Kontekst pritužbe

1. U srpnju 2020. Sud Europske unije presudio je u predmetu Schrems II.^[1] Presuda se odnosila na odluku Europske komisije ^[2] o standardnim ugovornim klauzulama za prijenose podataka u treće zemlje, a posebno na razinu zaštite zajamčenu u Sjedinjenim Američkim Državama (takozvani „sustav zaštite privatnosti”). Sud je proglasio nevaljanom provedbenu odluku Komisije ^[3] o primjerenosti zaštite koju pruža europsko-američki sustav zaštite privatnosti, sa znatnim posljedicama za način na koji se osobni podaci mogu prenijeti u treće zemlje, posebno u Sjedinjene Američke Države.

2. Nakon presude u predmetu Schrems II Europski nadzornik za zaštitu podataka (EDPS) donio je „Strategiju prema kojoj institucije, uredi, tijela i agencije Unije moraju poštovati presudu u predmetu Schrems II”. U okviru te strategije Europski nadzornik za zaštitu podataka 5. listopada 2020. naložio je institucijama, tijelima, uredima i agencijama EU-a (dalje u tekstu „institucije EU-a”) da dovrše „pregled” kojim se utvrđuje koji ugovori, postupci javne nabave i druge vrste suradnje koji su u tijeku uključuju prijenose podataka. Institucijama EU-a naloženo je da do 15. studenoga 2020. obavijeste EDPS o svim utvrđenim posebnim rizicima i nedostacima.

3. Podnositelj pritužbe zatražio je 3. studenoga 2020. javni pristup nekoliko dokumenata u posjedu EDPS-a. Zahtjev se sastojao od dva dijela:

• prvo, podnositelj pritužbe zatražio je pristup postupku mapiranja koji je EDPS proveo sam za sebe (dalje u tekstu „postupak mapiranja Europskog nadzornika za zaštitu podataka”); i
• drugo, podnositelj pritužbe zatražio je presliku svih procjena privatnosti, uključujući procjene učinka na zaštitu podataka, koje je proveo EDPS kako bi se EDPS koristio sljedećim alatima: Microsoft Office365, Microsoft Teams, Zoom, Cisco Webex, Skype.

4. Europski nadzornik za zaštitu podataka 14. siječnja 2021. odbio je pristup dokumentima koje je utvrdio na temelju iznimke iz pravila EU-a o javnom pristupu dokumentima koja se odnosi na zaštitu postupka donošenja odluka.^[4] Europski nadzornik za zaštitu podataka objasnio je da su dokumenti „dio postupka koji je u tijeku u kojem Europski nadzornik za zaštitu podataka još nije donio odluku”. Međutim, Europski nadzornik za zaštitu podataka potvrdio je da je proveo postupak mapiranja i pripremio povezano izvješće.

5. Podnositelj pritužbe zatražio je 22. siječnja 2021. od EDPS-a da preispita svoju odluku uvođenjem takozvanog „potvrdnog zahtjeva”. Podnositelj pritužbe tvrdio je sljedeće:

• Izjava EDPS-a da je pripremio izvješće o postupku mapiranja EDPS-a nije u skladu s tvrdnjom da su dokumenti dio postupka koji je u tijeku. Budući da je od drugih institucija zatraženo da do 15. studenoga 2020. dovrše svoje mapiranje, bilo bi iznenađujuće da mapiranje Europskog nadzornika za zaštitu podataka još nije dovršeno.
• Europski nadzornik za zaštitu podataka nije dostavio informacije o postojanju dokumenata koji se odnose na drugi dio njezina zahtjeva za pristup, a odnose se na procjene privatnosti. Trebala je dostaviti barem popis dokumenata za koje je utvrđeno da su obuhvaćeni područjem primjene tog dijela zahtjeva.
• Iznimka iz pravila EU-a o javnom pristupu dokumentima mora se usko tumačiti i primjenjivati. Europski nadzornik za zaštitu podataka nije pružio nikakvo objašnjenje o tome kako bi se otkrivanjem ozbiljno ugrozio postupak donošenja odluka.
• Naposljetku, čak i ako bi otkrivanje ugrozilo postupak donošenja odluka EDPS-a, postojao bi prevladavajući javni interes za otkrivanje. Kad je riječ o mapiranju Europskog nadzornika za zaštitu podataka, javnost mora moći provjeriti je li Europski nadzornik za zaštitu podataka primjer drugima. Kad je riječ o procjenama privatnosti, postoji prevladavajući javni interes da se zna koje IT alate EDPS upotrebljava interno i koji je ishod bilo koje analize bio prije donošenja alata. Ako Europski nadzornik za zaštitu podataka upotrebljava bilo koji od alata (Microsoft Office365, Microsoft Teams, Zoom, Cisco Webex, Skype), odgovarajuća procjena privatnosti mogla bi biti referentni i zlatni standard za druge institucije.

6. EDPS je 8. veljače 2021. potvrdio svoju prvotnu odluku, napominjući da su zatraženi dokumenti dio postupka odlučivanja koji je u tijeku i da bi otkrivanje dokumenata ugrozilo ishod tog postupka. Europski nadzornik za zaštitu podataka napomenuo je i da ne može potvrditi postojanje ili broj drugih dokumenata koji bi mogli biti obuhvaćeni područjem primjene zahtjeva „jer su dio postupaka koji su u tijeku i stoga je njihov status ili broj još u tijeku”.

7. Nezadovoljni odlukom Europskog nadzornika za zaštitu podataka, podnositelj pritužbe obratio se Europskom ombudsmanu 9. veljače 2021.

Prijedlog Europskog ombudsmana za rješenje

8. Istražni tim Ombudsmana prvi se put 24. veljače 2021. sastao [5] s osobljem EDPS-a kako bi raspravljali o spornim dokumentima i njihovoj relevantnosti za istragu koju provodi EDPS u pogledu usklađenosti institucija EU-a s presudom Schrems II. Dana 29. ožujka 2021. održan je drugi sastanak ^[6] na kojem je istražni tim Ombudsmana pregledao predmetne dokumente u okviru te istrage.

9. Na temelju analize pregledanih dokumenata ombudsmanica je 26. travnja 2021. Europskom nadzorniku za zaštitu podataka predložila rješenje. U svojem prijedlogu rješenja ombudsmanica je smatrala sljedeće:

· Dokument za koji je Europski nadzornik za zaštitu podataka utvrdio da je obuhvaćen prvim dijelom zahtjeva podnositelja pritužbe za pristup, odnosno izvješćem o postupku mapiranja Europskog nadzornika za zaštitu podataka, dio je istrage o usklađenosti institucija EU-a s presudom u predmetu Schrems II. Ta je istraga, koja se temelji na istražnim ovlastima Europskog nadzornika za zaštitu podataka [7], u tijeku. Analiza izvješća o mapiranju koja su podnijele institucije Unije, uključujući Europskog nadzornika za zaštitu podataka, prva je faza te istrage. Ta prva faza ispitnog postupka još nije zaključena.  

• S obzirom na to, Ombudsmanica je smatrala razumnim da Europski nadzornik za zaštitu podataka zaključi da bi otkrivanje izvješća o postupku mapiranja Europskog nadzornika za zaštitu podataka vjerojatno ugrozilo svrhu istrage koja je u tijeku, kako je zaštićena člankom 4. stavkom 2. trećom alinejom pravila EU-a o pristupu dokumentima. Ombudsmanica u ovoj fazi istrage nije mogla utvrditi prevladavajući javni interes za otkrivanje te je pozdravila činjenicu da se Europski nadzornik za zaštitu podataka tijekom sastanaka sa svojim istražnim timom obvezao da će u kasnijoj fazi ponovno razmotriti (djelomičan) pristup.
• Kad je riječ o drugom dijelu zahtjeva za pristup podnositelja pritužbe, odnosno otkrivanju svake procjene privatnosti koju je EDPS proveo nad nekoliko internetskih alata, Ombudsman je pozdravio suglasnost EDPS-a da s podnositeljem pritužbe podijeli izvješće o drugom sastanku svojeg istražnog tima s EDPS-om. Izvješće o inspekciji sadržava popis pet dokumenata za koje je EDPS utvrdio da su obuhvaćeni drugim dijelom zahtjeva za pristup podnositelja pritužbe.^[8]
• Kad je riječ o sadržaju pet utvrđenih dokumenata, ombudsmanica je napomenula da se oni odnose na (ažuriranje) procjene privatnosti koju je EDPS proveo u kontekstu pandemije bolesti COVID-19 prije presude Schrems II. Neki dijelovi procjene prilagođeni su nakon presude u predmetu Schrems II i odnose se na alate o kojima su Europski nadzornik za zaštitu podataka i druge institucije EU-a izvijestili u okviru postupka mapiranja, što bi se moglo smatrati ciljem provedbe.
• Ombudsmanica je stoga smatrala razumnim da Europski nadzornik za zaštitu podataka smatra da, iako je procjena pokrenuta prije početka istrage, ona djelomično može otkriti stajalište Europskog nadzornika za zaštitu podataka u pogledu posebnih informatičkih alata kojima se koriste institucije Unije. Stoga se složila da bi se odobravanjem pristupa tim dijelovima procjene u ovoj fazi mogao ograničiti manevarski prostor EDPS-a u provođenju istrage koja je u tijeku.
• Ombudsmanica je istodobno utvrdila da je teško vidjeti kako su neke od informacija sadržanih u pet utvrđenih dokumenata povezane s istragom koja je u tijeku. Također nije jasno kako bi otkrivanje tih informacija otkrilo stajalište EDPS-a u pogledu određenih informatičkih alata kojima se koriste institucije Unije.

10. S obzirom na ta razmatranja ombudsmanica je predložila da Europski nadzornik za zaštitu podataka preispita svoje stajalište o drugom dijelu zahtjeva podnositelja pritužbe za javni pristup kako bi se omogućio najširi mogući javni pristup pet utvrđenih dokumenata.

11. U svojem odgovoru na prijedlog Europskog ombudsmana o rješenju ^[9] Europski nadzornik za zaštitu podataka pristao je preispitati svoje stajalište o drugom dijelu zahtjeva podnositelja pritužbe za javni pristup. Nakon tog preispitivanja EDPS je odobrio djelomičan javni pristup trima utvrđenim dokumentima i odbio pristup preostalim dvama dokumentima. Europski nadzornik za zaštitu podataka utvrdio je i da je dodatni dokument obuhvaćen područjem primjene zahtjeva te mu je odobrio djelomičan pristup.

12. Odbijajući pristup dvama utvrđenim dokumentima, naslovljenima „Inspekcijski alati Europskog nadzornika za zaštitu podataka” i „Inspekcijski alati Europskog nadzornika za zaštitu podataka v.2”, Europski nadzornik za zaštitu podataka tvrdio je da su ti dokumenti „podložni iznimkama iz članka 4. stavka 2. treće alineje Uredbe 1049/2001 jer sadržavaju pojedinosti o radnim alatima i metodama korištenima tijekom naših inspekcija. U tom bi pogledu otkrivanje navedenih dokumenata koji sadržavaju informacije o internim metodologijama EDPS-a moglo ugroziti učinkovitu upotrebu sredstava EDPS-a za istragu u budućnosti.”

13. Europski nadzornik za zaštitu podataka odobrio je djelomičan javni pristup ostala četiri dokumenta, pri čemu je redigirao osobne podatke članova osoblja Europskog nadzornika za zaštitu podataka.

14. Podnositeljica pritužbe izjavila je da je zadovoljna prijedlogom ombudsmanice i postignutim rješenjem.

Procjena Europskog ombudsmana nakon prijedloga rješenja

15. Ombudsmanica pozdravlja pozitivan odgovor Europskog nadzornika za zaštitu podataka na njezin prijedlog rješenja.

16. Napominje da je EDPS pristao otkriti četiri dokumenta nakon redigiranja osobnih podataka članova osoblja. Budući da podnositelj pritužbe ne želi imati pristup osobnim podacima, nema potrebe da Europski ombudsman ispita jesu li redigiranja opravdana.

17. Ombudsmanica nadalje napominje da je Europski nadzornik za zaštitu podataka odbio pristup dvjema verzijama dokumenta „Inspekcijski alati Europskog nadzornika za zaštitu podataka”. Ombudsmanica je u svojem prijedlogu rješenja utvrdila da određene popratne informacije u tom dokumentu nisu povezane s istragom koja je u tijeku. Nije se činilo ni da bi otkrivanje informacija otkrilo stajalište EDPS-a u pogledu određenih informatičkih alata kojima se koriste institucije EU-a. Međutim, budući da su informacije koje je Ombudsman utvrdio bile sporedne prirode i s obzirom na to da je podnositelj pritužbe zadovoljan postignutim rješenjem, Ombudsman smatra da je EDPS riješio pritužbu pristankom na odobravanje djelomičnog pristupa dokumentima za koje je utvrđeno da su obuhvaćeni drugim dijelom zahtjeva za pristup podnositelja pritužbe.

Zaključak

Na temelju istrage Ombudsman zaključuje ovaj predmet sljedećim zaključkom:

Ombudsmanica pozdravlja pozitivan odgovor Europskog nadzornika za zaštitu podataka na njezin prijedlog rješenja. Pristankom da odobri djelomičan javni pristup dokumentima za koje je utvrđeno da su obuhvaćeni drugim dijelom zahtjeva podnositelja pritužbe, EDPS je riješio pritužbu.

Podnositelj pritužbe i Europski nadzornik za zaštitu podataka bit će obaviješteni o toj odluci.

Emily O'Reilly
Europska ombudsmanica

Strasbourg, 20. kolovoza 2021.

[1] Presuda Suda (veliko vijeće) od 16. srpnja 2020., Data Protection Commissioner protiv Facebook Ireland Limited i Maximillian Schrems, zahtjev za prethodnu odluku koji je uputio High Court (Irska), predmet C-311/18, dostupna na: http://curia.europa.eu/juris/document/document.jsf?text=&docid=228677&pageIndex=0&doclang=en&mode=lst&dir=&occ=first&part=1&cid=12312155

[2] Odluka Komisije 2010/87/EU od 5. veljače 2010. o standardnim ugovornim klauzulama za prijenos osobnih podataka obrađivačima s poslovnim nastanom u trećim zemljama u skladu s Direktivom 95/46/EZ Europskog parlamenta i Vijeća: https://eur-lex.europa.eu/legal-content/en/TXT/?uri=CELEX%3A32010D0087

[3] Provedbena odluka Komisije (EU) 2016/1250 оd 12. srpnja 2016. u skladu s Direktivom 95/46/EZ Europskog parlamenta i Vijeća o primjerenosti zaštite u okviru europsko-američkog sustava zaštite privatnosti: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=uriserv%3AOJ.L_.2016.207.01.0001.01.ENG

[4] Članak 4. stavak 3. Uredbe 1049/2001 o javnom pristupu dokumentima Europskog parlamenta, Vijeća i Komisije: https://eur-lex.europa.eu/legal-content/en/TXT/?uri=CELEX%3A32001R1049

[5] Izvješće sa sastanka dostupno je ovdje: https://www.ombudsman.europa.eu/en/report/en/145806

[6] Izvješće o inspekcijskom pregledu dostupno je ovdje: https://www.ombudsman.europa.eu/en/report/en/145807

[7] Članak 58. stavak 1. Uredbe 2018/1725 o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama, tijelima, uredima i agencijama Unije i o slobodnom kretanju takvih podataka: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex:32018R1725

[8] Popis je uključen u izvješće o inspekcijskom pregledu, dostupno ovdje: https://www.ombudsman.europa.eu/en/report/en/145807

[9] Dostupno ovdje: https://www.ombudsman.europa.eu/en/correspondence/en/145805