Contexte de la plainte

1. En septembre 2013, un citoyen allemand a demandé l'accès à certains documents détenus par l'Office européen de lutte antifraude (OLAF) et par la Commission européenne, conformément aux règles de l'UE relatives à l'accès du public aux documents [1]. Toutefois, l’OLAF et la Commission avaient des doutes quant à son identité. L’OLAF et la Commission ont donc temporairement suspendu leur traitement des demandes d’accès, car pour avoir un droit d’accès aux documents, vous devez être une personne physique ou morale résidant ou étant citoyen d’un État membre de l’UE.

2. Le fait que l’OLAF et la Commission aient temporairement suspendu leur traitement des demandes d’accès a conduit le demandeur à introduire une plainte auprès du Médiateur (affaires 2309/2013/JAS et 2310/2013/JAS contre l’OLAF et la Commission [2]). Au cours de l'enquête du Médiateur sur ces plaintes, le plaignant a appris que la Commission ou l'OLAF avait contacté ce qu'ils pensaient être son employeur, une université allemande, pour vérifier qu'il était une personne réelle et pour établir sa profession [3].

3. Le plaignant n'était pas satisfait que la Commission ou l'OLAF aient contacté une université pour laquelle il n'avait jamais dit qu'il travaillait et il s'est également plaint au Médiateur de cette question. Il a déposé une plainte - la présente contre la Commission et une plainte similaire contre l'OLAF [4].

L'enquête

4. Le Médiateur a ouvert une enquête sur l'allégation selon laquelle la Commission aurait illégalement traité les données à caractère personnel du plaignant.

5. Au cours de l'enquête, le Médiateur a reçu l'avis de la Commission sur la plainte et, par la suite, les observations du plaignant en réponse à l'avis de la Commission. Lors de l’enquête, le Médiateur a tenu compte des arguments et des avis avancés par les parties.

Allégation de traitement illicite des données à caractère personnel du plaignant

Arguments présentés au Médiateur

6. À l'appui de son allégation, le plaignant a fait valoir que la Commission avait a) enregistré des informations incorrectes sur son activité professionnelle, b) transféré ses données à caractère personnel à un tiers sans son consentement et c) conservé des données à caractère personnel dans sa base de données pendant une période disproportionnée.

7. Dans son avis, la Commission a déclaré que l'information sur sa profession n'est pas une condition à l'exercice du droit d'accès aux documents. La Commission a demandé ces informations à des fins purement statistiques. Il sera facultatif de fournir ce type d'informations à l'avenir.

8. Les informations inexactes sur les liens professionnels du plaignant avec l'université allemande avaient été introduites dans la base de données pour les demandes d'accès de l'OLAF, probablement en raison d'une erreur matérielle. La Commission a déclaré que l’OLAF regrettait tout inconvénient causé au plaignant et qu’il avait corrigé les données.

9. Toutefois, la Commission souhaite se réserver le droit de vérifier l’identité et l’adresse d’un demandeur sollicitant l’accès du public aux documents. La Commission indique qu’elle effectue ces contrôles, en utilisant des informations accessibles au public, afin de déterminer si les demandeurs sont des personnes physiques résidant dans un État membre de l’UE ou en étant citoyens.

10. En ce qui concerne la durée de conservation des données prétendument disproportionnée, la Commission a fait valoir qu’elle stockait des données à caractère personnel conformément aux règles de l’UE en matière de protection des données. Il est justifié de conserver les données à caractère personnel des demandeurs après avoir terminé le traitement d’une demande d’accès afin de garantir la cohérence juridique et procédurale. Le Conseil doit savoir s ' il a traité des demandes d ' accès antérieures du même demandeur ou des demandes concernant des documents identiques ou similaires afin de déterminer si ces documents pourraient être considérés comme étant déjà" dans le domaine public". En outre, les décisions refusant l'accès aux documents pourraient être portées devant le Médiateur ou devant la Cour de justice. Les informations à caractère personnel concernant les demandeurs sont nécessaires pour que la Commission puisse traiter les demandes correctement et en pleine connaissance de toutes les circonstances, par exemple lorsqu’elle décide de contacter les demandeurs de manière informelle afin de trouver une solution équitable dans le cas où une demande porte sur un document très long ou sur un très grand nombre de documents [5].

11. Dans ses observations, le plaignant a exprimé sa déception devant le fait que la Commission ne s'était pas excusée d'avoir incorrectement enregistré sa profession dans sa base de données.

12. Le plaignant lui a transmis une lettre de la Commission dans laquelle celle-ci indiquait qu'elle avait révélé son nom à l'université [6].

13. Le plaignant a soutenu qu'il est justifié que la Commission ne conserve les données à caractère personnel que jusqu'à ce que les délais pour saisir la Cour ou le Médiateur aient expiré. À l'appui de son point de vue, il a joint une décision du Contrôleur européen de la protection des données (CEPD) constatant que la pratique de l'OLAF consistant à conserver des données à caractère personnel dans sa base de données d'enquête pendant 15 ans était disproportionnée.

Évaluation du Médiateur

14. Il est probable que les informations erronées concernant le plaignant travaillant pour une université allemande aient été introduites dans la base de données à la suite d’une erreur d’écriture commise par l’OLAF. Étant donné que l'OLAF a regretté l'erreur et corrigé les données, le Médiateur estime que cet aspect de l'allégation du plaignant a été résolu. La Médiatrice ne voit pas clairement pourquoi la Commission devrait présenter des excuses pour une erreur commise par l’OLAF.

15. Le Médiateur se félicite que le formulaire de demande d'accès du public aux documents figurant sur le site web de la Commission ne soit plus obligatoire dans le domaine des activités professionnelles [7].

16. La Commission n'a ni ni ni confirmé avoir transféré les données à caractère personnel du plaignant, c'est-à-dire son nom, à l'université allemande où elle pensait travailler. En fait, la Commission n'a pas du tout abordé cette question dans son avis, même si le plaignant avait soulevé cet argument à l'appui de son allégation. Toutefois, la lettre de la Commission du 4 février 2014 au plaignant ne laisse aucun doute quant à la question de savoir si la Commission avait contacté l'université et lui avait communiqué le nom du plaignant. La lettre - qui est antérieure à l'avis de la Commission au Médiateur - indique explicitement que "en ce qui concerne votre activité professionnelle, vous avez indiqué à l'OLAF que vous travailliez pour l'Institut de droit international et européen [d'une université allemande]. Cependant, cet institut n'existe pas sous ce nom. À la suite de notre demande [c'est-à-dire celle de la Commission], l'université a fait remarquer qu'elle n'avait aucun employé portant le nom [« M. X »][8], c'est-à-dire le nom du plaignant.

17. Le contact de la Commission avec l’université allemande n’était pas prévu dans ses propres règles internes sur les questions de protection des données (sa notification à son délégué à la protection des données en ce qui concerne le traitement des données à caractère personnel dans le cadre de son traitement des demandes d’accès du public aux documents [9]). Ces règles internes ne prévoient pas la transmission de données à caractère personnel à des tiers [10].

18. Dans son avis, elle s’est contentée de faire référence à son prétendu droit de procéder à la vérification de l’identité et de l’adresse à l’aide d’informations accessibles au public.

19. La Médiatrice estime que l’insistance de la Commission à confirmer l’identité d’un demandeur ne repose sur aucune disposition concrète et ne promeut aucun des objectifs des règles de l’UE relatives à l’accès du public aux documents.

20. En outre, contacter ce que la Commission estime être l’employeur d’une personne va au-delà de la consultation d’informations accessibles au public, auxquelles la Commission fait référence dans son avis. On peut soutenir qu’une telle action pourrait avoir des effets négatifs pour un demandeur en suscitant des soupçons de la part de son employeur quant au motif pour lequel une institution de l’Union cherche à confirmer l’identité du demandeur, constituant ainsi une ingérence grave dans sa vie personnelle.

21. Par conséquent, en divulguant le nom du plaignant à l'université, sans justification valable, la Commission a commis une mauvaise administration. Étant donné que la protection des données à caractère personnel est un droit fondamental [11] et en raison du caractère intrusif de l’action de la Commission, la mauvaise administration est particulièrement grave en l’espèce.

22. Après avoir constaté un cas de mauvaise administration, il n'est pas nécessaire que le Médiateur examine la question de savoir si la Commission a enfreint spécifiquement les règles de l'UE en matière de protection des données [12]. Si le plaignant souhaite poursuivre cet aspect particulier, il reste libre de déposer une plainte auprès du Contrôleur européen de la protection des données, qui dispose d'une expertise et d'une responsabilité spécialisées dans le domaine de la protection des données.

23. En ce qui concerne la durée de conservation prétendument disproportionnée des données à caractère personnel dans la base de données sur l'accès aux documents de la Commission, la Médiatrice note que la décision du Contrôleur européen de la protection des données mentionnée par le plaignant concerne l'OLAF et non la Commission. La base de données de la Commission sur l'accès aux documents a également un autre objectif que celui de l'OLAF. Alors que la base de données de la Commission ne contient que des données à caractère personnel relatives aux demandes d'accès du public aux documents, la base de données de l'OLAF contient des informations sur ses enquêtes.

24. La notification de la Commission à son délégué à la protection des données en ce qui concerne le traitement des données à caractère personnel dans le cadre du traitement des demandes d'accès du public aux documents indique que les données à caractère personnel des demandeurs ne sont pas conservées plus de cinq ans et sont normalement supprimées par la suite [13]. La durée de conservation peut donc être prolongée dans certains cas.

25. Tant la notification au délégué à la protection des données de la Commission - que l'avis de la Commission en l'espèce - expliquent que cette période de conservation est nécessaire parce que les décisions n'accordant pas ou seulement un accès partiel peuvent être portées devant la Cour ou devant le Médiateur. De l'avis du Médiateur, une période de conservation de cinq ans est proportionnée aux objectifs poursuivis, étant donné que les procédures devant les juridictions de l'UE peuvent durer plusieurs années. La lettre de la Commission du 4 février 2014 au plaignant fait notamment référence à une demande d'accès aux documents introduite par le plaignant en 2007 [14]. Il est donc clair qu’en 2014, la Commission conservait toujours les données à caractère personnel du plaignant qu’il avait soumises six ou sept ans auparavant. En conséquence, dans le cas du plaignant, la Commission avait conservé ses données à caractère personnel pendant plus de cinq ans.

26. La Commission n’a fourni aucune justification quant aux raisons pour lesquelles elle n’avait pas supprimé les données à caractère personnel du plaignant relatives à une demande d’accès aux documents introduite en 2007. Étant donné que la question de savoir si la Commission aurait dû fournir une justification pour avoir conservé les données à caractère personnel du plaignant de 2007 n'était pas explicitement couverte par la présente enquête, le Médiateur estime qu'il n'est pas approprié de déterminer si la Commission a détenu les données à caractère personnel du plaignant pendant une durée disproportionnée et en violation de sa notification.

27. Le Médiateur informe à nouveau le plaignant de la possibilité de déposer une plainte auprès du Contrôleur européen de la protection des données, s'il souhaite disposer d'une décision spécialisée sur la question de savoir si la période de conservation des données de la Commission viole spécifiquement les règles de l'UE en matière de protection des données. Elle estime donc qu'aucune enquête supplémentaire n'est justifiée sur cet aspect de la plainte.

28. Il ne peut plus être remédié à la mauvaise administration de la part de la Commission et le plaignant n'a avancé aucune allégation visant à ce que la Commission prenne une mesure particulière. Le Médiateur clôturera donc cet aspect de la plainte par une remarque critique adressée à la Commission.

Conclusion

Sur la base de l’enquête sur cette plainte, le Médiateur clôt celle-ci avec les conclusions suivantes:

En rectifiant les informations incorrectement enregistrées sur l'activité professionnelle du plaignant dans la base de données pertinente, cet aspect du grief du plaignant a été résolu.

En ce qui concerne la durée de conservation des données à caractère personnel dans la base de données de la Commission, le Médiateur estime qu'aucune autre enquête n'est justifiée.

Remarque critique

En transférant les données à caractère personnel du plaignant à un tiers sans justification valable, la Commission a commis un cas de mauvaise administration. Étant donné que la protection des données à caractère personnel est un droit fondamental prévu par la charte des droits fondamentaux de l’Union européenne et que l’action de la Commission dans cette affaire a été très intrusive, la mauvaise administration est particulièrement grave.

Le plaignant et la Commission seront informés de cette décision.

Emily O'Reilly

Strasbourg, le 12 juillet 2016

[1] Règlement (CE) n° 1049/2001 du Parlement européen et du Conseil du 30 mai 2001 relatif à l'accès du public aux documents du Parlement européen, du Conseil et de la Commission (JO L 145 du 31.5.2001, p. 43);

[2] Les décisions de l’OLAF et de la Commission de mettre fin au traitement des demandes d’accès ont donc été traitées séparément et ne relèvent donc pas du champ d’application de la présente enquête.

[3] La Commission a demandé ces données aux demandeurs afin de traiter leurs demandes d’accès du public aux documents.

[4] Traité séparément sous la référence 139/2015/PMC.

[5] Voir, à cet égard, article 6, paragraphe 3, du règlement (CE) no 1049/2001.

[6] Cette lettre a également été envoyée par la Commission au plaignant dans le cadre de l'enquête de la Médiatrice sur la plainte 2310/2013/JAS.

[7] https://ec.europa.eu/transparency/regdoc/index.cfm?fuseaction=fmb&&CFID=6076842&CFTOKEN=2e4472e118d31678-CA79D075-9960-F842-29FFB98461CB0B5B

[8] La lettre de la Commission est rédigée en allemand.

[9] Voir la notification «DPO-1225.2 GestDem» sur le traitement des données à caractère personnel relatives à la base de données de la Commission sur l’accès du public aux documents, disponible en ligne à l’adresse suivante: http://ec.europa.eu/dpo-register/details.htm?id=35247

[10] Voir, à cet égard, point 16.

[11] Article 8 de la Charte des droits fondamentaux de l'Union européenne.

[12] Règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (JO L 8 du 12.1.2001, p. 1).

[13] Point 13.

[14] Gestdem 2007/4845.