PANASZ: 274/2021/TE

Ügy címe: A Schrems II. ítéletre vonatkozó jelentéssel kapcsolatos dokumentumokhoz való nyilvános hozzáférés európai adatvédelmi biztos általi megtagadásáról

Dátum: 2021. február 24., szerda

Távoli találkozó a WebEx-en keresztül

Jelen van

Az európai ombudsman képviselői

· Rosita Hickey, vizsgálati igazgató, Vizsgálati Igazgatóság

Tanja Ehnert, ügyintéző, Vizsgálati Igazgatóság

· Francesca Abbo, gyakornok

Az európai adatvédelmi biztos képviselői

· Igazgató

· A Felügyeleti és Végrehajtási Osztály vezetőhelyettese

Jogi tisztviselő, Felügyeleti és Végrehajtási Osztály

· Adatvédelmi tisztviselő

Átláthatósági tisztviselő 

Bevezetés és eljárási információk  

Az ülést az európai ombudsman alapokmányának 3.2. cikke és az európai ombudsman végrehajtási rendelkezéseinek 4. cikke alapján szervezték meg.

Az ülés 15:00-kor kezdődött és 16:00-kor ért véget.

A bevezetéseket követően az ombudsman vizsgálócsoportja ismertette az ombudsmannak a dokumentumokhoz való nyilvános hozzáférésre vonatkozó panasztételi gyorsított eljárására vonatkozó eljárást és határidőket. Megjegyezte továbbá, hogy az európai adatvédelmi biztosnak lehetősége lesz áttekinteni és észrevételezni az ülésről készült jelentéstervezetet, és hogy a végleges jelentés egy példányát észrevételezés céljából megosztják a panaszossal.

Az ombudsman vizsgálócsoportja arról is tájékoztatta az európai adatvédelmi biztos képviselőit, hogy amennyiben olyan dokumentumokat kívánnak az ombudsman rendelkezésére bocsátani, amelyeket bizalmasnak tartanak, az európai adatvédelmi biztos előzetes beleegyezése nélkül harmadik felek számára nem biztosítható hozzáférés. Az ombudsman különösen nem közölhet a panaszossal olyan dokumentumot, amely a nyilvános hozzáférés iránti kérelem hatálya alá tartozik. Az ilyen jellegű információkat és dokumentumokat röviddel a vizsgálat lezárását követően törlik az ombudsman aktáiból.

Az ülés célja

A vizsgálat a következő dokumentumokhoz való nyilvános hozzáférés európai adatvédelmi biztos általi megtagadására vonatkozik:

a) annak feltérképezése, hogy mely folyamatban lévő szerződések, közbeszerzési eljárások és egyéb típusú együttműködések foglalják magukban az európai adatvédelmi biztos által „Az uniós intézményekre, hivatalokra, szervekre és ügynökségekre vonatkozó, a Schrems II. ítéletnek való megfelelést célzó stratégia” keretében saját maga számára végzett adattovábbítást;

b) az európai adatvédelmi biztos által a következő eszközök európai adatvédelmi biztos általi használata céljából végzett adatvédelmi hatásvizsgálatok másolata, beleértve az adatvédelmi hatásvizsgálatokat is: Microsoft Office365, Microsoft Teams, Zoom, Cisco WebEx, Skype.

Az ombudsman dokumentumokhoz való hozzáféréssel kapcsolatos panaszokra irányuló vizsgálataival összefüggésben az ombudsman vizsgálócsoportja és az érintett intézmény közötti találkozókra általában a vizsgálat tárgyát képező dokumentumok vizsgálatát követően kerül sor.

Ebben az esetben az európai adatvédelmi biztos korai ülést kért, hogy tájékoztatást nyújtson a panasz tárgyáról.

Megosztott információk

1. A nyilvános hozzáférés iránti kérelemmel kapcsolatos háttér-információk

Az európai adatvédelmi biztos ismertette az ügy hátterét, különösen az Európai Unió Bíróságának 2020. július 16-i, Schrems II. ítéletként ismert előzetes döntését.^[1] Az ítélet a harmadik országokba irányuló adattovábbításra vonatkozó általános szerződési feltételekről szóló 2010/87/EU európai bizottsági határozatra ^[2], és különösen az Egyesült Államokban biztosított védelem szintjére (a továbbiakban: adatvédelmi pajzs) vonatkozott. A Bíróság érvénytelennek nyilvánította az EU–USA adatvédelmi pajzs által biztosított védelem megfelelőségéről szóló (EU) 2016/1250 bizottsági végrehajtási határozatot.

Ez a mérföldkőnek számító döntés jelentős hatást gyakorolt a személyes adatok védelmére és a személyes adatok harmadik országokba, különösen az Egyesült Államokba történő továbbításának módjára. Hatással van valamennyi adattovábbítási eszközre, beleértve az európai uniós intézmények, szervek, hivatalok és ügynökségek (a továbbiakban: uniós szervek) által az (EU) 2018/1725 rendelet V. fejezete alapján használt eszközöket is. Az európai adatvédelmi biztos képviselői rámutattak, hogy az Egyesült Államokba irányuló adattovábbítások az uniós szervektől származó valamennyi adattovábbítás kiemelkedő részét képezik. Ezen ítéletet követően az európai adatvédelmi biztos jelenleg elemzi, hogy az uniós szervek nem tartják-e be az Európai Unió Alapjogi Chartáját és az alkalmazandó uniós adatvédelmi jogszabályokat, a Bíróság értelmezésének megfelelően.

2. Az európai adatvédelmi biztos által végzett feltérképezés

A Schrems II. ítéletet követően az európai adatvédelmi biztos adatvédelmi felügyelői minőségében mérlegelte, hogy hogyan járjon el annak érdekében, hogy támogassa az uniós szerveket az ítéletnek való megfelelés biztosításában. E célból az európai adatvédelmi biztos elfogadta „Az uniós intézményekre, hivatalokra, szervekre és ügynökségekre vonatkozó, a Schrems II. ügyben hozott ítéletnek való megfelelést célzó stratégia” című dokumentumot.

E stratégia részeként az európai adatvédelmi biztos 2020. október 5-én arra utasította az uniós szerveket, hogy végezzenek el egy feltérképezési gyakorlatot, amely azonosítja, hogy mely folyamatban lévő szerződések, közbeszerzési eljárások és egyéb típusú együttműködések járnak adattovábbítással. Az uniós szerveket arra kötelezték, hogy bizonyos típusú adattovábbítások esetében 2020. november 15-ig tegyenek jelentést az európai adatvédelmi biztosnak az azonosított konkrét kockázatokról és hiányosságokról. Az európai adatvédelmi biztos jelenleg elemzi ezeket a jelentéseket. E feladatának ellátása során az európai adatvédelmi biztos él az (EU) 2018/1725 rendelet [3] 58. cikkének (1) bekezdése szerinti vizsgálati hatáskörével.

Az európai adatvédelmi biztos képviselői hangsúlyozták az intézmény e tekintetben betöltött kettős szerepét. Az európai adatvédelmi biztos nemcsak az adatvédelmi biztos, hanem uniós közigazgatási szervként a 2018/1725 rendelet 3. cikkének 8. pontja értelmében vett „adatkezelő” is. Az európai adatvédelmi biztos tehát a személyes adatok adatkezelőjeként is a végzés hatálya alá tartozott, és a feltérképezést saját igazgatása számára végezte el.

Az európai adatvédelmi biztos képviselői kifejtették, hogy a feltérképezés csak a fent említett stratégia első szakasza. E feltérképezés megállapításai további végrehajtási intézkedésekhez vezethetnek, amelyeket az uniós szervek által benyújtott jelentések alapján határoznak meg, beleértve magának az európai adatvédelmi biztosnak a jelentését is. A jelentések elemzése és a vizsgálat folyamatban van.

Tekintettel a Schrems II. ítélet fontosságára és az ahhoz fűződő közérdekre, valamint arra, hogy az uniós szerveknek teljes mértékben meg kell felelniük az ítéletnek, különösen fontos volt, hogy az európai adatvédelmi biztos közölje stratégiáját a nyilvánossággal. Ezzel összefüggésben az európai adatvédelmi biztos 2020. október 29-én közzétette stratégiájának nyilvános változatát [4]. Az európai adatvédelmi biztos folyamatosan mérlegeli, hogy miként tájékoztassa a nyilvánosságot a vizsgálata során bekövetkezett fejleményekről, az eredmény sérelme nélkül.

Ugyanakkor alapvető fontosságú, hogy az európai adatvédelmi biztos ebben a szakaszban ne adjon ki semmilyen információt a feltérképezés megállapításairól, mivel az elemzés folyamatban van, és veszélyeztetheti a folyamatban lévő vizsgálat következő lépéseit. Az európai adatvédelmi biztosnak először meg kell vizsgálnia az általa gyűjtött információkat

Az európai adatvédelmi biztos hangsúlyozta, hogy a hozzáférés megtagadására azért van szükség, hogy megvédjék az európai adatvédelmi biztos függetlenségét a vizsgálat lefolytatása során, hogy a jelentések alapján az európai adatvédelmi biztos meghatározhassa a stratégia következő szakaszaira vonatkozó referenciaértékeit (különösen a megfelelési célkitűzések és a végrehajtási célok meghatározását). Az uniós szervek (köztük az európai adatvédelmi biztos) jelentéseihez való hozzáférés biztosítása problematikus lehet, és akadályozhatja az európai adatvédelmi biztos mozgásterét abban, hogy felügyeleti tevékenysége során döntéseket hozzon.

Az európai adatvédelmi biztos képviselői rámutattak, hogy a dokumentumokhoz való hozzáférés iránti kérelem megválaszolásakor az európai adatvédelmi biztos felügyeleti hatóságként, nem pedig a személyes adatok adatkezelőjeként járt el. Arra az álláspontra helyezkedett, hogy az európai adatvédelmi biztos feltérképezési gyakorlatához való nyilvános hozzáférés biztosítása ebben a szakaszban valószínűleg súlyosan aláássa a folyamatban lévő vizsgálatot. Az e dokumentumokhoz való hozzáférés megtagadása azonban nem jelenti azt, hogy egy későbbi szakaszban nem fogja felülvizsgálni a kért dokumentumok részleges vagy lehetőség szerint teljes körű hozzáférhetővé tételét.

3. Az európai adatvédelmi biztos által a konferenciaeszközökkel kapcsolatban végzett adatvédelmi értékelések

A panaszos nyilvános hozzáférést kért továbbá „az európai adatvédelmi biztos által a következő eszközök európai adatvédelmi biztos általi használata céljából végzett bármely adatvédelmi értékeléshez, beleértve az adatvédelmi hatásvizsgálatokat is: Microsoft Office365, Microsoft Teams, Zoom, Cisco WebEx, Skype.”

Az európai adatvédelmi biztos képviselői tisztázták, hogy a hozzáférés iránti kérelemben említett eszközökből az intézmény csak a WebEx-et használja. Kijelentették továbbá, hogy az európai adatvédelmi biztos technológiai és adatvédelmi osztálya a Schrems II. ítéletet megelőzően adatvédelmi értékelést végzett a Covid19-világjárvánnyal összefüggésben, válaszul a személyzete távmunkájának növekedésére. Ennek az értékelésnek a hatóköre jelentősen szélesebb volt, mint a dokumentumokhoz való hozzáférés iránti kérelemé, és az európai adatvédelmi biztos által használt korlátozott eszközökön túl magában foglalta a piacon elérhető különböző online audiovideo-eszközök értékelését is.

Az európai adatvédelmi biztos azonosított néhány olyan dokumentumot, amely szerepelhet a panaszos hozzáférési kérelmének e második részében. A hozzáférés megtagadásának oka az, hogy az értékelés folyamatosan zajlik, és e dokumentumok némelyike különösen releváns a fent említett, folyamatban lévő vizsgálat összefüggésében. Az értékelés egyes részeit kiigazították annak érdekében, hogy tükrözzék a Schrems II. ügyben hozott ítéletet, és az európai adatvédelmi biztos és más uniós szervek által is bejelentett eszközökre vonatkoznak, így potenciálisan végrehajtási célnak minősülhetnek. Ezért, bár az értékelést a vizsgálat megkezdése előtt indították el, felfedheti az európai adatvédelmi biztos álláspontját az uniós szervek által használt konkrét informatikai eszközökkel kapcsolatban. Az e dokumentumokhoz való hozzáférés biztosítása ebben a szakaszban korlátozná az európai adatvédelmi biztos mozgásterét a vizsgálat lefolytatása során. Hangsúlyozni kell azt is, hogy a technikai vizsgálati egység az európai adatvédelmi biztos mint felügyeleti hatóság részeként tanácsot ad a technológiai szempontokkal kapcsolatban, míg az európai adatvédelmi biztos felügyeleti minőségében jár el. Így a piacon elérhető egyes eszközök értékelése az európai adatvédelmi biztos Schrems II. stratégiájával összefüggésben is alkalmazható lenne.

Mindemellett egyes azonosított dokumentumok nyilvánosságra hozhatók, ha a vizsgálathoz kapcsolódó érzékeny információkat kitakarják. Az európai adatvédelmi biztosnak azonban biztosítania kell, hogy a közzétett információk ne befolyásolják az európai adatvédelmi biztos függetlenségét és vizsgálati szerepét.

Az európai adatvédelmi biztos képviselői kifejtették továbbá, hogy a panaszost felkérték az ügy közvetlen megvitatására. A panaszos előnyben részesítette, ha a hozzáférés iránti kérelmét írásban vitatják meg. Az európai adatvédelmi biztos és a panaszos közötti egyetlen kommunikációs csatorna az e-mail volt, és minden levelezést közzétettek az AsktheEU honlapján.

4. A kért dokumentumok bizalmas jellege

Az európai adatvédelmi biztos tudomásul vette az ombudsman azon kérését, hogy a nyilvános hozzáférés iránti kérelem tárgyát képező dokumentumokat osszák meg az ombudsman hivatalával. Az európai adatvédelmi biztos aggodalmának adott hangot a felügyeleti hatóságként betöltött függetlenségével kapcsolatban. Mivel valamennyi uniós szerv, köztük az Európai Ombudsman Hivatala is vizsgálat alatt áll a Schrems II. ítéletnek való megfelelésük biztosítása érdekében, fontos, hogy az európai adatvédelmi biztos biztosítsa az uniós szervekkel szembeni egyenlő bánásmódot, és ne biztosítson az ombudsman hivatala számára kiváltságos hozzáférést a folyamatban lévő vizsgálattal kapcsolatos dokumentumokhoz.

Következésképpen az európai adatvédelmi biztos képviselői kifejezetten kérték, hogy az ombudsman hivatalán belül a szóban forgó dokumentumokhoz való hozzáférést a lehető legnagyobb mértékben korlátozzák, mindenesetre a Vizsgálati Igazgatóságra.

Az ombudsman vizsgálócsoportja biztosította az európai adatvédelmi biztost arról, hogy a bizalmas dokumentumokat csak a szükséges ismeret elve alapján lehet megtekinteni az ombudsman hivatalán belül. Mindemellett a vizsgálócsoport megjegyezte, hogy tovább fogják vizsgálni annak eldöntését, hogy ebben az esetben szükség van-e további konkrét intézkedések elfogadására.

Az ülés lezárása

Az ombudsman vizsgálócsoportja köszönetet mondott az európai adatvédelmi biztos képviselőinek észrevételeikért. Az európai adatvédelmi biztos képviselői pedig köszönetet mondtak az ombudsman vizsgálócsoportjának a vizsgálattal kapcsolatos további pontosítások lehetőségéért.

E vizsgálat következő lépéseként az ombudsman megvizsgálja, hogy miként lehet a legjobban betekinteni a szóban forgó dokumentumokba, tiszteletben tartva az európai adatvédelmi biztos által a fenti 4. pontban kifejezett különleges titoktartási igényeket.

Brüsszel, 2020. március 11.

Rosita Hickey Tanja Ehnert

Érdeklődési igazgató Ügyintéző

[1] A Bíróság (nagytanács) 2020. július 16-i ítélete, Data Protection Commissioner kontra Facebook Ireland Limited és Maximillian Schrems, a High Court (felsőbíróság, Írország) előzetes döntéshozatal iránti kérelme, C-311/18. sz. ügy, elérhető a következő internetcímen: http://curia.europa.eu/juris/document/document.jsf?text=&docid=228677&pageIndex=0&doclang=en&mode=lst&dir=&occ=first&part=1&cid=12312155

[2] A Bizottság határozata (2010. február 5.) a 95/46/EK európai parlamenti és tanácsi irányelv alapján a személyes adatok harmadik országbeli adatfeldolgozók részére történő továbbítására vonatkozó általános szerződési feltételekről: https://eur-lex.europa.eu/legal-content/en/TXT/?uri=CELEX%3A32010D0087

[3] (EU) 2018/1725 rendelet a természetes személyeknek a személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelése tekintetében való védelméről és az ilyen adatok szabad áramlásáról: https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32018R1725&from=en

[4] Elérhető a következő internetcímen: https://edps.europa.eu/data-protection/our-work/publications/papers/strategy-union-institutions-offices-bodies-and_en