Okolnosti predchádzajúce sťažnosti

1. V júli 2020 Súdny dvor Európskej únie rozhodol vo veci Schrems II. [1] Rozsudok sa týkal rozhodnutia Európskej komisie ^[2] o štandardných zmluvných doložkách pre prenosy údajov do tretích krajín, a najmä úrovne ochrany zabezpečenej v Spojených štátoch (tzv. štít na ochranu osobných údajov). Súdny dvor vyhlásil vykonávacie rozhodnutie Komisie ^[3] o primeranosti ochrany poskytovanej štítom na ochranu osobných údajov medzi EÚ a USA za neplatné so značnými dôsledkami pre spôsob prenosu osobných údajov do tretích krajín, najmä do Spojených štátov.

2. V nadväznosti na rozhodnutie vo veci Schrems II prijal európsky dozorný úradník pre ochranu údajov (EDPS) „Stratégiu pre inštitúcie, úrady, orgány a agentúry Únie na dosiahnutie súladu s rozhodnutím vo veci Schrems II“. V rámci tejto stratégie EDPS 5. októbra 2020 nariadil inštitúciám, orgánom, úradom a agentúram EÚ (ďalej len „inštitúcie EÚ“), aby dokončili „mapovanie“, v ktorom sa určí, ktoré prebiehajúce zmluvy, postupy verejného obstarávania a iné druhy spolupráce zahŕňajú prenos údajov. Inštitúciám EÚ bolo nariadené, aby do 15. novembra 2020 informovali EDPS o všetkých zistených konkrétnych rizikách a nedostatkoch.

3. Sťažovateľ 3. novembra 2020 požiadal o prístup verejnosti k viacerým dokumentom EDPS. Žiadosť pozostávala z dvoch častí:

• po prvé, sťažovateľ požiadal o prístup k mapovaniu, ktoré EDPS vykonal pre seba (ďalej len „mapovanie EDPS“); a
• po druhé, sťažovateľ požiadal o kópiu akéhokoľvek posúdenia ochrany súkromia vrátane posúdení vplyvu na ochranu údajov, ktoré vykonal EDPS, aby EDPS mohol používať tieto nástroje: Microsoft Office365, Microsoft Teams, Zoom, Cisco Webex, Skype.

4. EDPS 14. januára 2021 zamietol prístup k dokumentom, ktoré identifikoval, na základe výnimky v pravidlách EÚ o prístupe verejnosti k dokumentom, ktorá sa týka ochrany rozhodovacieho procesu.^[4] EDPS vysvetlil, že dokumenty „sú súčasťou prebiehajúceho postupu, v rámci ktorého EDPS ešte neprijal rozhodnutie“. EDPS však potvrdil, že vykonal mapovanie a vypracoval súvisiacu správu.

5. Sťažovateľ 22. januára 2021 požiadal EDPS o preskúmanie svojho rozhodnutia zavedením tzv. opakovanej žiadosti. Navrhovateľ tvrdil, že:

• Vyhlásenie EDPS, že vypracoval správu o mapovaní EDPS, nie je zlučiteľné s tvrdením, že dokumenty sú súčasťou prebiehajúceho postupu. Keďže ostatné inštitúcie boli požiadané, aby dokončili mapovanie do 15. novembra 2020, bolo by prekvapujúce, keby mapovanie EDPS ešte nebolo dokončené.
• EDPS neposkytol informácie o existencii žiadnych dokumentov týkajúcich sa druhej časti jej žiadosti o prístup v súvislosti s posúdeniami ochrany súkromia. Mal by poskytnúť aspoň zoznam dokumentov, ktoré patria do rozsahu pôsobnosti tejto časti žiadosti.
• Výnimka v pravidlách EÚ o prístupe verejnosti k dokumentom sa musí vykladať a uplatňovať reštriktívne. EDPS neposkytol žiadne vysvetlenie, ako by zverejnenie mohlo vážne narušiť rozhodovací proces.
• Napokon, aj keby zverejnenie narušilo rozhodovací proces EDPS, existoval by prevažujúci verejný záujem na zverejnení. Pokiaľ ide o mapovanie EDPS, verejnosť musí byť schopná overiť, či EDPS ide príkladom. Pokiaľ ide o posúdenia ochrany súkromia, existuje prevažujúci verejný záujem vedieť, ktoré IT nástroje EDPS používa interne a aký bol výsledok akejkoľvek analýzy pred prijatím nástrojov. Ak EDPS používa ktorýkoľvek z nástrojov (Microsoft Office365, Microsoft Teams, Zoom, Cisco Webex, Skype), príslušné posúdenie ochrany osobných údajov by mohlo poskytnúť referenčný a zlatý štandard pre ostatné inštitúcie.

6. EDPS 8. februára 2021 potvrdil svoje pôvodné rozhodnutie, pričom poznamenal, že požadované dokumenty sú súčasťou prebiehajúceho rozhodovacieho procesu a že výsledok tohto procesu by bol sprístupnením dokumentov ohrozený. EDPS takisto poznamenal, že nemôže potvrdiť existenciu ani počet iných dokumentov, ktoré môžu patriť do rozsahu pôsobnosti žiadosti, „keďže sú súčasťou prebiehajúcich postupov, a preto ich stav alebo počet stále nie je k dispozícii“.

7. Sťažovateľ, ktorý nebol spokojný s rozhodnutím EDPS, sa 9. februára 2021 obrátil na ombudsmanku.

Návrh ombudsmana na riešenie

8. Vyšetrovací tím ombudsmanky sa 24. februára 2021 prvýkrát stretol ^[5] so zamestnancami EDPS s cieľom prediskutovať sporné dokumenty a ich význam pre vyšetrovanie, ktoré EDPS vedie v súvislosti s dodržiavaním rozhodnutia vo veci Schrems II zo strany inštitúcií EÚ. Dňa 29. marca 2021 sa uskutočnilo druhé stretnutie ^[6], na ktorom vyšetrovací tím ombudsmanky skontroloval dokumenty, o ktoré ide v tomto vyšetrovaní.

9. Na základe analýzy kontrolovaných dokumentov ombudsmanka 26. apríla 2021 navrhla EDPS riešenie. Ombudsmanka sa vo svojom návrhu riešenia domnievala, že:

· Dokument, ktorý EDPS identifikoval ako dokument patriaci do rozsahu pôsobnosti prvej časti žiadosti sťažovateľa o prístup, t. j. správy o mapovaní EDPS, je súčasťou vyšetrovania súladu inštitúcií EÚ s rozsudkom vo veci Schrems II. Toto vyšetrovanie, ktoré je založené na vyšetrovacích právomociach EDPS [7], ^prebieha. Analýza správ o mapovaní, ktoré predložili inštitúcie EÚ vrátane EDPS, je prvou fázou tohto vyšetrovania. Táto prvá fáza prešetrovania ešte nebola ukončená.  

• Vzhľadom na to ombudsmanka považovala za primerané, aby EDPS dospel k záveru, že zverejnenie správy o mapovaní EDPS pravdepodobne naruší účel prebiehajúceho vyšetrovania, ktorý je chránený článkom 4 ods. 2 treťou zarážkou pravidiel EÚ o prístupe k dokumentom. Ombudsmanka v tejto fáze vyšetrovania nezistila prevažujúci verejný záujem na zverejnení a uvítala, že EDPS sa počas stretnutí so svojím vyšetrovacím tímom zaviazal prehodnotiť (čiastočný) prístup v neskoršej fáze.
• Pokiaľ ide o druhú časť žiadosti sťažovateľa o prístup, t. j. zverejnenie akéhokoľvek posúdenia ochrany súkromia, ktoré EDPS vykonal v súvislosti s viacerými online nástrojmi, ombudsmanka uvítala súhlas EDPS so sprístupnením správy sťažovateľovi o druhom stretnutí jej vyšetrovacieho tímu s EDPS. Správa o inšpekcii obsahuje zoznam piatich dokumentov, ktoré EDPS identifikoval ako dokumenty patriace do rozsahu druhej časti žiadosti sťažovateľa o prístup ^[8].
• Pokiaľ ide o podstatu piatich identifikovaných dokumentov, ombudsmanka poznamenala, že sa týkajú posúdenia (aktualizácií) ochrany súkromia, ktoré vykonal EDPS v súvislosti s pandémiou COVID-19 pred rozsudkom vo veci Schrems II. Niektoré časti posúdenia boli upravené v nadväznosti na rozsudok vo veci Schrems II a týkajú sa nástrojov, o ktorých informoval aj EDPS a iné inštitúcie EÚ v rámci mapovania, čím sa potenciálne kvalifikovali ako cieľ presadzovania práva.
• Ombudsmanka preto považovala za rozumné, aby sa EDPS domnieval, že hoci sa posúdenie začalo pred začatím vyšetrovania, môže čiastočne odhaliť stanovisko EDPS vo vzťahu ku konkrétnym IT nástrojom, ktoré používajú inštitúcie EÚ. Súhlasila preto s tým, že poskytnutie prístupu k týmto častiam posúdenia v tejto fáze by mohlo obmedziť manévrovací priestor EDPS pri vedení prebiehajúceho vyšetrovania.
• Ombudsmanka zároveň zistila, že je ťažké pochopiť, ako niektoré informácie obsiahnuté v piatich identifikovaných dokumentoch súvisia s prebiehajúcim vyšetrovaním. Nie je jasné ani to, ako by zverejnenie týchto informácií odhalilo stanovisko EDPS vo vzťahu ku konkrétnym IT nástrojom, ktoré používajú inštitúcie Únie.

10. Vzhľadom na tieto úvahy ombudsmanka navrhla, aby EDPS prehodnotil svoje stanovisko k druhej časti žiadosti sťažovateľa o prístup verejnosti s cieľom poskytnúť čo najširší prístup verejnosti k piatim identifikovaným dokumentom.

11. EDPS vo svojej odpovedi na návrh ombudsmana na riešenie ^[9] súhlasil s preskúmaním svojho stanoviska k druhej časti žiadosti sťažovateľa o prístup verejnosti. V nadväznosti na toto preskúmanie EDPS udelil čiastočný prístup verejnosti k trom identifikovaným dokumentom a zamietol prístup k zostávajúcim dvom dokumentom. EDPS takisto identifikoval dodatočný dokument ako dokument, ktorý patrí do rozsahu pôsobnosti žiadosti, a udelil k nemu čiastočný prístup.

12. EDPS zamietnutím prístupu k dvom identifikovaným dokumentom s názvom „Inšpekčné nástroje EDPS“ a „Inšpekčné nástroje EDPS v.2“ tvrdil, že na tieto dokumenty „sa vzťahujú výnimky podľa článku 4 ods. 2 tretej zarážky nariadenia 1049/2001, keďže obsahujú podrobnosti o pracovných nástrojoch a metódach používaných počas našich inšpekcií. V tejto súvislosti by zverejnenie uvedených dokumentov obsahujúcich informácie o interných metodikách EDPS mohlo ohroziť účinné využívanie vyšetrovacích prostriedkov EDPS v budúcnosti.“

13. EDPS poskytol čiastočný prístup verejnosti k ostatným štyrom dokumentom, pričom upravil osobné údaje zamestnancov EDPS.

14. Sťažovateľka uviedla, že je spokojná s návrhom ombudsmanky a dosiahnutým riešením.

Posúdenie ombudsmana po návrhu riešenia

15. Ombudsmanka víta pozitívnu reakciu EDPS na jej návrh riešenia.

16. Konštatuje, že EDPS súhlasil so zverejnením štyroch dokumentov po úprave osobných údajov zamestnancov. Keďže sťažovateľ nechce mať prístup k osobným údajom, nie je potrebné, aby ombudsman skúmal, či sú úpravy odôvodnené.

17. Ombudsmanka ďalej poznamenáva, že EDPS odmietol prístup k dvom verziám dokumentu „Inšpekčné nástroje EDPS“. Ombudsmanka vo svojom návrhu riešenia identifikovala určité náhodné informácie v tomto dokumente ako informácie, ktoré nesúvisia s prebiehajúcim vyšetrovaním. Nezdá sa ani, že by zverejnenie informácií odhalilo stanovisko EDPS vo vzťahu ku konkrétnym IT nástrojom, ktoré používajú inštitúcie EÚ. Keďže však informácie, ktoré ombudsman identifikoval, boli náhodné a vzhľadom na to, že sťažovateľ je spokojný s dosiahnutým riešením, ombudsman sa domnieva, že EDPS sťažnosť vyriešil tým, že súhlasil s udelením čiastočného prístupu k dokumentom, ktoré boli identifikované ako dokumenty patriace do rozsahu druhej časti žiadosti sťažovateľa o prístup.

Záver

Na základe vyšetrovania ombudsmanka uzatvára tento prípad s týmto záverom:

Ombudsmanka víta kladnú odpoveď EDPS na jej návrh riešenia. Súhlasom s poskytnutím čiastočného prístupu verejnosti k dokumentom, ktoré patria do rozsahu pôsobnosti druhej časti žiadosti sťažovateľa, EDPS sťažnosť vyriešil.

Sťažovateľ a európsky dozorný úradník pre ochranu údajov budú o tomto rozhodnutí informovaní.

Emily O'Reilly
európska ombudsmanka

Štrasburg, 20. 2021

[1] Rozsudok Súdneho dvora (veľká komora) zo 16. júla 2020, Data Protection Commissioner/Facebook Ireland Limited a Maximillian Schrems, návrh na začatie prejudiciálneho konania, ktorý podal High Court (Írsko), vec C-311/18, k dispozícii na adrese: http://curia.europa.eu/juris/document/document.jsf?text=&docid=228677&pageIndex=0&doclang=en&mode=lst&dir=&occ=first&part=1&cid=12312155

[2] Rozhodnutie Komisie 2010/87/EÚ z 5. februára 2010 o štandardných zmluvných doložkách pre prenos osobných údajov spracovateľom usadeným v tretích krajinách podľa smernice Európskeho parlamentu a Rady 95/46/ES: https://eur-lex.europa.eu/legal-content/en/TXT/?uri=CELEX%3A32010D0087

[3] Vykonávacie rozhodnutie Komisie (EÚ) 2016/1250 z 12. júla 2016 podľa smernice Európskeho parlamentu a Rady 95/46/ES o primeranosti ochrany poskytovanej štítom na ochranu osobných údajov medzi EÚ a USA: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=uriserv%3AOJ.L_.2016.207.01.0001.01.ENG

[4] Článok 4 ods. 3 nariadenia č. 1049/2001 o prístupe verejnosti k dokumentom Európskeho parlamentu, Rady a Komisie: https://eur-lex.europa.eu/legal-content/en/TXT/?uri=CELEX%3A32001R1049

[5] Správa zo zasadnutia je k dispozícii tu: https://www.ombudsman.europa.eu/en/report/en/145806

[6] Správa o inšpekcii je k dispozícii tu: https://www.ombudsman.europa.eu/en/report/en/145807

[7] Článok 58 ods. 1 nariadenia 2018/1725 o ochrane fyzických osôb pri spracúvaní osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie a o voľnom pohybe takýchto údajov: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex:32018R1725

[8] Zoznam je uvedený v správe o inšpekcii, ktorá je k dispozícii tu: https://www.ombudsman.europa.eu/en/report/en/145807

[9] K dispozícii tu: https://www.ombudsman.europa.eu/en/correspondence/en/145805