TRIBUNALENS DOM (nionde avdelningen i utökad sammansättning)
den 14 februari 2019 (*)
”Personuppgifter – Skydd för enskilda personer med avseende på behandling av personuppgifter – Rätten till tillgång till sådana uppgifter – Förordning (EG) nr 45/2001 – Tillgång vägras – Talan om ogiltigförklaring – Skrivelse i vilken det hänvisas till en tidigare partiell vägran utan att någon omprövning gjorts – Begreppet rättsakt mot vilken talan kan väckas i artikel 263 FEUF – Begreppet rent bekräftande rättsakt – Tillämplighet när det gäller tillgång till personuppgifter – Nya och väsentliga omständigheter – Berättigat intresse av att få saken prövad – Upptagande till prövning – Motiveringsskyldighet”
I mål T‑903/16,
RE, företrädd av advokaten S. Pappas,
sökande,
mot
Europeiska kommissionen, företrädd av H. Kranenborg och D. Nardi, båda i egenskap av ombud,
svarande,
angående en ansökan enligt artikel 263 FEUF om ogiltigförklaring av skrivelsen från direktören för direktoratet för säkerhet vid kommissionens generaldirektorat för personal och säkerhet av den 12 oktober 2016 i den del det innebär avslag på sökandens ansökan om tillgång till vissa av sina personuppgifter,
meddelar
TRIBUNALEN (nionde avdelningen i utökad sammansättning)
sammansatt av ordföranden S. Gervasoni samt domarna L. Madise, R. da Silva Passos, K. Kowalik–Bańczyk (referent) och C. Mac Eochaidh,
justitiesekreterare: handläggaren N. Schall,
efter den skriftliga delen av förfarandet och förhandlingen den 20 september 2018,
följande
Dom
Bakgrund till tvisten
1 Sökanden, RE, tjänstgör som [konfidentiellt](1) vid Europeiska kommissionens generaldirektorat för internationellt samarbete och utveckling.
2 Sökanden var föremål för en administrativ utredning (nedan kallad den administrativa utredningen) som genomfördes av direktoratet för säkerhet vid kommissionens generaldirektorat för personal och säkerhet (nedan kallat säkerhetsdirektoratet). Denna utredning avsåg sökandens förmodade inblandning i en underrättelsetjänsts verksamhet och, i synnerhet, hans uppträdande under en konflikt mellan två tredjeländer. Sökanden misstänktes för att vid det tillfället ha stått alltför nära ett av dem och för att utan tillstånd ha lämnat vissa konfidentiella uppgifter till det landet.
3 Genom e-postmeddelande av den 5 december 2013 begärde sökanden att säkerhetsdirektoratet, enligt artikel 13 i Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 8, 2001, s. 1), skulle tillhandahålla alla upplysningar och personuppgifter rörande honom som det direktoratet förfogade över.
4 Genom skrivelse av den 25 februari 2014 avslog direktören för säkerhetsdirektoratet, efter att ha påpekat att vissa handlingar redan hade lämnats till sökanden den 27 november 2013, begäran om tillgång till övriga personuppgifter på grund av att de omfattades av de undantag och begränsningar som föreskrivs i artikel 20.1 a–d i förordning nr 45/2001.
5 Sökanden ansåg att detta avslag var oförenligt med artikel 13 och artikel 20.1 i förordning nr 45/2001 och lämnade därför, genom skrivelse av den 18 april 2014 in ett klagomål med stöd av artikel 32.2 i förordning nr 45/2001 till Europeiska datatillsynsmannen (EDPS).
6 Genom beslut av den 26 februari 2016 konstaterade datatillsynsmannen att utifrån hur säkerhetsdirektoratet hade tillämpat de undantag som föreskrivs i artikel 20.1 i förordning nr 45/2001 hade det inte behandlat vissa av sökandens personuppgifter på ett korrekt sätt.
7 Efter datatillsynsmannens beslut omprövade säkerhetsdirektoratet sökandens begäran om tillgång till sina personuppgifter.
8 Efter denna omprövning biföll, genom beslut av den 8 mars 2016 (nedan kallat beslutet av den 8 mars 2016), direktören för säkerhetsdirektoratet delvis sökandens begäran genom att lämna honom vissa av hans personuppgifter och genom att dessutom överlämna åtta handlingar till honom (handlingarna nr 44, 59–62, 67, 69 och 71). Till beslutet bifogades en tabell med 71 handlingar som innehades av säkerhetsdirektoratet där det, för varje handling, beskrevs dess datum, dess ändamål och vilken typ av personuppgifter som den innehöll, samt lämnades en kort beskrivning av innehållet i dessa uppgifter, deras källa och, för 35 av de 71 handlingarna (handlingarna nr 1, 6–9, 11, 12, 14–16, 18, 20, 21, 27, 28, 31, 32, 35, 36, 41, 42, 45, 46, 48–52, 54–57, 66, 68 och 70), varför vissa av dessa uppgifter inte kunde lämnas ut enligt artikel 20.1 a och 20.1 c i förordning nr 45/2001. Bland dessa handlingar fanns, med nr 57, ett ”meddelande om rekrytering av [sökanden] som [konfidentiellt] till [kommissionens generaldirektorat för internationellt samarbete och utveckling]” daterat den 23 januari 2012 (nedan kallad handling nr 57).
9 Genom e-postmeddelande av den 29 april 2016 till säkerhetsdirektoratet, bekräftade sökanden att han tagit del av svaren i beslutet av den 8 mars 2016 och meddelade sin önskan att få tillgång till ”ett begränsat antal handlingar (bland dem som uppräknas i den tabell som bifogas detta beslut)”. Sökanden begärde även vid detta tillfälle att informeras om när den administrativa utredningen avslutades.
10 Samtidigt lämnade sökanden in ett nytt klagomål, daterat den 5 juli 2016, till datatillsynsmannen och gjorde gällande att säkerhetsdirektoratet fortfarande inte, i beslutet av den 8 mars 2016, hade följt datatillsynsmannens beslut av den 26 februari 2016, rörande hans tidigare klagomål.
11 Genom beslut av den 25 juli 2016 (nedan kallat datatillsynsmannens beslut av den 25 juli 2016) fastslog datatillsynsmannen att säkerhetsdirektoratet, i beslutet av den 8 mars 2016, fullt ut hade genomfört de rekommendationer som datatillsynsmannen hade lämnat i beslutet av den 26 februari 2016 och drog slutsatsen att beslutet av den 8 mars 2016 därmed inte utgjorde något åsidosättande av artiklarna 13 och 20.1 i förordning nr 45/2001.
12 Den 14 september 2016 besvarade säkerhetsdirektoratet sökandens e-postmeddelande av den 29 april 2016. Då säkerhetsdirektoratet ansåg sig ha mottagit en ansökan om tillgång till handlingar enligt Europaparlamentets och rådets förordning (EG) nr 1049/2001 av den 30 maj 2001 om allmänhetens tillgång till Europaparlamentets, rådets och kommissionens handlingar (EGT L 145, 2001, s. 43), uppmanade det sökanden, enligt artikel 6.2 i förordningen, att klargöra sin begäran så att det kunde identifiera de handlingar han begärde tillgång till. Säkerhetsdirektoratet upplyste även sökanden om att den administrativa utredningen hade avslutats den 31 augusti 2016.
13 I en skrivelse av den 21 september 2016 adresserad till säkerhetsdirektoratet (nedan kallad begäran av den 21 september 2016) begärde sökanden att få tillgång till 42 av de 71 handlingar som identifierats i beslutet av den 8 mars 2016 (handlingarna nr 1–5, 8, 11, 13, 14, 19, 21–30, 33, 34, 37–43, 47–53, 56–58 och 63–65), eller i vart fall till den ”information” som finns i dessa handlingar, med stöd av dels artikel 13 i förordning nr 45/2001, dels artikel 6 i förordning nr 1049/2001. Sökanden delade vid detta tillfälle upp de handlingar och uppgifter som han begärde tillgång till i fyra grupper, som parterna har benämnt grupp A (handlingarna nr 2–5, 13, 19, 22–26, 29, 30, 33, 34, 37–40, 43, 47, 53, 56, 58 och 63), grupp B (handlingarna nr 8, 11, 41, 42, 48, 49 och 51), grupp C (handlingarna nr 48, 49 och 51, vilka även ingår i grupp B) och grupp D (handlingarna nr 1, 14, 21, 27, 28, 50, 52 och 57), och angav, för var och en av dessa grupper, de skäl på vilka hans begäran grundades.
14 Den 12 oktober 2016 besvarade direktören för säkerhetsdirektoratet i en skrivelse begäran av den 21 september 2016 (nedan kallad den angripna skrivelsen). I denna skrivelse anfördes följande:
”1. I Er [begäran] av den 21 [september] 2016, hänvisar Ni till artikel 13 i förordning nr 45/2001 för att begära tillgång till ett antal handlingar. [I detta avseende] hänvisar jag [Er] till beslutet [av den 8 mars] 2016 …
Jag hänvisar [Er] i övrigt till [datatillsynsmannens] beslut av den 25 juli 2016, i vilket det tydligt anges att datatillsynsmannen inte har tillgång till några uppgifter som tyder på att säkerhetsdirektoratet har åsidosatt Er rätt att få tillgång till Era personuppgifter. Jag anser därför att säkerhetsdirektoratet har behandlat Er begäran om tillgång till personuppgifter [korrekt].
2. I [ansökan av den 21 september 2016] nämner Ni också förordning nr 1049/2001 … och begär att få tillgång till specifika handlingar i [Er] akt som nämnts i [den tabell som bifogats beslutet av den 8 mars 2016]. I detta sammanhang skulle jag vilja fästa Er uppmärksamhet på att handlingar som Ni [kommer att] tillsändas enligt denna förordning blir tillgängliga för varje annan person som begär tillgång till dem i framtiden. De blir därigenom i praktiken offentliga, med endast Era personuppgifter maskerade i förekommande fall.
Jag ber Er notera att, mot bakgrund av ovanstående, ärendet angående Er begäran om tillgång till handlingar härmed avslutas. Om [denna] begäran har gjorts för personliga ändamål ber jag Er bekräfta detta genom att ge oss Er personliga e-postadress och postadress.”
Förfarandet och parternas yrkanden
15 Sökanden väckte förevarande talan genom en ansökan som inkom till tribunalens kansli den 19 december 2016.
16 Genom en särskild handling som inkom till tribunalens kansli samma dag ansökte sökanden om att sekretess skulle gälla för hans identitet. Genom beslut av den 18 januari 2017 biföll tribunalen denna begäran.
17 Genom en särskild handling som inkom till tribunalens kansli den 5 april 2017 framställde kommissionen en invändning om rättegångshinder med stöd av artikel 130.1 i tribunalens rättegångsregler.
18 Sökanden yttrade sig över invändningen om rättegångshinder i skrivelse som inkom till tribunalens kansli den 22 maj 2017.
19 Tribunalen beslutade den 18 oktober 2017 att kommissionens invändning om rättegångshinder skulle prövas i samband med att målet avgjordes i sak.
20 Som en åtgärd för processledning enligt artikel 89.3 a och 89.3 b i rättegångsreglerna ställde tribunalen skriftliga frågor som parterna skulle besvara skriftligen.
21 Parterna svarade på tribunalens frågor inom den angivna tidsfristen.
22 Kommissionen inkom med svaromål till tribunalens kansli den 19 december 2017.
23 Som en åtgärd för processledning enligt artikel 89.3 a och 89.3 b i rättegångsreglerna ställde tribunalen skriftliga frågor till parterna för att besvaras vid förhandlingen.
24 Sökanden har yrkat att tribunalen ska
– avslå invändningen om rättegångshinder, och
– ogiltigförklara den angripna skrivelsen i den mån sökandens ansökan om tillgång till vissa av sina personuppgifter avslagits,
– förplikta kommissionen att till honom utge 10 000 euro i ersättning för den ideella skada som han lidit till följd av säkerhetsdirektoratets avslag på hans begäran om tillgång till sina personuppgifter,
– förplikta kommissionen att till honom utge 30 000 euro i ersättning för den ideella skada han lidit till följd av säkerhetsdirektoratets olagliga behandling och spridning av hans personuppgifter och
– förplikta kommissionen att ersätta rättegångskostnaderna.
25 Kommissionen har yrkat att tribunalen ska
– avvisa talan eller i vart fall ogilla den och
– förplikta klaganden att ersätta rättegångskostnaderna.
26 Sökanden har vidare yrkat att tribunalen, som en åtgärd för bevisupptagning enligt artikel 91 c i rättegångsreglerna eller, i andra hand, artikel 104 i rättegångsreglerna, förelägger kommissionen att ge in handling nr 57.
27 Sökanden återkallade vid förhandlingen yrkandena om ersättning för den ideella skada som han påstår sig ha lidit. Han preciserade och begränsade dessutom sitt yrkande om ogiltigförklaring genom att ange att han inte angriper beslutet att vägra honom tillgång till de personuppgifter som finns i de handlingar som avses i ansökan i målet men som inte nämnts i begäran av den 21 september 2016. Kommissionen har inte yttrat sig angående återkallelsen av yrkandena eller preciseringen av yrkandet om ogiltigförklaring, varför denna återkallelse noterades i förhandlingsprotokollet.
Rättslig bedömning
Yrkandet om ogiltigförklaring
28 Det är lämpligt att först pröva huruvida yrkandet om ogiltigförklaring kan tas upp till sakprövning och, om så är fallet, därefter pröva yrkandet i sak.
Huruvida yrkandet om ogiltigförklaring kan tas upp till sakprövning
29 Kommissionen har framställt ett flertal invändningar om rättegångshinder. För det första har den angripna skrivelsen inte innefattat något ställningstagande angående sökandens rätt att få tillgång till sina personuppgifter. För det andra ska denna skrivelse i vart fall anses utgöra en rent bekräftande rättsakt. För det tredje har sökanden inte något verkligt intresse av att föra talan om ogiltigförklaring av denna skrivelse.
– Den angripna skrivelsen och förekomsten av en vägran att ge tillgång till personuppgifter
30 Kommissionen har gjort gällande att begäran av den 21 september 2016 uteslutande avsåg tillgång till handlingar på grundval av förordning nr 1049/2001. Härav följer att säkerhetsdirektoratet i den angripna skrivelsen inte har tagit ställning till sökandens rätt att få tillgång till sina personuppgifter på grundval av förordning nr 45/2001.
31 Sökanden har bestritt kommissionens argumentation. Han har gjort gällande att begäran av den 21 september 2016 omfattade såväl en begäran om tillgång till handlingar som en begäran om tillgång till personuppgifter.
32 Tribunalen framhåller inledningsvis att förordningarna nr 1049/2001 och nr 45/2001 har olika syften. Den förstnämnda förordningen syftar till att säkerställa största möjliga insyn i offentliga myndigheters beslutsprocesser och i den information på vilka de grundar sina beslut. Den syftar således till att i största möjliga utsträckning underlätta utövandet av rätten till tillgång till handlingar och till att främja goda förvaltningsrutiner. Den sistnämnda förordningen syftar däremot till att säkerställa skyddet för fysiska personers grundläggande fri- och rättigheter, särskilt rätten till skydd för privatlivet, vid behandlingen av personuppgifter (dom av den 29 juni 2010, kommissionen/Bavarian Lager, C‑28/08 P, EU:C:2010:378, punkt 49). Härav följer att förordning nr 45/2001, till skillnad från förordning nr 1049/2001, inte syftar till att underlätta utövandet av rätten till tillgång till handlingar (se, för ett liknande synsätt, dom av den 17 juli 2014, YS m.fl., C‑141/12 och C‑372/12, EU:C:2014:2081, punkt 47).
33 Den rätt till tillgång som föreskrivs i respektive förordning har inte samma syfte och riktar sig inte till samma personkrets. Artikel 2 i förordning nr 1049/2001 syftar nämligen till att möjliggöra för allmänheten, det vill säga varje medborgare och varje fysisk eller juridisk person, att få tillgång till handlingar som innehas av institutionerna. Artikel 13 i förordning nr 45/2001 avser däremot att enbart ge berörda personer tillgång till personuppgifter, det vill säga information om en identifierad eller identifierbar person, utan att det därmed föreskrivs någon rätt för dessa personer att få tillgång till de handlingar som innehåller sådana uppgifter. Tribunalen påpekar att det i artikel 13 c i förordning nr 45/2001 endast föreskrivs att registrerade har rätt att få ”klar information om vilka personuppgifter som behandlas”.
34 I förevarande mål kan det, för det första, konstateras att den angripna skrivelsen går sökanden emot, eftersom den är ett svar på begäran av den 21 september 2016 och det är ostridigt att den inte ger sökanden tillgång till varken sina personuppgifter eller de handlingar som innehåller sådana uppgifter.
35 En rättsakt som går någon emot ska bedömas i förhållande till arten av den begäran på vilken den utgör ett svar (dom av den 8 mars 1972, Nordgetreide/kommissionen, 42/71, EU:C:1972:16, punkt 5, och dom av den 24 november 1992, Buckl m.fl./kommissionen, C‑15/91 och C‑108/91, EU:C:1992:454, punkt 22). Föremålet för den angripna skrivelsen ska därmed bedömas särskilt utifrån innehållet i begäran av den 21 september 2016.
36 Begäran av den 21 september 2016 har rubriken ”Personuppgifter”.
37 Vidare hänvisar begäran av den 21 september 2016 inte bara till förordning nr 1049/2001, utan även till förordning nr 45/2001. Begäran grundas nämligen uttryckligen på både artikel 6 i förordning nr 1049/2001 och artikel 13 i förordning nr 45/2001. Begäran innehåller vidare, för var och en av de fyra grupperna av handlingar som angivits i punkt 13 ovan, en argumentation beträffande de undantag eller begränsningar som föreskrivs i artikel 20.1 i förordning nr 45/2001.
38 Slutligen har sökanden på flera ställen i begäran av den 21 september 2016 hänvisat såväl till handlingar som till den ”information” som finns i dessa handlingar. Sökanden har således, redan från början och övergripande, velat få tillgång till vissa handlingar, eller i vart fall uppgifterna i dem. Sökanden har vidare uttryckligen upprepat denna begäran om tillgång när det gäller uppgifterna som finns i handlingarna i grupp D. Vad gäller handlingarna i grupp C har sökanden förnekat att ett utlämnande av dessa handlingar eller de uppgifter som de innehåller skulle kunna undergräva de medel och metoder för utredning som säkerhetsdirektoratet förfogar över. Slutligen har sökanden nämnt den information som överförts till eller samlats i handlingarna i grupp A, och preciserat att dessa handlingar berör honom personligen och direkt.
39 Det framgår av dessa omständigheter att begäran av den 21 september 2016 innefattade, förutom en begäran om tillgång till handlingar, även en begäran om tillgång till de personuppgifter rörande sökanden som finns i dessa handlingar.
40 Tribunalen framhåller vidare att direktören för säkerhetsdirektoratet i den angripna skrivelsen har hänvisat till sökandens ”begäran om tillgång till [sina] personuppgifter”. Direktören angav även, med hänvisning till datatillsynsmannens beslut av den 25 juli 2016, att han ansåg att säkerhetsdirektoratet hade ”behandlat [denna] begäran [korrekt]”. Således har säkerhetsdirektoratet självt valt att i den angripna skrivelsen nämna frågan om tillgång till inte bara handlingarna i fråga, utan även till de personuppgifter som finns i dessa handlingar, och understrukit att beslutet av den 8 mars 2016 inte inneburit något åsidosättande av sökandens rätt att få tillgång till dessa personuppgifter.
41 Kommissionen har vidare varken visat eller ens påstått att säkerhetsdirektoratet vid något annat tillfälle, skriftligen eller muntligen, uttryckligen eller underförstått, ska ha besvarat begäran av den 21 september 2016 såvitt avser tillgång till personuppgifter.
42 Mot denna bakgrund ska kommissionen i den angripna skrivelsen anses ha fattat beslut i anledning av sökandens begäran om tillgång till vissa personuppgifter. Härav följer att denna skrivelse, där sökandens begäran inte bifallits, ska anses utgöra ett avslag på ansökan om tillgång till dessa personuppgifter.
– Huruvida den angripna skrivelsen är en rent bekräftande rättsakt
43 Kommissionen har gjort gällande att även om det skulle anses att säkerhetsdirektoratet i den angripna skrivelsen har fattat ett beslut rörande tillgång till personuppgifter, är denna rättsakt ändå en ren bekräftelse av beslutet av den 8 mars 2016, mot vilket sökanden inte fört någon talan inom fristen för överklagande.
44 Sökanden har bestritt kommissionens argumentation. Han menar att beslutet den 31 augusti 2016 att avsluta den administrativa utredningen och hans begäran av den 21 september 2016 om tillgång, i maskerad form, till sina personuppgifter, utgör nya och väsentliga omständigheter som medförde en skyldighet för säkerhetsdirektoratet att ompröva huruvida beslutet av den 8 mars 2016 var välgrundat.
45 Kommissionens argument ger, för det första, upphov till frågan huruvida den rättspraxis enligt vilken en talan som väckts mot en akt som enbart utgör en bekräftelse av ett tidigare beslut ska avvisas om talan inte har väckts mot det tidigare beslutet inom den föreskrivna fristen (dom av den 17 maj 2017, Portugal/kommissionen, C‑337/16 P, EU:C:2017:381, punkt 51) gäller för beslut som antagits av en institution i anledning av en begäran om tillgång till personuppgifter enligt artikel 13 i förordning nr 45/2001.
46 I artikel 13 c i förordning nr 45/2001 föreskrivs att ”[v]arje registrerad skall ha rätt att när som helst utan restriktioner, inom tre månader från det att ansökan mottogs, kostnadsfritt … få klar information om vilka personuppgifter som behandlas …”. Det följer av denna bestämmelse, som ger den berörde rätt att ”när som helst” få tillgång till sina personuppgifter, att den personen har en varaktig och fortlöpande rätt till tillgång till sina personuppgifter.
47 Även om det i artikel 20.1 i förordning nr 45/2001 föreskrivs undantag från och begränsningar i den berördes rätt att få tillgång till sina personuppgifter, föreskrivs i den bestämmelsen att institutionerna endast får begränsa tillämpningen av artikel 13 i förordningen ”i den mån som en sådan begränsning är en nödvändig åtgärd”. Härav följer att de undantag och begränsningar som avses i artikel 20.1 i den förordningen får tillämpas endast under den tid då de är nödvändiga.
48 Tribunalen påminner om att skyddet för personuppgifter, vilket följer av den uttryckliga skyldighet som föreskrivs i artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna, är av särskild betydelse för rätten till respekt för privatlivet i artikel 7 i stadgan (dom av den 8 april 2014, Digital Rights Ireland m.fl., C‑293/12 och C‑594/12, EU:C:2014:238, punkt 53).
49 Domstolen har därför valt att tolka unionsrätten på ett sätt som främjar en hög skyddsnivå för personuppgifter. Den har bland annat beaktat att när det gäller behandling av personuppgifter är den berörde personens situation i faktiskt och rättsligt hänseende till sin art stadd i utveckling, varför enbart det förhållandet att tiden går kan medföra att en tidigare tillåten behandling av personuppgifter kan bli onödig eller till och med rättsstridig (se, för ett liknande synsätt, dom av den 13 maj 2014, Google Spain och Google, C‑131/12, EU:C:2014:317, punkterna 92 och 93).
50 Härav följer att en berörd person inom ramen för förordning nr 45/2001 när som helst på nytt kan begära att få tillgång till personuppgifter som personen tidigare har vägrats tillgång till. En sådan ansökan medför att den berörda institutionen är skyldig att pröva om det tidigare avslagsbeslutet fortfarande är välgrundat.
51 En ny prövning av huruvida ett tidigare beslut att inte ge tillgång till personuppgifter fortfarande är välgrundat utifrån artiklarna 13 och 20 i förordning nr 45/2001 leder således till antagandet av en rättsakt som inte är rent bekräftande i förhållande till den tidigare rättsakten, utan utgör en rättsakt som kan bli föremål för en talan om ogiltigförklaring enligt artikel 263 FEUF.
52 I detta fall har kommissionen mottagit sökandens begäran av den 21 september 2016 om tillgång till personuppgifter om honom som finns i olika handlingar. Det följer av vad som anförts i punkt 50 ovan att kommissionen var skyldig att pröva denna begäran. Såsom har påpekats i punkt 42 ovan ska kommissionen anses ha prövat denna begäran och avslagit den genom den angripna skrivelsen. Mot denna bakgrund och med hänsyn till den princip som angivits i punkt 51 ovan utgör denna skrivelse en rättsakt mot vilken talan kan väckas, utan hinder av att sökanden tidigare delvis nekats tillgång till dessa personuppgifter genom beslutet av den 8 mars 2016. Kommissionens påstående att den angripna skrivelsen är en rent bekräftande rättsakt är således inte korrekt.
53 Även om den rättspraxis som nämns i punkt 45 ovan skulle ha varit tillämplig i förevarande mål påminner tribunalen om att en rättsakt endast kan anses vara rent bekräftande i förhållande till ett tidigare beslut när den inte innehåller någon ny omständighet i jämförelse med det tidigare beslutet (dom av den 10 december 1980, Grasselli/kommissionen, 23/80, EU:C:1980:284, punkt 18, och dom av den 31 maj 2017, DEI/kommissionen, C‑228/16 P, EU:C:2017:409, punkt 33). Vidare kan nya och väsentliga omständigheter motivera att det framställs en begäran om omprövning av ett tidigare beslut som har vunnit laga kraft (se dom av den 7 februari 2001, Inpesca/kommissionen, T-186/98, EU:T:2001:42, punkt 47 och där angiven rättspraxis). En talan som har väckts mot ett beslut att vägra att ompröva ett beslut som vunnit laga kraft kan således tas upp till prövning om det framgår att det föreligger nya och väsentliga omständigheter (se, för ett liknande synsätt, dom av den 7 februari 2001, Inpesca/kommissionen, T-186/98, EU:T:2001:42, punkt 49). Omständigheter ska anses vara ”nya och väsentliga” när varken sökanden eller administrationen haft eller hade kunnat ha kännedom om den berörda omständigheten när det tidigare beslutet fattades och den kan medföra en betydande förändring av den situation som låg till grund för sökandens ursprungliga begäran, vilken gav upphov till det tidigare beslutet som vunnit laga kraft (se, för ett liknande synsätt, dom av den 7 februari 2001, Inpesca/kommissionen, T-186/98, EU:T:2001:42, punkterna 50 och 51).
54 För att i förevarande fall visa förekomsten av nya och väsentliga omständigheter har sökanden bland annat hänvisat till att den administrativa utredningen avslutades den 31 augusti 2016.
55 Kommissionen har gjort gällande att sökanden i sin begäran av den 21 september 2016 endast tackat för att säkerhetsdirektorat den 14 september 2016 underrättat honom om avslutandet av den administrativa utredningen och han inte då gjorde gällande att detta utgjorde en ny och väsentlig omständighet som motiverade en omprövning av beslutet av den 8 mars 2016.
56 Ingen bestämmelse i förordning nr 45/2001, och särskilt inte artikel 13 där det föreskrivs en rätt till tillgång ”utan hinder”, ålägger den berörde att motivera eller rättfärdiga sin begäran om tillgång till sina personuppgifter. Härav följer att, vad gäller tillgången till personuppgifter, en sökande inför tribunalen kan åberopa att det vid den tidpunkt då den angripna rättsakten antogs förelåg nya och väsentliga omständigheter som motiverade en ny prövning, trots att sökanden underlåtit att nämna dem i sin begäran.
57 Mot denna bakgrund och då kommissionen redan hade kännedom om avslutandet av den administrativa utredningen när begäran av den 21 september 2016 lämnades in till kommissionen, kan sökanden vid tribunalen med framgång åberopa detta avslutande av den administrativa utredningen till stöd för förekomsten av en ny och väsentlig omständighet.
58 Denna händelse ägde rum efter beslutet av den 8 mars 2016, varför den är en ny omständighet i den mening som avses i den rättspraxis som anges i punkt 53 ovan.
59 Händelsen är vidare en väsentlig omständighet i den mening som avses i samma rättspraxis. Säkerhetsdirektoratet åberopade nämligen, beroende på vilka uppgifter som avsågs, i beslutet av den 8 mars 2016 dels det undantag som föreskrivs i artikel 20.1 a i förordning nr 45/2001, vilket avser vad som är nödvändigt för att ”förebygga, utreda, avslöja eller beivra brott”, dels undantaget i artikel 20.1 c i samma förordning, vilket bland annat avser vad som är nödvändigt för att ”säkerställa skydd av den registrerades … fri- och rättigheter”, till stöd för att vägra sökanden tillgång till vissa av hans personuppgifter. När det gäller de undantag som föreskrivs i artikel 20.1 a i förordning nr 45/2001 anförde säkerhetsdirektoratet att ett utlämnande av de aktuella uppgifterna skulle avslöja dess medel och metoder för utredning. Vad gäller det undantag som föreskrivs i artikel 20.1 c i förordningen angav det att ett utlämnande av de aktuella uppgifterna skulle inskränka rättigheterna för andra personer som är föremål för behandling av sina personuppgifter, det vill säga vittnen och uppgiftslämnare som hörts i samband med den administrativa utredningen. Det förefaller således som om skälen för den partiella vägran av tillgång genom beslutet av den 8 mars 2016 var, åtminstone indirekt, knutet till den administrativa utredningen avseende sökanden. Det kan följaktligen inte uteslutas att avslutandet av denna utredning väsentligen förändrade sökandens situation.
60 Denna slutsats påverkas inte av kommissionens argument avseende behovet av att inte riskera att avslöja de medel och metoder som säkerhetsdirektoratet använder eller behovet av att skydda vittnen och uppgiftslämnare alltjämt gör sig gällande efter avslutandet av den administrativa utredningen. Detta argument riskerar nämligen att göra ett upptagande till sakprövning helt beroende av huruvida denna nya vägran att ge sökanden tillgång till personuppgifter var välgrundad. Det är emellertid tillräckligt, för att fastställa att avslutandet av den administrativa utredningen utgjorde en ny och väsentlig omständighet som motiverade en omprövning av sökandens situation, att den händelsen kunde påverka tillämpningen av de undantag som föreskrivs i artikel 20.1 a och 20.1 c i förordning nr 45/2001, utan att föregripa huruvida omprövningen kan leda till ett nytt avslagsbeslut grundat på samma undantag eller inte.
61 Härav följer att avslutandet av den administrativa utredningen utgjorde en ny och väsentlig omständighet som motiverade en omprövning av sökandens rätt till tillgång till sina personuppgifter.
62 Behovet av en sådan omprövning gör sig än mer gällande i detta fall, eftersom sökanden lät en rimlig tid förflyta innan han ingav en ny begäran om tillgång till sina personuppgifter till säkerhetsdirektoratet. Begäran av den 21 september 2016 lämnades nämligen in mer än sex månader efter det att sökanden genom beslutet av den 8 mars 2016 delvis nekats tillgång till sina personuppgifter.
63 Mot denna bakgrund är kommissionens påstående att den angripna skrivelsen är en rättsakt som enbart bekräftar beslutet av den 8 mars 2016 under alla förhållanden inte korrekt.
– Sökandens intresse av att få saken prövad
64 Kommissionen har gjort gällande att i den mån som sökanden redan har tillgång till alla eller vissa av sina personuppgifter, och i synnerhet samtliga uppgifter som förtecknats i grupp A, och då han i realiteten begärt tillgång till dessa handlingar, har han inte något berättigat intresse av att få den angripna skrivelsen prövad.
65 Även om sökanden inte uttryckligen har bestritt kommissionens argument, framgår det av hans inlagor att han anser att han felaktigt berövats tillgång till sina personuppgifter genom den angripna skrivelsen.
66 Enligt fast rättspraxis kan en talan om ogiltigförklaring som väckts av en fysisk eller juridisk person endast prövas i sak i den mån som personen har ett berättigat intresse av att den angripna rättsakten ogiltigförklaras. Ett berättigat intresse av att få saken prövad förutsätter att själva ogiltigförklaringen av rättsakten kan få rättsverkningar och att talan således kan medföra en fördel för den person som har väckt den (dom av den 17 september 2009, kommissionen/Koninklijke FrieslandCampina, C‑519/07 P, EU:C:2009:556, punkt 63, och dom av den 17 september 2015, Mory m.fl./kommissionen, C‑33/14 P, EU:C:2015:609, punkt 55).
67 I detta fall ska, såsom framhållits i punkt 42 ovan, kommissionen genom den angripna skrivelsen anses ha avslagit sökandens begäran om tillgång till samtliga personuppgifter som nämns i begäran av den 21 september 2016.
68 Visserligen har sökanden redan haft tillgång till vissa av sina personuppgifter. I tabellen i bilagan till beslutet av den 8 mars 2016, lämnade nämligen kommissionen vissa uppgifter beträffande vilka den inte åberopade något av de undantag och begränsningar som föreskrivs i artikel 20 i förordning nr 45/2001. Detta gällde dels samtliga personuppgifter som kommissionen identifierat i handlingarna i grupp A, med undantag för handling nr 56, dels vissa av de personuppgifter som kommissionen identifierat i handlingarna i grupperna B, C och D samt handling nr 56.
69 Såsom framhållits i punkt 46 ovan har berörda personer inom ramen för förordning nr 45/2001 emellertid en varaktig och fortlöpande rätt till tillgång till sina personuppgifter. I denna rätt ingår rätten att begära tillgång till sina personuppgifter, även när personen redan har fått tillgång till alla eller vissa av dessa uppgifter, till exempel för att säkerställa att alla personuppgifter som innehas av en institution faktiskt har identifierats och kommunicerats eller för att kontrollera huruvida uppgifterna i fråga alltjämt behandlas av institutionen och, om så är fallet, huruvida de har ändrats eller inte.
70 Även om det är riktigt att sökanden inte, genom en begäran om tillgång till sina personuppgifter, kan få tillgång till de handlingar som innehåller sådana uppgifter, är detta emellertid i sig irrelevant för sökandens intresse av att få tillgång till själva uppgifterna.
71 Mot denna bakgrund skulle en ogiltigförklaring av den angripna skrivelsen, i vilken sökanden vägrats tillgång till samtliga personuppgifter som finns i de handlingar som nämnts i begäran av den 21 september 2016, kunna medföra rättsverkningar för sökanden och en fördel för honom.
72 Av detta följer att yrkandet om ogiltigförklaring ska tas upp till sakprövning och att kommissionens invändning om rättegångshinder ska avslås.
Huruvida yrkandet om ogiltigförklaring ska bifallas
73 Sökanden har till stöd för sitt yrkande om ogiltigförklaring gjort gällande att den angripna skrivelsen inte uppfyller motiveringsskyldigheten enligt artikel 296 FEUF. I skrivelsen hänvisas nämligen endast till beslutet av den 8 mars 2016 och förklaras inte varför sökanden inte kan ges tillgång till sina personuppgifter. När det gäller de personuppgifter som finns i de handlingar som förtecknats i grupp A innehåller beslutet av den 8 mars 2016 inte några skäl, vilket innebär att även den angripna skrivelsen saknar motivering. När det gäller de personuppgifter som finns i handlingarna som förtecknats i grupp B, C och D förklaras inte i den angripna skrivelsen varför de undantag och begränsningar som föreskrivs i artikel 20.1 a och 20.1 c i förordning nr 45/2001 och som åberopats i beslutet av den 8 mars 2016 fortfarande skulle tillämpas efter avslutandet av den administrativa utredningen och efter det att säkerhetsdirektoratet mottagit en ny begäran om tillgång till dessa uppgifter i maskerad form.
74 Kommissionen har bestritt sökandens argument. Den har gjort gällande dels att ingen särskild motivering krävs när det gäller de personuppgifter som finns i handlingarna i grupp A, vilka sökanden redan hade getts tillgång till, dels att sökanden redan hade fått tillräcklig information, i den tabell som bifogats beslutet av den 8 mars 2016, om varför vissa av hans personuppgifter i de handlingar som förtecknats i grupperna B, C och D inte hade lämnats ut.
75 Tribunalen erinrar om att den motivering som krävs i artikel 296 FEUF enligt fast rättspraxis ska vara anpassad till rättsaktens beskaffenhet. Av motiveringen ska klart och tydligt framgå hur den institution som har antagit rättsakten har resonerat, så att de som berörs av den kan få kännedom om skälen för den vidtagna åtgärden och så att domstolen ges möjlighet att utföra sin prövning. Frågan om motiveringsskyldigheten är uppfylld ska bedömas med hänsyn till omständigheterna i det enskilda fallet, särskilt till rättsaktens innehåll, de anförda skälen och det intresse av att få förklaringar som de vilka rättsakten är riktad till eller andra personer som direkt eller personligen berörs av den kan ha. Det krävs dock inte att alla relevanta faktiska och rättsliga omständigheter anges i motiveringen, eftersom bedömningen av om motiveringen av ett beslut uppfyller kraven i artikel 296 FEUF inte ska ske endast utifrån rättsaktens lydelse, utan även utifrån det sammanhang i vilket den ingår och samtliga rättsregler på det aktuella området (dom av den 2 april 1998, kommissionen/Sytraval och Brink’s France, C‑367/95 P, EU:C:1998:154, punkt 63, och dom av den 1 juli 2008, Chronopost och La Poste/UFEX m.fl., C‑341/06 P och C‑342/06 P, EU:C:2008:375, punkt 88).
76 Det framgår vidare av artikel 20.3 i förordning nr 45/2001 att om ett undantag eller en begränsning i artikel 20.1 i samma förordning åberopas mot den registrerade ska denne informeras om de huvudsakliga skälen till att undantaget eller begränsningen tillämpas.
77 I detta fall kan det konstateras att den angripna skrivelsen – vars innehåll återges i punkt 14 ovan – i sig praktiskt taget helt saknar motivering i faktiskt och rättsligt hänseende. Skrivelsen innehåller inte någon egen motivering. Den förklarar inte varför sökanden inte kan få tillgång till de personuppgifter som anges i begäran av den 21 september 2016. Den angripna skrivelsen innehåller i själva verket endast en hänvisning till beslutet av den 8 mars 2016 och till datatillsynsmannens beslut av den 25 juli 2016, där slutsatsen var att det inte hade skett något åsidosättande av sökandens rätt till tillgång till sina personuppgifter. I skrivelsen anges endast att, mot bakgrund av den slutsats som dragits av datatillsynsmannen och utan någon närmare förklaring, sökandens begäran om tillgång hade ”behandlats [korrekt]”.
78 En motivering i form av en hänvisning kan emellertid i vissa fall vara tillåten (se, för ett liknande synsätt, dom av den 19 november 1998, parlamentet/Gaspari, C‑316/97 P, EU:C:1998:558, punkt 27). I synnerhet har det i rättspraxis godtagits att motiveringen lämnas i form av en hänvisning till ett tidigare beslut (se, för ett liknande synsätt, dom av den 12 maj 2016, Zuffa/EUIPO (ULTIMATE FIGHTING CHAMPIONSHIP), T-590/14, ej publicerad, EU:T:2016:295, punkt 43, och dom av den 5 februari 2018, Edeka-Handelsgesellschaft Hessenring/kommissionen, T-611/15, EU:T:2018:63, punkterna 32–38).
79 Det är därför nödvändigt att bedöma huruvida hänvisningen till beslutet av den 8 mars 2016 och datatillsynsmannens beslut av den 25 juli 2016 utgör en tillräcklig motivering av den angripna skrivelsen.
80 När det, för det första, gäller de personuppgifter som finns i de handlingar som förtecknats i grupp A (med undantag av dokument nr 56) innehöll den tabell som bilagts beslutet av den 8 mars 2016, där tillgång till de begärda personuppgifterna helt beviljades – åtminstone vad gäller de personuppgifter som kommissionen identifierat i handlingarna i fråga –, inte något skäl för att vägra tillgång. Hänvisning till beslutet av den 8 mars 2016 kan således inte utgöra en motivering för att genom den angripna skrivelsen för första gången vägra sökanden tillgång till alla personuppgifter som finns i de handlingar som förtecknats i grupp A.
81 Vad, för det andra, gäller de personuppgifter som finns i de handlingar som förtecknats i grupperna B, C och D, var, såsom påpekats i punkterna 52 och 61 ovan, kommissionen skyldig att pröva huruvida beslutet av den 8 mars 2016, i den del det innebar att sökanden nekades tillgång till dessa uppgifter, alltjämt var välgrundat. Kommissionen skulle därvid särskilt, för samtliga de aktuella personuppgifterna, pröva om tillämpningen av de undantag och begränsningar som föreskrivs i artikel 20.1, a och 20.1 c i förordning nr 45/2001 och som låg till grund för beslutet av den 8 mars 2016, alltjämt var motiverad utifrån en eventuell förändring av den rättsliga eller faktiska situationen. I synnerhet var kommissionen skyldig att beakta att den administrativa utredningen hade avslutats och att det gått mer än sex månader.
82 Tribunalen konstaterar att den angripna skrivelsen inte innehåller någon motivering avseende en konkret och detaljerad omprövning av sökandens rätt till tillgång till sina personuppgifter. Den innehåller heller inte någon motivering avseende de möjliga konsekvenserna av de omständigheter som anges i punkt 81 ovan. Vidare kan enbart en hänvisning till beslutet av den 8 mars 2016 och datatillsynsmannens beslut av den 25 juli 2016 uppenbart inte utgöra en lämplig och tillräcklig motivering, då ett nytt avslagsbeslut som fattats efter en omprövning per definition inte enbart kan grunda sig på de skäl som angivits i tidigare beslut, före denna omprövning. Följaktligen uppfyller hänvisningen till dessa båda beslut inte motiveringsskyldigheten när det gäller vägran att ge tillgång till de personuppgifter som finns i de handlingar som förtecknats i grupperna B, C och D, vilka sökanden genom den angripna skrivelsen på nytt vägrats tillgång till.
83 Härav följer att talan ska bifallas på den grunden att motiveringsskyldigheten har åsidosatts.
84 Den angripna skrivelsen ska således, i den mån som sökanden vägrats tillgång till vissa av sina personuppgifter, ogiltigförklaras.
Den åtgärd för bevisupptagning som sökanden har begärt
85 Sökanden har yrkat att kommissionen ska förpliktas att ge in handling nr 57.
86 Denna åtgärd för bevisupptagning har emellertid begärts i samband med yrkandena om skadestånd, vilket sökanden medgivit vid förhandlingen. Eftersom dessa yrkanden återkallats och återkallelsen noterats i protokollet (punkt 27 ovan), har ett ingivande av handling nr 57 i målet förlorat sin ändamålsenliga verkan.
87 Det saknas således skäl att bifalla sökandens begäran om denna åtgärd för bevisupptagning.
Rättegångskostnader
88 Enligt artikel 134.1 i rättegångsreglerna ska tappande rättegångsdeltagare förpliktas att ersätta rättegångskostnaderna, om detta har yrkats.
89 Eftersom kommissionen i allt väsentligt har tappat målet, ska den förpliktas att ersätta rättegångskostnaderna i enlighet med klagandens yrkanden och utan att det är nödvändigt att beakta sökandens återkallelse av yrkandena om skadestånd.
Mot denna bakgrund beslutar
TRIBUNALEN (nionde avdelningen i utökad sammansättning)
följande:
1) Skrivelsen från direktören för direktoratet för säkerhet vid kommissionens generaldirektorat för personal och säkerhet av den 12 oktober 2016 ogiltigförklaras i den del den innebär avslag på RE:s ansökan om tillgång till vissa av sina personuppgifter.
2) Kommissionen ska ersätta rättegångskostnaderna.
Gervasoni | Madise | da Silva Passos |
Kowalik-Bańczyk | | Mac Eochaidh |
Avkunnad vid offentligt sammanträde i Luxemburg den 14 februari 2019.
Underskrifter