Utfärdad i enlighet med artikel 4.1 i Europeiska ombudsmannens stadga ^[1]

Bakgrund till klagomålet

1. I oktober 2021 bad klaganden EDPB att ge honom tillgång till sina förberedande handlingar som ledde till antagandet av dess uttalande, riktlinjer och svar till en ledamot av Europaparlamentet om internationella överföringar enligt den allmänna dataskyddsförordningen. Detta omfattade utkast till dokument, informationsmeddelanden och protokoll från möten där dokumenten diskuterades.

2. EDPB identifierade 103 handlingar som omfattas av klaganden ´s begäran ^[2]. Kommissionen beviljade fullständig tillgång till 17 av dessa handlingar, delvis tillgång till 16 handlingar och nekade tillgång till de återstående handlingarna. När EDPB vägrade att ge tillgång till handlingarna grundade den sig på behovet av att skydda sin beslutsprocess och sina personuppgifter. EDPB ansåg att det inte fanns något övervägande allmänintresse av att handlingarna lämnades ut.

3. Den klagande vände sig till ombudsmannen. Han klagade över att EDPB åberopade undantaget för beslutsfattande på ett alltför omfattande sätt och att det finns ett övervägande allmänintresse som motiverar att handlingarna lämnas ut. Han uppgav också att han ansökte om tillgång till handlingarna i anonymiserad form.

4. Ombudsmannen inledde en undersökning och hennes team inspekterade de handlingar som inte hade lämnats ut till klaganden, helt eller delvis. De höll också ett möte med företrädare för Europeiska dataskyddsstyrelsen [3].

5. Under undersökningens gång gjorde EDPB en ny bedömning av handlingarna och beviljade bredare partiell tillgång till två handlingar som lämnades till klaganden.

6. EDPB hävdade att ytterligare utlämnande av handlingarna skulle ge upphov till otillbörliga externa påtryckningar på de ledamöter som ingår i styrelsen om deras synpunkter offentliggjordes, och att det skulle orsaka osäkerhet eller förvirring för allmänheten. Vidare uppgav EDPB att ett utlämnande skulle hindra dess förmåga att tillhandahålla en konsekvent tolkning av dataskyddsreglerna, undergräva dess uppdrag att tala med en röst och att det skulle inkräkta på dess oberoende roll. Dataskyddsstyrelsen hävdade vidare att ett utlämnande av uppgifter skulle minska uppmärksamheten från den offentliggjorda versionen och uppmuntra berörda parter att inte följa den slutliga ståndpunkten. Slutligen hävdade EDPB att dess framtida ståndpunkt när det gäller förhandlingarna om Förenta staternas Foreign Account Tax Compliance Act (FATCA) skulle undergrävas av utlämnandet av de begärda handlingarna.

Ombudsmannens förslag till lösning

7. Efter att ha granskat handlingarna i fråga fann ombudsmannen att de handlingar som delvis lämnats ut av EDPB antingen föll utanför begärans tillämpningsområde, senare lämnades ut av EDPB eller endast bevarade identiteten på den som lämnat kommentaren, vilket inte bestrids av klaganden.

8. När det gäller de handlingar som inte lämnades ut i sin helhet konstaterade ombudsmannen att EDPB inte hade gett klaganden tillräckligt bred tillgång.

9. Ombudsmannen medgav att klagandens begäran omfattade olika typer av förberedande handlingar, nämligen handlingar som rör utarbetandet av EDPB:s riktlinjer [4], å ena sidan, och handlingar som rör utarbetandet av ett uttalande från EDPB [5] och ett svar till en ledamot [6], å andra sidan. Ombudsmannen konstaterade att det inte var tydligt hur EDPB:s beslutsprocess allvarligt skulle kunna undergrävas av utlämnandet av dessa förberedande handlingar med tanke på deras art och innehåll, och att EDPB inte hade visat, i faktiska och specifika termer, de risker som skulle uppstå genom att bevilja bredare tillgång till dessa handlingar.

10. På grundval av sin bedömning av de omtvistade handlingarna och sina slutsatser föreslog ombudsmannen att EDPB skulle göra en ny bedömning av klagandens begäran om tillgång och bevilja största möjliga tillgång till de handlingar som inte hade lämnats ut i sin helhet ^[7].

11. Som svar på ombudsmannens förslag till lösning vidhöll EDPB sin ståndpunkt och vägrade att lämna ut ytterligare uppgifter. Den upprepade de argument som tidigare nämnts och hävdade dessutom att ett utlämnande av utkast till handlingar skulle skada det effektiva skyddet av personuppgifter. EDPB åberopade också behovet av att skydda internationella förbindelser som ett skäl för att motivera att de omtvistade handlingarna inte lämnades ut.^[8] EDPB förklarade närmare bestämt att det internationella uttalandet i fråga antogs för att uppmana medlemsstaterna att bedöma och se över sina internationella avtal som inbegriper överföring av personuppgifter, inbegripet sådana som rör beskattning. Dataskyddsstyrelsen uppgav, på grundval av sin tidigare erfarenhet, att utlämnande av anonymiserade versioner av handlingar inte skulle hindra att specifika parter tillskrivs synpunkter och att ett utlämnande därför allvarligt skulle skada dess beslutsprocess. 

12. Lösningsförslaget och EDPB:s svar på förslaget lämnades till klaganden och han avvisade återigen EDPB:s resonemang för att vidhålla sitt beslut att vägra tillgång.

Ombudsmannens bedömning efter förslaget till lösning

13. Europeiska dataskyddsstyrelsen är ett oberoende EU-organ som består av företrädare för EU:s nationella dataskyddsmyndigheter och Europeiska datatillsynsmannen (EDPS) tillsammans med tillsynsmyndigheterna i Eftastaterna i EES när det gäller frågor som rör den allmänna dataskyddsförordningen. Europeiska kommissionen och, när det gäller frågor som rör den allmänna dataskyddsförordningen, Eftas övervakningsmyndighet, har rätt att delta i styrelsens verksamhet och möten utan att ha rösträtt.

14. Dataskyddsstyrelsens roll är att bidra till en konsekvent tillämpning av dataskyddsreglerna i hela EU och att främja samarbetet mellan EU:s dataskyddsmyndigheter. I detta syfte ger Europeiska dataskyddsstyrelsen allmän vägledning (inklusive riktlinjer, rekommendationer och bästa praxis) för att klargöra lagstiftningen och främja en gemensam förståelse av EU:s dataskyddslagstiftning. EDPB antar också yttranden riktade till kommissionen eller till de nationella tillsynsmyndigheterna. Slutligen kan EDPB anta bindande beslut riktade till de nationella tillsynsmyndigheterna i syfte att lösa tvister som uppstår mellan dem när de samarbetar för att verkställa den allmänna dataskyddsförordningen. EDPB spelar därför en nyckelroll när det gäller en konsekvent tillämpning och tolkning av EU:s dataskyddsregler i hela EU – ett område av stor betydelse för allmänheten som påverkar en grundläggande rättighet.

15. De dokument som berörs av denna undersökning kan delas in i tre kategorier, nämligen i) utkast till versioner av EDPB:s uttalande 4/2021 om internationella avtal inklusive överföringar, ii) utkast till versioner av svaret till ledamoten och iii) utkast till versioner av EDPB:s riktlinjer 2/2020.^[9] I sitt svar till ombudsmannen förklarade EDPB att vissa av de förberedande dokumenten är rena utkastversioner, vilket innebär att de inte innehåller spårändringar eller kommentarer, vissa är utkast till versioner som innehåller spårändringar utan kommentarer och andra innehåller kommentarer från antingen EDPB:s medlemmar, EDPB:s sekretariat eller i vissa fall från kommissionen.

16. Europeiska dataskyddsstyrelsens uttalande, i sin slutliga form, innehåller en uppmaning och rekommendation till medlemsstaterna att se över sina befintliga internationella avtal för att säkerställa att de är förenliga med unionens lagstiftning och rättspraxis om dataskydd. Uttalandet utarbetades som svar på Europaparlamentets resolution av den 5 juli 2018 om FATCA:s negativa effekter på EU-medborgare ^[10] och de klagandes begäranden till artikel 29-arbetsgruppen ^[11] i detta avseende.

17. EDPB:s svar till ledamoten härrörde från en skrivelse som ledamoten skickade den 28 maj 2021. I skrivelsens slutliga form förklarar EDPB de nationella tillsynsmyndigheternas roll när det gäller att övervaka och verkställa den allmänna dataskyddsförordningen och EDPB:s insatser för att klargöra EU:s regler om internationella överföringar av personuppgifter genom att anta sitt uttalande och sina riktlinjer.

18. Det är viktigt att klargöra att EDPB:s uttalande och svar inte är en tolkning av bestämmelserna i den allmänna dataskyddsförordningen. De är formella svar från dataskyddsstyrelsen på frågor som den mottagit där den upprepar kraven enligt den allmänna dataskyddsförordningen och brottsbekämpningsdirektivet mot bakgrund av aktuell rättspraxis. De förberedande handlingar som ledde till antagandet av dessa svar och handlingarna i ombudsmannens tidigare ärende 386/2021/AMF, som rörde en riktlinje från Europeiska dataskyddsstyrelsen som innehöll en auktoritativ tolkning av dataskyddsförordningen, är inte av samma karaktär.

19. Riktlinjerna syftar å andra sidan till att ge vägledning till offentliga EES-organ om tillämpningen av dataskyddsförordningen när det gäller överföringar av personuppgifter för olika ändamål som rör administrativt samarbete till offentliga organ i tredjeländer eller till internationella organisationer som inte omfattas av ett konstaterande om adekvat skyddsnivå. Riktlinjerna innehåller således en auktoritativ tolkning av dataskyddsförordningen.

20. Ombudsmannen vill dock betona att förordning (EG) ^{nr 1049/2001 är tillämplig på alla handlingar som finns hos institutionerna [12]} och bygger på antagandet att ”öppenhet gör det möjligt för medborgarna att delta närmare i beslutsprocessen och garanterar att förvaltningen åtnjuter större legitimitet och är effektivare och mer ansvarig inför medborgarna i ett demokratiskt system”.^[13] Denna princip om öppenhet gäller oavsett om handlingarna ingår i unionens lagstiftningsprocess eller inte. Tillgången till handlingar kan begränsas endast om ett (eller flera) av ett begränsat antal undantag i förordning (EG) nr 1049/2001 är tillämpliga [14].

21. EDPB åberopade i detta fall flera undantag i förordning (EG) nr 1049/2001 för att vägra fullständig tillgång till de begärda förberedande handlingarna, nämligen behovet av att skydda sin beslutsprocess, sina personuppgifter och allmänintresset i fråga om internationella förbindelser.

22. I sitt klagomål till ombudsmannen bestrider klaganden inte maskeringen av personuppgifter i de handlingar han begärde. Ombudsmannen behöver därför inte bedöma huruvida EDPB:s åberopande av detta undantag var motiverat.

23. Det främsta skäl som EDPB åberopar för att vägra tillgång till de begärda handlingarna är att skydda sin beslutsprocess, genom att skydda sina styrelseledamöter från yttre påtryckningar, för att möjliggöra uppriktiga diskussioner och utbyte av ”ocensurerade yttranden” inom dataskyddsstyrelsen. Dataskyddsstyrelsen är också oroad över att de förberedande dokumenten kan misstolkas, vilket påverkar tydligheten i det antagna dokumentet och skapar förvirring och tvetydighet. Vidare är EDPB oroad över att ett utlämnande av de förberedande handlingar som visar de konstituerande ledamöternas synpunkter skulle undergräva nämndens auktoritet eller oberoende.

24. EDPB:s argument om förekomsten av yttre påtryckningar i förhållande till förarbetena är fortfarande vaga och av allmän karaktär. Domstolen har medgett att skyddet av beslutsprocessen mot riktade yttre påtryckningar kan utgöra ett legitimt skäl för att begränsa tillgången till handlingar. Kommissionen har emellertid också betonat att förekomsten av ett sådant yttre tryck ”måste fastställas med säkerhet” och att ”bevis måste läggas fram för att visa att det förelåg en rimligen förutsebar risk” för att beslutet i fråga väsentligen skulle påverkas av detta yttre tryck ^[15].

25. Även om det skulle visa sig att det föreligger ett sådant yttre tryck, är det under alla omständigheter oklart hur EDPB:s förmåga till fritt utbyte allvarligt skulle undergrävas av ett sådant tryck, särskilt med tanke på att de beslutsprocesser som ledde till antagandet av uttalandet och riktlinjerna hade avslutats när det bekräftande beslutet antogs.

26. Dessutom är EDPB:s farhågor om att utlämnande av utkast till handlingar, utan förklaring av skälen till dessa ändringar, skulle skapa förvirring i allmänhetens ögon eller att det skulle undergräva dess auktoritet eller oberoende inte underbyggda.

27. Beslutsprocessen inom Europeiska dataskyddsstyrelsen innebär med nödvändighet ett samspel mellan flera aktörer på nationell nivå och EU-nivå. Europeiska dataskyddsstyrelsen erkänner att många aktörer deltar i utarbetandet av dess dokument och i tolkningen av den allmänna dataskyddsförordningen och att denna process inbegriper utbyte av åsikter och förhandlingar. Förslagen är till sin natur avsedda att diskuteras och allmänheten är fullt kapabel att förstå att de ståndpunkter som utbyts i detta sammanhang kan komma att ändras och att innehållet kan komma att ändras senare. Detta samarbetsformat föreskrivs i själva dataskyddsförordningen och ses som en inneboende del av nämndens funktion där slutliga ståndpunkter antas med majoritet och inte med enhällighet. Således förutser själva ramverket att det kommer att finnas avvikande ståndpunkter inom styrelsen.

28. Granskningen av de förberedande dokumenten visade att utkasten till uttalanden och svar oftast innehåller redaktionella ändringar samt förtydliganden eller förenklingar av vissa delar av texten, som inte förefaller särskilt känsliga. Ombudsmannen noterar vidare att de inte innehåller någon tolkning av dataskyddsreglerna och inte heller illustrerar skiljaktiga åsikter inom dataskyddsstyrelsen.

29. När det gäller utkastet till riktlinjer noterar ombudsmannen att vissa av utkasten innehåller rena versioner eller redaktionella ändringar och, i likhet med utkasten till uttalanden och utkasten till svar till ledamoten, förtydligar eller förenklar texten och förefaller inte vara särskilt känsliga. I andra fall är det möjligt att identifiera olika åsikter om tolkningen av dataskyddsreglerna. Dataskyddsstyrelsen medgav dock att dessa diskussioner eller förhandlingar inom dataskyddsstyrelsen var en ”väsentlig del” av dataskyddsstyrelsens funktion, inbegripet dess antagande av riktlinjer. Ombudsmannen kan inte se hur sådana kommentarer, om författarnas åsikter anonymiseras, skulle kunna tillskrivas en viss författare, särskilt om det inte finns några avvikande åsikter i det offentliga rummet. Tvärtom skulle ett utlämnande av dessa förberedande handlingar göra det möjligt för allmänheten att bättre förstå hur en auktoritativ tolkning av dataskyddsförordningen uppnåddes. Det framgår inte heller av en genomgång av handlingarna hur dessa skulle kunna skapa förvirring för allmänheten eller hur nämndens behörighet skulle äventyras eftersom handlingarna är tydligt märkta som utkast.

30. När det gäller bedömningen av ett övervägande allmänintresse av utlämnande hävdar EDPB att den har tagit hänsyn till klagandens farhågor om öppenhet. Kommissionen ansåg att den skada som skulle åsamkas dess beslutsprocess, särskilt till följd av yttre påtryckningar, väger tyngre än allmänhetens eventuella intresse av att informationen lämnas ut. Det står dock inte klart för ombudsmannen hur EDPB vägde allmänintresset av öppenhet mot bakgrund av att dess riktlinjer ger en auktoritativ tolkning av den allmänna dataskyddsförordningen och bör omfattas av större öppenhet [16].

31. Mot bakgrund av ovanstående analys anser ombudsmannen att EDPB inte lade fram tillräckligt övertygande argument för att fastställa en ”specifik och faktisk risk” för sin beslutsprocess. Även om en sådan risk skulle kunna fastställas anser ombudsmannen, när det gäller EDPB:s riktlinjer, att de innehåller en auktoritativ tolkning av dataskyddsförordningen och med tanke på personuppgifternas betydelse för EU-medborgarnas och EU-företagens liv, att det finns ett övervägande allmänintresse av att bevilja ett bredare och ytterligare utlämnande.

32. När det gäller EDPB:s argument i sitt svar på ombudsmannens förslag till lösning att ett utlämnande av de omtvistade handlingarna skulle skada de internationella förbindelserna har EDPB inte lämnat någon motivering för att åberopa detta undantag. Dataskyddsstyrelsen noterar endast att den i sitt uttalande uppmanade medlemsstaterna att bedöma och se över sina internationella avtal som inbegriper överföring av personuppgifter, inbegripet sådana som rör beskattning.

33. Även om unionsinstitutionerna har ett stort utrymme för skönsmässig bedömning när de beslutar om vad skyddet för internationella förbindelser kräver när det gäller utlämnande av handlingar, är de fortfarande skyldiga att visa att det föreligger en ”specifik och faktisk risk”. Enbart den omständigheten att Europeiska dataskyddsstyrelsen har uppmanat medlemsstaterna att bedöma och se över sina internationella förbindelser visar inte i sig hur de internationella förbindelserna konkret och faktiskt skulle påverkas negativt om handlingarna lämnades ut.

34. Ombudsmannen har delat ett separat konfidentiellt meddelande med EDPB, som bifogas denna rekommendation, som innehåller en mer detaljerad bedömning av de förberedande handlingarnas art och innehåll mot bakgrund av de undantag som EDPB åberopar för att neka tillgång.

35. EDPB hävdade vidare att dataskyddsförordningen skapar ytterligare ett undantag från allmänhetens rätt till tillgång till dess handlingar på grund av att det är ett oberoende organ. Ombudsmannen anser att denna tolkning inte stöds av bestämmelserna i den allmänna dataskyddsförordningen i sin helhet eller av EU-domstolarnas rättspraxis ^[17]. I dataskyddsförordningen föreskrivs uttryckligen att Europeiska dataskyddsstyrelsens handlingar omfattas av villkoren i förordning (EG) nr 1049/2001.

36. Dataskyddsstyrelsen har också hänvisat till sin arbetsordning, där det föreskrivs att styrelsens diskussioner kan anses vara konfidentiella. I detta sammanhang noterar ombudsmannen att den interna arbetsordningen inte kan ha rättsligt företräde framför en förordning. Alla arbetsordningar måste vara förenliga med förordning (EG) ^{nr 1049/2001 [18].} EDPB kan därför inte använda sig av sin styrelses arbetsordning för att neka allmänheten tillgång till handlingar om det enligt EU:s primär- eller sekundärrätt krävs att de lämnas ut.

37. Mot bakgrund av ovanstående anser ombudsmannen att EDPB:s tillämpning av undantagen för att skydda sina beslutsprocesser och internationella förbindelser utgör administrativa missförhållanden. Hon lämnar därför en motsvarande rekommendation nedan.

Rekommendation

38. På grundval av undersökningen av detta klagomål lämnar ombudsmannen följande rekommendation till Europeiska dataskyddsstyrelsen:

Dataskyddsstyrelsen bör ge klaganden största möjliga tillgång till handlingarna i fråga.

EDPB och klaganden kommer att informeras om denna rekommendation. I enlighet med artikel 4.2 i Europeiska ombudsmannens stadga ska EDPB skicka ett detaljerat yttrande senast den 28 juni 2023.

Emily O'Reilly
Europeiska ombudsmannen

Strasbourg den 29 mars 2023

[1] Finns på: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=uriserv%3AOJ.L_.2021.253.01.0001.01.ENG&toc=OJ%3AL%3A2021%3A253%3ATOC

[2] Under utredningens gång framkom det att inga förberedande handlingar avseende ett av de två uttalandena från Europeiska dataskyddsstyrelsen bedömdes i det inledande och det bekräftande skedet. Ombudsmannen uppmanade EDPB att behandla dessa 141 handlingar som en separat begäran om allmänhetens tillgång.

[3] https://www.ombudsman.europa.eu/en/doc/inspection-report/en/156600

[4] Europeiska dataskyddsstyrelsens riktlinjer 2/2020 om artiklarna 46.2 a och 46.3 b i förordning 2016/679 för överföring av personuppgifter mellan offentliga myndigheter och organ inom och utanför EES

[5] Europeiska dataskyddsstyrelsens uttalande 04/2021 om internationella avtal inklusive överföringar

[6] Svar finns här: https://edpb.europa.eu/system/files/2021-07/edpb_letter_out2021-0119_intveld_igas.pdf

[7] För ytterligare information om bakgrunden till klagomålet, parternas argument och ombudsmannens undersökning, se ombudsmannens fullständiga förslag till lösning.  

[8] Artikel 4.1 a tredje strecksatsen i förordning 1049/2001.

[9] Formellt svar från EDPB av den 3 juni 2022 som delades med klaganden.

[10] http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-//EP//TEXT+TA+P8-TA-2018-0316+0+DOC+XML+V0//EN&language=SV

[11] Artikel 29-gruppen var en oberoende europeisk arbetsgrupp som behandlade frågor som rör skydd av privatlivet och personuppgifter fram till den 25 maj 2018 (ikraftträdande av den allmänna dataskyddsförordningen).

[12] Skäl 11 i förordning (EG) nr 1049/2001 om allmänhetens tillgång till Europaparlamentets, rådets och kommissionens handlingar: https://eur-lex.europa.eu/legal-content/en/TXT/?uri=CELEX%3A32001R1049

[13] Skäl 2 i förordning 1049/2001.

[14] Artikel 1 i förordning 1049/2001.

[15] Förstainstansrättens dom (sjunde avdelningen) av den 18 december 2008 i mål T‑144/05, Pablo Muñiz mot Europeiska gemenskapernas kommission, punkt 86. Tribunalens dom (sjunde avdelningen i utökad sammansättning) av den 22 mars 2018, Emilio de Capitani mot Europaparlamentet, mål T‑540/15, punkt 99.

[16] Se ärende 386/2021/AMF.

[17] Se artikel 76 i dataskyddsförordningen. Domstolens dom (stora avdelningen) av den 19 juni 2018 i målet Baumeister, C‑15/16, punkt 46.

[18] Tribunalens dom av den 14 september 2022 i de förenade målen T‑371/20 och T‑554/20, Pollinis France mot kommissionen, punkt 96 (under överklagande)