Bakgrund till klagomålet

1. Klaganden är f.d. EU-anställd. I december 2017 lämnade hon in ett klagomål till Europeiska datatillsynsmannen om Europeiska utrikestjänstens behandling av hennes personuppgifter. Hon begärde tillgång till och rättelse av flera handlingar, som hon hävdade innehöll hennes personuppgifter, däribland handlingar som rörde en administrativ utredning.

2. I april och juni 2018 kontaktade utrikestjänsten klaganden i ärendet och gav viss tillgång till vissa personuppgifter. Den beviljade dock inte tillgång till resten av personuppgifterna medan den administrativa utredningen pågick. I juni och oktober 2018 informerade klaganden datatillsynsmannen om att hon inte var nöjd med hur utrikestjänsten hanterade ärendet.

3. I december 2018 kontaktade datatillsynsmannen utrikestjänsten för förtydliganden och kommentarer om klagandens påståenden.

4. I april 2019 avbröt datatillsynsmannen [1] sin handläggning av klagomålet, eftersom klaganden hade inlett rättsliga förfaranden i ärendet. Detta var i linje med de regler som styr Europeiska datatillsynsmannens arbete [2].

5. Under tiden informerade utrikestjänsten datatillsynsmannen om att den hade beviljat klaganden tillgång till alla handlingar som hon hade rätt att få i samband med den administrativa utredningen.

6. I mars 2020, efter det att vissa rättsliga förfaranden hade avslutats, informerade klaganden datatillsynsmannen om att hon inte var nöjd med de handlingar och personuppgifter som hon hade mottagit. Hon begärde tillgång till andra handlingar som hon hävdade innehöll hennes personuppgifter.

7. I juni 2020 kontaktade datatillsynsmannen utrikestjänsten igen och bad den att klargöra om de handlingar som klaganden nämnde innehöll hennes personuppgifter. Utrikestjänsten svarade att klagandens begäran om tillgång till personuppgifter inte var tillräckligt tydlig. Utrikestjänsten uppgav också att vissa av handlingarna antingen inte fanns eller inte innehöll klagandens personuppgifter. Datatillsynsmannen vidarebefordrade utrikestjänstens svar till klaganden. Hon upprepade sitt krav till Europeiska datatillsynsmannen att hon bör beviljas tillgång till fler handlingar som innehåller hennes personuppgifter.

8. I december 2020 avbröt datatillsynsmannen återigen sin handläggning av klagomålet eftersom klaganden hade överklagat vissa av domstolens domar.[3] Datatillsynsmannen återupptog ärendet i mars 2022.

9. I juli 2022 informerade datatillsynsmannen klaganden om att den av personalskäl inte skulle kunna fatta beslut om hennes klagomål före november 2022 [4].

10. I juni 2023, efter ombudsmannens ingripande [5], tog datatillsynsmannen kontakt med klaganden för att klargöra vissa frågor. 

11. Klaganden var missnöjd med hur EDPS hanterade ärendet och vände sig på nytt till ombudsmannen i september 2023.

Utredningen

12. Ombudsmannen inledde en undersökning av den tid det tog för Europeiska datatillsynsmannen att fatta beslut om klagomålet.

13. Under undersökningens gång mottog ombudsmannen Europeiska datatillsynsmannens svar med en beskrivning av dess undersökningsåtgärder för perioden sedan juni 2023 [6]. Ombudsmannens undersökningsgrupp träffade också relevanta företrädare för Europeiska datatillsynsmannen för att få ytterligare information om ärendet. Klaganden lämnade synpunkter på mötesrapporten.

Argument som framförts

14. Klaganden hävdade att Europeiska datatillsynsmannen tog orimligt lång tid på sig att behandla hennes klagomål. Hon hävdade att ärendets komplexitet och omständigheter inte kunde motivera en försening på mer än sex år för att fatta ett beslut.

15. Datatillsynsmannen medgav att sex år är en lång tid att hantera ett klagomål. Företaget hävdade dock att de särskilda omständigheterna i ärendet motiverade förseningen. Datatillsynsmannen hänvisade särskilt till behovet av att avbryta sin handläggning av ärendet vid olika tillfällen medan olika rättsliga förfaranden pågick i enlighet med de tillämpliga reglerna för dess arbete. Datatillsynsmannen hänvisade också till att den var aktiv i ärendet utanför den period då domstolsförfarandena pågick och nämnde de olika kontakter med klaganden och utrikestjänsten som anges ovan. Under mötet klargjorde datatillsynsmannen också att ett mål fortfarande var anhängigt vid tribunalen [7]. Datatillsynsmannen medgav dock också att intern omorganisation och brist på personalresurser kan ha bidragit till förseningen i handläggningen av klagomålet.

16. Under utredningen fattade datatillsynsmannen i maj 2024 ett beslut om att delvis avsluta ärendet [8]. 

Ombudsmannens bedömning

17. Enligt principerna om god förvaltning ska EU:s organ fatta beslut inom rimlig tid. Detta är särskilt viktigt när förfarandet avser ett effektivt utövande av den grundläggande rätten till skydd av personuppgifter.

18. Vad som är en ”skälig tid” beror på omständigheterna i varje enskilt fall. Faktorer som bör beaktas är bland annat ärendets komplexitet, parternas uppträdande, de olika steg i förfarandet som administrationen följer och sammanhanget i ärendet.^[9] Varje steg i förfarandet bör vidtas inom en rimlig tidsperiod efter det föregående steget.^[10] Om varaktigheten överskrider vad som är en rimlig tidsperiod är det dessutom administrationens uppgift att bevisa att det föreligger särskilda omständigheter som motiverar förseningen ^[11] och att proaktivt informera klaganden om hur ärendet fortskrider.

19.  Ombudsmannen instämmer i att Europeiska datatillsynsmannen agerade i enlighet med de regler som styr dess arbete [12] och var berättigad att avbryta sin handläggning av ärendet medan olika rättsliga förfaranden pågick. Detta gällde dock en period på drygt två av de sex åren för att fatta ett beslut.

20. Ombudsmannen noterar också att datatillsynsmannen begärde förtydliganden från klaganden i olika skeden och att klaganden också regelbundet skickade ytterligare material eller inlagor. Detta kan ha bidragit till förseningen.

21. Europeiska datatillsynsmannen var visserligen inte inaktiv under hela fyraårsperioden (när handläggningen av ärendet inte avbröts på grund av domstolsförfaranden), men ombudsmannens undersökning visade att det ändå fanns perioder då ingen verksamhet föreföll äga rum. Till exempel verkar inga åtgärder ha vidtagits under en period på mer än ett år mellan april 2022 och juni 2023 vid en tidpunkt då Europeiska datatillsynsmannen borde ha varit särskilt vaksam, eftersom ärendet hade pågått sedan december 2017.  

22. Datatillsynsmannen förklarade att detta delvis berodde på minskad administrativ kapacitet. EU-organen är dock skyldiga att organisera sina tjänster på ett sätt som gör det möjligt för dem att fullgöra sina uppgifter. Bristen på mänskliga resurser i sig kan inte motivera en så lång försening. Med tanke på hur länge ärendet pågick borde datatillsynsmannen ha sett till att dess tillgängliga personalresurser avsattes för att säkerställa att det kunde prioriteras och avslutas.

23. Det är uppenbart att målet var komplicerat och förvärrades av olika, ibland överlappande, administrativa och rättsliga förfaranden. I sitt beslut från maj 2024 ansåg dock datatillsynsmannen i huvudsak att klaganden inte kunde åberopa ”rätten till rättelse” för att uppnå sitt önskade resultat i detta specifika fall – i huvudsak genom att ändra innehållet i vissa av de berörda handlingarna – eftersom rätten till rättelse endast avser ”objektiva personuppgifter”. Datatillsynsmannens ståndpunkt i denna fråga verkar väletablerad, och det är därför svårt att förstå hur det tog så lång tid att komma fram till en sådan slutsats i detta fall.[13]

24.  Slutligen borde datatillsynsmannen proaktivt ha informerat den klagande om hur ärendet fortskred. Datatillsynsmannen var i stället ganska reaktiv och skulle svara den klagande endast efter ombudsmannens ingripande.[14] Datatillsynsmannen bör överväga att be den klagande om ursäkt för den försening som inträffade och för dess underlåtenhet att hålla henne informerad om hur ärendet fortskred.  

25. Mot bakgrund av ovanstående anser ombudsmannen att datatillsynsmannens underlåtenhet att slutföra sin bedömning av klagandens klagomål från december 2017 inom rimlig tid utgör ett administrativt missförhållande.

Slutsats

På grundval av undersökningen avslutar ombudsmannen detta ärende med följande slutsats:

Europeiska datatillsynsmannens underlåtenhet att slutföra sin bedömning av klagomålet inom rimlig tid utgör ett administrativt missförhållande.

Klaganden och Europeiska datatillsynsmannen kommer att informeras om detta beslut.

Emily O'Reilly
Europeiska ombudsmannen

Strasbourg den 7 november 2024

[1] Det tillfälliga upphävandet omfattar perioden april 2019–mars 2020 (11 månader). 

[2] Europeiska datatillsynsmannen hänvisade till artikel 57.1 e i förordning 2018/1725 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och till artikel 16.6 i Europeiska datatillsynsmannens arbetsordning, som finns på https://eur-lex.europa.eu/eli/reg/2018/1725/oj och https://www.edps.europa.eu/about/office-edps/edps-rules-procedure_en. 

[3] Det tillfälliga upphävandet omfattar perioden december 2020–mars 2022 (16 månader).

[4] Datatillsynsmannen gjorde detta efter det att ombudsmannen hade inlett en undersökning efter ett klagomål från klaganden (ärende 33/2023/FA).

[5] Ärende 768/2023/TM om Europeiska datatillsynsmannens underlåtenhet att uppdatera klaganden om hur hennes klagomål från december 2017 fortskrider.

[6] Efter avslutandet av klagomål 768/2023/TM.

[7] Mål T-371/21. Tribunalen meddelade sin dom den 24 januari 2024, samma dag som mötet med Europeiska datatillsynsmannens företrädare ägde rum. Klaganden överklagade därefter tribunalens beslut (mål C-243/24 P). 

[8] Klaganden tog upp två frågor, å ena sidan rätten till tillgång och å andra sidan rätten till rättelse av hennes personuppgifter. I sitt beslut tog datatillsynsmannen ställning till klagandens påstående endast vad gäller rätten till rättelse. Datatillsynsmannen avbröt handläggningen av frågan om rätten till tillgång eftersom mål C-243/24 P fortfarande pågick vid den tidpunkten.

[9] Se t.ex. domstolens dom av den 17 december 1998, Baustahlgewebe mot

Kommissionen, mål C-185/95 P, punkt 29, finns på

http://curia.europa.eu/juris/showPdf.jsf;jsessionid=8F1C0778C9B8C96192ACB213E890C455?text=&doci

d=43779&pageIndex=0&doclang=EN&mode=lst&dir=&occ=first&part=1&cid=4441718 och

Ombudsmannens beslut i ärende 484/2015/DR, punkt 28, finns på

https://www.ombudsman.europa.eu/en/decision/en/90382.

[10] Se t.ex. domstolens dom av den 2 juni 1994, De Compte mot parlamentet, mål C-

326/91 P, punkt 21, finns på

http://curia.europa.eu/juris/showPdf.jsf?text=&docid=98282&pageIndex=0&doclang=EN&mode=lst&dir=&

occ=first&part=1&cid=4442402.

[11] Se t.ex. domstolens dom av den 5 maj 1983 i mål 207/81, Ditterich mot kommissionen,

punkt 26, som finns tillgänglig på

http://curia.europa.eu/juris/showPdf.jsf?text=&docid=91654&pageIndex=0&doclang=EN&mode=lst&dir=&

occ=first&part=1&cid=4443230.

[12] Se fotnot 2 ovan.

[13] Datatillsynsmannen hänvisade till sina riktlinjer för behandling av personuppgifter vid personalutvärdering från 2011 och sina riktlinjer för behandling av personuppgifter vid administrativa utredningar och disciplinära förfaranden från 2016, punkt 50. Se t.ex. https://www.edps.europa.eu/sites/default/files/publication/16-11-18_guidelines_administrative_inquiries_en.pdf.

Se även 2014 års riktlinjer om enskilda personers rättigheter med avseende på behandling av personuppgifter:  https://www.edps.europa.eu/sites/default/files/publication/14-02-25_gl_ds_rights_en.pdf#page=18 

[14] Ärendena 176/2019/JAP, 1658/2020/LM och 33/2023/FA.