Contesto della denuncia

1. Il denunciante è un ex membro del personale di un ufficio dell'Unione europea. Il denunciante era presidente della commissione giudicatrice di un concorso interno organizzato da tale ufficio.

2. Nel 2009 il Garante europeo della protezione dei dati (in prosieguo: il «GEPD») ha ricevuto un reclamo da un candidato a tale concorso in merito al trattamento dei dati personali relativi a detto concorso.

3. Il 16 novembre 2011 il GEPD aggiunto ha emesso la sua decisione sul reclamo in oggetto ("decisione"). Il punto 27 della decisione recita (nella versione originale francese):

"[c] oncernant le rôle joué par [il denunciante], le président du jury du concours, dans la transmission du document en question, le CEPD note que [il denunciante] n'a transmis aucun document du concours en dehors de l'EPSO. [Name redacted] a demandé son accord pour la communication au CCP [[1]] des allégations contenues dans la demande de réexamen du candidat qui la touchaient personnellement en mettant en cause son impartialité et compétence professionnelle dans le but de demander un conseil quant aux voies de se défendre. Selon les explications du [il denunciante],il a donné son accord pour la transmission de ces allégations en indiquant que les données à caractère personnel devraient y être effacées. Il précise qu'il a pris connaissance de la manière dont données à caractère personnel avaient été transférées seulement après avoir reçu la copia de l'email envoyé par [nome omesso] au président du CCP. Ces faits sont confirmés par les explications de [nome omesso]"(il corsivo è mio).

4. Nella lettera che accompagna la decisione, il GEPD aggiunto ha spiegato che il denunciante poteva chiedere, entro un mese, che il GEPD riesaminasse la parte della decisione che lo riguardava. In alternativa, a norma dell'articolo 263 del trattato sul funzionamento dell'Unione europea, il denunciante potrebbe presentare ricorso dinanzi alla Corte di giustizia dell'Unione europea.

5. Il 24 novembre 2011 il denunciante ha chiesto al GEPD aggiunto di introdurre una piccola modifica alla decisione. Il denunciante ha spiegato di non aver dichiarato di essere venuto a conoscenza del modo in cui i dati personali erano stati trasferiti dopo aver ricevuto una copia della relativa e-mail. Infatti, ha spiegato, ha dichiarato di essere venuto a conoscenza del modo in cui le accuse erano state trasferite quando ha ricevuto una copia dell'e-mail in questione [2]. Il denunciante ha pertanto chiesto che l'espressione "données à caractère personnel" sia sostituita dall'espressione "allégations".

6. Il 26 marzo 2012 il GEPD aggiunto ha risposto osservando che il GEPD riteneva che entrambe le espressioni riflettessero correttamente l'accaduto. Ha espresso la sua piena comprensione e il suo accordo sul modo in cui il denunciante aveva appreso del modo in cui le accuse sono state trasferite. Il GEPD aggiunto ritiene che, così facendo, il denunciante sia venuto a conoscenza anche del modo in cui i dati personali sono stati trasferiti. Il GEPD non ha valutato quale fosse tale modalità. In particolare, non ha analizzato la valutazione del denunciante in merito alla presenza o meno di dati personali nel testo [3]. Alla luce di quanto precede, il GEPD ha deciso di mantenere la formulazione della decisione.

7. Lo stesso giorno, il denunciante ha risposto in disaccordo con le conclusioni del GEPD. Sottolinea che la decisione include la frase "[s] elon les explications de [il denunciante]". Pertanto, secondo il denunciante, dovrebbe rispecchiare accuratamente le sue spiegazioni. Il denunciante ha inoltre sottolineato che la decisione menzionava anche il fatto di aver specificato qualcosa ("il précise"). Tuttavia, secondo il denunciante, la descrizione di ciò che ha specificato era errata. Egli aveva precisato di essere venuto a conoscenza del modo in cui le accuse erano state trasferite. Non ha specificato di essere venuto a conoscenza del modo in cui i dati personali erano stati trasferiti. Ciò è dovuto al fatto che, secondo il denunciante, egli non pensava che fossero stati trasferiti dati personali. Il GEPD aggiunto avrebbe dovuto esserne pienamente consapevole perché aveva ricevuto la lettera del denunciante in cui esponeva in dettaglio i motivi per cui riteneva che fosse così. "Se [il GEPD aggiunto] desiderava [dire] che [il denunciante] specificava [ied] qualcosa, allora [era] soggetto a un chiaro obbligo di indicare con precisione ciò che in realtà [il denunciante] ha specificato." Secondo il denunciante, il GEPD aggiunto era quindi semplicemente in errore nel pensare che entrambe le espressioni riflettessero la "realtà corretta". Inoltre, secondo il denunciante, vi era un "difetto logico"nella conclusione del GEPD aggiunto secondo cui, essendo venuto a conoscenza del modo in cui le accuse sono state trasferite, era anche venuto a conoscenza del modo in cui i dati personali sono stati trasferiti. Se il denunciante non avesse ritenuto che vi fossero dati personali in primo luogo, non avrebbe potuto venire a conoscenza dell'avvenuto trasferimento di tali dati. Alla luce di quanto precede, il denunciante ha nuovamente chiesto la rettifica della decisione.

8. L'11 maggio 2012 il GEPD aggiunto ha risposto sottolineando che il GEPD, in quanto autorità di controllo della protezione dei dati, "[h] come da suo mandato a concentrarsi sulle implicazioni per la vita privata e la protezione dei dati personali piuttosto che su aspetti più generali". Il GEPD riflette questa attenzione utilizzando la formulazione nelle decisioni che si riferiscono al trattamento dei dati personali. Di conseguenza, il GEPD ha fatto riferimento a "données à caractère personnel" nella parte pertinente della decisione, piuttosto che ai termini più generali "allégations". Il GEPD aggiunto ha mantenuto la posizione espressa nella sua lettera del 26 marzo 2012.

9. Lo stesso giorno il denunciante ha risposto. Ha nuovamente espresso disappunto per la posizione del GEPD. Pur comprendendo appieno il mandato del GEPD, non poteva accettare che l'"[D] ecision mettesse in bocca parole che [egli] non pronunciava e gli attribuisse una dichiarazione che [egli] non faceva". Ha nuovamente insistito sul fatto che era venuto a conoscenza del modo in cui le accuse erano state trasferite e che non aveva fatto alcun riferimento ai dati personali. A meno che la frase controversa nella decisione non sia stata modificata, il denunciante ha ritenuto che rimanesse di fatto errata.

10. Il 15 maggio 2012 il GEPD aggiunto ha risposto che il GEPD aveva risposto all'interrogazione del denunciante il 26 marzo e l'11 maggio 2012. Pur comprendendo pienamente il punto di vista del denunciante ed essendo consapevole dell'importanza che attribuisce alla modifica proposta, il GEPD aveva già spiegato la sua posizione. Inoltre, in assenza di nuovi elementi sostanziali, il GEPD era al punto in cui avrebbe smesso di corrispondere con il denunciante in materia.

11. Il 17 maggio 2012 il denunciante ha presentato una denuncia al Mediatore europeo.

Oggetto dell'indagine

12. Il GEPD non ha dato seguito adeguato alla richiesta del denunciante di rettificare la decisione.

13. Il GEPD dovrebbe adottare le opportune misure correttive.

L'indagine

14. Il 26 luglio 2012 il Mediatore ha trasmesso la denuncia al GEPD per parere.

15. Il 29 ottobre 2012 il Mediatore ha ricevuto il parere del GEPD, che è stato trasmesso al denunciante con un invito a formulare osservazioni. Il Mediatore ha ricevuto le osservazioni del denunciante il 29 novembre 2012.

16. Dopo un attento esame del parere del GEPD e delle osservazioni del denunciante al riguardo, il 28 gennaio 2014 il Mediatore ha presentato una proposta di soluzione amichevole, conformemente all'articolo 3, paragrafo 5, dello statuto del Mediatore. La proposta era che il GEPD pubblicasse una rettifica della sua decisione. Il 24 febbraio 2014 il Mediatore ha ricevuto la risposta del GEPD, che è stata trasmessa al denunciante con un invito a formulare osservazioni. Il denunciante ha presentato le sue osservazioni il 2 marzo 2014.

Analisi e conclusioni del Mediatore

A. Asserzione di omessa rettifica della decisione

Argomenti presentati al Mediatore

17. A sostegno della sua affermazione, il denunciante ha sostenuto che l'articolo 27 della decisione gli attribuisce una dichiarazione che non ha fatto. Il presunto errore è indicato in grassetto qui di seguito:

"[s] elon les explications du [il denunciante], il a donné son accord pour la transmission de ces allégations en indiquant que les données à caractère personnel devraient y être effacées. Il précise qu'il a pris connaissance de la manière dont les données à caractère personnel avaient été transférées seulement après avoir reçu la copia de l'email envoyé par [name redacted] au président du CCP. Ces faits sont confirmés par les explications de [nome omesso]".

La rettifica proposta dal denunciante è indicata anche in grassetto:

"[s] elon les explications du [il denunciante], il a donné son accord pour la transmission de ces allégations en indiquant que les données à caractère personnel devraient y être effacées. Il précise qu'il a pris connaissance de la manière dont les allégations avaient été transférées seulement après avoir reçu la copia de l'email envoyé par [name redacted] au président du CCP. Ces faits sont confirmés par les explications de [name redacted][4]" (il corsivo è mio).

18. Nel suo parere, il GEPD ha chiarito che il paragrafo 27 della decisione non enuncia testualmente né è una trascrizione della posizione del denunciante, ma è piuttosto una conclusione pertinente derivata dalla sua lunga presentazione nell'indagine che ha portato alla decisione.

19. Il GEPD ha inoltre chiarito nel suo parere che la frase controversa si riferisce alla divulgazione non autorizzata da parte di un funzionario della Commissione di un documento contenente i dati personali di più persone. Secondo il GEPD, "[i] non si può ragionevolmente ritenere che questo documento non contenga dati personali anche se [il denunciante] ha sostenuto durante l'indagine che i dati personali di una persona specifica sono stati cancellati dal documento di cui al punto" (sottolineatura aggiunta dal GEPD).

20. Il GEPD ha inoltre ribadito nel suo parere le spiegazioni fornite in precedenza al denunciante in merito al mandato e alla terminologia del GEPD. Egli ha inoltre espresso il parere che la formulazione del paragrafo 27 "rifletta meglio" i fatti rilevanti per la decisione piuttosto che quella proposta dal denunciante. Alla luce di quanto precede, il GEPD non ha accettato di modificare la decisione [5].

21. Infine, il GEPD ha osservato che, se avesse modificato la decisione per accogliere la richiesta del denunciante, avrebbe dovuto informare tutte le parti interessate. A tale riguardo, il GEPD ha sottolineato che, invece di riaprire il caso, ha accettato una richiesta del denunciante di incontrarlo e di discutere una possibile soluzione amichevole. La riunione si è svolta il 27 giugno 2012 presso la sede del GEPD. Secondo il parere del GEPD:

"Nel corso della riunione abbiamo convenuto che avremmo mantenuto l'attuale formulazione della decisione, ma allo stesso tempo avremmo dato al denunciante una ragionevole soddisfazione inviandogli una lettera che spiegasse la situazione sulla base di una proposta che ci avrebbe fornito. Notiamo che il denunciante non ha dato seguito a questa iniziativa dopo la riunione e quindi non è stato possibile perseguire questa possibilità per una soluzione amichevole.

22. Nelle sue osservazioni, oltre a ripetere tutte le sue precedenti argomentazioni, il denunciante ha dichiarato di non vedere la pertinenza dell'argomentazione del GEPD secondo cui il documento trasmesso non conteneva "dati personali". Tutte le dichiarazioni e le spiegazioni del denunciante fornite durante l'indagine del GEPD riguardavano i dati di una sola persona.

23. Inoltre, il denunciante ha ritenuto che i riferimenti del GEPD al suo mandato e alla sua terminologia non fossero pertinenti alla questione controversa. Il paragrafo 27 descriveva la posizione del denunciante e non quella del GEPD. Di conseguenza, il GEPD aveva la responsabilità di descrivere tale posizione in modo onesto e accurato. Non era riuscito a farlo.

24. Il denunciante ha infine osservato che, secondo il GEPD, se la decisione dovesse essere modificata, tutte le parti interessate dovrebbero essere informate. Ritiene che questo sia il motivo principale per cui il GEPD ha rifiutato di apportare la modifica richiesta e ritiene che il rifiuto di intraprendere ulteriori lavori per correggere l'errore contenuto nella decisione sia una cattiva amministrazione. Il denunciante ha sottolineato di aver preso l'iniziativa di verificare se fosse possibile trovare una soluzione amichevole e di aver incontrato un membro del personale del GEPD. Tuttavia, ha concluso dopo la riunione che sarebbe rimasto insoddisfatto perché gli è stato detto che qualsiasi soluzione lo avrebbe comunque portato ad accettare che vi fosse stato un trasferimento di dati personali. Inoltre, anche se il denunciante avesse ricevuto la lettera del GEPD, la soluzione sarebbe rimasta una questione privata tra lui e il GEPD e gli interessi dell'amministrazione trasparente non sarebbero stati serviti.

25. Alla luce di quanto precede, il denunciante ha mantenuto la sua richiesta di rettifica della decisione.

Valutazione preliminare del Mediatore che ha portato a una proposta di soluzione amichevole

26. In via preliminare, il Mediatore ha sottolineato l'opinione, costantemente sostenuta, secondo cui i principi di buona amministrazione impongono alle istituzioni e agli organi dell'UE di garantire, per quanto possibile, che le informazioni che pubblicano siano corrette [6].

27. Tenendo presenti i principi di cui sopra, il Mediatore ha sottolineato che se il denunciante avesse effettivamente fatto riferimento alle "asserzioni" e non ai "dati personali" durante l ' indagine, ciò, in linea di principio, avrebbe dovuto riflettersi correttamente nella parte della decisione che fa riferimento alle sue dichiarazioni. Ciò non pregiudicherebbe la discrezionalità del GEPD di valutare tali dichiarazioni come ritiene opportuno al fine di giungere a una decisione sul reclamo dinanzi a lui.

28. Utilizzando la formulazione (in francese originale) "il précise" al paragrafo 27, il GEPD attribuisce chiaramente la dichiarazione controversa al denunciante. Si riferisce a un fatto fortemente contestato dal denunciante. Ciò significa che ha dichiarato di essere venuto a conoscenza del modo in cui i dati personali sono stati trasferiti dopo aver ricevuto una copia dell'e-mail [7].  Anche se nella sua decisione il GEPD ha ritenuto opportuno riassumere e non trascrivere le dichiarazioni del denunciante, queste dovrebbero riflettersi con la dovuta accuratezza.

29. La posizione espressa dal GEPD aggiunto nella sua lettera del 26 marzo 2012 secondo cui "entrambe le formulazioni [ossia quella del punto 27 della decisione e quella proposta dal denunciante] riflettono la realtà corretta"(il corsivo è mio) non è del tutto convincente. La conclusione secondo cui, facendo riferimento alle "asserzioni", il denunciante avrebbe dimostrato di aver acquisito conoscenza anche dei "dati personali" è chiaramente una questione di valutazione.  Tuttavia, anche se il GEPD potesse giungere a tale conclusione, non avrebbe dovuto includerla nella descrizione di quanto dichiarato dal denunciante. Ne consegue che il denunciante era pienamente legittimato a contestare il fatto che gli è attribuito al punto 27 della Decisione.

30. Poiché la formulazione contestata è stata inserita in una frase che espone le dichiarazioni del denunciante e non nella valutazione di tali dichiarazioni da parte del GEPD, l'applicazione della terminologia specifica del GEPD a quel particolare paragrafo della decisione potrebbe non essere stata pienamente giustificata ed era pertanto inesatta.

31. Alla luce di quanto precede, il Mediatore ha ritenuto che il GEPD abbia commesso un errore nel modo in cui ha fatto riferimento alle dichiarazioni del denunciante al punto 27 della decisione. I principi di buona condotta amministrativa richiedono che tali inesattezze siano, se possibile, corrette in modo significativo [8]. Di norma, se una decisione amministrativa richiede una maggiore precisione o addirittura una correzione, l'emissione di una rettifica è il modo giusto per farlo perché garantisce lo stesso livello di pubblicità generale. Il Mediatore ha pertanto compreso il motivo per cui il denunciante ha respinto la proposta del GEPD di risolvere la questione inviandogli una lettera da solo.

32. Alla luce di quanto precede, il Mediatore ha ritenuto che il modo più appropriato per correggere il paragrafo 27 della decisione fosse che il GEPD emettesse una rettifica della sentenza controversa nella decisione e concedesse a tale rettifica lo stesso livello di pubblicità che ha fatto alla decisione iniziale. Il Mediatore ha pertanto presentato una corrispondente proposta di soluzione amichevole, conformemente all'articolo 3, paragrafo 5, dello statuto del Mediatore europeo, che

"Tenuto conto delle conclusioni del Mediatore, il GEPD ha potuto correggere il paragrafo 27 della decisione emettendo una rettifica della sentenza controversa e dando a tale rettifica lo stesso livello di pubblicità della decisione originaria."

Nel formulare tale proposta, il Mediatore ha tenuto conto del parere del GEPD, che sembrava indicare che la modifica richiesta dal denunciante non avrebbe avuto alcun impatto sulla sostanza delle conclusioni raggiunte dal GEPD nella decisione [9].

Le argomentazioni presentate al Mediatore dopo la sua proposta di soluzione amichevole

33. Il GEPD ha accettato la proposta di soluzione amichevole del Mediatore. Egli ha dichiarato di essere pronto a emettere la rettifica come suggerito, a distribuirla alle persone che avevano ricevuto la decisione e a scusarsi per gli eventuali effetti negativi derivanti dall'errore.

34. Il denunciante ha accolto con favore la risposta del GEPD e ha ringraziato il Mediatore per aver trovato una soluzione soddisfacente al suo caso.

Valutazione del Mediatore

35. Accettando di emettere la rettifica e di distribuirla a tutte le parti interessate [10], e prendendo l'iniziativa di chiedere scusa al denunciante, il GEPD ha dimostrato il rispetto dei principi di equità e buona amministrazione. Il Mediatore accoglie con favore la decisione del GEPD di seguire la sua proposta di una soluzione amichevole e archivia il caso.

B. Conclusioni

Sulla base dell'indagine relativa alla presente denuncia, il Mediatore la chiude con la seguente conclusione:

Il Mediatore accoglie con favore la decisione del GEPD di seguire la sua proposta di una soluzione amichevole e archivia il caso.

Il denunciante e il GEPD saranno informati di tale decisione.

Emily O'Reilly

Fatto a Strasburgo, il 10.4.2014

[1] Il PCC è il Comité Central du Personnel (Comitato centrale del personale) (in francese).

[2] Formulazione originale: Il testo afferma che ho dichiarato di aver appreso del modo in cui "les données à caractère personnel" era stato trasferito dopo aver ricevuto una copia della relativa e-mail. Vedrete dalla parte precedente del paragrafo 27 che era il trasferimento delle "allegazioni" che era il punto in questione. È stato infatti il modo in cui le "allegazioni"erano state trasferite che ho dichiarato di aver appreso quando ho ricevuto una copia dell'e-mail...".

[3] Formulazione originale: Capisco pienamente e sono d'accordo con te che tu "pris connaissance de manière dont les" allegazioni sono state trasferite. Riteniamo pertanto che così facendo sia stato trasferito anche il personale "pris connaissance de la manière dont les" données à caractère". In questa frase non facciamo una valutazione di ciò che questa manière era; in particolare qual è stata la sua valutazione sul fatto che il testo contenesse o meno alcuni dati personali...".

[4] Les allégations contenaient auparavant des données à caractère personnel qui auraient dû être effacées (il corsivo è mio).

[5] "Il GEPD è un'autorità di controllo della protezione dei dati e ha il mandato di concentrare le decisioni sulle implicazioni per la protezione dei dati personali in ciascun caso piuttosto che su aspetti più generali come la divulgazione di "documenti" o "accuse". Riflettiamo questa attenzione utilizzando nelle nostre decisioni una formulazione che si riferisce al trattamento dei dati personali anche se le persone interessate dalle nostre indagini utilizzano una formulazione diversa nelle loro comunicazioni al GEPD. Di conseguenza abbiamo fatto riferimento a "données à caractère personnel" nel relativo passaggio della decisione piuttosto che al termine più generale "allégations". Infatti, il riferimento a "données à caractère personnel"riflette meglio la situazione fattuale rilevante per l'oggetto della nostra indagine che il riferimento a "allegazioni". Per questi motivi si ritiene di mantenere rispettosamente l'attuale formulazione della decisione."

[6] Cfr., ad esempio, la decisione del Mediatore europeo del 4 aprile 2008 sulla denuncia 1576/2006/WP contro il GEPD, punto 2.3 (pubblicata sul sito web del Mediatore europeo www.ombudsman.europa.eu).

[7] "[I] l précise qu'il a pris connaissance de la manière dont données à caractère personnel avaient été transférées seulement après avoir reçu la copie de l'email..."

[8] Articolo 12, paragrafo 3, del codice europeo di buona condotta amministrativa: "[i] se si verifica un errore che incide negativamente sui diritti o sugli interessi di un membro del pubblico, il funzionario si scusa e si adopera per correggere gli effetti negativi derivanti dal suo errore...".

[9] Secondo il parere del GEPD: "Nel caso in cui la decisione dovesse essere modificata, anche per un aspetto così minore, la versione modificata dovrebbe essere notificata a tutte le parti interessate da essa" (il corsivo è mio).

[10] Nelle sue osservazioni sulla risposta del GEPD, il denunciante ha dichiarato che "vuole essere certo che anche al responsabile della protezione dei dati della Commissione europea sarà inviata una copia della rettifica". Dalla risposta del GEPD alla sua proposta di soluzione amichevole, il Mediatore comprende che il funzionario di cui sopra riceverà una copia della rettifica.