiedot [5];

b) oikeusasiamiehen tietosuojavastaavan yhteystiedot;

c) käsittelyn tarkoitus (esimerkiksi kantelun käsittely) ja käsittelyn oikeusperusta (esimerkiksi EU:n toimielinten suorittamaa henkilötietojen käsittelyä koskevat säännöt [6] ja/tai oikeusasiamiehen ohjesääntö [7]);

d) kyseessä olevat tietoryhmät (esimerkiksi kyseisen henkilön henkilöllisyys ja ammattiasema);

e) tietojen vastaanottajat [8];

f) tapauksen mukaan tieto siitä, että oikeusasiamies aikoo siirtää henkilötiedot kolmanteen maahan tai kansainväliselle järjestölle, ja tieto siitä, onko komissio tehnyt tietosuojan riittävyyttä koskevan päätöksen tai ovatko asianmukaiset tai asianmukaiset suojatoimet olemassa, sekä tieto siitä, miten niistä voi saada jäljennöksen tai missä ne on asetettu saataville; ja

g) seuraavat lisätiedot, jotka ovat tarpeen henkilön henkilötietojen oikeudenmukaisen ja avoimen käsittelyn takaamiseksi:

i) asiaankuuluvien tietojen säilyttämisen määräajat;

ii) se, että henkilöllä on oikeus pyytää pääsyä henkilötietoihinsa tai pyytää niiden oikaisemista, poistamista tai käsittelyn rajoittamista tai oikeus vastustaa käsittelyä [9];

iii) henkilön oikeus kääntyä Euroopan tietosuojavaltuutetun puoleen ja

iv) tietojen alkuperä (tarvittaessa myös julkisesti saatavilla olevat lähteet).

3. Politiikka

A – Valtuutuksen ulkopuoliset valitukset

Jos oikeusasiamies katsoo, että kantelu, joka sisältää kolmansien osapuolten henkilötietoja, ei kuulu hänen toimivaltaansa, hän ilmoittaa asiasta kantelijalle ja neuvoo häntä mahdollisuuksien mukaan elimestä, joka voisi käsitellä kantelun. Jos kantelija on suostunut kantelunsa siirtämiseen, jos oikeusasiamies ei pysty käsittelemään sitä, oikeusasiamies toimittaa kantelun toimivaltaiselle elimelle (esimerkiksi kansalliselle oikeusasiamiehelle).

Tällaisissa tapauksissa oikeusasiamies ei katso, että edellä 2 kohdassa mainittujen yksittäisten tietojen antaminen olisi tarpeen, koska i) tarkoitus, jota varten oikeusasiamies käsittelee näitä henkilötietoja (arvio siitä, kuuluuko kantelu oikeusasiamiehen toimivaltaan, ja jos ei kuulu, kantelun mahdollinen siirtäminen toiselle elimelle), ei edellytä, että oikeusasiamies tunnistaa rekisteröidyn kolmannen osapuolen [10]; ja ii) se, että rekisteröidyille, jotka ovat kolmansia osapuolia, tiedotettaisiin henkilökohtaisesti siitä, että oikeusasiamies saattaa käsitellä heitä koskevia tietoja, vaikka se olisi mahdollista, johtaisi henkilötietojen tarpeettomaan moninkertaistumiseen ja vaatisi näin ollen kohtuutonta vaivaa [11].

Sen sijaan oikeusasiamies julkaisee verkkosivustollaan tiedotteen, jossa suurelle yleisölle kerrotaan, että hän saattaa käsitellä kantelujen käsittelyn yhteydessä muiden henkilöiden kuin kantelijan henkilötietoja. Tässä muistiossa on linkki tähän toimintaperiaatteeseen ja lausuntoon, joka koskee henkilötietojen käsittelyä oikeusasiamiehen käsitellessä kanteluja ja tutkimuksia. Tämän muistion, tämän toimintaperiaatteen ja lausuman katsotaan riittävän antamaan kaikki asiaankuuluvat tiedot henkilöille, joiden henkilötietoja oikeusasiamies voi käsitellä [12], ja antamaan heille mahdollisuuden halutessaan pyytää saada tutustua henkilötietoihinsa, oikaista niitä, poistaa ne ja rajoittaa niiden käsittelyä [13].

B – Valtuutuksen puitteissa, mutta tutkittavaksi ottamisen edellytykset puuttuvat, eikä valituksia voida ottaa tutkittavaksi

Edellä mainituissa tapauksissa oikeusasiamies ei katso, että edellä 2 kohdassa mainittujen yksittäisten tietojen antaminen olisi tarpeen, koska se, että rekisteröidyille ilmoitetaan henkilökohtaisesti siitä, että oikeusasiamies voi käsitellä heitä koskevia tietoja, vaikka se olisi mahdollista, johtaisi henkilötietojen tarpeettomaan lisääntymiseen, mikä vaatisi suhteetonta vaivaa, kun otetaan huomioon asiaan liittyvät rajalliset toimet eli se, että kantelua ei siirretä oikeusasiamiehen toimiston ulkopuolelle [14].

Oikeusasiamiehen verkkosivustolla julkaistun tiedotteen sekä tämän toimintapolitiikan ja lausuman katsotaan riittävän antamaan kaikki asiaankuuluvat tiedot henkilöille, joiden henkilötietoja oikeusasiamies voi käsitellä [15], ja antamaan heille mahdollisuuden halutessaan pyytää saada tutustua henkilötietoihinsa, oikaista niitä, poistaa ne ja rajoittaa niiden käsittelyä [16].

C - Tiedustelut

Edellä mainituissa tapauksissa oikeusasiamiehen on ensin päätettävä, ovatko kolmansia osapuolia koskevat tiedot tutkimuksen kohteen kannalta merkityksellisiä. Yksi tapa tehdä tämä on tutkia, käsittelisikö oikeusasiamies tutkimusta eri tavalla, jos kolmatta osapuolta ei olisi mainittu tai yksilöity tutkinta-aineistossa.

Merkityksellisiä tietoja voivat olla esimerkiksi tiedot, jotka liittyvät sellaisen EU:n virkamiehen aiempaan työkokemukseen, joka on sellaisen valintalautakunnan jäsen, jonka väitetään olevan eturistiriitatilanteessa. Merkityksettömiä tietoja voivat olla esimerkiksi kyseisen EU:n virkamiehen siviilisäätyyn liittyvät tiedot. Muita epäolennaisia tietoja, joita oikeusasiamiehen tutkimuksen aikana todennäköisesti kerätään puhtaasti satunnaisesti, ovat esimerkiksi asianomaisen toimielimen päätöksissä mainittujen muiden EU:n virkamiesten nimet ja oikeusasiamiehen tutkimuksen aikana kerätyt asiakirjat.

Päätös näiden tietojen merkityksellisyydestä ja niiden taustalla oleva analyysi esitetään tiivistelmässä, joka on kirjattu oikeusasiamiehen asianhallintajärjestelmän (CMS) asiaa koskevaan asiakirja-aineistoon.

Epäolennaiset tiedot

Tapauksissa, joissa tiedoilla ei ole merkitystä tutkimuksen kohteen kannalta, oikeusasiamies ei katso, että henkilökohtaisten tietojen antaminen kolmannelle osapuolelle on tarpeen, koska i) koska tiedot ovat merkityksettömiä, tarkoitus, jota varten oikeusasiamies käsittelee näitä henkilötietoja (kantelun/tutkimuksen käsittely), ei edellytä, että oikeusasiamies tunnistaa rekisteröidyt kolmannet osapuolet [17]; ja ii) tietojen antaminen tällaisille rekisteröidyille henkilökohtaisesti, vaikka se olisi mahdollista, johtaisi henkilötietojen tarpeettomaan moninkertaistumiseen ja vaatisi kohtuutonta vaivaa, kun otetaan huomioon, että oikeusasiamies ei käytä kyseisiä tietoja tutkimuksensa yhteydessä [18]. Oikeusasiamies ei käsittele kantelun tekstiin sisältyviä ilmeisen merkityksettömiä tietoja [19].

Oikeusasiamiehen verkkosivustolla julkaistun tiedotteen, tämän toimintapolitiikan ja lausuman katsotaan riittävän antamaan kaikki asiaankuuluvat tiedot henkilöille, joiden henkilötietoja oikeusasiamies voi käsitellä [20], ja antamaan heille mahdollisuuden halutessaan pyytää saada tutustua henkilötietoihinsa, oikaista niitä, poistaa ne ja rajoittaa niiden käsittelyä [21].

Merkitykselliset tiedot

Jos tiedot ovat merkityksellisiä, oikeusasiamies harkitsee edellä 2 kohdassa tarkoitettujen tietojen toimittamista rekisteröidylle kolmannelle osapuolelle.

Jos kantelun arvioinnin perusteella voidaan kuitenkin päätellä, että rekisteröidyllä kolmannella osapuolella on jo tiedot (jos esimerkiksi EU:n virkamiehellä, jolla väitetään olevan eturistiriita, on täydellinen kopio kantelusta ja sitä tukevista asiakirjoista)[22] tai että tietojen antaminen on mahdotonta tai vaatii kohtuutonta vaivaa (jos esimerkiksi kyseinen henkilö on tällä välin poistunut palvelusta eikä häntä voida jäljittää)[23], oikeusasiamies kirjaa päätelmään johtaneen yksityiskohtaisen arvioinnin asianhallintajärjestelmään, ja oikeusasiamiehen verkkosivustolla julkaistun muistion sekä tämän toimintaperiaatteen ja lausuman katsotaan riittävän antamaan tarvittavat tiedot henkilöille, joiden henkilötietoja oikeusasiamies voi käsitellä [24], ja antamaan heille mahdollisuuden pyytää pääsyä henkilötietoihinsa, oikaista niitä, poistaa ne ja rajoittaa niiden käsittelyä, jos he niin haluavat [25].

Tapauksissa, joissa rekisteröidyllä kolmannella osapuolella ei ole tietoja ja hänelle ilmoittaminen on mahdollista eikä aiheuta kohtuutonta vaivaa, oikeusasiamies tutkii, onko todennäköistä, että kolmannelle osapuolelle ilmoittaminen tekee mahdottomaksi tai haittaa vakavasti kyseisen käsittelyn tavoitteiden saavuttamista eli EU:n toimielinten, elinten tai laitosten toiminnassa mahdollisesti ilmenevien hallinnollisten epäkohtien asianmukaista tutkimista ja niistä päättämistä perusoikeuden käyttämisen jälkeen (oikeusasiamiehelle tehty kantelu) tai oikeusasiamiehen omasta aloitteesta [26].

Näin olisi esimerkiksi silloin, jos rekisteröitynä oleva kolmas osapuoli voisi vaikuttaa tutkimukseen: piilottamalla esimerkiksi tärkeitä todisteita tai kostamalla kantelijalle siitä, että hän on käyttänyt perusoikeuttaan (kantelun tekeminen oikeusasiamiehelle), millä on vaikutusta tutkimukseen (kantelija ei esimerkiksi ole enää halukas osallistumaan tutkimukseen).

Jos oikeusasiamies katsoo edellä esitetyn analyysin perusteella, että tietojen antaminen rekisteröidylle kolmannelle osapuolelle todennäköisesti tekee tutkimuksen mahdottomaksi tai heikentää vakavasti hänen mahdollisuuksiaan tehdä päätös hallinnollisesta epäkohdasta, arviointi ja siitä seuraava päätelmä kirjataan asianhallintajärjestelmään asiakirja-aineistoon. Oikeusasiamiehen verkkosivustolla julkaistun muistion sekä tämän toimintaperiaatteen ja lausuman katsotaan riittävän antamaan tarvittavat tiedot henkilöille, joiden henkilötietoja oikeusasiamies voi käsitellä tällaisissa poikkeustapauksissa [27], ja antamaan heille mahdollisuuden halutessaan pyytää saada tutustua henkilötietoihinsa, oikaista niitä, poistaa ne ja rajoittaa niiden käsittelyä [28].

Jos oikeusasiamies sitä vastoin katsoo, että tietojen antaminen rekisteröidylle kolmannelle osapuolelle ei todennäköisesti tee tutkimusta mahdottomaksi tai heikennä vakavasti oikeusasiamiehen mahdollisuuksia tehdä päätös hallinnollista epäkohtaa koskevista väitteistä, hän antaa rekisteröidylle kolmannelle osapuolelle 2 kohdassa tarkoitetut tiedot heti, kun kantelun tutkinta on saatettu päätökseen ja toimielimelle on ilmoitettu asiasta [29].

4. Vastaukset oikeusasiamiehen julkisiin kuulemisiin

Näissä periaatteissa vahvistettuja periaatteita sovelletaan myös kaikkiin henkilötietoihin, jotka on saatu oikeusasiamiehen julkisten kuulemisten yhteydessä.

 

Emily O'Reilly

Strasbourgissa 16.7.2019

 

[1] Luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta 23.10.2018 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (EUVL 2018, L 295, s. 39) 3 artiklan 1 kohta: ’henkilötiedoilla’ kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, jäljempänä ’rekisteröity’, liittyviä tietoja; tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilönumeron, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella.”

[2] Yksityiskohtainen analyysi henkilötietojen käsitteestä on 29 artiklan mukaisen tietosuojatyöryhmän lausunnossa 4/2007, joka on saatavilla osoitteessa http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2007/wp136_en.pdf

[3] https://secure.edps.europa.eu/EDPSWEB/

[4] Asetuksen 2018/1725 16 artiklan 1 ja 2 kohta.

[5] Asetuksen 2018/1725 3 artiklan 8 kohta: ’rekisterinpitäjällä’ unionin toimielintä tai elintä tai pääosastoa tai muuta organisatorista yksikköä, joka yksin tai yhdessä muiden kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot; jos tällaisen käsittelyn tarkoitukset ja keinot määritellään erityisessä unionin säädöksessä, rekisterinpitäjästä tai sen nimittämistä koskevista erityisistä kriteereistä voidaan säätää unionin lainsäädännössä.”

[6] Asetuksen 2018/1725 5 artikla.

[7] Oikeusasiamiehen ohjesäännöstä ja hänen tehtäviensä hoitamista koskevista yleisistä ehdoista 9.3.1994 tehty Euroopan parlamentin päätös (94/262/EHTY, EY, Euratom) (EYVL 1994, L 113, s. 15), sellaisena kuin se on muutettuna 14.3.2002 tehdyllä Euroopan parlamentin päätöksellä (EYVL 2002, L 92, s. 13) ja 18.6.2008 tehdyllä Euroopan parlamentin päätöksellä (EUVL 2008, L 189, s. 25).

[8] Asetuksen 2018/1725 3 artiklan 13 kohta: 'vastaanottajalla'luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, jolle henkilötietoja luovutetaan, riippumatta siitä, onko kyseessä kolmas osapuoli. Viranomaisia, jotka voivat vastaanottaa henkilötietoja tietyn tutkimuksen yhteydessä unionin tai jäsenvaltion lainsäädännön mukaisesti, ei kuitenkaan pidetä vastaanottajina; kyseisten viranomaisten suorittamassa kyseisten tietojen käsittelyssä on noudatettava sovellettavia tietosuojasääntöjä käsittelyn tarkoitusten mukaisesti.”

[9] Asetuksen 2018/1725 17–20 ja 23 artikla.

[10] Asetuksen 2018/1725 12 artiklan 1 kohta: ”Jos tarkoitukset, joita varten rekisterinpitäjä käsittelee henkilötietoja, eivät edellytä tai eivät enää edellytä, että rekisterinpitäjä tunnistaa rekisteröidyn, rekisterinpitäjällä ei ole velvollisuutta säilyttää, hankkia tai käsitellä lisätietoja rekisteröidyn tunnistamiseksi yksinomaan tämän asetuksen noudattamiseksi.”

[11] Asetuksen 2018/1725 16 artiklan 5 kohdan b alakohta: ”Edellä olevia 1–4 kohtaa ei sovelleta, jos ja siltä osin kuin:... tällaisten tietojen toimittaminen osoittautuu mahdottomaksi tai vaatisi kohtuutonta vaivaa...”

[12] Asetuksen 2018/1725 16 artiklan 6 kohta: ”Edellä 5 kohdan b alakohdassa tarkoitetuissa tapauksissa rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet rekisteröidyn oikeuksien ja vapauksien sekä oikeutettujen etujen suojaamiseksi, mukaan lukien tietojen asettaminen julkisesti saataville.”

[13] Asetuksen 2018/1725 12 artiklan 2 kohta: ”Jos rekisterinpitäjä pystyy tämän artiklan 1 kohdassa tarkoitetuissa tapauksissa osoittamaan, ettei se pysty tunnistamaan rekisteröityä, rekisterinpitäjän on ilmoitettava tästä rekisteröidylle, jos se on mahdollista. Tällaisissa tapauksissa 17–22 artiklaa ei sovelleta, paitsi jos rekisteröity antaa kyseisten artiklojen mukaisten oikeuksiensa käyttämiseksi lisätietoja, joiden avulla hänet voidaan tunnistaa.” Näin voi olla esimerkiksi silloin, kun rekisteröitynä oleva kolmas osapuoli pyytää pääsyä oikeusasiamiehen käsittelemiin henkilötietoihinsa ja oikeusasiamies ilmoittaa oikeusasiamiehen asianhallintajärjestelmässä tehdyn haun jälkeen, että hänen tietojaan ei löytynyt. Jos rekisteröity kuitenkin toimittaa myöhemmin lisätietoja, kuten kantelun numeron tai kantelijan nimen, tämä voi mahdollistaa hänen tunnistamisensa oikeusasiamiehen asiakirja-aineistossa ja sen, että oikeusasiamies voi tehdä päätöksen pyynnöstä.

[14] Asetuksen 2018/1725 16 artiklan 5 kohdan b alakohta.

[15] Asetuksen 2018/1725 16 artiklan 6 kohta.

[16] Asetuksen 2018/1725 12 artiklan 2 kohta. Ks. edellä alaviite 13.

[17] Asetuksen 2018/1725 12 artiklan 1 kohta

[18] Asetuksen 2018/1725 16 artiklan 5 kohdan b alakohta.

[19] On mahdollista, että tietoja, joita ei voida pitää merkityksellisinä tutkimuksen kohteen kannalta tutkimuksen alkuvaiheessa, voidaan kuitenkin viime kädessä käyttää tutkimuksen tarkoituksiin ja vaikuttaa sen tulokseen.

[20] Asetuksen 2018/1725 16 artiklan 6 kohta.

[21] Asetuksen 2018/1725 12 artiklan 2 kohta. Ks. edellä alaviite 13.

[22] Asetuksen 2018/1725 16 artiklan 5 kohdan a alakohta: ”Edellä olevaa 1–4 kohtaa ei sovelleta, jos ja siltä osin kuin:...  rekisteröidyllä on jo tiedot...”

[23] Asetuksen 2018/1725 16 artiklan 5 kohdan b alakohta: ”Edellä olevia 1–4 kohtaa ei sovelleta, jos ja siltä osin kuin – – tällaisten tietojen antaminen osoittautuu mahdottomaksi tai vaatisi kohtuutonta vaivaa – –”

[24] Asetuksen 2018/1725 16 artiklan 6 kohta.

[25] Asetuksen 2018/1725 12 artiklan 2 kohta. Ks. edellä alaviite 13.

[26] Asetuksen 2018/1725 16 artiklan 5 kohdan b alakohta: ”Edellä olevia 1–4 kohtaa ei sovelleta, jos ja siltä osin kuin tämän artiklan 1 kohdassa tarkoitettu velvollisuus on omiaan tekemään mahdottomaksi tai vakavasti haittaamaan kyseisen käsittelyn tavoitteiden saavuttamista – –”

[27] Asetuksen 2018/1725 16 artiklan 6 kohta.

[28] Asetuksen 2018/1725 12 artiklan 2 kohta. Ks. edellä alaviite 13.

[29] Asetuksen 2018/1725 16 artiklan 3 kohta: ”Rekisterinpitäjän on toimitettava 1 ja 2 kohdassa tarkoitetut tiedot:... c) jos tietoja aiotaan luovuttaa toiselle vastaanottajalle, viimeistään silloin, kun henkilötietoja luovutetaan ensimmäisen kerran.”