Antecedentes da denúncia

1. Em setembro de 2013, um cidadão alemão solicitou o acesso a determinados documentos na posse do Organismo Europeu de Luta Antifraude («OLAF») e da Comissão Europeia, em conformidade com as regras da UE em matéria de acesso do público aos documentos [1]. No entanto, o OLAF e a Comissão tinham dúvidas quanto à sua identidade. Por conseguinte, o OLAF e a Comissão suspenderam temporariamente o tratamento dos pedidos de acesso, uma vez que, para ter direito de acesso aos documentos, tem de ser uma pessoa singular ou coletiva que resida ou seja cidadã de um Estado-Membro da UE.

2. O facto de o OLAF e a Comissão terem suspendido temporariamente o tratamento dos pedidos de acesso levou o requerente a apresentar uma queixa ao Provedor de Justiça (processos 2309/2013/JAS e 2310/2013/JAS contra o OLAF e a Comissão [2]). No decurso dos inquéritos do Provedor de Justiça sobre essas queixas, o queixoso teve conhecimento de que a Comissão ou o OLAF contactaram o que pensavam ser o seu empregador, uma universidade alemã, para verificar se era uma pessoa real e estabelecer a sua profissão [3].

3. O queixoso mostrou-se insatisfeito com o facto de a Comissão ou o OLAF terem contactado uma universidade para a qual nunca tinha afirmado trabalhar e queixou-se também ao Provedor de Justiça sobre esta questão. Apresentou uma queixa contra a Comissão e uma queixa semelhante contra o OLAF [4].

O inquérito

4. O Provedor de Justiça abriu um inquérito sobre a alegação de que a Comissão tinha tratado ilegalmente os dados pessoais do queixoso.

5. No decurso do inquérito, o Provedor de Justiça recebeu o parecer da Comissão sobre a queixa e, posteriormente, as observações do queixoso em resposta ao parecer da Comissão. Na condução do inquérito, o Provedor de Justiça teve em conta os argumentos e opiniões apresentados pelas partes.

Alegação de tratamento ilícito dos dados pessoais do queixoso

Argumentos apresentados ao Provedor de Justiça

6. Em apoio da sua alegação, o queixoso alegou que a Comissão tinha a) registado incorretamente informações sobre a sua atividade profissional, b) transferido os seus dados pessoais para um terceiro sem o seu consentimento e c) conservado dados pessoais na sua base de dados durante um período de tempo desproporcionado.

7. No seu parecer, a Comissão afirmou que a informação sobre a profissão não constitui uma condição para o exercício do direito de acesso aos documentos. A Comissão solicitou estas informações apenas para fins estatísticos. Tornará facultativo fornecer este tipo de informações no futuro.

8. As informações inexactas sobre as ligações profissionais do queixoso com a universidade alemã tinham sido inseridas na base de dados dos pedidos de acesso do OLAF, provavelmente devido a um erro material. A Comissão declarou que o OLAF lamenta qualquer inconveniente causado ao queixoso e que o OLAF corrigiu os dados.

9. No entanto, a Comissão reserva-se o direito de verificar a identidade e o endereço de um requerente que solicite o acesso do público aos documentos. A Comissão faz estes controlos, utilizando informações publicamente disponíveis, a fim de determinar se os requerentes são pessoas singulares que residem ou são cidadãos de um Estado-Membro da UE.

10. No que diz respeito ao período de conservação de dados alegadamente desproporcionado, a Comissão alegou que armazena dados pessoais em conformidade com as regras da UE em matéria de proteção de dados. Justifica-se conservar os dados pessoais dos requerentes após o tratamento de um pedido de acesso, a fim de assegurar a coerência jurídica e processual. A Comissão precisa de saber se tratou pedidos de acesso anteriores do mesmo requerente ou pedidos relativos aos mesmos documentos ou a documentos semelhantes, a fim de determinar se esses documentos podem ser considerados já «do domínio público». Além disso, as decisões que recusam o acesso a documentos podem ser apresentadas ao Provedor de Justiça ou ao Tribunal de Justiça. As informações pessoais sobre os requerentes são necessárias para que a Comissão possa tratar os pedidos corretamente e com pleno conhecimento de todas as circunstâncias, por exemplo, quando decide contactar informalmente os requerentes para encontrar uma solução justa no caso de um pedido ser relativo a um documento muito longo ou a um número muito elevado de documentos [5].

11. Nas suas observações, o queixoso manifestou o seu desapontamento pelo facto de a Comissão não se ter desculpado por ter registado incorretamente a sua profissão na sua base de dados.

12. O queixoso enviou ao Provedor de Justiça uma carta da Comissão, na qual esta afirmava que tinha revelado o seu nome à universidade [6].

13. O queixoso sustentou que se justifica que a Comissão conserve os dados pessoais apenas até ao termo dos prazos para recorrer ao Tribunal ou ao Provedor de Justiça. Em apoio do seu ponto de vista, anexou uma decisão da Autoridade Europeia para a Proteção de Dados (AEPD) que concluiu que a prática do OLAF de conservar dados pessoais na sua base de dados de inquéritos durante 15 anos era desproporcionada.

Avaliação do Provedor de Justiça

14. É provável que as informações incorretas sobre o queixoso que trabalhava para uma universidade alemã tenham sido introduzidas na base de dados em resultado de um erro material do OLAF. Uma vez que o OLAF lamentou o erro e corrigiu os dados, o Provedor de Justiça considera que este aspeto da alegação do queixoso foi resolvido. Não é claro para o Provedor de Justiça por que razão a Comissão deve pedir desculpa por um erro cometido pelo OLAF.

15. O Provedor de Justiça congratula-se com o facto de o formulário de pedido de acesso do público aos documentos no sítio Web da Comissão já não ter o domínio das atividades profissionais como um domínio obrigatório [7].

16. A Comissão não negou nem confirmou que transferiu os dados pessoais do queixoso, ou seja, o seu nome, para a universidade alemã onde pensava que ele trabalhava. Com efeito, a Comissão não abordou esta questão na sua opinião, apesar de o autor da denúncia ter invocado este argumento em apoio da sua alegação. No entanto, a carta da Comissão de 4 de fevereiro de 2014 ao autor da denúncia não deixa dúvidas quanto à questão de saber se a Comissão contactou a universidade e lhe divulgou o nome do autor da denúncia. A carta - que antecede o parecer da Comissão ao Provedor de Justiça - refere explicitamente que "no que se refere à sua atividade profissional, indicou ao OLAF que trabalhava para o Instituto de Direito Internacional e Europeu de [uma universidade alemã]. No entanto, este Instituto não existe sob o referido nome. Na sequência do nosso pedido [ou seja, da Comissão], a universidade observou que não tinha nenhum trabalhador com o nome ['Sr. X']"[8], ou seja, com o nome do autor da denúncia.

17. O contacto da Comissão com a universidade alemã não estava previsto nas suas próprias regras internas em matéria de proteção de dados (a sua notificação ao responsável pela proteção de dados no que diz respeito ao tratamento de dados pessoais no contexto do tratamento de pedidos de acesso do público a documentos [9]). Estas regras internas não preveem a transmissão de dados pessoais a terceiros [10].

18. No seu parecer, limitou-se a remeter para o seu alegado direito de proceder à verificação da identidade e do endereço utilizando informações publicamente disponíveis.

19. O Provedor de Justiça considera que a insistência da Comissão em confirmar a identidade de um requerente não se baseia em qualquer disposição concreta nem promove nenhum dos objetivos das regras da UE em matéria de acesso do público aos documentos.

20. Além disso, contactar o que a Comissão considera ser o empregador de uma pessoa vai além da consulta de informações publicamente disponíveis, a que a Comissão se refere no seu parecer. Pode argumentar-se que tal ação pode ter efeitos negativos para um requerente ao suscitar suspeitas por parte do seu empregador quanto ao motivo pelo qual uma instituição da União pretende confirmar a identidade do requerente, constituindo assim uma ingerência grave na sua vida pessoal.

21. Por conseguinte, ao divulgar o nome do queixoso à universidade, sem uma justificação válida, a Comissão cometeu um caso de má administração. Dado que a protecção dos dados pessoais é um direito fundamental [11] e devido à natureza intrusiva da acção da Comissão, a má administração é particularmente grave neste caso.

22. Tendo constatado má administração, não é necessário que o Provedor de Justiça aborde a questão de saber se a Comissão violou especificamente as regras da UE em matéria de proteção de dados [12]. Se o autor da reclamação pretender aprofundar este aspeto específico, continua a ser livre de apresentar uma reclamação à Autoridade Europeia para a Proteção de Dados, que dispõe de conhecimentos especializados e de responsabilidade no domínio da proteção de dados.

23. No que diz respeito ao período alegadamente desproporcionado de conservação de dados pessoais na base de dados de acesso aos documentos da Comissão, o Provedor de Justiça observa que a decisão da Autoridade Europeia para a Proteção de Dados referida pelo queixoso diz respeito ao OLAF e não à Comissão. A base de dados de acesso aos documentos da Comissão tem também uma finalidade diferente da do OLAF. Embora a base de dados da Comissão apenas contenha dados pessoais relativos aos pedidos de acesso do público aos documentos, a base de dados do OLAF contém informações sobre os seus inquéritos.

24. A notificação da Comissão ao seu responsável pela proteção de dados no que diz respeito ao tratamento de dados pessoais no contexto do tratamento de pedidos de acesso público a documentos indica que os dados pessoais dos requerentes são conservados por um período não superior a cinco anos, sendo normalmente apagados posteriormente [13]. O período de conservação pode, assim, ser prorrogado em certos casos.

25. Tanto a notificação ao responsável pela proteção de dados da Comissão - como o parecer da Comissão neste caso - explicam que este período de conservação é necessário, uma vez que as decisões que concedem um acesso nulo ou apenas parcial podem ser submetidas ao Tribunal ou ao Provedor de Justiça. Na opinião do Provedor de Justiça, um período de conservação de cinco anos é proporcional aos objetivos prosseguidos, uma vez que os processos nos tribunais da UE podem durar vários anos. A carta da Comissão de 4 de fevereiro de 2014 ao autor da denúncia refere, nomeadamente, um pedido de acesso a documentos apresentado pelo autor da denúncia em 2007 [14]. Assim, é evidente que, em 2014, a Comissão ainda conservava os dados pessoais do queixoso que este tinha apresentado seis ou sete anos antes. Por conseguinte, no caso do queixoso, a Comissão conservou os seus dados pessoais durante mais de cinco anos.

26. A Comissão não apresentou qualquer justificação para não ter apagado os dados pessoais do queixoso relativos a um pedido de acesso a documentos apresentado em 2007. Dado que a questão de saber se a Comissão deveria ter apresentado uma justificação para ter conservado os dados pessoais do queixoso a partir de 2007 não foi explicitamente abrangida pelo presente inquérito, o Provedor de Justiça não considera adequado determinar se a Comissão deteve os dados pessoais do queixoso durante um período de tempo desproporcionado e em violação da sua notificação.

27. O Provedor de Justiça informa novamente o queixoso da possibilidade de apresentar uma queixa à Autoridade Europeia para a Proteção de Dados, caso pretenda obter uma decisão especializada sobre se o período de conservação de dados da Comissão viola especificamente as regras da UE em matéria de proteção de dados. Por conseguinte, considera que não se justifica a realização de mais inquéritos sobre este aspeto da queixa.

28. A má administração por parte da Comissão não pode agora ser sanada e o queixoso não apresentou qualquer alegação que desejasse que a Comissão tomasse medidas específicas. Por conseguinte, o Provedor de Justiça encerrará este aspeto da queixa com uma observação crítica à Comissão.

Conclusão

Com base no inquérito relativo a esta queixa, o Provedor de Justiça encerra-a com as seguintes conclusões:

Ao retificar as informações incorretamente registadas sobre a atividade profissional do queixoso na base de dados pertinente, este aspeto da reclamação do queixoso foi resolvido.

No que diz respeito ao período de conservação dos dados pessoais na base de dados da Comissão, o Provedor de Justiça considera que não se justificam novos inquéritos.

Observação crítica

Ao transferir os dados pessoais do queixoso para um terceiro sem uma justificação válida, a Comissão cometeu um caso de má administração. Dado que a proteção dos dados pessoais é um direito fundamental previsto na Carta dos Direitos Fundamentais da UE, e devido ao facto de a ação da Comissão neste caso ter sido muito intrusiva, a má administração é particularmente grave.

O autor da denúncia e a Comissão serão informados desta decisão.

Emily O'Reilly

Estrasburgo, 12/07/2016

[1] Regulamento (CE) n.o 1049/2001 do Parlamento Europeu e do Conselho, de 30 de maio de 2001, relativo ao acesso do público aos documentos do Parlamento Europeu, do Conselho e da Comissão, JO L 145 de 31.5.2001, p. 43;

[2] As decisões do OLAF e da Comissão de pôr termo ao tratamento dos pedidos de acesso foram, por conseguinte, tratadas separadamente, pelo que não são abrangidas pelo âmbito do presente inquérito.

[3] A Comissão solicitou estes dados aos requerentes, a fim de tratar os seus pedidos de acesso do público aos documentos.

[4] Tratar separadamente com a referência 139/2015/PMC.

[5] Ver, a este respeito, o artigo 6.o, n.o 3, do Regulamento (CE) n.o 1049/2001.

[6] Esta carta foi igualmente enviada pela Comissão ao queixoso no contexto do inquérito da Provedora de Justiça sobre a queixa 2310/2013/JAS.

[7] https://ec.europa.eu/transparency/regdoc/index.cfm?fuseaction=fmb&&CFID=6076842&CFTOKEN=2e4472e118d31678-CA79D075-9960-F842-29FFB98461CB0B5B

[8] A carta da Comissão está redigida em alemão.

[9] Ver a notificação «DPO-1225.2 GestDem» sobre o tratamento de dados pessoais relacionados com a base de dados de acesso público aos documentos da Comissão, disponível em linha: http://ec.europa.eu/dpo-register/details.htm?id=35247

[10] V., a este respeito, ponto 16.

[11] Artigo 8.o da Carta dos Direitos Fundamentais da União Europeia.

[12] Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de Dezembro de 2000, relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados, JO L 8 de 12.1.2001, p. 1.

[13] Ponto 13.

[14] Gestdem 2007/4845.