Okoliczności powstania skargi

1. We wrześniu 2013 r. obywatel Niemiec zwrócił się o dostęp do niektórych dokumentów znajdujących się w posiadaniu Europejskiego Urzędu ds. Zwalczania Nadużyć Finansowych (OLAF) i Komisji Europejskiej zgodnie z przepisami UE dotyczącymi publicznego dostępu do dokumentów [1]. OLAF i Komisja miały jednak wątpliwości co do jego tożsamości. W związku z tym OLAF i Komisja tymczasowo zawiesiły rozpatrywanie wniosków o udzielenie dostępu, ponieważ aby mieć prawo dostępu do dokumentów, musisz być osobą fizyczną lub prawną zamieszkałą lub będącą obywatelem państwa członkowskiego UE.

2. Fakt, że OLAF i Komisja tymczasowo zawiesiły rozpatrywanie wniosków o udzielenie dostępu, skłonił wnioskodawcę do złożenia skargi do Rzecznika Praw Obywatelskich (sprawy 2309/2013/JAS i 2310/2013/JAS przeciwko OLAF i Komisji [2]). W trakcie dochodzenia Rzecznika Praw Obywatelskich w sprawie tych skarg skarżący dowiedział się, że Komisja lub OLAF skontaktowały się z jego pracodawcą, niemieckim uniwersytetem, w celu sprawdzenia, czy jest on prawdziwą osobą, i ustalenia jego zawodu [3].

3. Skarżący był niezadowolony z faktu, że Komisja lub OLAF skontaktowały się z uniwersytetem, dla którego nigdy nie powiedział, że pracuje, i również w tej sprawie złożył skargę do Rzecznika Praw Obywatelskich. Złożył jedną skargę - obecną przeciwko Komisji i podobną skargę przeciwko OLAF [4].

W przedmiocie dochodzenia

4. Rzecznik wszczął dochodzenie w sprawie zarzutu, że Komisja bezprawnie przetwarzała dane osobowe skarżącego.

5. W trakcie dochodzenia Rzecznik Praw Obywatelskich otrzymał opinię Komisji w sprawie skargi, a następnie uwagi skarżącego w odpowiedzi na opinię Komisji. Prowadząc dochodzenie, Rzecznik uwzględnił argumenty i opinie przedstawione przez strony.

Zarzut niezgodnego z prawem przetwarzania danych osobowych skarżącego

Argumenty przedstawione Rzecznikowi Praw Obywatelskich

6. Na poparcie swojego zarzutu skarżący twierdził, że Komisja a) nieprawidłowo zarejestrowała informacje na temat jego działalności zawodowej, b) przekazała jego dane osobowe osobie trzeciej bez jego zgody oraz c) przechowywała dane osobowe w swojej bazie danych przez nieproporcjonalny okres.

7. W swojej opinii Komisja stwierdziła, że informacje o zawodzie nie są warunkiem korzystania z prawa dostępu do dokumentów. Komisja zwróciła się o te informacje wyłącznie do celów statystycznych. Udostępnienie tego rodzaju informacji w przyszłości będzie opcjonalne.

8. Niedokładne informacje na temat powiązań zawodowych skarżącego z niemieckim uniwersytetem zostały wprowadzone przez OLAF do bazy danych wniosków o dostęp, prawdopodobnie z powodu błędu pisarskiego. Komisja stwierdziła, że OLAF ubolewa nad wszelkimi niedogodnościami dla skarżącego oraz że OLAF skorygował dane.

9. Komisja pragnie jednak zastrzec sobie prawo do sprawdzenia tożsamości i adresu wnioskodawcy ubiegającego się o publiczny dostęp do dokumentów. Komisja przeprowadza te kontrole, wykorzystując publicznie dostępne informacje, w celu ustalenia, czy wnioskodawcy są osobami fizycznymi zamieszkującymi w państwie członkowskim UE lub będącymi jego obywatelami.

10. W odniesieniu do rzekomo nieproporcjonalnego okresu zatrzymywania danych Komisja argumentowała, że przechowuje dane osobowe zgodnie z unijnymi przepisami o ochronie danych. Przechowywanie danych osobowych osób ubiegających się o ochronę międzynarodową po zakończeniu rozpatrywania wniosku o udzielenie dostępu jest uzasadnione w celu zapewnienia spójności prawnej i proceduralnej. Komisja musi wiedzieć, czy rozpatrywała wcześniejsze wnioski o udzielenie dostępu złożone przez tego samego wnioskodawcę lub wnioski dotyczące tych samych lub podobnych dokumentów, aby ustalić, czy dokumenty te można już uznać za „dostępne publicznie”. Ponadto decyzje o odmowie dostępu do dokumentów mogą być wnoszone do Rzecznika Praw Obywatelskich lub Trybunału Sprawiedliwości. Dane osobowe osób ubiegających się o ochronę międzynarodową są niezbędne, aby Komisja mogła prawidłowo rozpatrywać wnioski, mając pełną wiedzę na temat wszystkich okoliczności, na przykład podejmując decyzję o nieformalnym skontaktowaniu się z osobami ubiegającymi się o ochronę międzynarodową w celu znalezienia sprawiedliwego rozwiązania w przypadku, gdy wniosek dotyczy bardzo długiego dokumentu lub bardzo dużej liczby dokumentów [5].

11. W swoich uwagach skarżący wyraził rozczarowanie faktem, że Komisja nie przeprosiła za nieprawidłowe zarejestrowanie swojego zawodu w swojej bazie danych.

12. Skarżący przekazał Rzecznikowi pismo Komisji, w którym Komisja oświadczyła, że ujawniła jego nazwisko uniwersytetowi [6].

13. Skarżący utrzymywał, że uzasadnione jest, aby Komisja przechowywała dane osobowe wyłącznie do upływu terminów na wniesienie sprawy do Trybunału lub do Rzecznika Praw Obywatelskich. Na poparcie swojego stanowiska załączył decyzję Europejskiego Inspektora Ochrony Danych (EIOD) stwierdzającą, że praktyka OLAF-u polegająca na przechowywaniu danych osobowych w bazie danych dochodzeń przez 15 lat była nieproporcjonalna.

Ocena Rzecznika Praw Obywatelskich

14. Prawdopodobne jest, że nieprawidłowe informacje o skarżącym pracującym dla niemieckiego uniwersytetu zostały wprowadzone do bazy danych w wyniku błędu pisarskiego popełnionego przez OLAF. Biorąc pod uwagę, że OLAF wyraził ubolewanie z powodu błędu i skorygował dane, Rzecznik uważa, że ten aspekt zarzutu skarżącego został rozwiązany. Rzecznikowi nie jest jasne, dlaczego Komisja powinna przeprosić za błąd popełniony przez OLAF.

15. Rzecznik z zadowoleniem przyjmuje fakt, że w formularzu wniosku o publiczny dostęp do dokumentów zamieszczonym na stronie internetowej Komisji dziedzina działalności zawodowej nie jest już obowiązkowa [7].

16. Komisja ani nie zaprzeczyła, ani nie potwierdziła, że przekazała dane osobowe skarżącego, tj. jego nazwisko, niemieckiemu uniwersytetowi, na którym według niej pracował. W rzeczywistości Komisja w ogóle nie odniosła się do tej kwestii w swojej opinii, mimo że skarżący podniósł ten argument na poparcie swojego zarzutu. Jednakże pismo Komisji z dnia 4 lutego 2014 r. skierowane do skarżącego nie pozostawia wątpliwości co do tego, czy Komisja skontaktowała się z uniwersytetem i ujawniła mu nazwisko skarżącego. W piśmie, które poprzedza opinię Komisji skierowaną do Rzecznika Praw Obywatelskich, wyraźnie stwierdzono, że „w odniesieniu do Państwa działalności zawodowej wskazali Państwo OLAF-owi, że pracują Państwo dla Instytutu Prawa Międzynarodowego i Europejskiego [niemieckiego uniwersytetu]. Instytut ten nie istnieje jednak pod tą nazwą. W odpowiedzi na nasz [tj. wniosek Komisji] uniwersytet zauważył, że nie zatrudnia żadnego pracownika o nazwisku ['Mr X']"[8], czyli o nazwisku skarżącego.

17. Kontakt Komisji z niemieckim uniwersytetem nie był przewidziany w jej wewnętrznych przepisach dotyczących kwestii ochrony danych (powiadomienie inspektora ochrony danych o przetwarzaniu danych osobowych w kontekście rozpatrywania wniosków o publiczny dostęp do dokumentów [9]). Te przepisy wewnętrzne nie przewidują przekazywania danych osobowych osobom trzecim [10].

18. W swojej opinii ograniczyła się ona do powołania się na swoje domniemane prawo do weryfikacji tożsamości i adresu z wykorzystaniem publicznie dostępnych informacji.

19. Rzecznik uważa, że nacisk Komisji na potwierdzenie tożsamości wnioskodawcy nie opiera się na żadnym konkretnym przepisie ani nie promuje żadnego z celów przepisów UE dotyczących publicznego dostępu do dokumentów.

20. Ponadto kontaktowanie się z pracodawcą, który Komisja uważa za pracodawcę danej osoby, wykracza poza zasięganie publicznie dostępnych informacji, do których Komisja odnosi się w swojej opinii. Prawdopodobnie takie działanie mogłoby mieć negatywne skutki dla wnioskodawcy poprzez wzbudzenie u jego pracodawcy podejrzeń co do powodu, dla którego instytucja Unii stara się potwierdzić tożsamość wnioskodawcy, stanowiąc w ten sposób poważną ingerencję w jego życie osobiste.

21. W związku z tym, ujawniając uczelni nazwisko skarżącego, bez ważnego uzasadnienia, Komisja dopuściła się niewłaściwego administrowania. Biorąc pod uwagę, że ochrona danych osobowych jest prawem podstawowym [11] oraz ze względu na inwazyjny charakter działań Komisji, niewłaściwe administrowanie jest w tym przypadku szczególnie poważne.

22. Po stwierdzeniu niewłaściwego administrowania Rzecznik nie musi zajmować się kwestią, czy Komisja naruszyła w szczególności przepisy UE dotyczące ochrony danych [12]. Jeżeli skarżący chce dalej zajmować się tym konkretnym aspektem, może złożyć skargę do Europejskiego Inspektora Ochrony Danych, który posiada specjalistyczną wiedzę i odpowiedzialność w dziedzinie ochrony danych.

23. W odniesieniu do rzekomo nieproporcjonalnego okresu zatrzymywania danych osobowych w bazie danych dostępu Komisji do dokumentów Rzecznik zauważa, że decyzja Europejskiego Inspektora Ochrony Danych, do której odnosi się skarżący, dotyczy OLAF-u, a nie Komisji. Dostęp Komisji do bazy danych dokumentów służy również innemu celowi niż cel OLAF-u. Chociaż w bazie danych Komisji znajdują się dane osobowe dotyczące wyłącznie wniosków o publiczny dostęp do dokumentów, w bazie danych OLAF-u znajdują się informacje o prowadzonych przez niego dochodzeniach.

24. W powiadomieniu skierowanym przez Komisję do inspektora ochrony danych w odniesieniu do przetwarzania danych osobowych w kontekście rozpatrywania przez nią wniosków o publiczny dostęp do dokumentów stwierdza się, że dane osobowe wnioskodawców są przechowywane przez okres nie dłuższy niż pięć lat, a następnie są zazwyczaj usuwane [13]. Okres przechowywania może zatem zostać przedłużony w niektórych przypadkach.

25. Zarówno w powiadomieniu skierowanym do inspektora ochrony danych Komisji, jak i w opinii Komisji w tej sprawie wyjaśniono, że ten okres zatrzymywania danych jest konieczny, ponieważ decyzje o nieudzieleniu lub udzieleniu jedynie częściowego dostępu mogą zostać wniesione do Trybunału lub do Rzecznika Praw Obywatelskich. Zdaniem Rzecznika pięcioletni okres przechowywania danych jest proporcjonalny do zamierzonych celów, biorąc pod uwagę, że postępowania przed sądami UE mogą trwać kilka lat. Pismo Komisji do skarżącego z dnia 4 lutego 2014 r. odnosi się między innymi do wniosku o udzielenie dostępu do dokumentów złożonego przez skarżącego w 2007 r.[14]. Oczywiste jest zatem, że w 2014 r. Komisja nadal przechowywała dane osobowe skarżącego, które przedstawił on sześć lub siedem lat wcześniej. W związku z tym w przypadku skarżącego Komisja przechowywała jego dane osobowe przez okres dłuższy niż pięć lat.

26. Komisja nie przedstawiła żadnego uzasadnienia, dlaczego nie usunęła danych osobowych skarżącego dotyczących wniosku o dostęp do dokumentów złożonego w 2007 r. Biorąc pod uwagę, że kwestia, czy Komisja powinna była przedstawić uzasadnienie przechowywania danych osobowych skarżącego od 2007 r., nie została wyraźnie objęta niniejszym dochodzeniem, Rzecznik nie uważa za właściwe ustalenie, czy Komisja przechowywała dane osobowe skarżącego przez nieproporcjonalny okres czasu i z naruszeniem jego zgłoszenia.

27. Rzecznik ponownie informuje skarżącego o możliwości wniesienia skargi do Europejskiego Inspektora Ochrony Danych, jeżeli chce on uzyskać specjalistyczną decyzję w sprawie tego, czy okres zatrzymywania danych przez Komisję wyraźnie narusza przepisy UE dotyczące ochrony danych. Składająca petycję uważa zatem, że dalsze dochodzenia w tym aspekcie skargi nie są uzasadnione.

28. Nie można obecnie zaradzić niewłaściwemu administrowaniu ze strony Komisji, a skarżący nie wysunął żadnych żądań, aby Komisja podjęła jakiekolwiek konkretne działania. Rzecznik zamknie zatem ten aspekt skargi uwagą krytyczną skierowaną do Komisji.

Wnioski

Na podstawie dochodzenia w sprawie tej skargi Rzecznik zamyka je następującymi ustaleniami:

Poprzez skorygowanie nieprawidłowo zarejestrowanych informacji na temat działalności zawodowej skarżącego w odpowiedniej bazie danych, ten aspekt skargi skarżącego został rozwiązany.

Jeżeli chodzi o okres zatrzymywania danych osobowych w bazie danych Komisji, Rzecznik uważa, że dalsze dochodzenia nie są uzasadnione.

Uwaga krytyczna

Przekazując dane osobowe skarżącego osobie trzeciej bez ważnego uzasadnienia, Komisja dopuściła się niewłaściwego administrowania. Biorąc pod uwagę, że ochrona danych osobowych jest prawem podstawowym przewidzianym w Karcie praw podstawowych Unii Europejskiej, a także ze względu na fakt, że działania Komisji w tej sprawie były bardzo inwazyjne, niewłaściwe administrowanie jest szczególnie poważne.

Skarżący i Komisja zostaną poinformowani o tej decyzji.

Emily O'Reilly

Strasburg, 12 lipca 2016 r.

[1] rozporządzenie (WE) nr 1049/2001 Parlamentu Europejskiego i Rady z dnia 30 maja 2001 r. w sprawie publicznego dostępu do dokumentów Parlamentu Europejskiego, Rady i Komisji, Dz.U. L 145/43 z 31.5.2001;

[2] Decyzje OLAF-u i Komisji o zaprzestaniu rozpatrywania wniosków o udzielenie dostępu były zatem rozpatrywane oddzielnie i w związku z tym nie wchodzą w zakres niniejszego dochodzenia.

[3] Komisja zwróciła się do wnioskodawców o przekazanie tych danych w celu rozpatrzenia ich wniosków o publiczny dostęp do dokumentów.

[4] Sprawa rozpatrywana oddzielnie pod sygnaturą sprawy 139/2015/PMC.

[5] Zob. w tym względzie art. 6 ust. 3 rozporządzenia 1049/2001.

[6] Pismo to zostało również wysłane przez Komisję do skarżącego w kontekście dochodzenia Rzecznika Praw Obywatelskich w sprawie skargi 2310/2013/JAS.

[7] https://ec.europa.eu/transparency/regdoc/index.cfm?fuseaction=fmb&&CFID=6076842&CFTOKEN=2e4472e118d31678-CA79D075-9960-F842-29FFB98461CB0B5B

[8] Pismo Komisji jest napisane w języku niemieckim.

[9] Zob. powiadomienie „DPO-1225.2 GestDem” w sprawie przetwarzania danych osobowych w związku z publiczną bazą danych Komisji dotyczącą dostępu do dokumentów, dostępne online: http://ec.europa.eu/dpo-register/details.htm?id=35247

[10] Zob. w tym względzie pkt 16.

[11] Art. 8 Karty praw podstawowych Unii Europejskiej.

[12] Rozporządzenie (WE) nr 45/2001 Parlamentu Europejskiego i Rady z dnia 18 grudnia 2000 r. o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje i organy wspólnotowe i o swobodnym przepływie takich danych, Dz.U. L 8 z 12.1.2001, s. 1.

[13] Punkt 13.

[14] Gestdem 2007/4845.