Bakgrunden till klagomålet

1. I september 2013 begärde en tysk medborgare tillgång till vissa handlingar som innehas av Europeiska byrån för bedrägeribekämpning (Olaf) och Europeiska kommissionen i enlighet med EU:s regler om allmänhetens tillgång till handlingar [1]. Olaf och kommissionen tvivlade dock på hans identitet. Olaf och kommissionen avbröt därför tillfälligt handläggningen av ansökningarna om tillgång till handlingar, eftersom du måste vara en fysisk eller juridisk person som är bosatt i eller medborgare i en EU-medlemsstat för att ha rätt till tillgång till handlingar.

2. Det faktum att Olaf och kommissionen tillfälligt hade avbrutit sin hantering av ansökningarna om tillgång ledde till att den sökande klagade till ombudsmannen (ärendena 2309/2013/JAS och 2310/2013/JAS mot Olaf och kommissionen [2]). Under ombudsmannens undersökningar av dessa klagomål fick klaganden veta att kommissionen eller Olaf hade kontaktat vad de ansåg vara hans arbetsgivare, ett tyskt universitet, för att kontrollera att han var en verklig person och för att etablera sitt yrke [3].

3. Klaganden var missnöjd med att kommissionen eller Olaf hade kontaktat ett universitet för vilket han aldrig hade sagt att han arbetade och han klagade även till ombudsmannen om denna fråga. Han framförde ett klagomål - det aktuella mot kommissionen och ett liknande klagomål mot Olaf [4].

Utredningen

4. Ombudsmannen inledde en undersökning av påståendet att kommissionen olagligen hade behandlat klagandens personuppgifter.

5. Under undersökningens gång mottog ombudsmannen kommissionens yttrande över klagomålet och därefter klagandens synpunkter som svar på kommissionens yttrande. Vid genomförandet av undersökningen har ombudsmannen beaktat parternas argument och åsikter.

Påstående om olaglig behandling av den klagandes personuppgifter

Argument som framförts till ombudsmannen

6. Till stöd för sitt påstående hävdade klaganden att kommissionen hade a) felaktigt registrerade uppgifter om hans yrkesverksamhet, b) överfört hans personuppgifter till en tredje part utan hans samtycke och c) lagrat personuppgifter i sin databas under en oproportionerlig tidsperiod.

7. I sitt yttrande angav kommissionen att information om yrket inte är ett villkor för att utöva rätten till tillgång till handlingar. Kommissionen begärde denna information enbart för statistiska ändamål. Det kommer att bli frivilligt att tillhandahålla denna typ av information i framtiden.

8. De felaktiga uppgifterna om klagandens yrkesmässiga kopplingar till det tyska universitetet hade lagts in i databasen för Olafs begäranden om tillgång, troligen på grund av ett skrivfel. Kommissionen uppgav att Olaf beklagar alla olägenheter som orsakats klaganden och att Olaf har korrigerat uppgifterna.

9. Kommissionen vill dock förbehålla sig rätten att kontrollera identiteten på och adressen till en sökande som ansöker om allmänhetens tillgång till handlingar. Kommissionen säger att den gör dessa kontroller, med hjälp av offentligt tillgänglig information, för att avgöra om de sökande är fysiska personer som är bosatta i eller medborgare i en EU-medlemsstat.

10. När det gäller den påstått oproportionerliga lagringstiden för uppgifter hävdade kommissionen att den lagrar personuppgifter i enlighet med EU:s dataskyddsregler. Det är motiverat att behålla de sökandes personuppgifter efter att ha slutfört behandlingen av en begäran om tillgång för att säkerställa rättslig och förfarandemässig enhetlighet. Kommissionen behöver veta om den har behandlat tidigare ansökningar om tillgång från samma sökande eller ansökningar som rör samma eller liknande handlingar för att avgöra om dessa handlingar redan kan anses vara ”offentliga”. Beslut om att inte bevilja tillgång till handlingar skulle också kunna hänskjutas till ombudsmannen eller domstolen. Personuppgifter om sökande är nödvändiga för att kommissionen ska kunna hantera ansökningar på ett korrekt sätt och med full kännedom om alla omständigheter, t.ex. när den beslutar om den ska kontakta sökande informellt för att hitta en rättvis lösning om en ansökan avser en mycket lång handling eller ett mycket stort antal handlingar [5].

11. I sina synpunkter uttryckte klaganden sin besvikelse över att kommissionen inte hade bett om ursäkt för att felaktigt ha registrerat hans yrke i dess databas.

12. Klaganden vidarebefordrade till ombudsmannen en skrivelse till honom från kommissionen, i vilken kommissionen uppgav att den hade avslöjat hans namn för universitetet [6].

13. Klaganden vidhöll att det är motiverat att kommissionen behåller personuppgifter endast till dess att tidsfristerna för att vända sig till domstolen eller ombudsmannen har löpt ut. Till stöd för sin uppfattning bifogade han ett beslut av Europeiska datatillsynsmannen i vilket det konstaterades att Olafs praxis att lagra personuppgifter i sin utredningsdatabas i 15 år var oproportionerlig.

Ombudsmannens bedömning

14. Det är troligt att de felaktiga uppgifterna om den klagande som arbetade för ett tyskt universitet fördes in i databasen till följd av ett skrivfel från Olafs sida. Eftersom Olaf har beklagat misstaget och korrigerat uppgifterna anser ombudsmannen att denna aspekt av klagandens påstående har lösts. Det är oklart för ombudsmannen varför kommissionen skulle be om ursäkt för ett misstag som begåtts av OLAF.

15. Ombudsmannen välkomnar att formuläret för allmänhetens tillgång till handlingar på kommissionens webbplats inte längre har yrkesverksamhetsområdet som obligatoriskt [7].

16. Kommissionen har varken förnekat eller bekräftat att den överförde klagandens personuppgifter, det vill säga hans namn, till det tyska universitet där den trodde att han arbetade. Kommissionen tog i själva verket inte upp denna fråga alls i sitt yttrande, trots att klaganden hade framfört detta argument till stöd för sitt påstående. Kommissionens skrivelse av den 4 februari 2014 till klaganden lämnar dock inget tvivel om huruvida kommissionen hade kontaktat universitetet och lämnat ut klagandens namn till det. I brevet - som föregick kommissionens yttrande till ombudsmannen - står det uttryckligen att "när det gäller din yrkesverksamhet uppgav du för Olaf att du arbetade för institutet för internationell och europeisk rätt vid [ett tyskt universitet]. Detta institut finns dock inte under det nämnda namnet. Efter vår [dvs. kommissionens] begäran konstaterade universitetet att det inte hade någon anställd med namnet [X] [8], dvs. med klagandens namn.

17. Kommissionens kontakter med det tyska universitetet var inte något som föreskrevs i dess egna interna regler om dataskyddsfrågor (kommissionens anmälan till sitt dataskyddsombud när det gäller behandling av personuppgifter i samband med dess hantering av allmänhetens begäranden om tillgång till handlingar [9]). Dessa interna regler föreskriver inte överföring av personuppgifter till tredje part [10].

18. I sitt yttrande hänvisade den endast till sin påstådda rätt att utföra identitets- och adresskontroll med hjälp av offentligt tillgänglig information.

19. Ombudsmannen anser att kommissionens insisterande på att bekräfta en sökandes identitet inte grundar sig på någon konkret bestämmelse och inte heller främjar något av målen för EU:s regler om allmänhetens tillgång till handlingar.

20. Att kontakta vad kommissionen anser vara en persons arbetsgivare går dessutom utöver att konsultera offentligt tillgänglig information, som kommissionen hänvisar till i sitt yttrande. Det kan hävdas att en sådan åtgärd skulle kunna få negativa följder för en sökande genom att hans eller hennes arbetsgivare väcker misstankar om skälet till att en unionsinstitution försöker bekräfta sökandens identitet, vilket således utgör ett allvarligt ingrepp i hans eller hennes privatliv.

21. Kommissionen gjorde sig därför skyldig till administrativa missförhållanden genom att utan giltig motivering lämna ut klagandens namn till universitetet. Med tanke på att skyddet av personuppgifter är en grundläggande rättighet [11], och på grund av att kommissionens åtgärder är inkräktande, är det administrativa missförhållandet särskilt allvarligt i detta fall.

22. Efter att ha konstaterat administrativa missförhållanden är det inte nödvändigt för ombudsmannen att ta itu med frågan om huruvida kommissionen specifikt har brutit mot EU:s regler om dataskydd [12]. Om den klagande vill gå vidare med denna särskilda aspekt står det honom/henne fritt att klaga till Europeiska datatillsynsmannen, som har specialkunskaper och ansvar på dataskyddsområdet.

23. När det gäller den påstått oproportionerliga lagringstiden för personuppgifter i kommissionens databas för tillgång till handlingar noterar ombudsmannen att det beslut av Europeiska datatillsynsmannen som klaganden hänvisar till gäller Olaf och inte kommissionen. Kommissionens tillgång till databasen över handlingar har också ett annat syfte än OLAF:s. Kommissionens databas innehåller endast personuppgifter om allmänhetens begäranden om tillgång till handlingar, medan Olafs databas innehåller information om dess utredningar.

24. I kommissionens meddelande till sitt uppgiftsskyddsombud om behandlingen av personuppgifter i samband med dess hantering av allmänhetens tillgång till handlingar anges att de sökandes personuppgifter lagras i högst fem år och normalt raderas därefter [13]. Lagringsperioden kan således förlängas i vissa fall.

25. Både anmälan till kommissionens uppgiftsskyddsombud - och kommissionens yttrande i detta fall - förklarar att denna lagringstid är nödvändig eftersom beslut om att inte bevilja eller endast delvis tillgång kan väckas vid domstolen eller ombudsmannen. Ombudsmannen anser att en lagringstid på fem år står i proportion till de eftersträvade målen, med tanke på att förfarandena vid EU:s domstolar kan pågå i flera år. I kommissionens skrivelse av den 4 februari 2014 till klaganden hänvisas bland annat till en begäran om tillgång till handlingar från klaganden 2007 [14]. Det står således klart att kommissionen år 2014 fortfarande lagrade personuppgifter om klaganden som han hade lämnat in sex eller sju år tidigare. I klagandens fall hade kommissionen därför behållit hans personuppgifter i mer än fem år.

26. Kommissionen har inte lämnat någon motivering till varför den inte hade raderat klagandens personuppgifter i samband med en begäran om tillgång till handlingar som gjordes 2007. Med tanke på att frågan om huruvida kommissionen borde ha lämnat en motivering för att ha behållit klagandens personuppgifter från 2007 inte uttryckligen omfattades av denna undersökning, anser ombudsmannen att det inte är lämpligt att avgöra om kommissionen behöll klagandens personuppgifter under en oproportionerlig tid och i strid med dess anmälan.

27. Ombudsmannen informerar på nytt den klagande om möjligheten att lämna in ett klagomål till Europeiska datatillsynsmannen om denne vill ha ett specialiserat beslut om huruvida kommissionens lagringstid för uppgifter specifikt strider mot EU:s regler om uppgiftsskydd. Hon anser därför att det inte är motiverat med några ytterligare undersökningar av denna aspekt av klagomålet.

28. Kommissionens administrativa missförhållanden kan nu inte avhjälpas och klaganden har inte framfört något krav på att kommissionen ska vidta några särskilda åtgärder. Ombudsmannen kommer därför att avsluta denna aspekt av klagomålet med en kritisk anmärkning till kommissionen.

Slutsats

På grundval av undersökningen av detta klagomål avslutar ombudsmannen det med följande slutsatser:

Genom att korrigera den felaktigt registrerade informationen om klagandens yrkesverksamhet i den relevanta databasen har denna aspekt av klagandens klagomål lösts.

När det gäller lagringstiden för personuppgifter i kommissionens databas anser ombudsmannen att inga ytterligare undersökningar är motiverade.

Kritisk anmärkning

Genom att överföra klagandens personuppgifter till en tredje part utan giltig motivering begick kommissionen administrativa missförhållanden. Med tanke på att skyddet av personuppgifter är en grundläggande rättighet som föreskrivs i EU:s stadga om de grundläggande rättigheterna, och på grund av att kommissionens åtgärder i detta fall var mycket inkräktande, är det administrativa missförhållandet särskilt allvarligt.

Klaganden och kommissionen kommer att underrättas om detta beslut.

Emily O'Reilly

Strasbourg den 12 juli 2016

[1] Europaparlamentets och rådets förordning (EG) nr 1049/2001 av den 30 maj 2001 om allmänhetens tillgång till Europaparlamentets, rådets och kommissionens handlingar (EGT L 145, 31.5.2001, s. 43).

[2] Olafs och kommissionens beslut att avbryta handläggningen av ansökningarna om tillgång behandlades således separat och omfattas därför inte av denna utredning.

[3] Kommissionen begärde dessa uppgifter från de sökande för att kunna behandla deras ansökningar om allmänhetens tillgång till handlingar.

[4] Behandlas separat med ärendenummer 139/2015/PMC.

[5] Se, i detta avseende, artikel 6.3 i förordning 1049/2001.

[6] Kommissionen skickade även denna skrivelse till klaganden i samband med ombudsmannens undersökning av klagomål 2310/2013/JAS.

[7] https://ec.europa.eu/transparency/regdoc/index.cfm?fuseaction=fmb&&CFID=6076842&CFTOKEN=2e4472e118d31678-CA79D075-9960-F842-29FFB98461CB0B5B

[8] Kommissionens skrivelse är avfattad på tyska.

[9] Se meddelandet ”DPO-1225.2 GestDem” om behandling av personuppgifter i samband med kommissionens databas för allmänhetens tillgång till handlingar, som finns tillgänglig online: http://ec.europa.eu/dpo-register/details.htm?id=35247

[10] Se i detta avseende punkt 16.

[11] Artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna.

[12] Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter, EGT L 8, 12.1.2001, s. 1.

[13] Punkt 13.

[14] Gestdem 2007/4845.