Deze nota bevat de opmerkingen van de Europese Ombudsman over het voorstel van de Commissie voor een statuut van de Europese Toezichthouder voor gegevensbescherming (1).

---

1 Het principe van openheid

Het belang van openheid voor de betrekkingen tussen de Unie en haar burgers werd in 1993 erkend in verklaring 17 bij het Verdrag van Maastricht. De Europese Unie heeft vervolgens grote vooruitgang geboekt bij de toepassing van het beginsel van openheid.

De Raad en de Commissie hebben een gezamenlijke gedragscode inzake de toegang tot documenten aangenomen, die ten uitvoer is gelegd bij Besluit 93/731 van de Raad en Besluit 94/90 van de Commissie. De jurisprudentie van de communautaire rechtbanken over de uitlegging en toepassing van deze besluiten heeft het recht op toegang van het publiek tot documenten versterkt en de reikwijdte van de uitzonderingen op dat recht verduidelijkt.

In het Verdrag van Amsterdam is het beginsel opgenomen dat besluiten "zo open mogelijk" moeten worden genomen in het Verdrag betreffende de Europese Unie (artikel 1). Het omvatte ook het recht van toegang van het publiek tot documenten van het Europees Parlement, de Raad en de Commissie in het EG-Verdrag (artikel 255). In december 2000 is het recht van toegang van het publiek tot dergelijke documenten vastgelegd in het Handvest van de grondrechten van de Europese Unie (artikel 42).

Op 30 mei 2001 hebben de Raad en het Europees Parlement een verordening inzake de toegang van het publiek tot documenten van het Parlement, de Raad en de Commissie ("de verordening inzake de toegang van het publiek") (2) aangenomen. De eer hiervoor komt toe aan het Europees Parlement, dat het restrictieve eerste ontwerp van de Commissie heeft verworpen en met de Raad heeft onderhandeld over meer openheid.

2 Een nieuwe bedreiging voor openheid?

De grotere openheid die het Europees Parlement in de verordening inzake de toegang van het publiek heeft bereikt, wordt bedreigd, nog voordat de nieuwe verordening volledig van kracht is. De dreiging vloeit voort uit het niet begrijpen van het doel en de grenzen van de regels inzake gegevensbescherming.

Bij de behandeling van een klacht bij de Ombudsman heeft de Commissie bijvoorbeeld een standpunt ingenomen dat impliceert dat elk document met de naam van een persoon onder de gegevensbeschermingsregels valt.(3) Aangezien de meeste documenten iemands naam bevatten, betekent het standpunt van de Commissie dat de toegang tot documenten in de praktijk zou worden beslist door de gegevensbeschermingsregels toe te passen, en niet de verordening inzake toegang van het publiek. Het vermoeden op grond van de gegevensbeschermingsregels is in het voordeel van vertrouwelijkheid en moet normaliter worden gemotiveerd voordat informatie aan een derde partij kan worden verstrekt. De aanpak van de Commissie zou daarom de bedoelingen van het Europees Parlement dwarsbomen, dat hard heeft gevochten voor een verordening inzake de toegang van het publiek die een vermoeden van openheid heeft en waarvan burgers zonder opgaaf van redenen gebruik kunnen maken.

Er zij ook op gewezen dat de administratie van het Europees Parlement de publicatie van een lijst van medewerkers van EP-leden die uit overheidsmiddelen worden betaald, heeft uitgesteld vanwege bezorgdheid over gegevensbescherming. Indien deze aanpak algemeen wordt toegepast, kan zij de verstrekking van openbare registers van documenten ondermijnen, wat een van de belangrijkste verwezenlijkingen van de verordening inzake toegang van het publiek is.

Om de regels inzake gegevensbescherming correct te interpreteren en toe te passen, is het noodzakelijk de rechtsgrondslag ervan te begrijpen en na te gaan of zij bestaan om het privéleven en het familie- en gezinsleven te beschermen.

3 De rechtsgrondslag en het doel van de gegevensbeschermingsregels

Volgens de opstellers van het Handvest van de grondrechten is het recht op bescherming van persoonsgegevens gebaseerd op:

• Artikel 286 EG
• Richtlijn 95/46/EG (4) betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (de richtlijn gegevensbescherming)
• Artikel 8 van het Europees Verdrag tot bescherming van de rechten van de mens (EVRM), dat de bescherming van het privéleven en het familie- en gezinsleven waarborgt.
• het Verdrag van de Raad van Europa van 28 januari 1981 betreffende de geautomatiseerde verwerking van persoonsgegevens (het Verdrag inzake gegevensbescherming).

De meest fundamentele van deze teksten is artikel 8 EVRM, dat de bescherming van de persoonlijke levenssfeer en het familie- en gezinsleven waarborgt.

In een arrest van 16 februari 2000 bevestigde het Europees Hof voor de Rechten van de Mens zijn eerdere jurisprudentie dat gegevens met betrekking tot het privéleven van een persoon binnen het toepassingsgebied van artikel 8 vallen. Het Hof wees erop dat de eerbiediging van het privéleven het recht omvat om betrekkingen met andere mensen tot stand te brengen en te ontwikkelen, en koppelde dit begrip van het begrip "privéleven" uitdrukkelijk aan het doel van het Verdrag inzake gegevensbescherming, namelijk "op het grondgebied van elke partij voor ieder individu [...] de eerbiediging van zijn rechten en fundamentele vrijheden, en in het bijzonder zijn recht op persoonlijke levenssfeer, te waarborgen met betrekking tot de geautomatiseerde verwerking van hem betreffende persoonsgegevens."(5)

Uit de preambule van het gegevensbeschermingsverdrag en de overwegingen van de gegevensbeschermingsrichtlijn blijkt ook dat zij tot doel hebben het grondrecht op bescherming van de persoonlijke levenssfeer te beschermen en niet de voor de burgers beschikbare informatie over openbare activiteiten te beperken.

Dit sluit niet uit dat gegevens over het openbare leven van een persoon vertrouwelijk kunnen zijn om andere redenen dan gegevensbescherming. In de verordening inzake toegang van het publiek worden verschillende redenen van openbaar en particulier belang genoemd die een dergelijke vertrouwelijkheid zouden kunnen rechtvaardigen, waarvan de gegevensbescherming slechts voor één reden relevant is.

4 Toegang van het publiek en gegevensbescherming zijn geen concurrerende rechten

De Commissie heeft betoogd dat het recht op toegang tot documenten en het recht op privacy beide legitieme rechten zijn en dat wanneer beide in overweging worden genomen, een evenwicht moet worden gevonden.

Het recht op toegang tot documenten en het recht op privacy zijn beide legitieme rechten. Het idee om per geval een evenwicht tussen beide te vinden wanneer een naam wordt genoemd, geeft echter een verkeerde voorstelling van de aard van zowel het omgaan met openheid in de publieke sector als het recht op privacy.

Het beginsel van openheid houdt in dat overheidsinstanties zo open mogelijk besluiten moeten nemen. Het is nu gedefinieerd in de verordening inzake de toegang van het publiek. De verordening inzake de toegang van het publiek voorziet in uitzonderingen op de toegang, met inbegrip van de noodzaak om de persoonlijke levenssfeer en de integriteit van het individu te beschermen, met name in overeenstemming met de communautaire wetgeving inzake de bescherming van persoonsgegevens.

Het punt van deze uitzondering is dat een overheidsinstantie bij de uitvoering van haar publieke taken in het bezit kan komen van informatie over het privé- en gezinsleven van individuen. Instellingen kunnen bijvoorbeeld beschikken over vertrouwelijke informatie over de gezondheid van hun personeelsleden. Politie- of immigratieautoriteiten kunnen ook gegevens verzamelen over het privéleven van personen.

Niets in artikel 286 EG of in de richtlijn gegevensbescherming wijst er echter op dat de regels inzake gegevensbescherming moeten worden toegepast als algemeen beginsel van vertrouwelijkheid in het openbaar bestuur, zodat een afweging vereist is telkens wanneer een document een naam bevat. Een dergelijke overinterpretatie zou niet alleen afbreuk doen aan het recht van toegang van het publiek tot documenten, maar ook aan het werkelijke doel van gegevensbescherming.

Het heersende beginsel in het openbaar bestuur is om de burgers te dienen door middel van open besluitvormingsprocedures, zodat elke burger "daadwerkelijk en efficiënt toezicht kan uitoefenen op de uitoefening van de bevoegdheden die aan de communautaire instellingen zijn toegekend."(6)

5 De Europese Toezichthouder voor gegevensbescherming

In december 2000 hebben de Europese Raad en de Raad op grond van artikel 286, lid 2, van het EG-Verdrag Verordening (EG) nr. 45/2001 (hierna "de verordening gegevensbescherming" genoemd)(7) vastgesteld. Deze verordening legt de communautaire instellingen en organen en hun personeel verplichtingen op die een aanvulling vormen op die van de richtlijn gegevensbescherming.

Artikel 49 van de verordening gegevensbescherming bepaalt dat "[i]edere niet-nakoming van de verplichtingen uit hoofde van deze verordening, opzettelijk of uit nalatigheid, [...] een ambtenaar of ander personeelslid van de Europese Gemeenschappen tuchtrechtelijk aansprakelijk [stelt]".

Artikel 286, lid 2, EG bepaalt ook dat de Raad een onafhankelijk toezichthoudend orgaan instelt dat belast is met het toezicht op de gegevensbescherming in de communautaire instellingen en organen. Verordening (EG) nr. 45/2001 voorziet in een Europese Toezichthouder voor gegevensbescherming, die over ruime onderzoeks- en handhavingsbevoegdheden zal beschikken, waaronder het geven van bindende bevelen.

Op 18 juli 2001 heeft de Commissie een voorstel ingediend voor een besluit van de drie instellingen betreffende het statuut van de Europese Toezichthouder voor gegevensbescherming (8). Dit voorstel wordt momenteel besproken door de Commissie vrijheden en rechten van de burger, justitie en binnenlandse zaken (rapporteur: Sig.Ra Elena Ornella PACIOTTI). De Commissie juridische zaken (rapporteur: de heer Malcom HARBOUR) dient advies uit te brengen.

In de toelichting bij het Commissievoorstel staat dat het institutionele profiel van de Toezichthouder voor gegevensbescherming is gebaseerd op dat van de Europese Ombudsman (in het voorstel wordt ten onrechte verwezen naar de "Europese bemiddelaar"). In het voorstel wordt daarom verzocht om de volgende opmerkingen van de Ombudsman.

De status van de toezichthouder voor gegevensbescherming

Voor zover bekend zijn de toezichthouders voor gegevensbescherming in de lidstaten meestal ambtenaren die door de overheid zijn aangesteld. Zij houden toezicht op de verwerking van persoonsgegevens door zowel de private als de publieke sector. Wat de particuliere sector betreft, zijn zij analoog aan andere vormen van regelgeving. Wat de overheidssector betreft, lijken zij op interne controlemechanismen, zoals financieel controleurs en interne controleurs, die ook onafhankelijk zijn in de uitoefening van hun functies. Een dergelijk orgaan lijkt te zijn voorzien in artikel 286 van het EG-Verdrag, waarin alleen wordt verwezen naar een "onafhankelijk toezichthoudend orgaan".

In tegenstelling tot de klassieke ombudsinstellingen worden toezichthouders voor gegevensbescherming door het Parlement niet aangewezen als externe controlemechanismen voor de overheidssector. De enige instelling die we kennen is in Hongarije.

Om ervoor te zorgen dat het voorgestelde statuut naar behoren wordt besproken, moet het standpunt in de verschillende lidstaten worden onderzocht. De onderzoeksafdeling van het Europees Parlement heeft een dergelijk onderzoek uitgevoerd onder ombudsmannen en het recht om verzoekschriften in de lidstaten in te dienen.

Het voorstel van de Commissie bevat geen raming van de potentiële werklast van de Toezichthouder voor gegevensbescherming. In dit verband zij gewezen op de volgende punten:

Ten eerste is in Verordening (EG) nr. 45/2001 bepaald dat elke instelling en elk orgaan onafhankelijke verwerkingsverantwoordelijken voor gegevensbescherming moet aanwijzen. Zij hebben in de eerste plaats tot taak de naleving te waarborgen.

Ten tweede zal de Toezichthouder voor gegevensbescherming zich uitsluitend bezighouden met de communautaire instellingen en organen. In tegenstelling tot de nationale instanties is de Toezichthouder voor gegevensbescherming niet bevoegd voor de particuliere sector.

Ten derde zijn Europol en het Schengeninformatiesysteem aan een afzonderlijke regeling onderworpen.(9) Dit betekent dat weinig gevoelige persoonsgegevens waarschijnlijk onder het mandaat van de Toezichthouder voor gegevensbescherming zullen vallen. De ervaring van de Europese Ombudsman is dat er weinig klachten zijn geweest - en alleen van het personeel - over het niet beschermen van persoonsgegevens.

Procedurele waarborgen

De Toezichthouder voor gegevensbescherming krijgt ruime onderzoeks- en handhavingsbevoegdheden, waaronder het geven van bindende bevelen. Het ontwerpstatuut voorziet niet in procedurele waarborgen voor de onderzoeks- en handhavingsbevoegdheden.

In het Statuut van de Europese Ombudsman, dat het Europees Parlement in 1994 heeft vastgesteld (10), worden daarentegen de procedures van de Ombudsman vastgesteld en wordt bepaald dat de Ombudsman uitvoeringsbepalingen vaststelt. Het statuut en de uitvoeringsbepalingen zijn aan het Reglement van het Europees Parlement gehecht.

Om de transparantie voor de burgers en het juiste gebruik van bevoegdheden te waarborgen, moeten de procedures van de Toezichthouder voor gegevensbescherming even duidelijk worden gespecificeerd.

Reikwijdte van de gegevensbescherming

De doeltreffende uitvoering van de verordening inzake toegang van het publiek zou kunnen worden ondermijnd als het personeel dat verantwoordelijk is voor het vrijgeven van documenten werkt uit angst dat zij kunnen worden gestraft voor schending van de gegevensbeschermingsregels louter omdat een document een naam bevat.

Het Europees Parlement heeft de gelegenheid om bij de behandeling van het ontwerpstatuut en het speciaal verslag van de Ombudsman over klacht 713/98 te verduidelijken dat de regels inzake gegevensbescherming betrekking hebben op de bescherming van het privéleven en het familie- en gezinsleven, overeenkomstig de jurisprudentie betreffende de verhouding tussen artikel 8 van het Europees Verdrag tot bescherming van de rechten van de mens en het Verdrag inzake gegevensbescherming van de Raad van Europa.

Dit zou duidelijk maken dat het doel van gegevensbescherming niet is om de voor burgers beschikbare informatie over openbare activiteiten te beperken.

Het zou ook de personeelsleden die verantwoordelijk zijn voor de uitvoering van de verordening inzake toegang van het publiek geruststellen dat het enkele feit dat een document een naam bevat, niet betekent dat zij sancties riskeren door er toegang toe te verlenen.

6 Conclusies

Het statuut van de Europese Toezichthouder voor gegevensbescherming moet:

• gebaseerd zijn op een gedegen onderzoek naar de institutionele positie van functionarissen voor gegevensbescherming in de verschillende lidstaten;
• procedurele waarborgen bevatten om ervoor te zorgen dat de uitgebreide onderzoeks- en handhavingsbevoegdheden van de Toezichthouder eerlijk worden gebruikt;
• verduidelijken dat de regels inzake gegevensbescherming betrekking hebben op de bescherming van het privéleven en het familie- en gezinsleven, overeenkomstig de jurisprudentie over de verhouding tussen artikel 8 van het Europees Verdrag tot bescherming van de rechten van de mens en het Verdrag inzake gegevensbescherming van de Raad van Europa.

 

Jacob Söderman
Straatsburg 14 november 2001

---

(1) Voorstel voor een besluit van het Europees Parlement, de Raad en de Commissie betreffende het statuut van de Europese Toezichthouder voor gegevensbescherming en de algemene voorwaarden voor de uitoefening van zijn taken, als bedoeld in artikel 43 van Verordening (EG) nr. 45/2001 (COM(2001) 411 def.).

(2) Verordening (EG) nr. 1049/2001 van 30 mei 2001 inzake de toegang van het publiek tot documenten van het Europees Parlement, de Raad en de Commissie, PB L 145/43.

(3) Zie het speciaal verslag van de Ombudsman aan het Europees Parlement van 23 november 2000 in zaak 713/98. Het Europees Parlement houdt zich nog steeds bezig met het verslag.

(4) Richtlijn 95/46/EG betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, PB 1995, L 281/31.

(5) Amann tegen Zwitserland (verzoek nr. 27798/95), punt 65.

(6) Zaak T-92/98, Interporc Im- und Export GmbH/Commissie ("Interporc II"), Jurispr. 1999, blz. II-3521, punt 39.

(7) Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad van 18 december 2000 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de communautaire instellingen en organen en betreffende het vrije verkeer van die gegevens (PB L 8 van 18.12.2000, blz. 1).

(8) Aantekening 1 hierboven

(9) Besluit van de Raad van 17 oktober 2000 tot oprichting van een secretariaat voor de gemeenschappelijke controleorganen voor gegevensbescherming die zijn opgericht bij de Overeenkomst tot oprichting van een Europese politiedienst (Europol-overeenkomst), de Overeenkomst inzake het gebruik van informatica op douanegebied en de Overeenkomst ter uitvoering van het Akkoord van Schengen betreffende de geleidelijke afschaffing van de controles aan de gemeenschappelijke grenzen (Schengenovereenkomst, 2000 PB L 271/1.

(10) Besluit 94/262 van het Europees Parlement van 9 maart 1994 inzake het statuut van de Europese ombudsman en de algemene voorwaarden voor de uitoefening van zijn ambt (PB 1994, L 113, blz. 15).