Realizat în conformitate cu articolul 4 alineatul (1) din Statutul Ombudsmanului European ^[1]

Contextul plângerii

1. În octombrie 2021, reclamantul a solicitat CEPD să îi acorde acces public la documentele sale pregătitoare care au condus la adoptarea declarației sale, a orientărilor sale și a răspunsului său adresat unui deputat în Parlamentul European cu privire la transferurile internaționale prevăzute în RGPD. Printre acestea s-au numărat proiectele de documente, notele de informare și procesele-verbale ale reuniunilor în cadrul cărora au fost discutate documentele.

2. CEPD a identificat 103 documente care intră în domeniul de aplicare al cererii reclamantului ^[2]. Aceasta a acordat acces deplin la 17 dintre aceste documente, acces parțial la 16 documente și a refuzat accesul la celelalte documente. Atunci când a refuzat accesul la documente, CEPD s-a bazat pe necesitatea de a-și proteja procesul decizional și datele cu caracter personal. CEPD a considerat că nu există niciun interes public superior care să justifice divulgarea documentelor.

3. Reclamantul s-a adresat Ombudsmanului. Acesta s-a plâns că CEPD s-a bazat pe excepția decizională într-un mod prea larg și că există un interes public superior care justifică divulgarea documentelor. De asemenea, acesta a declarat că a solicitat accesul la documente în formă anonimizată.

4. Ombudsmanul a deschis o anchetă și echipa sa a inspectat documentele care nu au fost divulgate reclamantului, parțial sau integral. Aceștia au organizat, de asemenea, o reuniune cu reprezentanți ai CEPD [3].

5. În cursul anchetei, CEPD a reevaluat documentele și a acordat un acces parțial mai larg la două documente, care au fost furnizate reclamantului.

6. CEPD a susținut că divulgarea suplimentară a documentelor ar da naștere unei presiuni externe nejustificate asupra membrilor consiliului său de administrație în cazul în care opiniile acestora ar fi făcute publice și că acest lucru ar cauza incertitudine sau confuzie pentru public. În plus, CEPD a afirmat că divulgarea ar împiedica capacitatea sa de a oferi o interpretare coerentă a normelor de protecție a datelor, ar submina misiunea sa de a se exprima cu o singură voce și ar interfera cu rolul său independent. CEPD a susținut, de asemenea, că divulgarea ar distrage atenția de la versiunea publicată și ar încuraja părțile interesate să nu urmeze această poziție finală. În cele din urmă, CEPD a susținut că viitoarea sa poziție în ceea ce privește negocierile referitoare la Legea conformității fiscale a conturilor străine din SUA (FATCA) ar fi subminată de divulgarea documentelor solicitate.

Propunerea Ombudsmanului pentru o soluție

7. După examinarea documentelor în cauză, Ombudsmanul a constatat că documentele divulgate parțial de CEPD fie nu intrau în domeniul de aplicare al cererii, fie au fost ulterior divulgate de CEPD, fie au păstrat doar identitatea autorului comentariului, ceea ce nu este contestat de reclamant.

8. În ceea ce privește documentele care nu au fost divulgate în întregime, Ombudsmanul a constatat că CEPD nu a acordat reclamantului un acces suficient de larg.

9. Ombudsmanul a recunoscut că cererea reclamantului viza diferite tipuri de documente pregătitoare, și anume documente legate de elaborarea orientărilor CEPD [4], pe de o parte, și documente legate de elaborarea unei declarații a CEPD [5] și a unui răspuns adresat unui deputat în Parlamentul European [6], pe de altă parte. Ombudsmanul a constatat că nu este clar modul în care procesul decizional al CEPD ar putea fi grav subminat de divulgarea acestor documente pregătitoare, având în vedere natura și conținutul acestora, și că CEPD nu a reușit să demonstreze, în termeni reali și specifici, riscurile care ar decurge din acordarea unui acces mai larg la aceste documente.

10. Pe baza evaluării documentelor în cauză și a constatărilor sale, Ombudsmanul a propus CEPD să efectueze o nouă evaluare a cererii de acces a reclamantului și să acorde un acces cât mai larg posibil la documentele care nu au fost divulgate în întregime ^[7].

11. Ca răspuns la propunerea de soluție a Ombudsmanului, CEPD și-a menținut poziția și a refuzat divulgarea ulterioară. Aceasta a reiterat argumentele menționate anterior și, în plus, a susținut că divulgarea proiectelor de versiuni ale documentelor ar aduce atingere protecției efective a datelor cu caracter personal. CEPD s-a bazat, de asemenea, pe necesitatea de a proteja relațiile internaționale ca motiv pentru a justifica nedivulgarea documentelor în cauză ^[8]. Mai precis, CEPD a explicat că declarația internațională în cauză a fost adoptată pentru a invita statele membre să își evalueze și să își revizuiască acordurile internaționale care implică transferuri de date cu caracter personal, inclusiv cele legate de impozitare. CEPD a afirmat că, pe baza experienței sale anterioare, divulgarea versiunilor anonimizate ale documentelor nu ar împiedica atribuirea punctelor de vedere anumitor părți și, prin urmare, divulgarea ar afecta grav procesul său decizional. 

12. Propunerea de soluție și răspunsul CEPD la propunere au fost furnizate reclamantului și acesta a respins din nou raționamentul furnizat de CEPD în menținerea deciziei sale de a refuza accesul.

Evaluarea Ombudsmanului în urma propunerii de soluție

13. CEPD este un organism independent al UE, alcătuit din reprezentanți ai autorităților naționale de protecție a datelor din UE și ai Autorității Europene pentru Protecția Datelor (AEPD), împreună cu autoritățile de supraveghere din statele AELS care fac parte din SEE în ceea ce privește aspectele legate de RGPD. Comisia Europeană și, în ceea ce privește aspectele legate de RGPD, Autoritatea AELS de Supraveghere au dreptul de a participa la activitățile și reuniunile comitetului fără a avea drept de vot.

14. Rolul CEPD este de a contribui la aplicarea consecventă a normelor de protecție a datelor în întreaga UE și de a promova cooperarea dintre autoritățile UE pentru protecția datelor. În acest scop, CEPD oferă orientări generale (inclusiv orientări, recomandări și bune practici) pentru a clarifica legislația și pentru a promova o înțelegere comună a legislației UE privind protecția datelor. CEPD adoptă, de asemenea, avize adresate Comisiei sau autorităților naționale de supraveghere. În cele din urmă, CEPD poate adopta decizii obligatorii adresate autorităților naționale de supraveghere, menite să soluționeze litigiile care apar între acestea atunci când cooperează pentru a asigura respectarea RGPD. Prin urmare, CEPD joacă un rol esențial în ceea ce privește aplicarea și interpretarea consecventă a normelor UE privind protecția datelor în întreaga UE – un domeniu de mare importanță publică care afectează un drept fundamental.

15. Documentele în cauză în prezenta anchetă pot fi împărțite în trei categorii, și anume (i) versiunile preliminare ale declarației CEPD 4/2021 privind acordurile internaționale, inclusiv transferurile, (ii) versiunile preliminare ale răspunsului adresat deputatului în Parlamentul European și (iii) versiunile preliminare ale Orientărilor CEPD 2/2020.^[9] În răspunsul său adresat Ombudsmanului, CEPD a explicat că unele dintre documentele pregătitoare sunt versiuni provizorii, ceea ce înseamnă că nu conțin modificări sau observații ulterioare, unele sunt versiuni preliminare care conțin modificări ulterioare fără observații, iar altele conțin observații fie din partea membrilor CEPD, fie din partea secretariatului CEPD, fie, în unele cazuri, din partea Comisiei.

16. Declarația CEPD, în forma sa finală, cuprinde o invitație și o recomandare adresată statelor membre de a-și revizui acordurile internaționale existente pentru a se asigura că acestea respectă legislația și jurisprudența Uniunii privind protecția datelor. Declarația a fost elaborată ca răspuns la Rezoluția Parlamentului European din 5 iulie 2018 referitoare la efectele negative ale FATCA asupra cetățenilor UE ^[10] și la solicitările adresate de reclamanți Grupului de lucru „Articolul 29”^[11] în această privință.

17. Răspunsul CEPD adresat deputatului în Parlamentul European a rezultat dintr-o scrisoare trimisă de deputat la 28 mai 2021. În forma finală a scrisorii, CEPD explică rolul autorităților naționale de supraveghere în monitorizarea și asigurarea respectării RGPD și al eforturilor CEPD de a clarifica normele UE privind transferurile internaționale de date cu caracter personal prin adoptarea declarației și a orientărilor sale.

18. Este important să se clarifice faptul că declarația și răspunsul CEPD nu reprezintă o interpretare a dispozițiilor RGPD. Acestea sunt răspunsuri formale ale comitetului la întrebările pe care le-a primit, în care acesta reafirmă cerințele prevăzute în RGPD și în Directiva privind protecția datelor în materie de asigurare a respectării legii (LED) în lumina jurisprudenței recente. Ca atare, documentele pregătitoare care au condus la adoptarea acestor răspunsuri și cele din cauza anterioară a Ombudsmanului 386/2021/AMF, care privea o orientare a CEPD care conținea o interpretare cu autoritate a RGPD, nu sunt de aceeași natură.

19. Pe de altă parte, orientările urmăresc să ofere orientări organismelor publice din SEE cu privire la aplicarea RGPD în ceea ce privește transferurile de date cu caracter personal în diverse scopuri de cooperare administrativă către organisme publice din țări terțe sau către organizații internaționale care nu fac obiectul unei constatări privind caracterul adecvat al nivelului de protecție. Orientările conțin astfel o interpretare cu valoare de autoritate a RGPD.

20. Acestea fiind spuse, Ombudsmanul ar dori să sublinieze că Regulamentul 1049/2001 se aplică tuturor documentelor deținute de instituții ^[12] și se bazează pe ipoteza că „deschiderea permite cetățenilor să participe mai îndeaproape la procesul decizional și garantează că administrația se bucură de o mai mare legitimitate, este mai eficace și mai responsabilă față de cetățeni într-un sistem democratic^{”. [13]} Acest principiu al transparenței se aplică indiferent dacă documentele fac sau nu parte din procesul legislativ al Uniunii. Accesul la documente poate fi restricționat numai dacă se aplică una (sau mai multe) dintr-un număr limitat de excepții prevăzute în Regulamentul 1049/2001 ^[14].

21. În acest caz, CEPD s-a întemeiat pe mai multe excepții din Regulamentul 1049/2001 pentru a refuza accesul deplin la documentele pregătitoare solicitate, și anume pe necesitatea de a-și proteja procesul decizional, datele cu caracter personal și interesul public în ceea ce privește relațiile internaționale.

22. În plângerea sa adresată Ombudsmanului, reclamantul nu contestă ocultarea datelor cu caracter personal din documentele pe care le-a solicitat. Prin urmare, nu este necesar ca Ombudsmanul să evalueze dacă invocarea acestei excepții de către CEPD a fost justificată.

23. Principalul motiv invocat de CEPD pentru a refuza accesul la documentele solicitate este de a-și proteja procesul decizional, protejându-și membrii comitetului de presiunile externe, pentru a permite discuții sincere și schimbul de „avize necenzurate” în cadrul comitetului. CEPD este, de asemenea, preocupat de faptul că documentele pregătitoare ar putea fi interpretate greșit, afectând astfel claritatea documentului adoptat și creând confuzie și ambiguitate. În plus, CEPD este preocupat de faptul că divulgarea documentelor pregătitoare care prezintă opiniile membrilor constitutivi ar submina autoritatea sau independența comitetului.

24. Argumentele prezentate de CEPD cu privire la existența unei presiuni externe în legătură cu documentele pregătitoare rămân vagi și de natură generală. Curtea a recunoscut că protecția procesului decizional împotriva presiunilor externe specifice poate constitui un motiv legitim pentru restricționarea accesului la documente. Cu toate acestea, Curtea a subliniat, de asemenea, că realitatea unei astfel de presiuni externe „trebuie stabilită cu certitudine” și că „trebuie prezentate elemente de probă care să demonstreze existența unui risc previzibil în mod rezonabil” ca decizia în cauză să fie afectată în mod substanțial de această presiune externă ^[15].

25. În orice caz, chiar dacă s-ar demonstra existența unei astfel de presiuni externe, nu este clar modul în care capacitatea CEPD de a face schimb în mod liber ar fi grav afectată de o astfel de presiune, în special având în vedere că procesele decizionale care au condus la adoptarea declarației și a orientărilor s-au încheiat până la momentul adoptării deciziei de confirmare.

26. În plus, preocupările CEPD potrivit cărora divulgarea proiectelor de documente, fără explicarea motivelor care stau la baza acestor modificări, ar crea confuzie în ochii publicului sau i-ar submina autoritatea sau independența nu sunt justificate.

27. Procesul decizional din cadrul CEPD implică în mod necesar interacțiunea mai multor actori la nivel național și la nivelul UE. CEPD recunoaște că numeroși actori participă la elaborarea documentelor sale și la interpretarea RGPD și că acest proces implică schimbul de opinii și negocierea. Prin natura lor, propunerile sunt concepute pentru a fi discutate, iar publicul este perfect capabil să înțeleagă că pozițiile schimbate în acest context sunt susceptibile să se schimbe și că conținutul poate fi modificat ulterior. Acest format colaborativ este prevăzut chiar de RGPD și este considerat „un element intrinsec” al funcționării comitetului, în care pozițiile finale sunt adoptate cu majoritate de voturi, și nu în unanimitate. Astfel, cadrul în sine prevede că vor exista poziții divergente în cadrul comitetului.

28. Examinarea documentelor pregătitoare a arătat că, în ceea ce privește proiectele de declarații și proiectele de răspunsuri, acestea conțin în principal modificări de redactare, precum și clarificări sau simplificări ale anumitor părți ale textului, care nu par deosebit de sensibile. Ombudsmanul observă, de asemenea, că acestea nu includ nicio interpretare a normelor de protecție a datelor și nici nu ilustrează opinii diferite în cadrul comitetului.

29. În ceea ce privește proiectul de orientări, Ombudsmanul observă că unele dintre proiecte cuprind versiuni nepoluante sau conțin modificări de redactare și, la fel ca proiectele de declarații și proiectele de răspunsuri adresate deputatului în Parlamentul European, clarifică sau simplifică textul și nu par a fi deosebit de sensibile. În alte cazuri, este posibil să se identifice opinii diferite cu privire la interpretarea normelor de protecție a datelor. Cu toate acestea, CEPD a recunoscut că aceste schimburi de opinii sau negocieri în cadrul comitetului reprezintă un „element intrinsec” al funcționării comitetului, inclusiv al adoptării de orientări de către acesta. Ombudsmanul nu vede cum, în cazul în care opiniile autorilor sunt anonimizate, astfel de comentarii ar putea fi atribuite unui anumit autor, în special în cazul în care nu există opinii divergente în domeniul public. Dimpotrivă, divulgarea acestor documente pregătitoare ar permite publicului să înțeleagă mai bine modul în care s-a ajuns la o interpretare cu autoritate a RGPD. În urma examinării documentelor nu s-a stabilit nici modul în care acestea ar putea crea confuzie în rândul publicului sau modul în care autoritatea comitetului ar fi pusă în pericol, deoarece documentele sunt marcate în mod clar ca proiecte.

30. În ceea ce privește evaluarea unui interes public superior care justifică divulgarea, CEPD susține că a ținut seama de preocupările reclamantului în materie de transparență. Aceasta a considerat că prejudiciul care ar fi cauzat procesului său decizional, care rezultă în special din presiunea externă, prevalează asupra oricărui interes public de a fi divulgat. Cu toate acestea, Ombudsmanului nu îi este clar modul în care CEPD a echilibrat interesul public pentru transparență, având în vedere faptul că orientările sale oferă o interpretare cu autoritate a RGPD și ar trebui să facă obiectul unor niveluri mai ridicate de transparență [16].

31. Având în vedere analiza de mai sus, Ombudsmanul constată că CEPD nu a furnizat argumente suficient de convingătoare pentru a stabili un „risc specific și real” pentru procesul său decizional. Cu toate acestea, chiar și în cazul în care un astfel de risc ar putea fi stabilit, Ombudsmanul constată, în ceea ce privește orientările CEPD, că acestea conțin o interpretare autoritară a RGPD și, având în vedere importanța datelor cu caracter personal în viața cetățenilor și a întreprinderilor din UE, există un interes public superior de a acorda o divulgare mai largă și mai aprofundată.

32. În ceea ce privește argumentul CEPD din răspunsul său la propunerea de soluție a Ombudsmanului potrivit căruia divulgarea documentelor în litigiu ar aduce atingere relațiilor internaționale, CEPD nu a furnizat nicio justificare pentru invocarea acestei excepții. CEPD se limitează să constate că, în declarația sa, a invitat statele membre să își evalueze și să își revizuiască acordurile internaționale care implică transferuri de date cu caracter personal, inclusiv cele referitoare la impozitare.

33. Deși instituțiile Uniunii dispun de o marjă largă de apreciere atunci când decid cu privire la ceea ce necesită protecția relațiilor internaționale în ceea ce privește divulgarea documentelor, acestea sunt totuși obligate să demonstreze un „risc specific și real”. Simplul fapt că CEPD a invitat statele membre să își evalueze și să își revizuiască relațiile internaționale nu ilustrează în sine modul în care, în termeni specifici și reali, relațiile internaționale ar fi afectate în mod negativ dacă documentele ar fi divulgate.

34. Ombudsmanul a transmis CEPD o notă confidențială separată, anexată la prezenta recomandare, care include o evaluare mai detaliată a naturii și conținutului documentelor pregătitoare, având în vedere excepțiile invocate de CEPD pentru a refuza accesul.

35. CEPD a susținut, de asemenea, că RGPD creează o excepție suplimentară de la dreptul de acces public la documentele sale, pe baza faptului că este un organism independent. Ombudsmanul consideră că această interpretare nu este susținută de termenii RGPD atunci când sunt interpretați în ansamblu și nici de jurisprudența instanțelor UE ^[17]. RGPD prevede în mod expres că documentele CEPD fac obiectul dispozițiilor Regulamentului 1049/2001.

36. CEPD a făcut, de asemenea, trimitere la regulamentul său de procedură, care prevede că discuțiile din cadrul comitetului pot fi considerate confidențiale. În acest context, Ombudsmanul observă că regulamentul intern de procedură nu poate avea prioritate juridică față de un regulament. Orice regulament de procedură trebuie să respecte Regulamentul 1049/2001 ^[18]. Prin urmare, CEPD nu se poate prevala de regulamentul său de procedură pentru a refuza accesul public la documente în cazul în care dreptul primar sau derivat al UE impune divulgarea acestora.

37. Având în vedere cele de mai sus, Ombudsmanul constată că aplicarea de către CEPD a excepțiilor pentru protecția proceselor sale decizionale și a relațiilor internaționale constituie administrare defectuoasă. Prin urmare, ea face o recomandare corespunzătoare mai jos.

Recomandare

38. Pe baza anchetei privind această plângere, Ombudsmanul adresează CEPD următoarea recomandare:

CEPD ar trebui să acorde reclamantului cel mai larg acces posibil la documentele în cauză.

CEPD și reclamantul vor fi informați cu privire la această recomandare. În conformitate cu articolul 4 alineatul (2) din Statutul Ombudsmanului European, CEPD trimite un aviz detaliat până la 28 iunie 2023.

Emily O'Reilly Ombudsmanul
European

Strasbourg, 29.3.2023

[1] Disponibilă la: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=uriserv%3AOJ.L_.2021.253.01.0001.01.ENG&toc=OJ%3AL%3A2021%3A253%3ATOC

[2] În cursul anchetei, s-a constatat că niciun document pregătitor referitor la una dintre cele două declarații ale CEPD nu a fost evaluat în etapa inițială și în etapa de confirmare. Ombudsmanul a încurajat CEPD să trateze aceste 141 de documente ca o cerere separată de acces public.

[3] https://www.ombudsman.europa.eu/en/doc/inspection-report/en/156600

[4] Orientările 2/2020 ale CEPD privind „articolul 46 alineatul (2) litera (a) și articolul 46 alineatul (3) litera (b) din Regulamentul 2016/679 pentru transferurile de date cu caracter personal între autoritățile și organismele publice din SEE și din afara SEE”

[5] Declarația CEPD 04/2021 privind „Acordurile internaționale, inclusiv transferurile”

[6] Răspuns disponibil aici: https://edpb.europa.eu/system/files/2021-07/edpb_letter_out2021-0119_intveld_igas.pdf

[7] Pentru informații suplimentare privind contextul plângerii, argumentele părților și ancheta Ombudsmanului, vă rugăm să consultați textul integral al propunerii de soluție a Ombudsmanului.  

[8] Articolul 4 alineatul (1) litera (a) a treia liniuță din Regulamentul 1049/2001.

[9] Răspunsul oficial al CEPD din 3 iunie 2022, care a fost comunicat reclamantului.

[10] http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-/EP//TEXT+TA+P8-TA-2018-0316+0+DOC+XML+V0//EN&language=EN

[11] Grupul de lucru „Articolul 29” a fost un grup de lucru european independent care s-a ocupat de aspecte legate de protecția vieții private și a datelor cu caracter personal până la 25 mai 2018 (intrarea în vigoare a RGPD).

[12] Considerentul 11 din Regulamentul 1049/2001 privind accesul public la documentele Parlamentului European, ale Consiliului și ale Comisiei: https://eur-lex.europa.eu/legal-content/en/TXT/?uri=CELEX%3A32001R1049

[13] Considerentul 2 din Regulamentul 1049/2001.

[14] Articolul 1 din Regulamentul 1049/2001.

[15] Hotărârea Tribunalului de Primă Instanță (Camera a șaptea) din 18 decembrie 2008, Pablo Muñiz/Comisia Comunităților Europene, cauza T‐144/05, punctul 86; Hotărârea Tribunalului (Camera a șaptea extinsă) din 22 martie 2018, Emilio de Capitani/Parlamentul European, cauza T‐540/15, punctul 99.

[16] a se vedea cazul 386/2021/AMF.

[17] A se vedea articolul 76 din RGPD; Hotărârea Curții de Justiție (Marea Cameră) din 19 iunie 2018, în cauza Baumeister, C‐15/16, punctul 46.

[18] Hotărârea Tribunalului din 14 septembrie 2022, Pollinis France/Comisia, cauzele conexate T‐371/20 și T‐554/20, punctul 96 (în recurs)