Bakgrund till klagomålet

1. En av uppgifterna för Europeiska byrån för bedrägeribekämpning (Olaf) är att genomföra oberoende administrativa utredningar av allvarliga tjänstefel som begås av EU-institutionernas personal och ledamöter. Efter sina utredningar kan Olaf lämna rekommendationer om åtgärder som ska vidtas av den berörda EU-institutionen, inbegripet ”disciplinära rekommendationer” som syftar till att sanktionera eventuella oegentligheter som begås av personal och ledamöter av EU-institutionerna.[1] Genom sin årsrapport informerar Olaf allmänheten om antalet disciplinära rekommendationer som den har utfärdat till de berörda EU-institutionerna under en viss period och om institutionerna har följt upp dessa [2].

2. Klaganden, en journalist, ville veta mer om Olafs slutsatser och EU-institutionernas uppföljningsbeslut under perioden 2015–2023. I detta syfte framförde han flera begäranden [3] om allmänhetens tillgång till handlingar till relevanta EU-institutioner, bland annat i juni 2024 till Europeiska unionens cybersäkerhetsbyrå (Enisa), där han efterlyste

· Olafs slutrapport(er) och rekommendationer (och tillhörande dokument), och

· Enisas slutrapporter om de disciplinära uppföljningsåtgärder som byrån hade vidtagit.

3. Mellan 2015 och 2023 hade Olaf genomfört en utredning av en anställd vid Enisa på grundval av vilken Olaf hade lämnat två rekommendationer till Enisa.

4. Enisa vägrade att ge allmänheten tillgång till Olafs rapport ”och tillhörande information” med hänvisning till behovet av att skydda personuppgifterna för den person som berörs av Olafs utredning och för andra personer.[4] Enisa förtecknade inte de handlingar som den hade identifierat som omfattades av klagandens begäran om tillgång.

5. Klaganden ifrågasatte Enisas beslut att vägra tillgång (genom att lämna in en ”bekräftande ansökan”). Han bestred inte maskeringen av personuppgifter om andra personer än den person som berörs av Olafs utredning.

6. Som svar vidhöll Enisa sin ståndpunkt att allmänheten inte kunde beviljas tillgång till de omtvistade handlingarna, eftersom ett utlämnande av handlingarna, ens delvis, skulle undergräva skyddet för personuppgifter.

7. Klaganden var missnöjd med resultatet och vände sig till ombudsmannen.

Utredningen

8. Ombudsmannen inledde en undersökning av Enisas beslut att vägra allmänheten tillgång till de omtvistade handlingarna i den mån de inte utgör personuppgifter för andra personer än den person som berörs av Olafs utredning.

9. Under undersökningens gång mottog ombudsmannen Enisas svar på klagomålet, inbegripet konfidentiell information. Ombudsmannens undersökningsgrupp höll också ett möte med en företrädare för Enisa och inspekterade de omtvistade handlingarna, det vill säga

1) OLAF:s slutrapport och dess bilagor,

2) två rekommendationer från OLAF, och

3) tre dokument med anknytning till Enisas uppföljning,

samt tillhörande dokument.

Ombudsmannens förslag till lösning

10. Mot bakgrund av det breda tillämpningsområdet för begreppet ”personuppgifter” fann ombudsmannen att det var rimligt för Enisa att anse att ”identifierare såsom namnet” på den berörda personen i Olafs utredning samt viss operativ information om denna person omfattas av detta begrepp.

11. Ombudsmannen konstaterade också att klaganden inte hade fastställt att det var nödvändigt att lämna ut personuppgifterna i fråga, vilket krävs enligt EU:s dataskyddslagstiftning (förordning 2018/1725 [5]). Ombudsmannen drog därför slutsatsen att Enisa hade rätt att undanhålla alla personuppgifter i de omtvistade handlingarna.

12. På grundval av ombudsmannens undersökningsgrupps granskning av handlingarna och den information som Enisa lämnat var ombudsmannen dock inte övertygad om att handlingarna i sin helhet utgör personuppgifter. Ombudsmannen ifrågasatte till exempel om information om den typ av tjänstefel som Olaf konstaterat och den typ av uppföljningsåtgärder som Enisa vidtagit i sig kan betraktas som personuppgifter. På grundval av den tillgängliga informationen ansåg ombudsmannen att denna information i sig sannolikt inte skulle göra det möjligt att identifiera den berörda personen.

13. Mot bakgrund av detta lade ombudsmannen fram följande förslag till lösning [6]:

Enisa bör ompröva sitt beslut att vägra allmänheten tillgång i syfte att ge meningsfull partiell tillgång till de begärda handlingarna, samtidigt som de berörda personernas integritet och integritet skyddas.

14. Som svar på ombudsmannens förslag till lösning gjorde Enisa en förnyad bedömning av de omtvistade handlingarna. På grundval av detta drog Enisa slutsatsen att om Enisa skulle bevilja partiell tillgång skulle den inte kunna tillhandahålla en anonymiseringsnivå som skulle göra handlingarna användbara för klaganden och samtidigt säkerställa skyddet av personuppgifter.

15. När det gäller risken för identifiering av enskilda personer hävdade Enisa mer specifikt att alla rimliga medel som kan stå till tredje parts förfogande, såsom offentligt tillgänglig information eller information som är tillgänglig för en tredje part, även på grund av den tredje partens yrkesmässiga eller personliga relationer, måste beaktas [7] Med tanke på sammanhanget och känsligheten hos informationen i handlingarna, byråns ringa storlek i fråga om personal och ytterligare konfidentiella uppgifter drog Enisa slutsatsen att handlingarna måste anses utgöra personuppgifter i sin helhet.

16. Efter sin förnyade bedömning vidhöll Enisa således att allmänheten inte kunde beviljas tillgång till de omtvistade handlingarna. Enisa avslöjade emellertid att byrån hade vidtagit åtgärder för att följa upp Olafs rekommendationer i fråga.

17. Efter att ha mottagit Enisas svar på hennes förslag till lösning gav ombudsmannen klaganden möjlighet att kommentera hennes diskussioner med Enisa.

18. Som svar hävdade klaganden att Enisas tolkning av begreppet personuppgifter var alltför bred och hävdade att en sådan tolkning av dataskyddsreglerna effektivt skulle förhindra att Olafs handlingar lämnades ut. När det gäller de omtvistade handlingarna bestred klaganden Enisas uppfattning att det var sannolikt att enskilda personer skulle identifieras om information om felets art eller om Enisas uppföljning lämnades ut till allmänheten.

Ombudsmannens bedömning efter förslaget till lösning

19. Ombudsmannen noterar Enisas beredvillighet att ompröva sin tidigare ståndpunkt om begäran om tillgång och därmed godta hennes förslag till lösning.

20. Enisa vidhöll att allmänhetens tillgång till handlingarna i sin helhet måste vägras, men ombudsmannen anser att denna ståndpunkt är rimlig på grundval av den ytterligare information som Enisa lämnat, inbegripet konfidentiella uppgifter. Hon beklagar dock att denna information inte lämnades till klaganden i ett tidigare skede.

21. Ombudsmannen erkänner att en bedömning av huruvida information som rör en Olaf-utredning av tjänstefel utgör personuppgifter i den mening som avses i förordning 2018/1725 är en känslig uppgift som beror på de särskilda omständigheterna i varje enskilt fall. För att möjliggöra offentlig granskning och säkerställa ansvarsskyldighet bör de alltid sträva efter att ge största möjliga tillgång till handlingar som innehåller personuppgifter som svar på en begäran om allmänhetens tillgång till handlingar.

22. Om den berörda institutionen finner att ingen eller endast mycket begränsad tillgång för allmänheten kan beviljas, anser ombudsmannen att det är god administrativ praxis att försöka ta itu med begäran om tillgång genom att i stället tillhandahålla information.

23. Ombudsmannen välkomnar därför att Enisa avslöjade att byrån hade följt upp Olafs rekommendationer i detta fall. På grundval av ombudsmannens undersökningsgrupps granskning av handlingarna kan ombudsmannen bekräfta att så verkligen var fallet.

24. Slutligen noterar ombudsmannen att Enisa inte räknade upp de omtvistade handlingarna i sina svar på klagandens begäran om tillgång. Ombudsmannen har konsekvent ansett att tillhandahållandet av förteckningar över identifierade handlingar är en fråga om god förvaltning, eftersom det underlättar för den sökande att förstå institutionens beslut och vid behov formulera en begäran om omprövning.[8] Även om Enisa under ombudsmannens undersökning gick med på att inkludera en förteckning över identifierade handlingar i rapporten om mötet i detta ärende, som delades med klaganden, kommer ombudsmannen att lägga fram ett förslag om Enisas hantering av framtida begäranden om allmänhetens tillgång till handlingar.

Slutsats

På grundval av undersökningen avslutar ombudsmannen detta ärende med följande slutsats:

Europeiska unionens cybersäkerhetsbyrå har godtagit ombudsmannens förslag till lösning.

Klaganden och Enisa kommer att informeras om detta beslut.

Förslag till förbättringar

Som en fråga om god förvaltning bör Europeiska unionens cybersäkerhetsbyrå tillhandahålla en förteckning över de handlingar som den identifierar när den besvarar en begäran om allmänhetens tillgång till handlingar enligt förordning (EG) nr 1049/2001, såvida inte själva utlämnandet av en förteckning undergräver de intressen som ska skyddas.

Teresa Anjinho

Europeiska ombudsmannen

Strasbourg den 27 augusti 2025

[1] För mer information, besök: https://anti-fraud.ec.europa.eu/about-us/what-we-do_en eller https://anti-fraud.ec.europa.eu/investigations/internal-administrative-investigations_en.

[2] Se till exempel Olafs rapport 2021, s. 52: https://anti-fraud.ec.europa.eu/document/download/8d92a187-fae8-449f-8600-e84af9b2dabf_en?filename=olaf-report-2021_en.pdf.

[3] Enligt förordning (EG) nr 1049/2001 om allmänhetens tillgång till Europaparlamentets, rådets och kommissionens handlingar gäller följande: http://data.europa.eu/eli/reg/2001/1049/oj tillämpligt på handlingar som innehas av Enisa i enlighet med artikel 28.1 i förordning 2019/881 om Enisa och om cybersäkerhetscertifiering av informations- och kommunikationsteknik: https://eur-lex.europa.eu/eli/reg/2019/881/oj.

[4] I enlighet med artikel 4.1 b i förordning 1049/2001.

[5] Artikel 9.1 b i förordning 2018/1725 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter: http://data.europa.eu/eli/reg/2018/1725/oj.

[6] En redigerad version av ombudsmannens förslag till lösning finns på https://www.ombudsman.europa.eu/solution/209060.

[7] Enisa hänvisade till domstolens dom av den 7 mars 2024, OC/kommissionen, C-479/22 P: https://curia.europa.eu/juris/document/document.jsf?text=&docid=283526&pageIndex=0&doclang=EN&mode=lst&dir=&occ=first&part=1&ampcid=7294278.

[8] Se till exempel ombudsmannens förslag till lösning i ärende 1259/2024/NH om hur Europeiska gräns- och kustbevakningsbyrån (Frontex) hanterade en begäran om allmänhetens tillgång till handlingar med anknytning till vägledning om återvändande riktade till barn: https://www.ombudsman.europa.eu/en/solution/en/201607.