Ozadje pritožbe

1. Septembra 2013 je nemški državljan zaprosil za dostop do nekaterih dokumentov Evropskega urada za boj proti goljufijam (OLAF) in Evropske komisije v skladu s pravili EU o dostopu javnosti do dokumentov [1]. Vendar sta OLAF in Komisija dvomila o njegovi identiteti. OLAF in Komisija sta zato začasno prekinila obravnavo zahtev za dostop, ker morate biti fizična ali pravna oseba, ki prebiva v državi članici EU ali je državljan države članice EU, da bi imeli pravico do dostopa do dokumentov.

2. Ker sta urad OLAF in Komisija začasno prekinila obravnavo zahtev za dostop, se je prosilec pritožil varuhu človekovih pravic (zadevi 2309/2013/JAS in 2310/2013/JAS proti uradu OLAF in Komisiji [2]). Med preiskavami, ki jih je varuh človekovih pravic opravil v zvezi s temi pritožbami, je pritožnik izvedel, da sta Komisija ali OLAF stopila v stik z domnevno njegovim delodajalcem, nemško univerzo, da bi preverila, ali je resnična oseba, in ustanovila njegov poklic [3].

3. Pritožnik je bil nezadovoljen, ker sta Komisija ali OLAF stopila v stik z univerzo, za katero ni nikoli izjavil, da dela, in se je glede tega pritožil tudi varuhu človekovih pravic. Vložil je eno pritožbo - sedanjo pritožbo proti Komisiji in podobno pritožbo proti OLAF [4].

Preiskava

4. Varuhinja človekovih pravic je začela preiskavo v zvezi s trditvijo, da je Komisija nezakonito obdelala pritožnikove osebne podatke.

5. Varuh človekovih pravic je med preiskavo prejel mnenje Komisije o pritožbi in nato pripombe pritožnika kot odgovor na mnenje Komisije. Varuh človekovih pravic je pri preiskavi upošteval argumente in mnenja strank.

Trditev o nezakoniti obdelavi pritožnikovih osebnih podatkov

Argumenti, predstavljeni varuhu človekovih pravic

6. Pritožnik je v podporo svoji trditvi trdil, da je Komisija a) nepravilno evidentirala informacije o njegovi poklicni dejavnosti, b) prenesla njegove osebne podatke tretji osebi brez njegovega soglasja in c) hranila osebne podatke v svoji podatkovni zbirki nesorazmerno dolgo.

7. Komisija je v svojem mnenju navedla, da informacije o poklicu niso pogoj za uveljavljanje pravice dostopa do dokumentov. Komisija je te informacije zahtevala izključno za statistične namene. V prihodnosti bo zagotavljanje tovrstnih informacij neobvezno.

8. Nenatančne informacije o poklicnih povezavah pritožnika z nemško univerzo so bile vnesene v podatkovno zbirko za zahteve za dostop s strani urada OLAF, verjetno zaradi administrativne napake. Komisija je navedla, da urad OLAF obžaluje vse nevšečnosti, povzročene pritožniku, in da je podatke popravil.

9. Vendar si Komisija želi pridržati pravico do preverjanja identitete in naslova prosilca, ki prosi za dostop javnosti do dokumentov. Ta preverjanja izvaja na podlagi javno dostopnih informacij, da bi ugotovila, ali so prosilci fizične osebe, ki prebivajo v državi članici EU ali so njeni državljani.

10. V zvezi z domnevno nesorazmernim obdobjem hrambe podatkov je Komisija trdila, da osebne podatke hrani v skladu s pravili EU o varstvu podatkov. Po končani obravnavi zahteve za dostop je upravičeno hraniti osebne podatke prosilcev, da se zagotovi pravna in postopkovna doslednost. Komisija mora vedeti, ali je obravnavala prejšnje zahteve za dostop istega prosilca ali zahteve v zvezi z istimi ali podobnimi dokumenti, da bi ugotovila, ali bi se ti dokumenti lahko šteli za „javne“. Odločbe o zavrnitvi dostopa do dokumentov se lahko predložijo varuhu človekovih pravic ali Sodišču. Osebne informacije o prosilcih so potrebne, da lahko Komisija zahtevke obravnava pravilno in ob popolnem poznavanju vseh okoliščin, na primer pri odločanju, ali naj neuradno stopi v stik s prosilci, da bi našla pravično rešitev, če se prošnja nanaša na zelo dolg dokument ali na zelo veliko število dokumentov [5].

11. Pritožnik je v svojih pripombah izrazil razočaranje, ker se Komisija ni opravičila, ker je njegov poklic nepravilno registrirala v svoji podatkovni zbirki.

12. Pritožnik je varuhu človekovih pravic poslal dopis Komisije, v katerem je ta navedla, da je univerzi razkrila njegovo ime [6].

13. Pritožnik je trdil, da je upravičeno, da Komisija hrani osebne podatke le do izteka rokov za vložitev tožbe na Sodišču ali pri varuhu človekovih pravic. V podporo svojemu stališču je priložil sklep Evropskega nadzornika za varstvo podatkov (ENVP), v katerem je bilo ugotovljeno, da je praksa urada OLAF, da 15 let hrani osebne podatke v svoji preiskovalni zbirki podatkov, nesorazmerna.

Ocena varuha človekovih pravic

14. Verjetno je, da so bile nepravilne informacije o pritožniku, ki dela za nemško univerzo, vnesene v podatkovno zbirko zaradi administrativne napake urada OLAF. Glede na to, da je OLAF obžaloval napako in popravil podatke, Varuh meni, da je ta vidik pritožnikove trditve rešen. Varuhu človekovih pravic ni jasno, zakaj bi se morala Komisija opravičiti za napako, ki jo je storil OLAF.

15. Varuhinja človekovih pravic pozdravlja dejstvo, da obrazec za zahtevo za dostop javnosti do dokumentov na spletni strani Komisije nima več obveznega polja za poklicne dejavnosti [7].

16. Komisija ni niti zanikala niti potrdila, da je pritožnikove osebne podatke, to je njegovo ime, prenesla na nemško univerzo, na kateri je mislila, da dela. Dejansko Komisija v svojem mnenju sploh ni obravnavala te zadeve, čeprav je pritožnik to trditev navedel v podporo svoji trditvi. Vendar dopis Komisije z dne 4. februarja 2014, naslovljen na pritožnika, ne pušča nobenega dvoma glede vprašanja, ali je Komisija stopila v stik z univerzo in ji razkrila pritožnikovo ime. V dopisu, ki je bil poslan pred mnenjem Komisije varuhu človekovih pravic, je izrecno navedeno, da ste „v zvezi s svojo poklicno dejavnostjo uradu OLAF sporočili, da delate za Inštitut za mednarodno in evropsko pravo [nemške univerze]. Vendar ta inštitut ne obstaja pod navedenim imenom. Na našo zahtevo [tj. zahtevo Komisije] je univerza ugotovila, da nima nobenega zaposlenega z imenom ['g. X']"[8], tj. z imenom pritožnika.

17. Stik Komisije z nemško univerzo ni bil določen v njenih notranjih pravilih o vprašanjih varstva podatkov (njeno uradno obvestilo uradni osebi za varstvo podatkov v zvezi z obdelavo osebnih podatkov v okviru njene obravnave zahtev za dostop javnosti do dokumentov [9]). Ta notranja pravila ne določajo prenosa osebnih podatkov tretjim osebam [10].

18. Po njenem mnenju se je zgolj sklicevala na svojo domnevno pravico do preverjanja identitete in obravnave z uporabo javno dostopnih informacij.

19. Varuhinja človekovih pravic meni, da vztrajanje Komisije pri potrjevanju identitete prosilca ne temelji na nobeni konkretni določbi niti ne spodbuja nobenega od ciljev pravil EU o dostopu javnosti do dokumentov.

20. Poleg tega stik s tistim, za kar Komisija meni, da je delodajalec osebe, presega vpogled v javno dostopne informacije, na katere se Komisija sklicuje v svojem mnenju. Taka tožba bi lahko imela negativne posledice za prosilca, ker bi njegov delodajalec podvomil o razlogu, zaradi katerega želi institucija Unije potrditi njegovo identiteto, kar bi pomenilo resen poseg v njegovo osebno življenje.

21. Zato je Komisija z razkritjem imena pritožnika univerzi brez ustrezne utemeljitve storila nepravilnost. Glede na to, da je varstvo osebnih podatkov temeljna pravica [11], in zaradi vsiljivosti ukrepov Komisije so nepravilnosti v tem primeru še posebej resne.

22. Ker je varuh človekovih pravic ugotovil nepravilnosti, mu ni treba obravnavati vprašanja, ali je Komisija posebej kršila pravila EU o varstvu podatkov [12]. Če želi pritožnik nadaljevati s tem vidikom, se lahko pritoži Evropskemu nadzorniku za varstvo podatkov, ki ima strokovno znanje in odgovornost na področju varstva podatkov.

23. V zvezi z domnevno nesorazmernim obdobjem hrambe osebnih podatkov v zbirki podatkov Komisije o dostopu do dokumentov varuhinja ugotavlja, da se odločitev Evropskega nadzornika za varstvo podatkov, na katero se sklicuje pritožnik, nanaša na urad OLAF in ne na Komisijo. Dostop Komisije do podatkovne zbirke dokumentov ima tudi drug namen kot OLAF. V podatkovni zbirki Komisije so osebni podatki le v zvezi z zahtevami za dostop javnosti do dokumentov, v podatkovni zbirki urada OLAF pa so informacije o njegovih preiskavah.

24. V uradnem obvestilu Komisije njeni pooblaščeni osebi za varstvo podatkov glede obdelave osebnih podatkov v okviru obravnavanja zahtev za dostop javnosti do dokumentov je navedeno, da se osebni podatki prosilcev hranijo največ pet let in se nato običajno izbrišejo [13]. Obdobje hrambe se torej lahko v nekaterih primerih podaljša.

25. Tako uradno obvestilo uradni osebi Komisije za varstvo podatkov kot tudi mnenje Komisije v tem primeru pojasnjujeta, da je to obdobje hrambe potrebno, ker se lahko odločitve o zavrnitvi ali odobritvi le delnega dostopa predložijo Sodišču ali varuhu človekovih pravic. Po mnenju varuha človekovih pravic je petletno obdobje hrambe sorazmerno z zastavljenimi cilji, saj lahko postopki pred sodišči EU trajajo več let. Dopis Komisije pritožniku z dne 4. februarja 2014 se med drugim nanaša na zahtevo za dostop do dokumentov, ki jo je pritožnik vložil leta 2007 [14]. Tako je jasno, da je Komisija leta 2014 še vedno hranila osebne podatke pritožnika, ki jih je predložil pred šestimi ali sedmimi leti. V skladu s tem je Komisija v pritožnikovem primeru njegove osebne podatke hranila več kot pet let.

26. Komisija ni utemeljila, zakaj ni izbrisala pritožnikovih osebnih podatkov v zvezi z zahtevo za dostop do dokumentov iz leta 2007. Glede na to, da vprašanje, ali bi morala Komisija utemeljiti, zakaj je hranila pritožnikove osebne podatke od leta 2007, ni bilo izrecno zajeto v tej preiskavi, se varuhu človekovih pravic ne zdi primerno ugotoviti, ali je Komisija hranila pritožnikove osebne podatke nesorazmerno dolgo in v nasprotju z njenim uradnim obvestilom.

27. Varuh človekovih pravic pritožnika ponovno obvesti o možnosti pritožbe pri Evropskem nadzorniku za varstvo podatkov, če želi imeti strokovno odločitev o tem, ali obdobje hrambe podatkov Komisije izrecno krši pravila EU o varstvu podatkov. Zato meni, da nadaljnje preiskave v zvezi s tem vidikom pritožbe niso upravičene.

28. Nepravilnosti Komisije zdaj ni mogoče odpraviti in pritožnik ni predložil nobene trditve, s katero bi želel, da Komisija sprejme kakršne koli posebne ukrepe. Varuhinja človekovih pravic bo zato ta vidik pritožbe zaključila s kritično pripombo Komisiji.

Sklepna ugotovitev

Varuhinja človekovih pravic na podlagi preiskave te pritožbe zaključi z naslednjimi ugotovitvami:

S popravkom nepravilno evidentiranih informacij o pritožnikovi poklicni dejavnosti v ustrezni zbirki podatkov je bil ta vidik pritožnikove pritožbe rešen.

V zvezi z obdobjem hrambe osebnih podatkov v podatkovni zbirki Komisije varuhinja človekovih pravic meni, da nadaljnje preiskave niso upravičene.

Kritična pripomba

Komisija je s prenosom pritožnikovih osebnih podatkov tretji osebi brez ustrezne utemeljitve storila nepravilnost. Glede na to, da je varstvo osebnih podatkov temeljna pravica, določena v Listini EU o temeljnih pravicah, in zaradi dejstva, da je bilo ukrepanje Komisije v tem primeru zelo vsiljivo, so nepravilnosti še posebej resne.

Pritožnik in Komisija bosta obveščena o tej odločitvi.

Emily O'Reilly

Strasbourg, 12. julija 2016

[1] Uredba Evropskega parlamenta in Sveta (ES) št. 1049/2001 z dne 30. maja 2001 o dostopu javnosti do dokumentov Evropskega parlamenta, Sveta in Komisije (UL L 145, 31.5.2001, str. 43);

[2] Odločitve urada OLAF in Komisije, da ustavita obravnavo zahtev za dostop, so bile tako obravnavane ločeno in zato ne spadajo v obseg te preiskave.

[3] Komisija je prosilce zaprosila za te podatke, da bi obdelala njihove prošnje za dostop javnosti do dokumentov.

[4] Obravnavano ločeno pod referenčno številko zadeve 139/2015/PMC.

[5] V zvezi s tem glej člen 6(3) Uredbe št. 1049/2001.

[6] Komisija je ta dopis poslala tudi pritožniku v okviru preiskave varuhinje človekovih pravic v zvezi s pritožbo 2310/2013/JAS.

[7] https://ec.europa.eu/transparency/regdoc/index.cfm?fuseaction=fmb&&CFID=6076842&CFTOKEN=2e4472e118d31678-CA79D075-9960-F842-29FFB98461CB0B5B

[8] Pismo Komisije je napisano v nemščini.

[9] Glej obvestilo „DPO-1225.2 GestDem“ o obdelavi osebnih podatkov v zvezi s podatkovno zbirko Komisije o dostopu javnosti do dokumentov, ki je na voljo na spletu: http://ec.europa.eu/dpo-register/details.htm?id=35247

[10] V zvezi s tem glej točko 16.

[11] Člen 8 Listine Evropske unije o temeljnih pravicah.

[12] Uredba (ES) št. 45/2001 Evropskega parlamenta in Sveta z dne 18. decembra 2000 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah in organih Skupnosti in o prostem pretoku takih podatkov (UL L 8, 12.1.2001, str. 1).

[13] Točka 13.

[14] Gestdem 2007/4845.