Klagomålet till Europeiska datatillsynsmannen

1. Klaganden är anställd vid Europeiska unionens byrå för grundläggande rättigheter (FRA) och är som sådan bunden av de skyldigheter som fastställs i EU:s tjänsteföreskrifter ^[1]. FRA inledde en administrativ utredning för att ta reda på om han hade brutit mot dessa skyldigheter.

2. Klaganden ifrågasatte två aspekter av den administrativa undersökningen. För det första ansåg han att FRA:s utredare gick utöver utredningens räckvidd. För det andra ansåg han att utredaren bröt mot dataskyddsreglerna ^[2] genom att involvera en noteringsman i utredningen. I båda frågorna vände han sig till Europeiska datatillsynsmannen (EDPS).

Europeiska datatillsynsmannens svar till klaganden

3. Datatillsynsmannen informerade klaganden om att den inte skulle undersöka hans första farhågor. Detta berodde på att det inte var en dataskyddsfråga. EPDS uppmanade klaganden att vända sig till Europeiska ombudsmannen ^[3].

4. Datatillsynsmannen undersökte klagandens andra oro och drog slutsatsen att varken FRA eller utredaren hade brutit mot de tillämpliga dataskyddsreglerna.

5. Europeiska datatillsynsmannen uppgav att det i FRA:s beslut om inrättande av utredningspanelen för den administrativa utredningen föreskrivs att utredaren kan ha extern expertis och/eller bistånd för att fastställa fakta [4]. Datatillsynsmannen konstaterade därför att det fanns en rättsakt (beslutet) som binder personuppgiftsbiträdet (utredaren) till den personuppgiftsansvarige (FRA), i linje med EU:s dataskyddsregler ^[5]. Rättsakten (beslutet) gjorde det möjligt att bistå en extern person. Anteckningstagaren var en sådan person.

6. Dessutom hade utredaren och notattagaren undertecknat en sekretessförklaring ^[6] och en förklaring om att det inte förelåg någon intressekonflikt ^[7]. Datatillsynsmannen ansåg att inga ytterligare åtgärder krävdes när det gäller nottagarens roll.

7. Datatillsynsmannen noterade slutligen att FRA:s relevanta administrativa beslut ^[8] garanterar respekten för principerna om uppgifternas kvalitet genom att uttryckligen föreskriva att uppgifterna ska behandlas i enlighet med de relevanta tillämpliga reglerna i förordning 45/2001. 

8. Klaganden begärde att Europeiska datatillsynsmannen skulle ompröva sitt beslut. Klaganden hävdade att enligt yttrande 1/2010 från artikel 29-gruppen ^[9] om begreppen personuppgiftsansvarig och personuppgiftsbiträde ^[10] bör utredaren betraktas som personuppgiftsansvarig tillsammans med FRA och nottagaren som personuppgiftsbiträde (se fotnot 5).

9. Datatillsynsmannen beslutade att inte ompröva sitt beslut eftersom klaganden inte hade lagt fram några nya faktiska eller rättsliga omständigheter som skulle ändra dess slutsatser. Det faktum att klaganden inte instämde i datatillsynsmannens bedömning, på grundval av hans egen tolkning av begreppen personuppgiftsansvarig och personuppgiftsbiträde, utgjorde inte en ny faktisk eller rättslig omständighet.

10. Klaganden var inte nöjd med Europeiska datatillsynsmannens svar och vände sig därför till ombudsmannen. Han klagade över att Europeiska datatillsynsmannen inte hade tagit upp hans oro för att utredaren agerade utöver mandatet för den administrativa utredningen. Sammanfattningsvis framförde han också sina ovannämnda argument om varför datatillsynsmannens tolkning av begreppen personuppgiftsansvarig och personuppgiftsbiträde var felaktig.

Europeiska ombudsmannens slutsatser

11. Ombudsmannen anser att Europeiska datatillsynsmannen inte gjorde fel när den drog slutsatsen att den inte borde undersöka klagandens oro över omfattningen av den administrativa undersökningen, eftersom den inte handlade om dataskydd ^[11].

12. När det gäller klagandens oro över Europeiska datatillsynsmannens tolkning av begreppen personuppgiftsansvarig och personuppgiftsbiträde är Europeiska datatillsynsmannen EU-förvaltningens specialiserade organ för att undersöka dataskyddsfrågor. Ombudsmannen är inte ett överprövningsorgan när det gäller Europeiska datatillsynsmannens slutsatser i sak, och kommer normalt att begränsa sin bedömning till frågor om förfarandefel eller uppenbart oriktiga bedömningar. I förevarande fall har ombudsmannen inte funnit några sådana fel.

13. Ombudsmannen finner inga administrativa missförhållanden hos Europeiska datatillsynsmannen och avslutar ärendet ^[12].

Tina Nilsson

Chef för utredningsavdelningen – enhet 4

Strasbourg den 26 juli 2019

[1] Tjänsteföreskrifterna för tjänstemän och anställningsvillkoren för övriga anställda i Europeiska ekonomiska gemenskapen och Europeiska atomenergigemenskapen: http://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A01962R0031-20140501  

[2] Förordning (EG) nr 45/2001 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter: https://eur-lex.europa.eu/legal-content/en/ALL/?uri=CELEX:32001R0045 (inte längre i kraft, nu ersatt av förordning (EU) 2018/1725 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter).  . 

[3] Klaganden vände sig inte till ombudsmannen i denna fråga.

[4] I FRA:s avtal med utredaren angavs att hans arvoden omfattade ”användning av personlig assistans och sekretariatshjälp, kontorsmaterial, telefon och porto”.

[5] Artikel 23.2 i förordning (EG) nr 45/2001: ”Bedrivandet av en behandling som utförs av ett personuppgiftsbiträde ska regleras av ett avtal eller en rättsakt som binder personuppgiftsbiträdet till den personuppgiftsansvarige och som särskilt föreskriver att a) Personuppgiftsbiträdet får endast agera på instruktioner från den personuppgiftsansvarige [...]”.

[6] Artikel 22 i förordning (EG) nr 45/2001: ”Den registeransvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till de risker som behandlingen medför och arten av de personuppgifter som ska skyddas.”

[7] Detta motsvarar den organisatoriska åtgärd som föreslås i punkt 69 i datatillsynsmannens riktlinjer om behandling av personuppgifter i administrativa utredningar och disciplinära förfaranden, som finns på https://edps.europa.eu/sites/edp/files/publication/16-11-18_guidelines_administrative_inquiries_en.pdf

[8] EB:s beslut 01/2013 om genomförande av administrativa utredningar och disciplinära förfaranden vid FRA och FRA´s beslut om inrättande av utredningspanelen för den administrativa utredningen.

[9] Artikel 29-gruppen är den oberoende europeiska arbetsgrupp som behandlade frågor som rör skydd av privatlivet och personuppgifter fram till den 25 maj 2018 (tillämpning av Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG, även kallad den allmänna dataskyddsförordningen eller den allmänna dataskyddsförordningen). Mer information finns här: https://ec.europa.eu/newsroom/article29/news-overview.cfm

[10] https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2010/wp169_en.pdf

[11] I samförståndsavtalet mellan ombudsmannen och Europeiska datatillsynsmannen anges att ”Europeiska datatillsynsmannen har för avsikt att vid behov informera de klagande om att klagomål om administrativa missförhållanden i gemenskapsinstitutionernas och gemenskapsorganens verksamhet kan lämnas in till [ombudsmannen]”. Se följande: https://edps.europa.eu/sites/edp/files/publication/06-11-30_eo_edps_mou_en.pdf

[12] Detta klagomål har behandlats inom ramen för delegerad ärendehantering, i enlighet med artikel 11 i Europeiska ombudsmannens beslut om antagande av genomförandebestämmelser.