Dom
1 Genom sitt överklagande har OC yrkat att domstolen ska upphäva den dom som meddelades av Europeiska unionens tribunal den 4 maj 2022, OC/kommissionen (T‑384/20, EU:T:2022:273) (nedan kallad den överklagade domen).[1] Genom denna dom ogillade tribunalen OC:s talan enligt artikel 268 FEUF med yrkande om ersättning för den skada som hon lidit till följd av pressmeddelande nr 13/2020 som Europeiska byrån för bedrägeribekämpning (Olaf) publicerade den 5 maj 2020 med rubriken ”En utredning som utförts av Olaf påvisar bedrägeri i samband med finansiering av forskning i Grekland” (Olaf investigation uncovers research funding fraud in Greece) (nedan kallat det omtvistade pressmeddelandet), eftersom hennes personuppgifter behandlats på ett rättsstridigt sätt och falsk information om hennes spridits genom i pressmeddelandet.
[1] EU‑domstolen, Mål C‑479/22 P, OC mot Europeiska kommissionen, EU:C:2024:190, dom 7 mars 2024.
I. Tillämpliga bestämmelser
A. Förordning (EU, Euratom) nr 883/2013
2 Artikel 5 i Europaparlamentets och rådets förordning (EU, Euratom) nr 883/2013 av den 11 september 2013 om utredningar som utförs av Europeiska byrån för bedrägeribekämpning (Olaf) och om upphävande av Europaparlamentets och rådets förordning (EG) nr 1073/1999 och rådets förordning (Euratom) nr 1074/1999 (EUT L 248, 2013, s. 1) har rubriken ”Inledande av utredningar”. Artikel 5.1 har följande lydelse:
”Generaldirektören får inleda en utredning när det föreligger skälig misstanke, som även kan vara grundad på information från tredje part eller anonymt lämnad information, om att det har förekommit bedrägeri, korruption eller annan olaglig verksamhet som riktar sig mot [Europeiska] unionens ekonomiska intressen. Generaldirektörens beslut om att inleda en utredning eller inte ska fattas med hänsyn till Olafs årliga förvaltningsplan och de utredningsprioriteringar som fastställs i enlighet med artikel 17.5. Beslutet ska även ta hänsyn till att Olafs resurser ska utnyttjas effektivt och till att de resurser som används ska stå i proportion till saken. Vid interna utredningar ska särskild hänsyn tas till vilken institution, vilket organ eller vilken byrå som på bästa sätt kan genomföra dem, med särskild tanke på omständigheterna, ärendets faktiska eller potentiella ekonomiska följder och möjligheterna till eventuell rättslig uppföljning.”
3 I artikel 9 i nämnda förordning, med rubriken ”Rättssäkerhetsgarantier”, föreskrivs följande i punkt 1:
”Olaf ska i sina utredningar beakta omständigheter som talar såväl för som emot de berörda personerna. Utredningarna ska genomföras på ett objektivt och opartiskt sätt, i enlighet med principen om oskuldspresumtion och rättssäkerhetsgarantierna i denna artikel.”
4 I artikel 10 i samma förordning, med rubriken ”Sekretess och skydd av uppgifter”, föreskrivs följande:
”1. Information som överlämnats eller inhämtas i samband med externa utredningar ska oavsett form vara skyddad genom tillämpliga bestämmelser.
2. Information som överlämnas eller inhämtas i samband med interna utredningar ska, oavsett form, omfattas av tystnadsplikt och åtnjuta samma skydd som det som ges enligt de bestämmelser som gäller för unionsinstitutionerna.
…
5. Generaldirektören ska se till att all information till allmänheten lämnas på ett neutralt och opartiskt sätt, och att offentliggörande av den sker med iakttagande av utredningssekretessen och enligt de principer som fastställs i den här artikeln och i artikel 9.1.
…”
5 I artikel 11 i nämnda förordning, med rubriken ”Utredningsrapport och uppföljning av utredningar”, föreskrivs följande i punkt 1:
”När Olaf har avslutat en utredning ska en rapport upprättas under generaldirektörens överinseende. Denna rapport ska redogöra för utredningens rättsliga grund, förfarandet, de omständigheter som konstaterats och deras preliminära juridiska innebörd, de uppskattade ekonomiska följderna av de omständigheter som konstaterats, uppgifter om efterlevnaden av rättssäkerhetsgarantierna i enlighet med artikel 9 samt utredningens slutsatser.
Rapporten ska åtföljas av rekommendationer från generaldirektören om huruvida åtgärder bör vidtas eller inte. Dessa rekommendationer ska när så är lämpligt ange disciplinära, administrativa, ekonomiska och/eller rättsliga åtgärder från institutioner, organ och byråer och från de behöriga myndigheterna i de berörda medlemsstaterna, och ska särskilt ange de uppskattade belopp som ska återkrävas, och den preliminära juridiska innebörden av de omständigheter som konstaterats.”
B. Dataskyddsförordningen
6 Artikel 2 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1) (nedan kallad dataskyddsförordningen) har rubriken ”Materiellt tillämpningsområde”. I artikel 2.3 föreskrivs följande:
”[Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter (EGT L 8, 2001, s. 1)] är tillämplig på den behandling av personuppgifter som sker i EU:s institutioner, organ och byråer. Förordning (EG) nr 45/2001 och de av unionens övriga rättsakter som är tillämpliga på sådan behandling av personuppgifter ska anpassas till principerna och bestämmelserna i denna förordning i enlighet med artikel 98.”
7 Artikel 4 i dataskyddsförordningen, med rubriken ”Definitioner”, har följande lydelse:
”I denna förordning avses med
1. personuppgifter: varje upplysning som avser en identifierad eller identifierbar fysisk person (nedan kallad en registrerad), varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet,
…”
8 Artikel 98 i dataskyddsförordningen har rubriken ”Översyn av andra unionsrättsakter om dataskydd” och lyder som följer:
”[Europeiska k]ommissionen ska, om så är lämpligt, lägga fram lagstiftningsförslag i syfte att ändra andra unionsrättsakter om skydd av personuppgifter, för att säkerställa ett enhetligt och konsekvent skydd för fysiska personer med avseende på behandling. Detta gäller i synnerhet bestämmelserna om skyddet för fysiska personer i samband med behandling som utförs av unionens institutioner, organ och byråer samt om det fria flödet av sådana uppgifter.”
C. Förordning (EU) 2018/1725
9 Skälen 4, 5 och 16 i Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (EUT L 295, 2018, s. 39) har följande lydelse:
”(4) I [dataskyddsförordningen] föreskrivs anpassningar av förordning (EG) nr 45/2001 för att säkerställa en stark och sammanhängande ram för dataskyddet inom unionen och för att göra det möjligt att tillämpa den parallellt med [dataskyddsförordningen].
(5) För att främja en konsekvent strategi för skyddet av personuppgifter i hela unionen och för det fria flödet av personuppgifter inom unionen är det viktigt att så långt som möjligt anpassa de regler om skydd av personuppgifter som gäller för unionens institutioner, organ och byråer till de regler om skydd för personuppgifter som har antagits för den offentliga sektorn i medlemsstaterna. När en bestämmelse i denna förordning följer samma principer som en bestämmelse i [dataskyddsförordningen] bör dessa båda bestämmelser, enligt rättspraxis från Europeiska unionens domstol (nedan kallad domstolen), tolkas enhetligt, särskilt eftersom den systematik som denna förordning bygger på bör uppfattas som en motsvarighet till systematiken bakom [dataskyddsförordningen].
…
(16) Principerna för dataskyddet bör gälla all information som rör en identifierad eller identifierbar fysisk person. Personuppgifter som har pseudonymiserats och som skulle kunna tillskrivas en fysisk person genom att kompletterande uppgifter används bör anses som uppgifter om en identifierbar fysisk person. För att avgöra om en fysisk person är identifierbar bör man beakta alla hjälpmedel, som t.ex. utgallring, som, antingen av den personuppgiftsansvarige eller av en annan person, rimligen kan komma att användas för att direkt eller indirekt identifiera den fysiska personen. För att fastställa om hjälpmedel med rimlig sannolikhet kan komma att användas för att identifiera den fysiska personen bör man beakta samtliga objektiva faktorer, såsom kostnader och tidsåtgång för identifiering, med beaktande av såväl tillgänglig teknik vid tidpunkten för behandlingen som den tekniska utvecklingen. Principerna för dataskyddet bör därför inte gälla för anonym information, dvs. information som inte hänför sig till en identifierad eller identifierbar fysisk person, eller för personuppgifter som anonymiserats på ett sådant sätt att den registrerade inte eller inte längre är identifierbar. Denna förordning berör därför inte behandling av sådan anonym information, vilket inbegriper information för statistiska ändamål eller forskningsändamål.”
10 Artikel 2 i förordning 2018/1725 har rubriken ”Tillämpningsområde”. Enligt artikel 2.1 i förordningen är denna ”tillämplig på alla unionsinstitutioners och unionsorgans behandling av personuppgifter”.
11 I artikel 3 i nämnda förordning, med rubriken ”Definitioner”, föreskrivs följande:
”I denna förordning avses med
1. personuppgifter: varje upplysning som avser en identifierad eller identifierbar fysisk person … varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.
…
3) behandling: en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom … utlämning genom överföring, spridning eller tillhandahållande på annat sätt, …
…”
12 Artiklarna 4 och 5 i samma förordning avser principer för behandling av personuppgifter respektive vad som är laglig behandling av personuppgifter. I artikel 6 i förordningen fastställs de faktorer som den personuppgiftsansvarige ska beakta för att fastställa huruvida behandling för ett annat ändamål än det för vilket personuppgifterna har samlats in är förenlig med detta sistnämnda ändamål. I artikel 15 i samma förordning fastställs slutligen en förteckning över den information som ska tillhandahållas om personuppgifterna samlas in från den registrerade.
III. Talan vid tribunalen och den överklagade domen
IV. Parternas yrkanden
26 Klaganden har i sitt överklagande yrkat att domstolen ska
– upphäva den överklagade domen,
– avgöra målet slutligt, och
– förplikta kommissionen att ersätta rättegångskostnaderna avseende såväl överklagandeförförandet som avseende förfarandet vid tribunalen.
27 Kommissionen har yrkat att domstolen ska
– ogilla överklagandet, och
– förplikta klaganden att ersätta rättegångskostnaderna.
V. Prövning av överklagandet
28 Till stöd för sitt överklagande har klaganden åberopat tre grunder. Den första grunden avser felaktig tolkning av begreppet ”identifierbar fysisk person” i den mening som avses i artikel 3 led 1 i förordning 2018/1725. Genom den andra grunden gör klaganden gällande att det skett en felaktig tolkning av artikel 9.1 i förordning nr 88/2013 och artikel 48.1 i stadgan jämförd med artikel 6.2 i Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, undertecknad i Rom den 4 november 1950 (nedan kallad Europakonventionen), beträffande oskuldspresumtionens omfattning. Den tredje grunden avser missuppfattning av bevisningen gällande åsidosättandet av artikel 41 i stadgan om rätten till en god förvaltning.
A. Den första grunden
29 Den första grunden kan delas upp i fyra delgrunder. Klaganden gör härigenom gällande att tribunalen åsidosatte unionsrätten då den i punkterna 91 och 92 i den överklagade domen kom fram till att hon inte hade styrkt att det omtvistade pressmeddelandet – i sig, men även med hjälp av hjälpmedel som rimligen kan komma att användas av en läsare – gjort det möjligt att identifiera henne med följd att de upplysningar som pressmeddelandet innehåller inte omfattas av uttrycket ”personuppgifter” i den mening som avses i artikel 3 led 1 i förordning 2018/1725 och att denna förordning således inte är tillämplig.
1. Den första grundens första och andra del
2) Huruvida det finns stöd för den första grundens första och andra del
43 Domstolen påpekar inledningsvis att definitionen av begreppet ”personuppgifter”, som avses i artikel 3 led 1 i förordning 2018/1725, i princip är identisk med samma begrepp i artikel 4 led 1 i dataskyddsförordningen. Såsom vidare följer av skälen 4 och 5 i förordning 2018/1725 och av artiklarna 2.3 och 98 i dataskyddsförordningen har unionslagstiftarens avsikt varit att inrätta ett system för skydd av personuppgifter som gäller för unionens institutioner, organ och byråer som är likvärdigt med det system som inrättats genom dataskyddsförordningen. Syftet härmed är att säkerställa ett enhetligt och konsekvent skydd för fysiska personer med avseende på behandling av deras personuppgifter inom unionen. Artikel 3 led 1 i förordning 2018/1725 och artikel 4 led 1 i dataskyddsförordningen ska således tolkas på identiskt sätt.
44 I artikel 3 led 1 i förordning 2018/1725 definieras personuppgifter såsom ”varje upplysning som avser en identifierad eller identifierbar fysisk person”.
45 Domstolen har emellertid slagit fast att användningen av uttrycket ”varje upplysning” i definitionen av begreppet ”personuppgifter” i artikel 4 led 1 i dataskyddsförordningen avspeglar unionslagstiftarens avsikt att ge detta begrepp en vid innebörd, vilken potentiellt innefattar alla typer av upplysningar, såväl objektiva som subjektiva, i form av åsikter eller bedömningar, under förutsättning att uppgifterna ”avser” den berörda personen. En upplysning avser en identifierad eller identifierbar fysisk person när den på grund av sitt innehåll, syfte eller verkan är knuten till en identifierbar person (dom av den 4 maj 2023, Österreichische Datenschutzbehörde et CRIF, C‑487/21, EU:C:2023:369, punkterna 23 och 24).
46 När det gäller huruvida en fysisk person ska anses ”identifierbar” så preciseras i artikel 3 led 1 i förordning 2018/1725 att en identifierbar fysisk person är ”en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet”.
47 Unionslagstiftarens användning av ordet ”indirekt” tyder på att det inte är nödvändigt att upplysningen i sig gör det möjligt att identifiera den aktuella personen för att upplysningen ska anses utgöra en personuppgift (se analogt dom av den 19 oktober 2016, Breyer, C‑582/14, EU:C:2016:779, punkt 41).
59 Vad sedan gäller huruvida tribunalen gjorde en felaktig rättstillämpning vid sin rättsliga kvalificering av de faktiska omständigheterna såvitt gäller frågan huruvida klaganden var identifierbar så gör domstolen följande bedömning. Det omtvistade pressmeddelandet innehåller, såsom tribunalen påpekade i punkterna 53–55 i den överklagade domen, ett antal upplysningar som avser klaganden och som kunde göra det möjligt att identifiera henne, till exempel hennes kön, nationalitet och yrke, angivelsen av att det rörde sig om en ung person och att hon var ansvarig för det aktuella finansierade forskningsprojektet liksom angivelsen av bidragsbelopp, det beviljande organet – det vill säga Ercea – typen av enhet där projektet skulle genomföras och det land där denna enhet var belägen, nämligen ett universitet i Grekland, hänvisningen till den berörda personens far och att han tjänstgjorde inom denna enhet liksom angivelsen av det ungefärliga antalet forskare som arbetade för projektet under den berörda personens ledning.
60 Till skillnad från vad tribunalen kom fram till i punkt 68 i den överklagade domen innehåller upplysningar i ett pressmeddelande om den berörda personens kön, nationalitet, faderns yrkesverksamhet, storleken på ett bidragsbelopp för ett vetenskapligt projekt och uppgift om den geografiska plats där den enhet är belägen vid vilken det aktuella projektet ska genomföras – tagna tillsammans – information av sådan art att den person som avses i pressmeddelandet kan identifieras, i synnerhet av personer som arbetar inom samma vetenskapliga område och som känner till personens yrkesbakgrund.
61 I detta sammanhang är det inte möjligt att utifrån den rättspraxis som anges i punkt 51 ovan kvalificera risken för identifiering av den berörda personen som försumbar. För personer som arbetar inom samma vetenskapliga område är upplysningar av den typ som avses i föregående punkt, tagna tillsammans, sådana att de gör det möjligt att identifiera den aktuella personen utan att identifieringen kräver orimliga resurser i form av tid, kostnader och arbetskraft. I motsats till vad kommissionen har hävdat var klaganden inte skyldig att styrka att en av dessa personer verkligen hade identifierat henne, eftersom något sådant villkor inte föreskrivs i artikel 3 led 1 i förordning 2018/1725. Enligt den bestämmelsen krävs nämligen endast att personen ska vara ”identifierbar”.
62 Såsom framgår av punkt 66 i den överklagade domen innehåller beskrivningen på Erceas webbplats av de sjuttiotal projekt som detta forskningsråd finansierar och där de mottagande institutionerna var belägna i Grekland flera nyckeluppgifter som möjliggör för en internetanvändare att hitta önskade upplysningar såsom till exempel namnet på ansvarig person för projektet eller namnet på den mottagande institutionen och till och med vilket belopp finansieringen uppgår till.
63 Ett pressmeddelande som avser påstått olagliga handlanden, såsom bedrägeri och korruption, kan emellertid med säkerhet förväntas föranleda intresse från allmänhetens sida och få läsarna – bland annat journalister – att göra sökningar om den person som avses i pressmeddelandet. Det framstår i ett dylikt sammanhang inte på något sätt som orimligt att en person lägger ned resurser i form av sådana sökningar på en webbsida, såsom Erceas webbsida, för att gå igenom beskrivningen av ett sjuttiotal finansierade projekt som anges på denna sida kombinerat med andra sökningar på internet som sannolikt gör det möjligt att erhålla namn och andra identifikatorer gällande den person som avses i pressmeddelandet. Risken att journalister eller andra personer som inte känner till klagandens yrkesbakgrund lyckas identifiera henne kunde därför inte anses som försumbar i den mening som avses i rättspraxis i punkt 51 ovan.
64 Det följer av övervägandena ovan att tribunalen gjorde en felaktig rättstillämpning i punkterna 49 och 87 i den överklagade domen när den slog fast att identifieringen av klaganden inte fick vara resultatet av yttre eller kompletterande faktorer som inte omfattas av det beteende som Olaf kritiseras för. Tribunalen gjorde dessutom en felaktig rättstillämpning vid den rättsliga kvalificeringen av de faktiska omständigheter som var föremål för dess bedömning när den i punkt 68 i samma dom slog fast att de identifikatorer som fanns med i det omtvistade pressmeddelandet inte rimligen gjorde det möjligt att identifiera klaganden på grundval av antingen en genomläsning av pressmeddelandet eller med hjälp av ”hjälpmedel [som] rimligen kan komma att användas” av en av läsarna.
65 Det var följaktligen likaså utan stöd som tribunalen i punkterna 91 och 92 i den överklagade domen fann att de upplysningar som förekommer i det omtvistade pressmeddelandet inte omfattades av begreppet ”personuppgifter” i den mening som avses i artikel 3 led 1 i förordning 2018/1725 och att förordningen inte var tillämplig i förevarande fall.66 Överklagandet ska följaktligen vinna bifall på den första grundens första och andra del.