Fatto conformemente all'articolo 4, paragrafo 1, dello statuto del Mediatore europeo ^[1]

Fatti all’origine della denuncia

1. Nel dicembre 2021 il denunciante ha chiesto all'EDPB di dargli accesso pubblico ai documenti preparatori relativi alla sua dichiarazione sugli accordi internazionali, compresi i trasferimenti di dati personali verso paesi terzi o organizzazioni internazionali. Ciò comprendeva scambi tra l'EDPB e la Commissione europea, gli Stati membri e le autorità per la protezione dei dati, nonché progetti di versioni della sua dichiarazione sugli accordi internazionali, compresi i trasferimenti.

2. L'EDPB ha individuato 26 [2] documenti che rientrano nell'ambito di applicazione della prima richiesta del denunciante ´s. Essa ha concesso un accesso parziale a tre documenti che rientravano interamente nell’ambito di applicazione della domanda, un accesso parziale a undici documenti e ha negato l’accesso integrale ai restanti dodici documenti. L'EDPB ha inoltre individuato sette documenti che rientrano nell'ambito di applicazione della seconda richiesta del denunciante ´, ai quali ha negato l'accesso per intero ^[3]. Nel rifiutare l'accesso ai documenti, l'EDPB si è basato sulla necessità di proteggere il suo processo decisionale e i suoi dati personali. L'EDPB ha ritenuto che non vi fosse alcun interesse pubblico prevalente alla divulgazione dei documenti.

3. Il denunciante si è rivolto al Mediatore. Egli ha contestato la posizione dell’EDPB secondo cui la divulgazione dei documenti pregiudicherebbe il suo processo decisionale e ha sostenuto che, indipendentemente da ciò, esiste un interesse pubblico prevalente alla divulgazione dei documenti.

4. Il Mediatore ha avviato un'indagine. Ha ispezionato i documenti che non erano stati divulgati al denunciante, in tutto o in parte. Il gruppo d'inchiesta del Mediatore ha inoltre tenuto una riunione con i rappresentanti dell'EDPB [4].

5. L'EDPB ha sostenuto che un'ulteriore divulgazione dei documenti richiesti pregiudicherebbe gravemente il suo processo decisionale in quanto i documenti contengono discussioni, opinioni e pareri dei membri dell'EDPB e/o del suo segretariato che fanno parte delle loro deliberazioni e posizioni interne. La divulgazione di tali documenti creerebbe quindi incertezza o confusione per il pubblico, ridurrebbe lo "spazio di riflessione" dei membri e comprometterebbe la missione dell'EDPB di parlare con una sola voce. In particolare, alcune osservazioni potrebbero essere fraintese con il risultato che ciò inciderebbe sulla chiarezza del documento adottato e creerebbe ambiguità. Inoltre, la divulgazione di tali pareri comprometterebbe la qualità del processo decisionale in quanto alcuni membri del comitato sarebbero riluttanti a esprimere i loro pareri senza censura sapendo che sarebbero pubblicati. Di conseguenza, l'EDPB ha sostenuto che l'accesso a tali documenti comprometterebbe la sua missione di garantire un'interpretazione coerente delle norme in materia di protezione dei dati.

6. Inoltre, l’EDPB ha sostenuto che la divulgazione delle discussioni interne è contraria al regolamento generale sulla protezione dei dati (RGPD), in quanto il legislatore, al momento dell’adozione del RGPD, gli ha concesso la possibilità di avere scambi riservati laddove l’EDPB lo ritenga necessario.[5] L’EDPB ha ritenuto che ciò riflettesse la volontà del legislatore di proteggere l’EDPB da pressioni esterne in quanto la divulgazione di tali documenti preparatori interferirebbe con il ruolo indipendente dell’EDPB.[6] Ha inoltre affermato che la divulgazione inciderebbe sull’autorità dell’EDPB nel suo complesso e incoraggerebbe le parti interessate a non seguire la posizione adottata dall’EDPB. L'EDPB ha inoltre sostenuto che la divulgazione sminuirebbe l'attenzione sulla versione pubblicata e incoraggerebbe le parti interessate a non seguire tale posizione finale. Infine, l'EDPB ha affermato che la sua posizione futura, anche per quanto riguarda i negoziati sul Foreign Account Tax Compliance Act (FATCA) degli Stati Uniti, sarebbe compromessa dalla divulgazione di uno dei documenti richiesti.

Proposta del Mediatore per una soluzione

7. Sulla base della sua valutazione dei documenti in questione, la Mediatrice ha constatato che l’EDPB non aveva concesso al denunciante un accesso sufficientemente ampio.

8. Più specificamente, il Mediatore ha rilevato che non era chiaro in che modo il processo decisionale dell'EDPB potesse essere gravemente compromesso dalla divulgazione di tali documenti preparatori, data la loro natura e il loro contenuto, e che l'EDPB non aveva dimostrato, in termini reali e specifici, i rischi che deriverebbero dalla concessione di un accesso più ampio a tali documenti.

9. Il Mediatore ha proposto che l'EDPB effettui una nuova valutazione della richiesta di accesso del denunciante e conceda l'accesso più ampio possibile a tali documenti ^[7], anche mediante un formato anonimizzato senza attribuire le opinioni espresse a parti specifiche.

10. L'EDPB, in risposta alla proposta di soluzione del Mediatore, ha mantenuto la sua posizione e ha rifiutato un'ulteriore divulgazione. Ha ribadito gli argomenti precedentemente menzionati e ha inoltre affermato che la divulgazione di progetti di versioni dei documenti richiesti pregiudicherebbe l'effettiva protezione dei dati personali. L'EDPB si è anche basato sulla necessità di proteggere le relazioni internazionali come motivo per giustificare la mancata divulgazione dei documenti in questione.[8] In particolare, l'EDPB ha spiegato che la dichiarazione internazionale in questione è stata adottata per invitare gli Stati membri a valutare e rivedere i loro accordi internazionali che comportano trasferimenti di dati personali, compresi quelli relativi alla fiscalità. L'EDPB ha dichiarato che, sulla base della sua precedente esperienza, la divulgazione di versioni anonime dei documenti non impedirebbe l'attribuzione di opinioni a parti specifiche e pertanto la divulgazione danneggerebbe non solo il suo processo decisionale. 

Valutazione del Mediatore dopo la proposta di soluzione

11. L'EDPB è un organo indipendente dell'UE, composto da rappresentanti delle autorità nazionali di protezione dei dati dell'UE e del Garante europeo della protezione dei dati (GEPD), insieme alle autorità di controllo degli Stati EFTA-SEE per quanto riguarda le questioni relative al GDPR. La Commissione europea e, per quanto riguarda le questioni relative al GDPR, l'Autorità di vigilanza EFTA, hanno il diritto di partecipare alle attività e alle riunioni del comitato senza avere diritto di voto.

12. Il ruolo dell'EDPB è contribuire all'applicazione coerente delle norme in materia di protezione dei dati in tutta l'UE e promuovere la cooperazione tra le autorità dell'UE preposte alla protezione dei dati. A tal fine, l'EDPB fornisce orientamenti generali (compresi orientamenti, raccomandazioni e migliori pratiche) per chiarire la legge e promuovere una comprensione comune della legislazione dell'UE in materia di protezione dei dati. L'EDPB adotta inoltre pareri indirizzati alla Commissione o alle autorità nazionali di vigilanza. Infine, l'EDPB può adottare decisioni vincolanti indirizzate alle autorità nazionali di controllo, volte a risolvere le controversie che sorgono tra di esse quando cooperano per l'applicazione del GDPR. L'EDPB svolge quindi un ruolo chiave per quanto riguarda l'applicazione e l'interpretazione coerenti delle norme dell'UE in materia di protezione dei dati in tutta l'UE, un settore di grande importanza pubblica che incide su un diritto fondamentale.

13. I documenti in questione nella presente inchiesta riguardano il materiale preparatorio per l’adozione della dichiarazione dell’EDPB sugli accordi internazionali, compresi i trasferimenti [9]. Essi possono essere suddivisi in tre categorie, vale a dire i) progetti di versioni della dichiarazione dell'EDPB, ii) processi verbali e progetti di processi verbali delle riunioni dei sottogruppi di esperti e iii) scambi di posta elettronica tra la Commissione europea e l'EDPB, nonché i membri dell'EDPB e il segretariato dell'EDPB.[10] Nella sua risposta al Mediatore, l'EDPB ha spiegato che alcuni dei documenti preparatori sono progetti di versioni pulite, il che significa che non contengono modifiche o osservazioni di traccia, alcuni sono progetti di versioni che contengono modifiche di traccia senza osservazioni e altri contengono osservazioni.

14. La dichiarazione dell'EDPB, nella sua forma definitiva, comprende un invito e una raccomandazione agli Stati membri a rivedere i loro accordi internazionali esistenti per garantire che siano conformi alla legislazione e alla giurisprudenza dell'Unione in materia di protezione dei dati. La dichiarazione è stata preparata in risposta a una risoluzione del Parlamento europeo del 5 luglio 2018 sugli effetti negativi della FATCA sui cittadini dell'UE [11] e alle richieste presentate dai denuncianti al gruppo di lavoro articolo 29 [12] a tale riguardo.

15. È importante chiarire che la dichiarazione dell'EDPB non è un'interpretazione delle disposizioni del GDPR. Si tratta di una risposta formale del comitato alle domande ricevute in cui ribadisce i requisiti previsti dal GDPR e dalla direttiva sulla protezione dei dati nelle attività di polizia e giudiziarie (LED) alla luce della recente giurisprudenza. In quanto tali, i documenti in questione nell'indagine in corso e quelli del precedente caso 386/2021/AMF del Mediatore, che riguardavano documenti prodotti nell'elaborazione di un orientamento dell'EDPB contenente un'interpretazione autorevole del GDPR, non sono della stessa natura. 

16. Ciò premesso, il Mediatore desidera sottolineare che il regolamento 1049/2001 si applica a tutti i documenti in possesso delle istituzioni [13] e si basa sul presupposto che "l'apertura consente ai cittadini di partecipare più strettamente al processo decisionale e garantisce che l'amministrazione goda di maggiore legittimità e sia più efficace e più responsabile nei confronti dei cittadini in un sistema democratico [14]". Questo principio di trasparenza si applica indipendentemente dal fatto che i documenti facciano o meno parte del processo legislativo dell'Unione. L'accesso ai documenti può essere limitato solo se si applica una (o più) delle eccezioni di cui al regolamento (CE) n. 1049/2001 [15].

17. Nel caso di specie, l'EDPB si è basato su diverse eccezioni previste dal regolamento (CE) n. 1049/2001 per rifiutare l'accesso (integrale) ai documenti preparatori richiesti, in particolare sulla necessità di proteggere il suo processo decisionale, i suoi dati personali e l'interesse pubblico per quanto riguarda le relazioni internazionali.

18. Nella sua denuncia al Mediatore, il denunciante non contesta l'occultamento dei dati personali nei documenti da lui richiesti. Non è pertanto necessario che il Mediatore valuti se il ricorso dell’EDPB a tale eccezione fosse giustificato.

19. Il motivo principale addotto dall'EDPB per rifiutare l'accesso ai documenti richiesti è quello di proteggere il suo processo decisionale, proteggendo i membri del suo comitato da pressioni esterne, al fine di creare uno "spazio per pensare" che consenta una discussione franca e lo scambio di "pareri non censurati" in seno al comitato. L'EDPB teme inoltre che i documenti preparatori possano essere interpretati erroneamente, compromettendo così la chiarezza del documento adottato e creando confusione e ambiguità. Inoltre, l'EDPB teme che la divulgazione dei documenti preparatori che mostrano il parere dei membri costituenti pregiudicherebbe l'autorità o l'indipendenza del comitato.

20. Gli argomenti addotti dall'EDPB sull'esistenza di pressioni esterne in relazione ai documenti preparatori rimangono vaghi e di natura generale. La Corte ha riconosciuto che la tutela del processo decisionale da pressioni esterne mirate può costituire un motivo legittimo per limitare l’accesso ai documenti. Tuttavia, essa ha anche sottolineato che la realtà di tale pressione esterna “deve essere accertata con certezza” e che “devono essere forniti elementi atti a dimostrare l’esistenza di un rischio ragionevolmente prevedibile” che la decisione in questione sia sostanzialmente influenzata da tale pressione esterna ^[16].

21. In ogni caso, anche se l’esistenza di una siffatta pressione esterna dovesse essere dimostrata, non è chiaro in che modo la capacità di libero scambio dell’EDPB sarebbe gravemente compromessa da tale pressione, in particolare dato che il processo decisionale che ha portato all’adozione della dichiarazione si era concluso al momento dell’adozione delle decisioni di conferma. Dall'esame delle tre categorie di documenti preparatori è emerso che questi contengono principalmente modifiche redazionali, nonché chiarimenti o semplificazioni di alcune parti del testo, che non appaiono particolarmente sensibili. Il Mediatore osserva inoltre che in genere non includono alcuna interpretazione delle norme in materia di protezione dei dati né illustrano opinioni divergenti in seno al comitato.

22. Alla luce dell'analisi di cui sopra, la Mediatrice ritiene che l'EDPB non abbia fornito argomentazioni sufficientemente convincenti per stabilire un "rischio specifico ed effettivo" per il suo processo decisionale. Su tale base, non è necessario che il Mediatore esamini se sorge o meno un interesse pubblico prevalente.

23. Per quanto riguarda l’argomento dell’EDPB nella sua risposta alla proposta di soluzione del Mediatore secondo cui la divulgazione dei documenti in questione danneggerebbe le relazioni internazionali, l’EDPB non ha fornito alcuna giustificazione per invocare tale eccezione. L’EDPB si limita a rilevare che, nella sua dichiarazione, ha invitato gli Stati membri a valutare e rivedere i suoi accordi internazionali che comportano trasferimenti di dati personali, compresi quelli relativi alla fiscalità.

24. Sebbene le istituzioni dell’Unione dispongano di un ampio margine di discrezionalità nel decidere ciò che la protezione delle relazioni internazionali richiede in termini di divulgazione di documenti, esse sono comunque tenute a dimostrare un «rischio specifico ed effettivo». Il semplice fatto che l’EDPB abbia invitato gli Stati membri a valutare e rivedere le proprie relazioni internazionali non illustra di per sé come, in termini concreti e concreti, le relazioni internazionali sarebbero pregiudicate se i documenti fossero divulgati.

25. Il Mediatore ha condiviso con l'EDPB una nota riservata distinta, allegata alla presente raccomandazione, che comprende una valutazione più dettagliata della natura e del contenuto dei documenti preparatori alla luce delle eccezioni invocate dall'EDPB per negare l'accesso.

26. L'EDPB ha inoltre sostenuto che il GDPR crea un'ulteriore eccezione al diritto di accesso del pubblico ai suoi documenti sulla base del fatto che si tratta di un organismo indipendente. Il Mediatore ritiene che tale interpretazione non sia suffragata dai termini del regolamento generale sulla protezione dei dati, se letti nel loro insieme, né dalla giurisprudenza degli organi giurisdizionali dell'UE ^[17]. Il RGPD prevede espressamente che i documenti dell'EDPB siano soggetti ai termini del regolamento (CE) n. 1049/2001.

27. L'EDPB ha inoltre fatto riferimento al suo regolamento interno, che prevede che le discussioni del comitato possano essere considerate riservate. In tale contesto, il Mediatore osserva che il regolamento interno non può avere la precedenza giuridica su un regolamento. Qualsiasi regolamento interno deve essere conforme al regolamento (CE) n. 1049/2001 [18]. Pertanto, l'EDPB non può avvalersi del regolamento interno del suo comitato per negare l'accesso del pubblico ai documenti qualora il diritto primario o derivato dell'UE ne richieda la divulgazione.

28. Alla luce di quanto precede, il Mediatore ritiene che l'applicazione da parte dell'EDPB delle eccezioni per la tutela dei suoi processi decisionali e delle relazioni internazionali costituisca cattiva amministrazione. La firmataria formula pertanto una raccomandazione corrispondente qui di seguito.

Raccomandazione

Sulla base dell'indagine relativa alla presente denuncia, il Mediatore formula la seguente raccomandazione all'EDPB:

L'EDPB dovrebbe concedere al denunciante l'accesso più ampio possibile ai documenti richiesti.

L'EDPB e il denunciante saranno informati della presente raccomandazione. Conformemente all'articolo 4, paragrafo 2, dello statuto del Mediatore europeo, l'EDPB invia un parere circostanziato entro il 28 giugno 2023.

Emily O'Reilly Mediatore
europeo

Strasburgo, 29/03/2023

[1] Disponibile all'indirizzo: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=uriserv%3AOJ.L_.2021.253.01.0001.01.ENG&toc=OJ%3AL%3A2021%3A253%3ATOC

[2] L'EDPB non ha incluso 6 documenti che erano già stati pienamente divulgati in precedenti richieste di accesso del pubblico da parte del denunciante.

[3] Nel corso dell'indagine su 509/2022/JK (prima richiesta) è emerso che non tutte le bozze della dichiarazione 01/2019 dell'EDPB sul Foreign Account Tax Compliance Act (FATCA) degli Stati Uniti sono state valutate nelle fasi iniziale e di conferma. In linea con il suggerimento del Mediatore, tali documenti sono stati trattati come una richiesta di accesso pubblico distinta, che ha portato alla successiva denuncia al Mediatore (denuncia 1698/2022/FA) (seconda richiesta) e all'adesione a tali indagini.

[4] https://www.ombudsman.europa.eu/en/doc/inspection-report/en/156601.

[5] Articolo 76, paragrafo 1, GDPR e articolo 33, lettera c), del regolamento interno dell'EDPB.

[6] Articoli 52 e 69 del RGPD e articolo 8, paragrafo 3, della Carta

[7] Per ulteriori informazioni sul contesto della denuncia, sulle argomentazioni delle parti e sull'indagine del Mediatore, si rimanda al testo integrale della proposta di soluzione del Mediatore.

[8] Articolo 4, paragrafo 1, lettera a), terzo trattino, del regolamento 1049/2001.

[9] Dichiarazione 04/2021 dell'EDPB sul tema "Accordi internazionali, compresi i trasferimenti".

[10] Risposta formale dell'EDPB del 3 giugno 2022, condivisa con il denunciante.

[11] http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-//EP//TEXT+TA+P8-TA-2018-0316+0+DOC+XML+V0//EN&language=EN

[12] Il Gruppo di lavoro Articolo 29 è stato un gruppo di lavoro europeo indipendente che si è occupato di questioni relative alla protezione della vita privata e dei dati personali fino al 25 maggio 2018 (entrata in applicazione del GDPR).

[13] Considerando 11 del regolamento 1049/2001 relativo all'accesso del pubblico ai documenti del Parlamento europeo, del Consiglio e della Commissione: https://eur-lex.europa.eu/legal-content/en/TXT/?uri=CELEX%3A32001R1049

[14] Considerando 2 del regolamento 1049/2001.

[15] Articolo 1 del regolamento (CE) n. 1049/2001.

[16] Sentenza del Tribunale di primo grado (Settima Sezione) del 18 dicembre 2008, Pablo Muñiz/Commissione delle Comunità europee, causa T ‑144/05, punto 86; sentenza del Tribunale (Settima Sezione ampliata) del 22 marzo 2018, Emilio de Capitani/Parlamento europeo, causa T ‑540/15, punto 99.

[17] Cfr. articolo 76 GDPR; sentenza della Corte di giustizia (Grande Sezione) del 19 giugno 2018, nella causa Baumeister, C‑15/16, punto 46.

[18] Sentenza del Tribunale del 14 settembre 2022, nelle cause riunite T ‑371/20 e T ‑554/20, Pollinis France/Commissione, punto 96 (in fase di impugnazione)