Contextul plângerii

1. În septembrie 2013, un cetățean german a solicitat accesul la anumite documente deținute de Oficiul European de Luptă Antifraudă („OLAF”) și de Comisia Europeană, în conformitate cu normele UE privind accesul public la documente [1]. Cu toate acestea, OLAF și Comisia aveau îndoieli cu privire la identitatea sa. Prin urmare, OLAF și Comisia și-au suspendat temporar prelucrarea cererilor de acces, deoarece, pentru a avea drept de acces la documente, trebuie să fiți o persoană fizică sau juridică cu reședința într-un stat membru al UE sau să fiți cetățean al unui stat membru al UE.

2. Faptul că OLAF și Comisia și-au suspendat temporar tratarea cererilor de acces a determinat solicitantul să depună o plângere la Ombudsman [cauzele 2309/2013/JAS și 2310/2013/JAS împotriva OLAF și a Comisiei [2]]. În cursul anchetelor Ombudsmanului cu privire la aceste plângeri, reclamantul a aflat că Comisia sau OLAF au contactat ceea ce au considerat a fi angajatorul său, o universitate germană, pentru a verifica dacă este o persoană reală și pentru a-și stabili profesia [3].

3. Reclamantul a fost nemulțumit de faptul că Comisia sau OLAF au contactat o universitate pentru care nu a declarat niciodată că lucrează și a adresat, de asemenea, o plângere Ombudsmanului cu privire la această chestiune. Acesta a depus o plângere - prezenta împotriva Comisiei și o plângere similară împotriva OLAF [4].

Ancheta

4. Ombudsmanul a deschis o anchetă privind presupusa prelucrare ilegală de către Comisie a datelor cu caracter personal ale reclamantului.

5. În cursul anchetei, Ombudsmanul a primit avizul Comisiei cu privire la plângere și, ulterior, observațiile reclamantului ca răspuns la avizul Comisiei. În desfășurarea anchetei, Ombudsmanul a luat în considerare argumentele și opiniile prezentate de părți.

Acuzația de prelucrare ilegală a datelor cu caracter personal ale reclamantului

Argumente prezentate Ombudsmanului

6. În sprijinul afirmației sale, reclamantul a susținut că Comisia a a) înregistrat în mod incorect informații cu privire la activitatea sa profesională, b) a transferat datele sale cu caracter personal unui terț fără consimțământul său și c) a păstrat datele cu caracter personal în baza sa de date pentru o perioadă disproporționată de timp.

7. În avizul său, Comisia a afirmat că informarea cu privire la profesie nu este o condiție pentru exercitarea dreptului de acces la documente. Comisia a solicitat aceste informații exclusiv în scopuri statistice. Aceasta va face opțională furnizarea acestui tip de informații în viitor.

8. Informațiile inexacte cu privire la legăturile profesionale ale reclamantului cu universitatea germană au fost introduse în baza de date pentru cererile de acces ale OLAF, probabil din cauza unei erori materiale. Comisia a afirmat că OLAF regretă orice inconvenient cauzat reclamantului și că OLAF a corectat datele.

9. Cu toate acestea, Comisia dorește să își rezerve dreptul de a verifica identitatea și adresa unui solicitant care solicită accesul public la documente. Comisia efectuează aceste verificări, utilizând informații disponibile public, pentru a stabili dacă solicitanții sunt persoane fizice cu reședința într-un stat membru al UE sau sunt cetățeni ai unui stat membru al UE.

10. În ceea ce privește presupusa perioadă disproporționată de păstrare a datelor, Comisia a susținut că stochează date cu caracter personal în conformitate cu normele UE privind protecția datelor. Păstrarea datelor cu caracter personal ale solicitanților după finalizarea tratării unei cereri de acces este justificată pentru a asigura coerența juridică și procedurală. Comisia trebuie să știe dacă a tratat cereri de acces anterioare din partea aceluiași solicitant sau cereri referitoare la documente identice sau similare pentru a stabili dacă aceste documente ar putea fi considerate deja „în domeniul public”. De asemenea, deciziile prin care se refuză accesul la documente ar putea fi înaintate Ombudsmanului sau Curții de Justiție. Informațiile cu caracter personal referitoare la solicitanți sunt necesare pentru ca Comisia să trateze cererile în mod corect și în deplină cunoștință a tuturor circumstanțelor, de exemplu atunci când decide dacă să contacteze solicitanții în mod informal pentru a găsi o soluție echitabilă în cazul în care o cerere vizează un document foarte lung sau un număr foarte mare de documente [5].

11. În observațiile sale, reclamantul și-a exprimat dezamăgirea cu privire la faptul că Comisia nu și-a cerut scuze pentru înregistrarea incorectă a profesiei sale în baza sa de date.

12. Reclamantul a transmis Ombudsmanului o scrisoare din partea Comisiei, în care Comisia a declarat că a dezvăluit numele său universității [6].

13. Reclamantul a susținut că este justificat ca Comisia să păstreze datele cu caracter personal numai până la expirarea termenelor pentru sesizarea Curții sau a Ombudsmanului. În sprijinul opiniei sale, acesta a anexat o decizie a Autorității Europene pentru Protecția Datelor (AEPD) prin care se constată că practica OLAF de a păstra datele cu caracter personal în baza sa de date privind investigațiile timp de 15 ani este disproporționată.

Evaluarea Ombudsmanului

14. Este probabil ca informațiile incorecte cu privire la reclamantul care lucrează pentru o universitate germană să fi fost introduse în baza de date ca urmare a unei erori materiale comise de OLAF. Având în vedere că OLAF a regretat greșeala și a corectat datele, Ombudsmanul consideră că acest aspect al afirmației reclamantului a fost rezolvat. Ombudsmanului nu îi este clar de ce Comisia ar trebui să își ceară scuze pentru o greșeală comisă de OLAF.

15. Ombudsmanul salută faptul că formularul de solicitare a accesului public la documente de pe site-ul web al Comisiei nu mai are domeniul activităților profesionale ca domeniu obligatoriu [7].

16. Comisia nu a negat și nici nu a confirmat că a transferat datele cu caracter personal ale reclamantului, și anume numele acestuia, către universitatea germană unde credea că lucrează. De fapt, Comisia nu a abordat deloc această chestiune în avizul său, chiar dacă reclamantul a invocat acest argument în sprijinul afirmației sale. Cu toate acestea, scrisoarea Comisiei din 4 februarie 2014 adresată reclamantului nu lasă nicio îndoială în ceea ce privește întrebarea dacă Comisia a contactat universitatea și i-a dezvăluit numele reclamantului. Scrisoarea - care precede avizul Comisiei adresat Ombudsmanului - menționează în mod explicit că „în ceea ce privește activitatea dumneavoastră profesională, ați indicat OLAF că lucrați pentru Institutul de Drept Internațional și European al [unei universități germane]. Cu toate acestea, acest institut nu există sub numele menționat. În urma solicitării noastre [și anume a Comisiei], universitatea a remarcat că nu are niciun angajat cu numele ["domnul X"][8], adică cu numele reclamantului.

17. Contactul Comisiei cu universitatea germană nu a fost prevăzut în propriile norme interne privind aspectele legate de protecția datelor [notificarea sa către responsabilul său cu protecția datelor în ceea ce privește prelucrarea datelor cu caracter personal în contextul gestionării cererilor de acces public la documente [9]]. Aceste norme interne nu prevăd transmiterea datelor cu caracter personal către terți [10].

18. În opinia sa, aceasta s-a limitat să facă referire la pretinsul său drept de a efectua verificarea identității și a adresei utilizând informații aflate la dispoziția publicului.

19. Ombudsmanul consideră că insistența Comisiei de a confirma identitatea unui solicitant nu se bazează pe nicio dispoziție concretă și nici nu promovează vreunul dintre obiectivele normelor UE privind accesul public la documente.

20. În plus, contactarea a ceea ce Comisia consideră a fi angajatorul unei persoane nu se limitează la consultarea informațiilor disponibile publicului, la care Comisia face referire în avizul său. Se poate susține că o astfel de acțiune ar putea avea efecte negative pentru un solicitant, invocând suspiciuni din partea angajatorului său cu privire la motivul pentru care o instituție a Uniunii urmărește să confirme identitatea solicitantului, constituind astfel o ingerință gravă în viața sa personală.

21. Prin urmare, prin divulgarea numelui reclamantului către universitate, fără o justificare valabilă, Comisia a comis un caz de administrare defectuoasă. Având în vedere că protecția datelor cu caracter personal este un drept fundamental [11] și din cauza caracterului intruziv al acțiunii Comisiei, administrarea defectuoasă este deosebit de gravă în acest caz.

22. După ce a constatat administrarea defectuoasă, nu este necesar ca Ombudsmanul să analizeze dacă Comisia a încălcat în mod specific normele UE privind protecția datelor [12]. În cazul în care reclamantul dorește să urmărească în continuare acest aspect specific, acesta rămâne liber să depună o plângere la Autoritatea Europeană pentru Protecția Datelor, care are expertiză și responsabilitate de specialitate în domeniul protecției datelor.

23. În ceea ce privește presupusa perioadă disproporționată de păstrare a datelor cu caracter personal în baza de date a Comisiei privind accesul la documente, Ombudsmanul observă că decizia Autorității Europene pentru Protecția Datelor menționată de reclamant se referă la OLAF, și nu la Comisie. Accesul Comisiei la baza de date cu documente are, de asemenea, un alt scop decât cel al OLAF. În timp ce baza de date a Comisiei conține date cu caracter personal numai în legătură cu cererile de acces public la documente, baza de date a OLAF conține informații cu privire la investigațiile sale.

24. Notificarea Comisiei către responsabilul său cu protecția datelor în ceea ce privește prelucrarea datelor cu caracter personal în contextul gestionării cererilor de acces public la documente prevede că datele cu caracter personal ale solicitanților sunt stocate pentru o perioadă de cel mult cinci ani și, în mod normal, sunt șterse ulterior [13]. Prin urmare, perioada de păstrare poate fi prelungită în anumite cazuri.

25. Atât notificarea către responsabilul cu protecția datelor din cadrul Comisiei - cât și avizul Comisiei în acest caz - explică faptul că această perioadă de păstrare este necesară deoarece deciziile prin care se acordă acces parțial sau inexistent pot fi aduse în fața Curții sau a Ombudsmanului. În opinia Ombudsmanului, o perioadă de păstrare de cinci ani este proporțională cu obiectivele urmărite, având în vedere că procedurile în fața instanțelor UE pot dura mai mulți ani. Scrisoarea Comisiei din 4 februarie 2014 adresată reclamantului se referă, printre altele, la o cerere de acces la documente formulată de reclamant în 2007 [14]. Prin urmare, este clar că, în 2014, Comisia continua să stocheze datele cu caracter personal ale reclamantului pe care acesta le prezentase cu șase sau șapte ani înainte. În consecință, în cazul reclamantului, Comisia a păstrat datele sale cu caracter personal pentru o perioadă mai mare de cinci ani.

26. Comisia nu a furnizat nicio justificare cu privire la motivul pentru care nu a șters datele cu caracter personal ale reclamantului referitoare la o cerere de acces la documente formulată în 2007. Având în vedere că întrebarea dacă Comisia ar fi trebuit să furnizeze o justificare pentru păstrarea datelor cu caracter personal ale reclamantului din 2007 nu a fost acoperită în mod explicit de prezenta anchetă, Ombudsmanul nu consideră oportun să stabilească dacă Comisia a păstrat datele cu caracter personal ale reclamantului pentru o perioadă disproporționată de timp și cu încălcarea notificării sale.

27. Ombudsmanul informează din nou reclamantul cu privire la posibilitatea de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor, în cazul în care dorește să obțină o decizie de specialitate care să stabilească dacă perioada de păstrare a datelor de către Comisie încalcă în mod specific normele UE privind protecția datelor. Prin urmare, petiționara consideră că nu se justifică nicio anchetă suplimentară cu privire la acest aspect al plângerii.

28. Administrarea defectuoasă din partea Comisiei nu poate fi remediată în prezent, iar reclamantul nu a prezentat nicio afirmație prin care să solicite Comisiei să ia vreo măsură specială. Prin urmare, Ombudsmanul va închide acest aspect al plângerii cu o observație critică adresată Comisiei.

Concluzie

Pe baza anchetei privind această plângere, Ombudsmanul o închide cu următoarele constatări:

Prin rectificarea informațiilor înregistrate incorect cu privire la activitatea profesională a reclamantului în baza de date relevantă, acest aspect al plângerii reclamantului a fost soluționat.

În ceea ce privește perioada de păstrare a datelor cu caracter personal în baza de date a Comisiei, Ombudsmanul consideră că nu sunt justificate alte anchete.

Observație critică

Prin transferarea datelor cu caracter personal ale reclamantului către un terț fără o justificare valabilă, Comisia a comis o administrare defectuoasă. Având în vedere că protecția datelor cu caracter personal este un drept fundamental prevăzut în Carta drepturilor fundamentale a UE și faptul că acțiunea Comisiei în acest caz a fost foarte intruzivă, administrarea defectuoasă este deosebit de gravă.

Reclamantul și Comisia vor fi informați cu privire la această decizie.

Emily O'Reilly

Strasbourg, 12.7.2016

[1] Regulamentul (CE) nr. 1049/2001 al Parlamentului European și al Consiliului din 30 mai 2001 privind accesul public la documentele Parlamentului European, ale Consiliului și ale Comisiei, JO L 145/43 din 31.5.2001;

[2] Deciziile OLAF și ale Comisiei de a opri tratarea cererilor de acces au fost, prin urmare, tratate separat și, prin urmare, nu intră în domeniul de aplicare al prezentei anchete.

[3] Comisia a solicitat aceste date de la solicitanți pentru a le prelucra cererile de acces public la documente.

[4] Se tratează separat cu numărul de referință 139/2015/PMC.

[5] A se vedea, în acest sens, articolul 6 alineatul (3) din Regulamentul 1049/2001.

[6] Această scrisoare a fost, de asemenea, trimisă de Comisie reclamantului în contextul anchetei Ombudsmanului privind plângerea 2310/2013/JAS.

[7] https://ec.europa.eu/transparency/regdoc/index.cfm?fuseaction=fmb&&CFID=6076842&CFTOKEN=2e4472e118d31678-CA79D075-9960-F842-29FFB98461CB0B5B

[8] Scrisoarea Comisiei este redactată în limba germană.

[9] A se vedea notificarea „DPO-1225.2 GestDem” privind prelucrarea datelor cu caracter personal în legătură cu baza de date a Comisiei privind accesul public la documente, disponibilă online: http://ec.europa.eu/dpo-register/details.htm?id=35247

[10] A se vedea, în acest sens, punctul 16.

[11] Articolul 8 din Carta drepturilor fundamentale a Uniunii Europene.

[12] Regulamentul (CE) nr. 45/2001 al Parlamentului European și al Consiliului din 18 decembrie 2000 privind protecția persoanelor fizice cu privire la prelucrarea datelor cu caracter personal de către instituțiile și organele comunitare și privind libera circulație a acestor date, JO L 8/1, 12.1.2001.

[13] Punctul 13.

[14] Gestdem 2007/4845.