Contesto della denuncia

1. Nel settembre 2013 un cittadino tedesco ha chiesto l'accesso a determinati documenti in possesso dell'Ufficio europeo per la lotta antifrode ("OLAF") e della Commissione europea conformemente alle norme dell'UE sull'accesso del pubblico ai documenti [1]. Tuttavia, l'OLAF e la Commissione nutrivano dubbi sulla sua identità. L'OLAF e la Commissione hanno pertanto temporaneamente sospeso il trattamento delle richieste di accesso, in quanto per avere il diritto di accesso ai documenti è necessario essere una persona fisica o giuridica che risiede o è cittadino di uno Stato membro dell'UE.

2. Il fatto che l'OLAF e la Commissione avessero temporaneamente sospeso il trattamento delle richieste di accesso ha indotto il richiedente a presentare una denuncia al Mediatore (casi 2309/2013/JAS e 2310/2013/JAS contro l'OLAF e la Commissione [2]). Nel corso delle indagini del Mediatore su tali denunce, il denunciante ha appreso che la Commissione o l'OLAF avevano contattato quello che ritenevano essere il suo datore di lavoro, un'università tedesca, per verificare che fosse una persona reale e per stabilire la sua professione [3].

3. Il denunciante era insoddisfatto del fatto che la Commissione o l'OLAF avessero contattato un'università per la quale non aveva mai dichiarato di lavorare e ha presentato una denuncia al Mediatore anche in merito a tale questione. Egli ha presentato una denuncia, la presente contro la Commissione e una denuncia analoga contro l'OLAF [4].

L'indagine

4. Il Mediatore ha avviato un'indagine sull'asserzione secondo cui la Commissione avrebbe trattato illecitamente i dati personali del denunciante.

5. Nel corso dell'indagine, il Mediatore ha ricevuto il parere della Commissione sulla denuncia e, successivamente, le osservazioni del denunciante in risposta al parere della Commissione. Nello svolgimento dell'indagine, il Mediatore ha tenuto conto delle argomentazioni e dei pareri presentati dalle parti.

Asserzione di trattamento illecito dei dati personali del denunciante

Argomenti presentati al Mediatore

6. A sostegno della sua affermazione, il denunciante ha sostenuto che la Commissione aveva a) informazioni registrate in modo errato sulla sua attività professionale, b) trasferito i suoi dati personali a terzi senza il suo consenso e c) conservato i dati personali nella sua banca dati per un periodo di tempo sproporzionato.

7. Nel suo parere, la Commissione ha affermato che le informazioni sulla propria professione non costituiscono una condizione per l'esercizio del diritto di accesso ai documenti. La Commissione ha chiesto tali informazioni a fini puramente statistici. Sarà facoltativo fornire questo tipo di informazioni in futuro.

8. Le informazioni inesatte sui legami professionali del denunciante con l'università tedesca erano state inserite nella banca dati per le richieste di accesso da parte dell'OLAF, probabilmente a causa di un errore materiale. La Commissione ha dichiarato che l'OLAF si rammarica degli eventuali disagi causati al denunciante e che l'OLAF ha corretto i dati.

9. Tuttavia, la Commissione desidera riservarsi il diritto di verificare l'identità e l'indirizzo di un richiedente che chiede l'accesso del pubblico ai documenti. La Commissione afferma di effettuare tali controlli, utilizzando informazioni pubblicamente disponibili, al fine di determinare se i richiedenti sono persone fisiche che risiedono o sono cittadini di uno Stato membro dell'UE.

10. Per quanto riguarda il periodo di conservazione dei dati asseritamente sproporzionato, la Commissione ha sostenuto di conservare i dati personali in linea con le norme dell'UE in materia di protezione dei dati. È giustificato conservare i dati personali dei richiedenti dopo aver terminato il trattamento di una richiesta di accesso al fine di garantire la coerenza giuridica e procedurale. La Commissione deve sapere se ha trattato precedenti richieste di accesso dello stesso richiedente o richieste riguardanti documenti identici o simili per determinare se tali documenti possano essere considerati già di pubblico dominio. Inoltre, le decisioni che negano l'accesso ai documenti potrebbero essere deferite al Mediatore o alla Corte di giustizia. Le informazioni personali sui richiedenti sono necessarie affinché la Commissione possa trattare le richieste in modo corretto e con piena conoscenza di tutte le circostanze, ad esempio al momento di decidere se contattare informalmente i richiedenti per trovare una soluzione equa nel caso in cui una domanda riguardi un documento molto lungo o un numero molto elevato di documenti [5].

11. Nelle sue osservazioni, il denunciante ha espresso il suo disappunto per il fatto che la Commissione non si sia scusata per aver erroneamente iscritto la sua professione nella sua banca dati.

12. Il denunciante ha trasmesso al Mediatore una lettera della Commissione nella quale quest'ultima affermava di aver rivelato il suo nome all'università [6].

13. Il denunciante ha sostenuto che è giustificato che la Commissione conservi i dati personali solo fino alla scadenza dei termini per adire la Corte o il Mediatore. A sostegno del suo punto di vista, ha allegato una decisione del Garante europeo della protezione dei dati (GEPD) secondo cui la prassi dell'OLAF di conservare i dati personali nella sua banca dati delle indagini per 15 anni era sproporzionata.

Valutazione del Mediatore

14. È probabile che le informazioni errate sul denunciante che lavora per un'università tedesca siano state inserite nella banca dati a seguito di un errore materiale commesso dall'OLAF. Dato che l'OLAF si è rammaricato dell'errore e ha corretto i dati, il Mediatore ritiene che questo aspetto dell'accusa del denunciante sia stato risolto. Non è chiaro al Mediatore perché la Commissione debba scusarsi per un errore commesso dall'OLAF.

15. Il Mediatore accoglie con favore il fatto che il modulo di richiesta di accesso del pubblico ai documenti sul sito web della Commissione non abbia più il campo delle attività professionali come campo obbligatorio [7].

16. La Commissione non ha né negato né confermato di aver trasferito i dati personali del denunciante, vale a dire il suo nome, all'università tedesca in cui pensava di lavorare. In effetti, la Commissione non ha affatto affrontato la questione nel suo parere, anche se il denunciante aveva sollevato tale argomentazione a sostegno della sua affermazione. Tuttavia, la lettera della Commissione del 4 febbraio 2014 al denunciante non lascia dubbi per quanto riguarda la questione se la Commissione abbia contattato l'università e le abbia comunicato il nome del denunciante. La lettera - che precede il parere della Commissione al Mediatore - afferma esplicitamente che "in merito alla Sua attività professionale, Lei ha indicato all'OLAF che lavorava per l'Istituto di diritto internazionale ed europeo di [un'università tedesca]. Tuttavia, questo Istituto non esiste sotto questo nome. A seguito della nostra richiesta [della Commissione], l'università ha osservato di non avere dipendenti con il nome ['Mr X']"[8], vale a dire con il nome del denunciante.

17. Il contatto della Commissione con l’università tedesca non era previsto dalle proprie norme interne in materia di protezione dei dati (la sua notifica al responsabile della protezione dei dati per quanto riguarda il trattamento dei dati personali nell’ambito del trattamento delle richieste di accesso del pubblico ai documenti [9]). Tali norme interne non prevedono la trasmissione di dati personali a terzi [10].

18. A suo parere, essa si è limitata a fare riferimento al suo presunto diritto di effettuare la verifica dell’identità e dell’indirizzo utilizzando informazioni accessibili al pubblico.

19. Il Mediatore ritiene che l'insistenza della Commissione nel confermare l'identità di un richiedente non si basi su alcuna disposizione concreta né promuova alcuno degli obiettivi delle norme dell'UE in materia di accesso del pubblico ai documenti.

20. Inoltre, contattare ciò che la Commissione ritiene essere il datore di lavoro di una persona va oltre la consultazione di informazioni pubblicamente disponibili, a cui la Commissione fa riferimento nel suo parere. Siffatto ricorso potrebbe verosimilmente avere effetti negativi per un richiedente sollevando sospetti da parte del suo datore di lavoro circa il motivo per cui un'istituzione dell'Unione intende confermare l'identità del richiedente, costituendo così una grave interferenza con la sua vita personale.

21. Di conseguenza, comunicando il nome del denunciante all'università, senza una valida giustificazione, la Commissione ha commesso cattiva amministrazione. Dato che la protezione dei dati personali è un diritto fondamentale [11], e data la natura intrusiva dell'azione della Commissione, la cattiva amministrazione è particolarmente grave nel caso di specie.

22. Dopo aver riscontrato casi di cattiva amministrazione, non è necessario che il Mediatore si occupi della questione se la Commissione abbia violato specificamente le norme dell'UE in materia di protezione dei dati [12]. Se il denunciante desidera approfondire questo particolare aspetto, rimane libero di presentare un reclamo al Garante europeo della protezione dei dati, che ha competenze e responsabilità specialistiche nel settore della protezione dei dati.

23. Per quanto riguarda il presunto periodo sproporzionato di conservazione dei dati personali nella banca dati della Commissione sull'accesso ai documenti, il Mediatore osserva che la decisione del Garante europeo della protezione dei dati cui fa riferimento il denunciante riguarda l'OLAF e non la Commissione. Anche l'accesso della Commissione alla banca dati dei documenti ha uno scopo diverso da quello dell'OLAF. Mentre la banca dati della Commissione contiene dati personali solo in relazione alle richieste di accesso del pubblico ai documenti, la banca dati dell'OLAF contiene informazioni sulle sue indagini.

24. La notifica della Commissione al suo responsabile della protezione dei dati per quanto riguarda il trattamento dei dati personali nell'ambito del trattamento delle richieste di accesso del pubblico ai documenti indica che i dati personali dei richiedenti sono conservati per un periodo non superiore a cinque anni e sono normalmente cancellati successivamente [13]. Il periodo di conservazione può quindi essere prorogato in alcuni casi.

25. Sia la notifica al responsabile della protezione dei dati della Commissione, sia il parere della Commissione in questo caso, spiegano che tale periodo di conservazione è necessario perché le decisioni che concedono un accesso nullo o solo parziale possono essere deferite alla Corte o al Mediatore. Secondo il Mediatore, un periodo di conservazione di cinque anni è proporzionato agli obiettivi perseguiti, dato che i procedimenti dinanzi agli organi giurisdizionali dell'UE possono durare diversi anni. La lettera della Commissione del 4 febbraio 2014 al denunciante fa riferimento, tra l'altro, a una richiesta di accesso ai documenti presentata dal denunciante nel 2007 [14]. È quindi evidente che, nel 2014, la Commissione conservava ancora i dati personali del denunciante che aveva presentato sei o sette anni prima. Di conseguenza, nel caso del denunciante, la Commissione aveva conservato i suoi dati personali per più di cinque anni.

26. La Commissione non ha fornito alcuna giustificazione per non aver cancellato i dati personali del denunciante relativi a una richiesta di accesso ai documenti presentata nel 2007. Dato che la questione se la Commissione avrebbe dovuto fornire una giustificazione per aver conservato i dati personali del denunciante a partire dal 2007 non era esplicitamente contemplata dalla presente indagine, il Mediatore non ritiene opportuno stabilire se la Commissione abbia detenuto i dati personali del denunciante per un periodo di tempo sproporzionato e in violazione della sua notifica.

27. Il Mediatore informa nuovamente il denunciante della possibilità di presentare un reclamo al Garante europeo della protezione dei dati, qualora desideri avere una decisione specialistica sul fatto che il periodo di conservazione dei dati della Commissione violi specificamente le norme dell'UE in materia di protezione dei dati. Ritiene pertanto che non siano giustificate ulteriori indagini su questo aspetto della denuncia.

28. La cattiva amministrazione da parte della Commissione non può ora essere sanata e il denunciante non ha presentato alcuna argomentazione che desideri che la Commissione intraprenda un'azione particolare. Il Mediatore chiuderà pertanto questo aspetto della denuncia con un'osservazione critica alla Commissione.

Conclusione

Sulla base dell'indagine relativa alla presente denuncia, il Mediatore la chiude con le seguenti risultanze:

Rettificando le informazioni registrate in modo errato sull'attività professionale del denunciante nella banca dati pertinente, questo aspetto del reclamo del denunciante è stato risolto.

Per quanto riguarda il periodo di conservazione dei dati personali nella banca dati della Commissione, il Mediatore ritiene che non siano giustificate ulteriori indagini.

Osservazione critica

Trasferendo i dati personali del denunciante a terzi senza una valida giustificazione, la Commissione ha commesso cattiva amministrazione. Dato che la protezione dei dati personali è un diritto fondamentale sancito dalla Carta dei diritti fondamentali dell'UE e dato che l'azione della Commissione in questo caso è stata molto intrusiva, la cattiva amministrazione è particolarmente grave.

Il denunciante e la Commissione saranno informati della presente decisione.

Emily O'Reilly

Strasburgo, 12.7.2016

[1] regolamento (CE) n. 1049/2001 del Parlamento europeo e del Consiglio, del 30 maggio 2001, relativo all'accesso del pubblico ai documenti del Parlamento europeo, del Consiglio e della Commissione (GU L 145 del 31.5.2001, pag. 43);

[2] Le decisioni dell'OLAF e della Commissione di interrompere il trattamento delle richieste di accesso sono state quindi trattate separatamente e non rientrano pertanto nell'ambito della presente indagine.

[3] La Commissione ha chiesto tali dati ai richiedenti al fine di trattare le loro richieste di accesso del pubblico ai documenti.

[4] Trattata separatamente con il riferimento 139/2015/PMC.

[5] Cfr., a tale riguardo, l'articolo 6, paragrafo 3, del regolamento (CE) n. 1049/2001.

[6] Tale lettera è stata inviata anche dalla Commissione al denunciante nel contesto dell'indagine del Mediatore sulla denuncia 2310/2013/JAS.

[7] https://ec.europa.eu/transparency/regdoc/index.cfm?fuseaction=fmb&&CFID=6076842&CFTOKEN=2e4472e118d31678-CA79D075-9960-F842-29FFB98461CB0B5B

[8] La lettera della Commissione è redatta in tedesco.

[9] Cfr. la notifica "DPO-1225.2 GestDem" sul trattamento dei dati personali in relazione alla banca dati della Commissione sull'accesso del pubblico ai documenti, disponibile online: http://ec.europa.eu/dpo-register/details.htm?id=35247

[10] V., al riguardo, punto 16.

[11] Articolo 8 della Carta dei diritti fondamentali dell'Unione europea.

[12] Regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio, del 18 dicembre 2000, concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di tali dati (GU L 8 del 12.1.2001, pag. 1).

[13] Punto 13.

[14] Gestdem 2007/4845.