Achtergrond van de klacht

1. In september 2013 heeft een Duitse burger overeenkomstig de EU-regels inzake de toegang van het publiek tot documenten verzocht om toegang tot bepaalde documenten die in het bezit zijn van het Europees Bureau voor fraudebestrijding (OLAF) en van de Europese Commissie [1]. OLAF en de Commissie hadden echter twijfels over zijn identiteit. OLAF en de Commissie hebben daarom hun behandeling van de verzoeken om toegang tijdelijk opgeschort, omdat u, om recht op toegang tot documenten te hebben, een natuurlijke persoon of rechtspersoon moet zijn die in een EU-lidstaat verblijft of burger van een EU-lidstaat is.

2. Het feit dat OLAF en de Commissie de behandeling van de verzoeken om toegang tijdelijk hadden opgeschort, bracht de verzoeker ertoe een klacht in te dienen bij de Ombudsman (zaken 2309/2013/JAS en 2310/2013/JAS tegen OLAF en de Commissie [2]). Tijdens het onderzoek van de Ombudsman naar deze klachten vernam klager dat de Commissie of OLAF contact had opgenomen met wat zij als zijn werkgever beschouwden, een Duitse universiteit, om zich ervan te vergewissen dat hij een echt persoon was en om zijn beroep te vestigen [3].

3. Klager was ontevreden over het feit dat de Commissie of OLAF contact had opgenomen met een universiteit waarvoor hij nooit had gezegd dat hij werkte en hij klaagde ook over deze kwestie bij de Ombudsman. Hij diende één klacht in: de onderhavige klacht tegen de Commissie en een soortgelijke klacht tegen OLAF [4].

Het onderzoek

4. De Ombudsman stelde een onderzoek in naar de bewering dat de Commissie de persoonsgegevens van klager onrechtmatig had verwerkt.

5. In de loop van het onderzoek ontving de Ombudsman het advies van de Commissie over de klacht en vervolgens de opmerkingen van klager naar aanleiding van het advies van de Commissie. Bij de uitvoering van het onderzoek heeft de Ombudsman rekening gehouden met de argumenten en standpunten van de partijen.

Beschuldiging van onrechtmatige verwerking van de persoonsgegevens van de klager

Aan de Ombudsman voorgelegde argumenten

6. Ter ondersteuning van zijn bewering voerde klager aan dat de Commissie a) onjuiste informatie over zijn beroepsactiviteit had geregistreerd, b) zijn persoonsgegevens zonder zijn toestemming aan een derde had doorgegeven en c) persoonsgegevens gedurende een onevenredig lange periode in haar databank had bewaard.

7. In haar advies heeft de Commissie verklaard dat informatie over het beroep geen voorwaarde is voor de uitoefening van het recht op toegang tot documenten. De Commissie heeft deze informatie uitsluitend voor statistische doeleinden gevraagd. Het zal facultatief zijn om dit soort informatie in de toekomst te verstrekken.

8. De onjuiste informatie over de professionele banden van klager met de Duitse universiteit was door OLAF in de databank opgenomen voor verzoeken om toegang, waarschijnlijk als gevolg van een schrijffout. De Commissie verklaarde dat OLAF het ongemak betreurt dat klager heeft ondervonden en dat OLAF de gegevens heeft gecorrigeerd.

9. De Commissie wenst zich echter het recht voor te behouden om de identiteit en het adres te controleren van een verzoeker die om toegang van het publiek tot documenten verzoekt. De Commissie voert deze controles uit aan de hand van openbaar beschikbare informatie om vast te stellen of verzoekers natuurlijke personen zijn die in een EU-lidstaat verblijven of daar de nationaliteit van een EU-lidstaat hebben.

10. Met betrekking tot de vermeende onevenredige bewaartermijn van gegevens voerde de Commissie aan dat zij persoonsgegevens opslaat in overeenstemming met de EU-regels inzake gegevensbescherming. Het is gerechtvaardigd om persoonsgegevens van verzoekers te bewaren nadat een verzoek om toegang is afgehandeld, teneinde de juridische en procedurele samenhang te waarborgen. De Commissie moet weten of zij eerdere verzoeken om toegang van dezelfde aanvrager of verzoeken met betrekking tot dezelfde of soortgelijke documenten heeft behandeld om te bepalen of deze documenten al als "openbaar"kunnen worden beschouwd. Besluiten tot weigering van toegang tot documenten kunnen ook worden voorgelegd aan de Ombudsman of het Hof van Justitie. Persoonlijke informatie over aanvragers is nodig om de Commissie in staat te stellen verzoeken correct en met volledige kennis van zaken te behandelen, bijvoorbeeld bij de beslissing om informeel contact op te nemen met aanvragers om een billijke oplossing te vinden in het geval van een aanvraag voor een zeer lang document of voor een zeer groot aantal documenten [5].

11. In zijn opmerkingen uitte klager zijn teleurstelling over het feit dat de Commissie zich niet had verontschuldigd voor de onjuiste registratie van zijn beroep in haar databank.

12. Klager zond de Ombudsman een brief van de Commissie waarin de Commissie verklaarde dat zij zijn naam aan de universiteit had bekendgemaakt [6].

13. Klager betoogde dat het gerechtvaardigd is dat de Commissie persoonsgegevens slechts bewaart totdat de termijnen voor het aanhangig maken bij het Hof of de Ombudsman zijn verstreken. Ter ondersteuning van zijn standpunt heeft hij een besluit van de Europese Toezichthouder voor gegevensbescherming (EDPS) bijgevoegd waarin hij vaststelt dat de praktijk van OLAF om persoonsgegevens gedurende 15 jaar in zijn onderzoeksdatabank te bewaren, onevenredig is.

Beoordeling door de Ombudsman

14. Het is waarschijnlijk dat de onjuiste informatie over klager die voor een Duitse universiteit werkt, in de databank is opgenomen als gevolg van een schrijffout van OLAF. Aangezien OLAF de fout heeft betreurd en de gegevens heeft gecorrigeerd, is de Ombudsman van mening dat dit aspect van de bewering van klager is opgelost. Het is de Ombudsman niet duidelijk waarom de Commissie zich moet verontschuldigen voor een fout van OLAF.

15. Het verheugt de Ombudsman dat het aanvraagformulier voor toegang van het publiek tot documenten op de website van de Commissie niet langer verplicht is voor beroepsactiviteiten [7].

16. De Commissie heeft niet ontkend of bevestigd dat zij de persoonsgegevens van klager, dat wil zeggen zijn naam, heeft doorgegeven aan de Duitse universiteit waar hij dacht te werken. In feite heeft de Commissie deze kwestie helemaal niet in haar standpunt behandeld, hoewel klager dit argument ter ondersteuning van zijn bewering had aangevoerd. De brief van de Commissie van 4 februari 2014 aan klager laat echter geen twijfel bestaan over de vraag of de Commissie contact heeft opgenomen met de universiteit en haar de naam van klager heeft meegedeeld. In de brief - die dateert van vóór het advies van de Commissie aan de Ombudsman - staat uitdrukkelijk: "Met betrekking tot uw beroepsactiviteit hebt u OLAF laten weten dat u werkte voor het Instituut voor internationaal en Europees recht van [een Duitse universiteit]. Dit instituut bestaat echter niet onder de genoemde naam. Naar aanleiding van ons [d.w.z. het verzoek van de Commissie] merkte de universiteit op dat zij geen enkele werknemer had met de naam ['de heer X']"[8], dat wil zeggen met de naam van klager.

17. Het contact van de Commissie met de Duitse universiteit was niet voorzien in haar eigen interne regels inzake gegevensbescherming (haar kennisgeving aan haar functionaris voor gegevensbescherming met betrekking tot de verwerking van persoonsgegevens in het kader van de behandeling van verzoeken om toegang van het publiek tot documenten [9]). Deze interne regels voorzien niet in de doorgifte van persoonsgegevens aan derden [10].

18. In haar advies heeft zij enkel verwezen naar haar vermeende recht om identiteits- en adresverificaties uit te voeren aan de hand van openbaar beschikbare informatie.

19. De Ombudsman is van mening dat het feit dat de Commissie erop aandringt de identiteit van een verzoeker te bevestigen, niet gebaseerd is op een concrete bepaling en evenmin een van de doelstellingen van de EU-regels inzake de toegang van het publiek tot documenten bevordert.

20. Bovendien gaat contact opnemen met wat volgens de Commissie de werkgever van een persoon is, verder dan het raadplegen van openbaar beschikbare informatie, waarnaar de Commissie in haar advies verwijst. Ongetwijfeld kan een dergelijke vordering negatieve gevolgen hebben voor een verzoeker doordat zij bij zijn werkgever vermoedens doet rijzen over de reden waarom een instelling van de Unie de identiteit van de verzoeker wenst te bevestigen, waardoor zij een ernstige inmenging in zijn privéleven vormt.

21. Door de naam van klager zonder geldige rechtvaardiging aan de universiteit bekend te maken, heeft de Commissie zich schuldig gemaakt aan wanbeheer. Aangezien de bescherming van persoonsgegevens een grondrecht is [11] en het optreden van de Commissie ingrijpend is, is het wanbeheer in dit geval bijzonder ernstig.

22. Aangezien de Ombudsman wanbeheer heeft vastgesteld, hoeft hij niet in te gaan op de vraag of de Commissie specifiek de EU-regels inzake gegevensbescherming heeft geschonden [12]. Indien de klager dit specifieke aspect verder wenst uit te werken, staat het hem vrij een klacht in te dienen bij de Europese Toezichthouder voor gegevensbescherming, die over gespecialiseerde deskundigheid en verantwoordelijkheid op het gebied van gegevensbescherming beschikt.

23. Wat betreft de vermeende onevenredige bewaartermijn van persoonsgegevens in de databank van documenten van de Commissie, merkt de Ombudsman op dat het door klager genoemde besluit van de Europese Toezichthouder voor gegevensbescherming betrekking heeft op OLAF en niet op de Commissie. De toegang van de Commissie tot de documentendatabank heeft ook een ander doel dan dat van OLAF. Hoewel de databank van de Commissie alleen persoonsgegevens bevat met betrekking tot verzoeken om toegang van het publiek tot documenten, bevat de databank van OLAF informatie over zijn onderzoeken.

24. In de kennisgeving van de Commissie aan haar functionaris voor gegevensbescherming met betrekking tot de verwerking van persoonsgegevens in het kader van de behandeling van verzoeken om toegang van het publiek tot documenten wordt gesteld dat persoonsgegevens van aanvragers niet langer dan vijf jaar worden bewaard en vervolgens gewoonlijk worden gewist [13]. De bewaartermijn kan dus in bepaalde gevallen worden verlengd.

25. Zowel in de kennisgeving aan de functionaris voor gegevensbescherming van de Commissie - als in het advies van de Commissie in deze zaak - wordt uitgelegd dat deze bewaartermijn noodzakelijk is omdat besluiten waarbij geen of slechts gedeeltelijke toegang wordt verleend, voor de rechter of de Ombudsman kunnen worden gebracht. Volgens de Ombudsman staat een bewaringstermijn van vijf jaar in verhouding tot de nagestreefde doelstellingen, aangezien procedures voor de rechterlijke instanties van de EU een aantal jaren kunnen duren. In de brief van de Commissie van 4 februari 2014 aan klager wordt onder meer verwezen naar een verzoek om toegang tot documenten dat klager in 2007 heeft ingediend [14]. Het is dus duidelijk dat de Commissie in 2014 nog steeds persoonsgegevens van klager opsloeg die hij zes of zeven jaar eerder had ingediend. Bijgevolg had de Commissie in het geval van klager zijn persoonsgegevens langer dan vijf jaar bewaard.

26. De Commissie heeft niet gemotiveerd waarom zij de persoonsgegevens van klager met betrekking tot een in 2007 ingediend verzoek om toegang tot documenten niet had gewist. Aangezien de vraag of de Commissie had moeten motiveren waarom zij de persoonsgegevens van klager vanaf 2007 had bewaard, niet uitdrukkelijk in dit onderzoek aan de orde kwam, acht de Ombudsman het niet passend om vast te stellen of de Commissie de persoonsgegevens van klager onevenredig lang en in strijd met haar kennisgeving heeft bewaard.

27. De Ombudsman informeert de klager opnieuw over de mogelijkheid om een klacht in te dienen bij de Europese Toezichthouder voor gegevensbescherming indien hij een gespecialiseerd besluit wenst te nemen over de vraag of de bewaringstermijn van de gegevens van de Commissie specifiek in strijd is met de EU-regels inzake gegevensbescherming. Zij is derhalve van mening dat verder onderzoek naar dit aspect van de klacht niet gerechtvaardigd is.

28. Het wanbeheer van de Commissie kan nu niet worden verholpen en klager heeft geen enkel argument aangevoerd om de Commissie te verzoeken specifieke maatregelen te nemen. De Ombudsman zal dit aspect van de klacht daarom afsluiten met een kritische opmerking aan de Commissie.

Conclusie

Op basis van het onderzoek naar deze klacht sluit de Ombudsman deze af met de volgende bevindingen:

Door de onjuist geregistreerde informatie over de beroepsactiviteit van de klager in de desbetreffende databank te corrigeren, is dit aspect van de klacht van de klager opgelost.

Wat de bewaartermijn voor persoonsgegevens in de databank van de Commissie betreft, is de Ombudsman van mening dat verder onderzoek niet gerechtvaardigd is.

Kritische opmerking

Door de persoonsgegevens van de klager zonder geldige reden aan een derde door te geven, heeft de Commissie zich schuldig gemaakt aan wanbeheer. Aangezien de bescherming van persoonsgegevens een grondrecht is waarin het Handvest van de grondrechten van de EU voorziet en het optreden van de Commissie in deze zaak zeer ingrijpend was, is het wanbeheer bijzonder ernstig.

Klager en de Commissie zullen van dit besluit in kennis worden gesteld.

Emily O'Reilly

Straatsburg, 12 juli 2016

[1] Verordening (EG) nr. 1049/2001 van het Europees Parlement en de Raad van 30 mei 2001 inzake de toegang van het publiek tot documenten van het Europees Parlement, de Raad en de Commissie (PB L 145 van 31.5.2001, blz. 43);

[2] De besluiten van OLAF en de Commissie om de behandeling van de verzoeken om toegang stop te zetten, werden dus afzonderlijk behandeld en vallen derhalve niet binnen het toepassingsgebied van het onderhavige onderzoek.

[3] De Commissie heeft de aanvragers om deze gegevens verzocht met het oog op de behandeling van hun verzoeken om toegang van het publiek tot documenten.

[4] Afhandeling afzonderlijk onder zaaknummer 139/2015/PMC.

[5] Zie in dit verband artikel 6, lid 3, van Verordening (EG) nr. 1049/2001.

[6] Deze brief werd ook door de Commissie aan klager gezonden in het kader van het onderzoek van de Ombudsman naar klacht 2310/2013/JAS.

[7] https://ec.europa.eu/transparency/regdoc/index.cfm?fuseaction=fmb&&CFID=6076842&CFTOKEN=2e4472e118d31678-CA79D075-9960-F842-29FFB98461CB0B5B

[8] De brief van de Commissie is in het Duits gesteld.

[9] Zie kennisgeving "DPO-1225.2 GestDem" betreffende de verwerking van persoonsgegevens in verband met de openbare toegang van de Commissie tot de documentendatabank, die online beschikbaar is: http://ec.europa.eu/dpo-register/details.htm?id=35247

[10] Zie in dit verband punt 16.

[11] Artikel 8 van het Handvest van de grondrechten van de Europese Unie.

[12] Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad van 18 december 2000 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de communautaire instellingen en organen en betreffende het vrije verkeer van die gegevens, PB L 8 van 12.1.2001, blz. 1.

[13] Punt 13.

[14] Gestdem 2007/4845.