text: Hänvisningar till medlemsstater i detta dokument bör förstås som hänvisningar till medlemsstater i EES. Finns på http://ec.europa.eu/newsroom/article29/item-detail.cfm?item id=611235. Se https://edpb.europa.eu/news/news/2018/endorsement-gdpr-wp29-guidelines-edpb en. Se

text: riktlinjerna 07/2020

text: angående begreppen personuppgiftsansvarig och personuppgiftsbiträde i GDPR, version 2.0 antagen den 7 juli 2021, punkterna 161, 162 och 166, tillgängliga på https://edpb.europa.eu/our-worktools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr en.

text: Oxford English Dictionary. Oxford English Dictionary.

text: Se

text: skäl 135

text: i

text: allmänna dataskyddsförordningen

text: EDPB erkänner att vad gäller behandling av personuppgifter för bankändamål har denna behandlingsverksamheter många olika ändamål. För enkelhetens skull behandlar EDPB dock all denna behandling som om den har ett enda ändamål. Detsamma gäller behandlingen för försäkringsändamål. Det är också viktigt att tänka på att den allmänna dataskyddsförordningen föreskriver möjligheten till lokal tillsyn i speciella fall. Se skäl 127: ”Varje tillsynsmyndighet som inte agerar som ansvarig tillsynsmyndighet bör vara behörig att behandla lokala fall, om den personuppgiftsansvarige eller personuppgiftsbiträdet är etablerad i mer än en medlemsstat men ärendet för den specifika behandlingen endast avser behandling som utförs i en enda medlemsstat och endast omfattar registrerade i denna enda medlemsstat, till exempel om ärendet avser behandling av anställdas personuppgifter inom ramen för en medlemsstats specifika anställningsförhållanden.” Denna princip innebär att tillsynen av personuppgifter om anställda kan ligga på flera tillsynsmyndigheters ansvar, då behandlingen av personuppgifter har samband med lokala anställningsförhållanden.

text: Se EDPB:s

text: riktlinjer 07/2020

text: om begreppen personuppgiftsansvarig och personuppgiftsbiträde i dataskyddsförordningen, punkterna 161, 162 och 166. Se EDPB:s

text: riktlinjer 07/2020

text: om begreppen personuppgiftsansvarig och personuppgiftsbiträde i dataskyddsförordningen, punkt 191.

text: Se punkt 35 nedan.

identifier: Riktlinjer 8/2022

title: Riktlinjer om fastställande av ansvarig tillsynsmyndighet för personuppgiftsansvariga eller personuppgiftsbiträden

text: Europeiska dataskyddsstyrelsen har antagit följande riktlinjer

text: med beaktande av artikel

text: 70.1 e

text: och

text: 70.1 l

text: i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (den allmänna dataskyddsförordningen eller dataskyddsförordningen), med beaktande av EES-avtalet, särskilt bilaga XI och protokoll 37, ändrat genom gemensamma EESkommitténs beslut nr 154/2018 av den 6 juli 2018 ,

text: med beaktande av artiklarna 12 och 22 i arbetsordningen.

text: Med beaktande av artikel 29-gruppens riktlinjer för fastställande av ansvarig tillsynsmyndighet för en personuppgiftsansvarig eller ett personuppgiftsbiträde,

text: Med beaktande av EDPB:s

text: riktlinjer 07/2020

text: angående begreppen personuppgiftsansvarig och personuppgiftsbiträde i den allmänna dataskyddsförordningen.

text: HÄRIGENOM FÖRESKRIVS FÖLJANDE.

text: 0 FÖRORD

text: 1. Den 5 april 2017 antog artikel 29-gruppen sina riktlinjer om fastställande av ansvarig tillsynsmyndighet för personuppgiftsansvariga eller personuppgiftsbiträden (

text: rev.01) , som godkändes av Europeiska dataskyddsstyrelsen (EDPB) vid dess första plenarmöte . Detta dokument är en något uppdaterad version av dessa riktlinjer. Alla hänvisningar till artikel 29-gruppens riktlinjer om fastställande av ansvarig tillsynsmyndighet för personuppgiftsansvariga eller personuppgiftsbiträden (

text: rev.01) bör från och med nu tolkas som en hänvisning till dessa riktlinjer från EDPB. 2. EDPB har noterat att det fanns ett behov av ytterligare förtydliganden, särskilt när det gäller begreppet huvudsakligt verksamhetsställe i samband med gemensamt personuppgiftsansvar och med beaktande av EDPB:s

text: riktlinjer 07/2020

text: angående begreppen personuppgiftsansvarig och personuppgiftsbiträde i GDPR .

text: 3. Stycket om denna fråga har reviderats och uppdaterats men resten av dokumentet är oförändrat utöver redaktionella ändringar. Översynen gäller närmare bestämt avsnitt 2.1.3 om gemensamt personuppgiftsansvariga.

text: 1 ATT FASTSTÄLLA ANSVARIG TILLSYNSMYNDIGHET: VIKTIGA BEGREPP.

text: 1.1 ”Gränsöverskridande behandling av personuppgifter”

text: 4. Det är relevant att fastställa en ansvarig tillsynsmyndighet endast i sådana fall där den personuppgiftsansvarige eller personuppgiftsbiträdet genomför gränsöverskridande behandling av personuppgifter. Enligt definitionen i

text: artikel 4.23 i den allmänna dataskyddsförordningen

text: utgör ”gränsöverskridande behandling” antingen

text: - ”behandling av personuppgifter som äger rum inom ramen för verksamhet vid verksamhetsställen i mer än en medlemsstat tillhörande en personuppgiftsansvarig eller ett personuppgiftsbiträde i unionen, när den personuppgiftsansvarige eller personuppgiftsbiträdet är etablerad i mer än en medlemsstat, eller

text: - behandling av personuppgifter som äger rum inom ramen för verksamhet vid ett enda verksamhetsställe tillhörande en personuppgiftsansvarig eller ett personuppgiftsbiträde i unionen men som i väsentlig grad påverkar eller sannolikt i väsentlig grad kommer att påverka registrerade i mer än en medlemsstat”.

text: 5. Detta innebär att om en organisation till exempel har verksamhetsställen i Frankrike och Rumänien och behandlar personuppgifter inom ramen för sin verksamhet, utgör detta gränsöverskridande behandling.

text: 6. Alternativt kanske organisationen endast behandlar personuppgifter inom sitt verksamhetsställe i Frankrike. Om verksamheten i väsentlig grad påverkar – eller sannolikt i väsentlig grad kommer att påverka – de registrerade i både Frankrike och Rumänien, utgör dock även detta gränsöverskridande behandling.

text: 1.1.1 ”I väsentlig grad påverkar”

text: 7. ”Påverkar” eller ”i väsentlig grad” definieras inte i förordningen. Syftet med ordalydelsen var att säkerställa att definitionen av gränsöverskridande behandling inte ska omfatta all behandling om den bara har någon som helst påverkan och om den bara sker inom ett enda verksamhetsställe.

text: 8. De mest relevanta och vanligaste betydelserna av det engelska ordet substantial (väsentlig) är bland annat (i översättning) ”stor mängd eller avsevärd storlek”, ”ansenlig”, ”av betydande storlek”, ”av gediget värde”, ”av verklig vikt”, ”stabil”, ”betydelsefull”, ”viktig” .

text: 9. De mest relevanta betydelserna av det engelska verbet affect (påverka) är (i översättning) ”att ha inflytande över” eller ”göra ett stort intryck på”. Det engelska substantivet effect (påverkan) betyder i sin tur bland annat (i översättning) ”ett resultat” eller ”en konsekvens” . Av detta kan man dra slutsatsen att för att behandling av personuppgifter ska påverka någon måste den ha någon form av påverkan på dem. Behandling som inte i väsentlig grad påverkar enskilda personer omfattas inte av den andra delen av definitionen av gränsöverskridande behandling. Sådan behandling skulle dock omfattas av den första delen av definitionen om behandlingen av personuppgifter sker vid personuppgiftsansvarigas eller personuppgiftsbiträdenas verksamhetsställen i mer än en medlemsstat, i det fall där den personuppgiftsansvarige eller personuppgiftsbiträdet är etablerade i mer än en medlemsstat.

text: 10. Behandling kan omfattas av den andra delen av definitionen om det är sannolikt att den kan ha en påverkan i väsentlig grad, inte bara om den faktisk har en påverkan i väsentlig grad. Notera att ”sannolikt” inte innebär att det finns en avlägsen möjlighet till påverkan i väsentlig grad. Det måste vara mer sannolikt än inte sannolikt att behandlingen har en påverkan i väsentlig grad. Detta innebär å andra sidan att enskilda personer inte behöver påverkas rent konkret: det är tillräckligt att det är sannolikt att påverkan i väsentlig grad uppstår för att behandlingen ska omfattas av definitionen av gränsöverskridande behandling.

text: 11. Det faktum att verksamheten i fråga kan omfatta behandling av ett antal, även ett stort antal, enskilda personers personuppgifter i flera medlemsstater, innebär inte nödvändigtvis att behandlingen har, eller sannolikt kan ha, en påverkan i väsentlig grad. Behandling som inte har påverkan i väsentlig grad utgör inte gränsöverskridande behandling enligt den andra delen av definitionen, oavsett hur många enskilda personer som påverkas.

text: 12. Tillsynsmyndigheterna tolkar begreppet ”i väsentlig grad påverkar” från fall till fall. De faktorer som övervägs inom ramen för behandlingen är typen av uppgifter, ändamålet med behandlingen och om behandlingen o orsakar eller sannolikt kan orsaka skada, förlust eller känslomässigt lidande för enskilda personer, o har, eller sannolikt kan ha, en faktisk påverkan genom att den enskilda personens rättigheter begränsas eller han/hon förlorar en möjlighet, o påverkar, eller sannolikt kan påverka, den enskilda personens hälsa, välbefinnande eller trygghet, o påverkar, eller sannolikt kan påverka, den enskilda personens finansiella eller ekonomiska ställning eller situation, o utsätter den enskilda personen för diskriminering eller orättvis behandling, o omfattar analys av särskilda kategorier av personuppgifter eller andra inkräktande uppgifter, särskilt barns personuppgifter, o leder till, eller sannolikt kan leda till att den enskilda personen ändrar sitt beteende på ett väsentligt sätt, o leder till osannolika, oväntade eller oönskade konsekvenser för den enskilda personen, o ger upphov till pinsamma situationer eller andra negativa resultat, även skadat anseende, eller o innebär behandling av en stor mängd personuppgifter.

text: 13. Syftet med testet av ”i väsentlig grad påverkar” är sammanfattningsvis att se till att tillsynsmyndigheterna endast behöver samarbeta formellt med varandra via den allmänna dataskyddsförordningens mekanism för enhetlighet ”när en tillsynsmyndighet avser att anta en åtgärd som är avsedd att ha rättsverkan gällande behandlingar som i väsentlig grad påverkar ett betydande antal registrerade i flera medlemsstater” .

text: 1.2 Ansvarig tillsynsmyndighet

text: 14. Enkelt uttryckt är en ansvarig tillsynsmyndighet den myndighet som har det främsta ansvaret för att handlägga ärenden som rör gränsöverskridande behandling, till exempel om en registrerad inger ett klagomål om behandlingen av sina personuppgifter.

text: 15. Den ansvariga tillsynsmyndigheten samordnar eventuella utredningar som omfattar andra ”berörda” tillsynsmyndigheter.

text: 16. För att kunna fastställa ansvarig tillsynsmyndighet måste man avgöra var den personuppgiftsansvariges ”huvudsakliga” eller ”enda” verksamhetsställe i EU finns. Enligt

text: artikel 56 i den allmänna dataskyddsförordningen

text: ska - ”tillsynsmyndigheten för den personuppgiftsansvariges eller personuppgiftsbiträdets huvudsakliga verksamhetsställe eller enda verksamhetsställe vara behörig att agera som ansvarig tillsynsmyndighet för den personuppgiftsansvariges eller personuppgiftsbiträdets gränsöverskridande behandling i enlighet med det förfarande [för samarbete] som föreskrivs i

text: artikel 60

text: 1.3 Huvudsakligt verksamhetsställe

text: 17. ”Huvudsakligt verksamhetsställe” definieras på följande sätt i

text: artikel 4.16 i den allmänna dataskyddsförordningen

text: - ”[N]är det gäller en personuppgiftsansvarig med verksamhetsställen i mer än en medlemsstat, den plats i unionen där vederbörande har sin centrala förvaltning, om inte besluten om ändamålen och medlen för behandlingen av personuppgifter fattas vid ett annat av den personuppgiftsansvariges verksamhetsställen i unionen och det sistnämnda verksamhetsstället har befogenhet att få sådana beslut genomförda, i vilket fall det verksamhetsställe som har fattat sådana beslut ska betraktas som det huvudsakliga verksamhetsstället, - när det gäller ett personuppgiftsbiträde med verksamhetsställen i mer än en medlemsstat, den plats i unionen där vederbörande har sin centrala förvaltning eller, om personuppgiftsbiträdet inte har någon central förvaltning i unionen, det av personuppgiftsbiträdets verksamhetsställen i unionen där den huvudsakliga behandlingen inom ramen för verksamheten vid ett av personuppgiftsbiträdets verksamhetsställen sker, i den utsträckning som personuppgiftsbiträdet omfattas av särskilda skyldigheter enligt denna förordning”.

text: 2 STEG I FASTSTÄLLANDET AV ANSVARIG TILLSYNSMYNDIGHET

text: 2.1 Att fastställa ”huvudsakligt verksamhetsställe” för personuppgiftsansvariga

text: 18. För att fastställa var det huvudsakliga verksamhetsstället är beläget måste man först identifiera var den personuppgiftsansvariges centrala förvaltning i EES finns (i förekommande fall). Tillvägagångssättet enligt den allmänna dataskyddsförordningen är att den centrala förvaltningen i EU är den plats där besluten om ändamålen och medlen för behandlingen av personuppgifter fattas, och att detta verksamhetsställe har befogenhet att genomföra sådana beslut.

text: 19. Kärnan i den allmänna dataskyddsförordningens princip om ansvarig tillsynsmyndighet är att tillsynen av gränsöverskridande behandling bör ledas av endast en tillsynsmyndighet i EU. I ärenden där beslut som rör gränsöverskridande behandlingsverksamhet fattas inom EU:s centrala förvaltning, utses endast en ansvarig tillsynsmyndighet för de olika typerna databehandling som genomförs av det multinationella företaget. Det kan dock hända att ett annat verksamhetsställe än den centrala förvaltningen fattar självständiga beslut om ändamålen och medlen för en viss typ av behandling. Detta innebär att det kan uppstå situationer där fler än en ansvarig tillsynsmyndighet kan identifieras, dvs. i sådana fall där ett multinationellt företag beslutar att ha verksamhetsställen med beslutsbefogenhet i flera olika länder för olika typer av behandlingsverksamhet.

text: 20. Det är värt att påminna om att när ett multinationellt företag centraliserar alla beslut om ändamålen och medlen för behandling till ett av sina verksamhetsställen i EES (och detta verksamhetsställe har befogenheten att genomföra sådana beslut) fastställs endast en ansvarig tillsynsmyndighet för det multinationella företaget.

text: 21. I sådana situationer är det viktigt att företagen exakt fastställer var besluten om ändamålen och medlen för behandlingen fattas. Det ligger i de personuppgiftsansvarigas och personuppgiftsbiträdenas intresse att rätt ansvarig tillsynsmyndighet fastställs, eftersom de då vet vilken tillsynsmyndighet de ska vända sig till med avseende på deras olika efterlevnadsskyldigheter enligt den allmänna dataskyddsförordningen. Dessa skyldigheter omfattar i förekommande fall att utnämna ett dataskyddsombud eller samråda om behandling som medför sådana risker som den personuppgiftsansvarige inte kan begränsa med rimliga medel. Syftet med de relevanta bestämmelserna i den allmänna dataskyddsförordningen är att dessa efterlevnadsuppgifter ska vara hanterliga.

text: 22. Exemplen nedan åskådliggör detta: Exempel 1: Ett livsmedelsföretag har sitt huvudkontor (dvs. centrala förvaltning) i Rotterdam i Nederländerna. Det har verksamhetsställen i flera andra EES-länder, som står i kontakt med enskilda personer där. Alla verksamhetsställen använder samma programvara för att behandla konsumenters personuppgifter för marknadsföringsändamål. Alla beslut om ändamålen och medlen för behandlingen av konsumenternas personuppgifter för marknadsföringsändamål fattas vid huvudkontoret i Rotterdam. Detta innebär att företagets ansvariga tillsynsmyndighet för denna gränsöverskridande behandling är Nederländernas tillsynsmyndighet. Exempel 2: En bank har sitt huvudkontor i Frankfurt och all behandling i samband med bankverksamheten organiseras därifrån, men försäkringsavdelningen är förlagd till Wien. Om verksamhetsstället i Wien har befogenhet att besluta om all behandling som rör försäkringsuppgifter och genomföra dessa beslut i hela EES är det enligt

text: den österrikiska tillsynsmyndigheten som är ansvarig tillsynsmyndighet för den gränsöverskridande behandlingen av personuppgifter för försäkringsändamål, och den behöriga tyska tillsynsmyndigheten (dvs. tillsynsmyndigheten i Hessen) skulle övervaka behandlingen av personuppgifter för bankändamål, oavsett var kunderna befinner sig .

text: 2.1.1 Kriterier för att avgöra en personuppgiftsansvarigs huvudsakliga verksamhetsställe när denna plats inte är den plats där den personuppgiftsansvarige har sin centrala förvaltning i EES

text: Skäl 36

text: i

text: den allmänna dataskyddsförordningen

text: är användbart för att klargöra vilken den viktigaste faktorn ska vara vid fastställandet av den personuppgiftsansvariges huvudsakliga verksamhetsställe, om inte kriteriet för central förvaltning är tillämpligt. Det handlar bland annat om att fastställa var den faktiska och reella ledningen finns, dvs. den ledning som fattar de huvudsakliga besluten vad avser ändamål och medel för behandlingen med hjälp av en stabil struktur. I skäl 36 klargörs också följande: ”Att tekniska medel och teknik för behandling av personuppgifter eller behandlingsverksamhet finns och används visar i sig inte att det rör sig om ett huvudsakligt verksamhetsställe och utgör därför inte avgörande kriterier för ett huvudsakligt verksamhetsställe”.

text: 24. Det är den personuppgiftsansvarige som själv fastställer var det huvudsakliga verksamhetsstället finns och följaktligen vilken tillsynsmyndighet som är ansvarig tillsynsmyndighet. Detta kan dock bestridas av respektive berörda tillsynsmyndigheter i efterhand.

text: 25. Nedanstående faktorer är till hjälp för att avgöra platsen för en personuppgiftsansvarigs huvudsakliga verksamhetsställe enligt villkoren i den allmänna dataskyddsförordningen när denna plats inte är platsen för den personuppgiftsansvariges centrala förvaltning i EES. o Var ges det slutliga godkännandet av beslut om ändamål och medel för behandlingen? o Var fattas beslut om affärsverksamhet som omfattar behandling av personuppgifter? o Var finns den faktiska befogenheten att genomföra beslut? o Var finns direktören (eller direktörerna) som har det huvudsakliga ansvaret för den gränsöverskridande behandlingen? o Var är den personuppgiftsansvarige eller personuppgiftsbiträdet registrerad som ett företag, om behandlingen sker inom ett enda territorium?

text: 26. Observera att denna lista inte är uttömmande. Andra faktorer kan vara relevanta beroende på den personuppgiftsansvarige eller behandlingen i fråga. Om en tillsynsmyndighet har skäl att tvivla på att det verksamhetsställe som fastställts av den personuppgiftsansvarige verkligen är det huvudsakliga verksamhetsstället enligt den allmänna dataskyddsförordningen, kan den naturligtvis begära att den personuppgiftsansvarige lämnar nödvändiga kompletterande uppgifter för att visa var det huvudsakliga verksamhetsstället är beläget.

text: 2.1.2 Företagskoncerner

text: 27. När behandling genomförs av en företagskoncern som har sitt huvudkontor i EES förutsätts verksamhetsstället för det företag som har den övergripande kontrollen vara den plats där besluten om behandling av personuppgifter fattas. Detta verksamhetsställe anses därför vara koncernens huvudsakliga verksamhetsställe, utom om besluten om ändamålen och medlen för behandlingen fattas av ett annat verksamhetsställe. Moderföretaget eller koncernens operativa huvudkontor i EES är sannolikt det huvudsakliga verksamhetsstället, eftersom det är den plats där den centrala förvaltningen finns.

text: 28. Definitionen innehåller en hänvisning till platsen för en personuppgiftsansvarigs centrala förvaltning, och den fungerar väl för organisationer som har ett centraliserat huvudkontor för beslutsfattande och en filialstruktur. I sådana fall står det klart att det är företagets huvudkontor som har befogenheten att fatta beslut om gränsöverskridande behandling av personuppgifter och att genomföra dessa beslut. Här kan det avgöras direkt vilken plats som är det huvudsakliga verksamhetsstället, och därmed vilken tillsynsmyndighet som är ansvarig tillsynsmyndighet. En koncerns beslutssystem kan dock vara mer invecklat, där olika verksamhetsställen ges oberoende beslutsbefogenheter för gränsöverskridande behandling. De kriterier som anges ovan bör vara till hjälp för koncerner för att fastställa deras huvudsakliga verksamhetsställe.

text: 2.1.3 Gemensamt personuppgiftsansvariga

text: 29. Frågan om vilken tillsynsmyndighet som ska vara ansvarig när två eller flera personuppgiftsansvariga som är etablerade i EES gemensamt avgör ändamålen och medlen för behandlingen, dvs. när det finns gemensamma personuppgiftsansvariga, behandlas inte uttryckligen i den allmänna dataskyddsförordningen. I

text: artikel 26.1

text: och skäl 79 klargörs att i situationer där personuppgiftsansvariga har ett gemensamt personuppgiftsansvar ska de under öppna former fastställa sitt respektive ansvar för att fullgöra skyldigheterna enligt den allmänna dataskyddsförordningen.

text: 30. Såsom EDPB erinrar om i sina riktlinjer om begreppet personuppgiftsansvarig och personuppgiftsbiträde måste de gemensamt personuppgiftsansvariga fastställa vem som gör vad genom att sinsemellan besluta vem som ska utföra vilka uppgifter, för att säkerställa att behandlingen uppfyller de tillämpliga skyldigheterna enligt den allmänna dataskyddsförordningen när det gäller den gemensamma behandlingen i fråga.

text: 31. De efterlevnadsåtgärder och därmed sammanhängande skyldigheter som de gemensamt personuppgiftsansvariga bör beakta när de fastställer sina respektive ansvarsområden, utöver dem som specifikt avses i

text: artikel 26.1 i den allmänna dataskyddsförordningen

text: , bör bland annat omfatta organisationen av kontakter med registrerade och tillsynsmyndigheter.

text: 32. Det bör erinras om att tillsynsmyndigheterna inte är bundna av villkoren i ett sådant arrangemang, varken när det gäller frågan om huruvida parterna ska betraktas som gemensamt personuppgiftsansvariga eller om den utsedda kontaktpunkten .

text: 33. De gemensamt personuppgiftsansvarigas beslutsbefogenheter omfattar inte heller fastställandet av behörig tillsynsmyndighet i enlighet med artiklarna

text: och

text: i dataskyddsförordningen, eller dessa tillsynsmyndigheters möjlighet att genomföra sina uppgifter och utöva sina befogenheter enligt artiklarna

text: och

text: i dataskyddsförordningen.

text: 34. Begreppet huvudsakligt verksamhetsställe är enligt den allmänna dataskyddsförordningen kopplat till en enda personuppgiftsansvarig och kan inte utvidgas till att omfatta en situation med gemensamt personuppgiftsansvar. Detta påverkar inte möjligheten för varje gemensamt personuppgiftsansvarig att ha sitt eget huvudsakliga verksamhetsställe. Med andra ord kan en personuppgiftsansvarigs huvudsakliga verksamhetsställe inte betraktas som de gemensamt personuppgiftsansvarigas huvudsakliga verksamhetsställe för den behandling som utförs under deras gemensamma kontroll. Därför kan gemensamt personuppgiftsansvariga (bland de verksamhetsställen där beslut om ändamålen och medlen för behandlingen fattas) inte utse ett gemensamt huvudsakligt verksamhetsställe för båda de gemensamt personuppgiftsansvariga.

text: 2.2 Gränsfall

text: 35. Det kommer att uppstå gränsfall och komplexa situationer, där det är svårt att fastställa det huvudsakliga verksamhetsstället eller avgöra var besluten om behandling fattas. Så kan vara fallet när behandlingen är gränsöverskridande och den personuppgiftsansvarige är etablerad i flera medlemsstater men inte har sin centrala förvaltning i EES, och när inget av verksamhetsställena i EES fattar beslut om behandling (dvs. besluten fattas endast utanför EES).

text: 36. I ovanstående fall kan ett företag som genomför gränsöverskridande behandling helst vilja regleras av en ansvarig tillsynsmyndighet för att kunna utnyttja principen om en enda kontaktpunkt. Den allmänna dataskyddsförordningen ger dock ingen lösning för sådana situationer. Det verksamhetsställe som har befogenhet att genomföra beslut om behandlingen och tar ansvaret för denna samt har tillräckliga tillgångar bör under dessa omständigheter utses till huvudsakligt verksamhetsställe av företaget. Om företaget inte utser ett huvudsakligt verksamhetsställe på detta sätt är det inte heller möjligt att utse en ansvarig tillsynsmyndighet. Tillsynsmyndigheterna kan alltid utreda ärenden närmare om det behövs.

text: 37. ”Forum shopping” är inte tillåtet enligt den allmänna dataskyddsförordningen. Om ett företag hävdar att det har sitt huvudsakliga verksamhetsställe i en medlemsstat, men den faktiska och reella ledningen eller beslutsfattandet om behandling av personuppgifter inte sker där, beslutar de relevanta tillsynsmyndigheterna (eller i sista hand Europeiska dataskyddsstyrelsen ) vilken tillsynsmyndighet som är ansvarig, med hjälp av objektiva kriterier och med hänsyn till tillgängliga belägg. Processen för att avgöra var det huvudsakliga verksamhetsstället finns kan kräva aktiva efterforskningar av och aktivt samarbete mellan tillsynsmyndigheterna. Slutsatserna kan inte bara grundas på den granskade organisationens redogörelser. Bevisbördan ligger ytterst hos de personuppgiftsansvariga och personuppgiftsbiträdena, eftersom det är deras ansvar att visa de relevanta tillsynsmyndigheterna var de berörda besluten om behandling fattas och vilken plats som har befogenhet att genomföra sådana beslut. Noggrann registrering av behandlingen hjälper både organisationerna och tillsynsmyndigheterna att fastställa den ansvariga tillsynsmyndigheten. Den ansvariga tillsynsmyndigheten eller berörda tillsynsmyndigheter kan avvisa den personuppgiftsansvariges analys baserat på en objektiv granskning av relevanta fakta, och kan begära ytterligare uppgifter om så behövs.

text: 38. I vissa fall ber de relevanta tillsynsmyndigheterna den personuppgiftsansvarige att lämna tydliga belägg enligt riktlinjerna från Europeiska dataskyddsstyrelsen om var det huvudsakliga verksamhetsstället finns eller var besluten om en viss typ av behandling fattas. Dessa belägg beaktas vederbörligen och de berörda tillsynsmyndigheterna samarbetar för att besluta vilken av dem som tar ansvaret för utredningen. Sådana ärenden hänskjuts till Europeiska dataskyddsstyrelsen för beslut enligt

text: artikel 65.1 b i den allmänna dataskyddsförordningen

text: endast om tillsynsmyndigheterna har motstridiga åsikter om fastställandet av ansvarig tillsynsmyndighet. Oftast förväntar sig dock EDPB att de relevanta tillsynsmyndigheterna kan enas om ett ömsesidigt tillfredsställande handlingssätt.

text: 2.3 Personuppgiftsbiträde

text: 39. Enligt den allmänna dataskyddsförordningen får även personuppgiftsbiträden som omfattas av förordningen och har verksamhetsställen i mer än en medlemsstat utnyttja systemet med en enda kontaktpunkt.

text: 40. Enligt

text: artikel 4.16 b i förordningen

text: ska personuppgiftsbiträdets verksamhetsställe vara den plats i EU där personuppgiftsbiträdet har sin centrala förvaltning eller, om personuppgiftsbiträdet inte har någon central förvaltning i EU, det av personuppgiftsbiträdets verksamhetsställen i EU där den huvudsakliga behandlingen sker.

text: 41. Enligt skäl 36 bör dock den personuppgiftsansvariges tillsynsmyndighet vara ansvarig tillsynsmyndighet i sådana fall som omfattar både en personuppgiftsansvarig och ett personuppgiftsbiträde. I denna situation blir personuppgiftsbiträdets tillsynsmyndighet en ”berörd tillsynsmyndighet”, och bör delta i samarbetsförfarandet. Denna regel gäller endast om den personuppgiftsansvarige är etablerad i EES. I sådana fall där personuppgiftsansvariga omfattas av den allmänna dataskyddsförordningen enligt

text: artikel 3.2

text: kan de inte utnyttja mekanismen för en enda kontaktpunkt. Ett personuppgiftsbiträde – till exempel en stor molntjänstleverantör – kan tillhandahålla tjänster till flera personuppgiftsansvariga i olika medlemsstater. I ett sådant fall är den ansvariga tillsynsmyndigheten den tillsynsmyndighet som är behörig att agera som ansvarig tillsynsmyndighet för den personuppgiftsansvarige. I praktiken innebär detta att personuppgiftsbiträden kan behöva ha kontakt med flera tillsynsmyndigheter.

text: 3 ANDRA RELEVANTA FRÅGOR

text: 3.1 Den ”berörda tillsynsmyndighetens” roll

text: 42. Följande anges i

text: artikel 4.22 i den allmänna dataskyddsförordningen

text: ”[B]erörd tillsynsmyndighet: en tillsynsmyndighet som berörs av behandlingen av personuppgifter på grund av att a) den personuppgiftsansvarige eller personuppgiftsbiträdet är etablerad på tillsynsmyndighetens medlemsstats territorium, b) registrerade som är bosatta i den tillsynsmyndighetens medlemsstat i väsentlig grad påverkas eller sannolikt i väsentlig grad kommer att påverkas av behandlingen, eller c) ett klagomål har lämnats in till denna tillsynsmyndighet.”

text: 43. Syftet med begreppet ”berörd tillsynsmyndighet” är att säkerställa att modellen med en ansvarig tillsynsmyndighet inte hindrar andra tillsynsmyndigheter som berörs från att vara med och besluta om hur ett ärende behandlas när till exempel enskilda personer som är bosatta utanför den ansvariga tillsynsmyndighetens behörighetsområde i väsentlig grad påverkas av en behandling. När det gäller led a) ovan gäller samma överväganden som vid fastställandet av ansvarig tillsynsmyndighet. Observera att i fråga om led b) måste de registrerade endast vara bosatta i den berörda medlemsstaten, dvs. han eller hon behöver inte vara medborgare i den medlemsstaten. När det gäller led c) är det vanligen enkelt att i sak fastställa huruvida en viss tillsynsmyndighet har mottagit ett klagomål.

text: 44. Enligt artikel

text: och

text: i den allmänna dataskyddsförordningen får en berörd tillsynsmyndighet delta i behandlingen av ett ärende utan att vara ansvarig tillsynsmyndighet. Om den ansvariga tillsynsmyndigheten beslutar att inte behandla ett ärende ska den tillsynsmyndighet som underrättade den ansvariga tillsynsmyndigheten behandla ärendet. Detta överensstämmer med förfarandena enligt

text: artikel 61

text: (Ömsesidigt bistånd) och

text: artikel 62

text: (Tillsynsmyndigheters gemensamma insatser) i den allmänna dataskyddsförordningen. Så kan till exempel vara fallet om ett marknadsföringsföretag som har sitt huvudsakliga verksamhetsställe i Paris lanserar en produkt som endast påverkar registrerade som är bosatta i Portugal. I detta fall kan de franska och portugisiska tillsynsmyndigheterna enas om att den portugisiska tillsynsmyndigheten bör ansvara för behandlingen av ärendet. Tillsynsmyndigheterna kan begära att de personuppgiftsansvariga lämnar uppgifter som klargör deras företagsarrangemang. Med tanke på att behandlingen endast har en lokal påverkan – dvs. på enskilda personer i Portugal – kan de franska och portugisiska tillsynsmyndigheterna efter eget gottfinnande fatta beslut om vilken tillsynsmyndighet som bör behandla ärendet, enligt

text: skäl 127

text: i

text: dataskyddsförordningen

text: 45. Enligt dataskyddsförordningen ska ansvariga tillsynsmyndigheter och berörda tillsynsmyndigheter, med vederbörlig respekt för varandras åsikter, samarbeta för att se till att ärenden utreds och löses på ett sätt som varje myndighet finner tillfredsställande, med effektiva rättsmedel för de registrerade. Tillsynsmyndigheterna bör sträva efter att enas om ett ömsesidigt godtagbart handlingssätt. Den formella mekanismen för enhetlighet bör endast åberopas om samarbetet inte leder till ett ömsesidigt godtagbart resultat.

text: 46. Ömsesidigt godtagande av beslut kan gälla för väsentliga slutsatser, men även för de åtgärder som beslutat som, inklusive tillsyn (t.ex. fullständig utredning eller begränsad utredning). Det kan även gälla för beslut om att inte behandla ett ärende enligt den allmänna dataskyddsförordningen, till exempel på grund av att det finns en formell prioriteringspolicy, eller på grund av att det finns andra berörda tillsynsmyndigheter enligt beskrivningen ovan.

text: 47. Samförstånd och god vilja i tillsynsmyndigheternas förbindelser med varandra är avgörande för att den allmänna dataskyddsförordningens förfaranden för samarbete och enhetlighet ska fungera.

text: 3.2 Lokal behandling

text: 48. Lokal behandling av personuppgifter omfattas inte av den allmänna dataskyddsförordningens bestämmelser om samarbete och enhetlighet. Tillsynsmyndigheterna ska respektera varandras respektive befogenheter att hantera lokal behandling på lokal nivå. Behandling som genomförs av offentliga myndigheter hanteras alltid också på lokal nivå.

text: 3.3 Företag som inte är etablerade i EES

text: 49. Den allmänna dataskyddsförordningens mekanismer för samarbete och enhetlighet tillämpas endast på personuppgiftsansvariga som har ett eller flera verksamhetsställen inom EES. Om ett företag inte har något verksamhetsställe i EES, men har ett ombud i någon av medlemsstaterna, innebär detta inte att systemet med en enda kontaktpunkt tillämpas. Det innebär i sin tur att personuppgiftsansvariga som inte har ett verksamhetsställe i EES måste ha kontakt med lokala tillsynsmyndigheter i varje medlemsstat där de är aktiva, via sitt lokala ombud. För Europeiska dataskyddsstyrelsen Ordförande (Andrea Jelinek)

text: BILAGA – FRÅGOR TILL HJÄLP FÖR FASTSTÄLLANDET AV ANSVARIG TILLSYNSMYNDIGHET

text: 1. Genomför den personuppgiftsansvarige eller personuppgiftsbiträdet gränsöverskridande behandling av personuppgifter?

text: a. Ja, om • den personuppgiftsansvarige eller personuppgiftsbiträdet är etablerad i mer än en medlemsstat, och • behandlingen av personuppgifter sker inom ramen för verksamhetsställen i mer än en medlemsstat.  I detta fall, gå till avsnitt 2. b. Ja, om • behandlingen av personuppgifter sker inom ramen för verksamheten vid den personuppgiftsansvariges eller personuppgiftsbiträdets enda verksamhetsställe i EES, men • behandlingen i väsentlig grad påverkar eller sannolikt i väsentlig grad kommer att påverka de registrerade i mer än en medlemsstat.  I detta fall är den ansvariga tillsynsmyndigheten den myndighet som ansvarar för den personuppgiftsansvariges eller personuppgiftsbiträdets enda verksamhetsställe i en enda medlemsstat. Detta måste logiskt sett vara den personuppgiftsansvariges eller personuppgiftsbiträdets huvudsakliga verksamhetsställe, eftersom det är det enda verksamhetsstället.

text: 2. Hur fastställer man den ansvariga tillsynsmyndigheten?

text: a. Om endast personuppgiftsansvariga berörs: i. Fastställ den plats i EES där den personuppgiftsansvarige har sin centrala förvaltning. ii. Tillsynsmyndigheten i det land där den centrala förvaltningen finns är då den personuppgiftsansvariges ansvariga tillsynsmyndighet. Emellertid gäller följande: iii. Om besluten om ändamålen och medlen för behandlingen fattas vid ett annat verksamhetsställe i EES och det verksamhetsstället har befogenhet att genomföra besluten, är det tillsynsmyndigheten i det land där detta verksamhetsställe finns som är ansvarig tillsynsmyndighet. b. Om både personuppgiftsansvariga och personuppgiftsbiträden berörs: i. Kontrollera om den personuppgiftsansvarige är etablerad i EES och omfattas av systemet med en enda kontaktpunkt. ii. Fastställ den personuppgiftsansvariges ansvariga tillsynsmyndighet. Denna myndighet är också ansvarig tillsynsmyndighet för personuppgiftsbiträdet.

text: iii. Den tillsynsmyndighet (ej ansvarig) som är behörig för personuppgiftsbiträdet blir då en ”berörd myndighet” – se punkt 3. c. Om endast personuppgiftsbiträden berörs: i. Fastställ den plats i EES där personuppgiftsbiträdet har sin centrala förvaltning. ii. Om personuppgiftsbiträdet inte har sin centrala förvaltning i EES ska det fastställas vid vilket verksamhetsställe i EES personuppgiftsbiträdet huvudsakligen genomför behandlingen. d. Om gemensamt personuppgiftsansvariga berörs: i. Kontrollera om de gemensamt personuppgiftsansvariga är etablerade i EES. ii. Identifiera platsen för den centrala förvaltningen i EES för varje gemensam personuppgiftsansvarig (i tillämpliga fall). iii. Tillsynsmyndigheten i det land där den centrala förvaltningen finns är då ansvarig tillsynsmyndighet för respektive gemensamt personuppgiftsansvarige.

text: 3. Finns det några ”berörda tillsynsmyndigheter”?

text: En myndighet är en ”berörd myndighet” • när den personuppgiftsansvarige eller personuppgiftsbiträdet har ett verksamhetsställe på myndighetens territorium, eller • när de registrerade på myndighetens territorium i väsentlig grad påverkas eller sannolikt i väsentlig grad kommer att påverkas av behandlingen, eller • när en viss myndighet mottar ett klagomål.

type: vagledning


text: Hänvisningar till ”medlemsstater” i detta dokument ska förstås som hänvisningar till ”medlemsstater i EES”. Artikel 60.1 i förordning 2016/679 (dataskyddsförordningen). De berörda tillsynsmyndigheterna har möjlighet att dra tillbaka tidigare gjorda invändningar.

text: I enlighet med

text: artikel 60.1 i dataskyddsförordningen

text: Se ordalydelsen i

text: artikel 60.4 i dataskyddsförordningen

text: . Enligt

text: artikel 60.4 i dataskyddsförordningen

text: ska den ansvariga tillsynsmyndigheten även överlämna ärendet till den mekanism för enhetlighet som avses i

text: artikel 63

text: om den inte instämmer i den relevanta och motiverade invändningen. 7 Se EDPB:s arbetsordning. 8 I Oxford English Dictionary definieras ”relevant” (relevant) på engelska som ”bearing on or connected with the matter in hand; closely relating to the subject or point at issue; pertinent to a specified thing” (som har samband med eller hör till det aktuella ärendet; som är nära relaterat till ämnet i fråga; tillämplig på en viss sak), OED Online, Oxford University Press, juni 2020, www.oed.com/view/Entry/161893. Hämtad den 24 juli 2020.

text: I Oxford English Dictionary definieras ”reasoned” (motiverad) på engelska som ”characterised by or based on reasoning; carefully studied” (kännetecknad av eller grundad på resonemang; noga undersökt), OED Online, Oxford University Press, juni 2020, www.oed.com/view/Entry/159078. Hämtad den 24 juli 2020.

text: Se t.ex.

text: WP 248

text: rev.01, Riktlinjer om konsekvensbedömning avseende dataskydd och fastställande av huruvida behandlingen ”sannolikt leder till en hög risk” i den mening som avses i förordning 2016/679.

text: Artikel 1.3 i dataskyddsförordningen

identifier: Riktlinjer 09/2020

publisher: Europeiska dataskyddsstyrelsen

sprak: sv

title: Riktlinjer 09/2020 om relevanta och motiverade invändningar enligt förordning 2016/679

version: Final version

serie: riktlinjer

text: Versionstabell Innehållsförteckning Europeiska dataskyddsstyrelsen har antagit följande riktlinjer

type: rubrik

text: med beaktande av

text: artikel 70.1 e i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (dataskyddsförordningen),

type: stycke

text: med beaktande av EES-avtalet, särskilt bilaga XI och protokoll 37, ändrat genom gemensamma EESkommitténs beslut nr 154/2018 av den 6 juli 2018 , och

text: med beaktande av artiklarna 12 och 22 i arbetsordningen.

text: HÄRIGENOM FÖRESKRIVS FÖLJANDE.

text: 1 ALLMÄNT

text: 1. Inom ramen för den samarbetsmekanism som fastställs i dataskyddsförordningen är tillsynsmyndigheterna skyldiga att ”utbyta all relevant information med varandra” och samarbeta ”i en strävan att uppnå samförstånd” . Denna skyldighet att samarbeta är tillämplig i alla skeden av förfarandet, från det att ärendet inleds, och den sträcker sig över hela beslutsprocessen. Det slutliga målet med hela det förfarande som fastställs i

text: artikel 60 i dataskyddsförordningen

text: är således att nå en överenskommelse om utgången i ärendet. I de situationer där tillsynsmyndigheterna inte kommer överens ges EDPB enligt

text: artikel 65 i dataskyddsförordningen

text: befogenhet att anta bindande beslut. Det är emellertid ofta möjligt att nå en överenskommelse i ett tidigt skede av ärendet genom informationsutbytet och samrådet mellan den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna.

text: 2. Enligt artikel

text: och

text: i dataskyddsförordningen ska den ansvariga tillsynsmyndigheten lägga fram ett utkast till beslut för de berörda tillsynsmyndigheterna som sedan kan göra en relevant och motiverad invändning inom en viss tidsram (fyra veckor) . Efter att ha mottagit en relevant och motiverad invändning har den ansvariga tillsynsmyndigheten två olika alternativ. Om myndigheten inte instämmer i den relevanta och motiverade invändningen eller anser att invändningen inte är motiverad eller relevant, ska myndigheten hänskjuta ärendet till styrelsen inom ramen för mekanismen för enhetlighet. Om den ansvariga tillsynsmyndigheten däremot följer invändningen och utfärdar ett reviderat utkast till beslut får de berörda tillsynsmyndigheterna framföra en relevant och motiverad invändning mot det reviderade utkastet till beslut inom två veckor.

text: 3. Om den ansvariga tillsynsmyndigheten inte följer en invändning eller har avslagit den med motiveringen att den inte var relevant eller motiverad och därför hänskjuter ärendet till dataskyddsstyrelsen i enlighet med

text: artikel 65.1 a i dataskyddsförordningen

text: , åligger det styrelsen att anta ett bindande beslut om huruvida invändningen är ”relevant och motiverad” och, om så är fallet, avseende alla ärenden som är föremål för invändningen.

text: 4. Följaktligen utgör begreppet ”relevant och motiverad invändning” en av de viktigaste aspekterna när det gäller avsaknaden av samförstånd mellan den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna. Syftet med detta dokument är att ge vägledning om detta begrepp samt att fastställa en gemensam tolkning av begreppet ”relevant och motiverad”, inbegripet vad som bör beaktas vid bedömningen av huruvida det av en invändning ”tydligt framgår hur stora risker utkastet till beslut medför” (

text: artikel 4.24 i dataskyddsförordningen

text: 5. I

text: artikel 4.24 i dataskyddsförordningen

text: definieras ”relevant och motiverad invändning” som en ”invändning mot ett förslag till beslut avseende frågan huruvida det föreligger en överträdelse av denna förordning eller huruvida den planerade åtgärden i förhållande till den personuppgiftsansvarige eller personuppgiftsbiträdet är förenlig med denna förordning, av vilken invändning det tydligt framgår hur stora risker utkastet till beslut medför när det gäller registrerades grundläggande rättigheter och friheter samt i tillämpliga fall det fria flödet av personuppgifter inom unionen”.

text: 6. Detta begrepp fungerar som en tröskel i situationer där de berörda tillsynsmyndigheterna vill invända mot ett (reviderat) utkast till beslut som den ansvariga tillsynsmyndigheten ska anta i enlighet med

text: artikel 60 i dataskyddsförordningen

text: . Eftersom osäkerheten kring ”vad som utgör en relevant och motiverad invändning” kan skapa missförstånd och inkonsekvent tillämpning från tillsynsmyndigheternas sida föreslog EU-lagstiftaren att EDPB skulle utfärda riktlinjer om detta begrepp (se slutet av

text: skäl 124

text: i

text: dataskyddsförordningen

text: 7. För att nå upp till den tröskel som fastställs i

text: artikel 4.24 i dataskyddsförordningen

text: bör en berörd tillsynsmyndighet i princip uttryckligen hänvisa till varje del av definitionen i samband med varje specifik invändning. Syftet med invändningen är därför först och främst att påpeka hur och varför utkastet till beslut, enligt den berörda tillsynsmyndigheten, inte behandlar överträdelsen av dataskyddsförordningen på ett lämpligt sätt och/eller inte föreskriver lämpliga åtgärder gentemot den personuppgiftsansvarige eller personuppgiftsbiträdet mot bakgrund av de risker som ett sådant utkast till beslut, om det inte ändras, i tillämpliga fall skulle medföra för de registrerades rättigheter och friheter och för det fria flödet av personuppgifter inom unionen. En invändning som lämnas in av en berörd tillsynsmyndighet bör innehålla en hänvisning till varje del av utkastet till beslut som anses vara bristfällig, felaktig eller saknar vissa nödvändiga delar, antingen genom hänvisning till specifika artiklar/punkter eller genom andra tydliga indikationer, och visa varför sådana frågor ska anses vara ”relevanta”, såsom förklaras närmare nedan. De ändringsförslag som framförs i invändningen bör har i syfte att avhjälpa dessa eventuella fel.

text: 8. Hur detaljerad invändningen är och hur ingående analysen är kan nämligen påverkas av detaljnivån i utkastet till beslut och i vilken utsträckning den berörda tillsynsmyndigheten medverkar i det förfarande som leder fram till det utkast till beslut som den ansvariga tillsynsmyndigheten har utfärdat. Till grund för standarden för ”relevant och motiverad invändning” ligger därför antagandet att den ansvariga tillsynsmyndigheten har uppfyllt sin skyldighet att utbyta all relevant information , vilket gör det möjligt för de berörda tillsynsmyndigheterna att sätta sig in ordentligt i ärendet och därför lämna in en solid och välmotiverad invändning. Mot denna bakgrund ska även kravet att varje rättsligt bindande åtgärd som vidtas av tillsynsmyndigheten ska innehålla ”en motivering till åtgärden” (se

text: skäl 129

text: i

text: dataskyddsförordningen

text: ) beaktas. I vilken utsträckning den ansvariga tillsynsmyndigheten involverar den berörda tillsynsmyndigheten i det förfarande som leder fram till utkastet till beslut, om den medför bristande kunskaper om ärendets samtliga aspekter, kan därför betraktas som en faktor för att fastställa den relevanta och motiverade invändningens detaljnivå på ett mer flexibelt sätt.

text: 9. EDPB vill inledningsvis framhålla att alla delaktiga tillsynsmyndigheter (ansvariga tillsynsmyndigheter och berörda tillsynsmyndigheter) bör fokusera på att avhjälpa eventuella brister i förfarandet för att nå samstämmighet så att det leder fram till ett gemensamt utkast till beslut. Samtidigt som EDPB medger att en invändning inte är det lämpligaste verktyget för att avhjälpa bristande samarbete under tidigare skeden av förfarandet med en enda kontaktpunkt, erkänner myndigheten emellertid att det är ett tillgängligt alternativ för de berörda tillsynsmyndigheterna. Detta är även sista utvägen för att avhjälpa (påstådda) brister vad gäller den ansvariga tillsynsmyndighetens involverande av de berörda tillsynsmyndigheterna i det förfarande som borde ha lett fram till ett gemensamt utkast till beslut, bl.a. vad gäller det rättsliga resonemanget och omfattningen av de undersökningar som den ansvariga tillsynsmyndigheten har genomfört i det aktuella ärendet.

text: 10. Enligt dataskyddsförordningen ska den berörda tillsynsmyndigheten motivera sin ståndpunkt vad gäller den ansvariga tillsynsmyndighetens utkast till beslut genom att lämna in en invändning som är ”relevant” och ”motiverad”. Det är viktigt att erinra om att de två kraven, ”motiverad” och ”relevant”, ska anses vara kumulativa, dvs. båda måste vara uppfyllda . Enligt

text: artikel 60.4

text: krävs det följaktligen att den ansvariga tillsynsmyndigheten ska överlämna ärendet till EDPB:s mekanism för enhetlighet om den anser att invändningen inte uppfyller någondera av dessa två krav .

text: 11. EDPB rekommenderar starkt tillsynsmyndigheterna att göra invändningar och utbyta information genom det informations- och kommunikationssystem som inrättats för informationsutbyte mellan tillsynsmyndigheter . Det bör tydligt framgå att det är frågan om invändningar med hjälp av särskilda funktioner och verktyg.

text: 2 VILLKOR FÖR EN ”RELEVANT OCH MOTIVERAD” INVÄNDNING

text: 2.1 ”Relevant”

text: 12. För att invändningen ska anses vara ”relevant” måste det finnas ett direkt samband mellan invändningen och innehållet i det aktuella utkastet till beslut . Mer specifikt krävs det att invändningen antingen avser frågan huruvida det föreligger en överträdelse av dataskyddsförordningen eller huruvida den planerade åtgärden i förhållande till den personuppgiftsansvarige eller personuppgiftsbiträdet är förenlig med dataskyddsförordningen.

text: 13. Följaktligen är en invändning ”relevant” när den, om den följs, medför en ändring som leder till en annan slutsats om huruvida det föreligger en överträdelse av dataskyddsförordningen eller huruvida den planerade åtgärden, såsom den föreslagits av den ansvariga tillsynsmyndigheten, i förhållande till den personuppgiftsansvarige eller personuppgiftsbiträdet är förenlig med dataskyddsförordningen. Det måste alltid finnas en koppling mellan innehållet i invändningen och en sådan eventuell annan slutsats, vilket förklaras närmare nedan. Invändningen kan visserligen signalera att parterna är oeniga om bägge aspekterna, men för att villkoren för en relevant invändning ska vara uppfyllda är det tillräckligt att endast en av dem föreligger.

text: 14. En invändning bör endast anses vara relevant om den rör ett specifikt rättsligt och faktiskt innehåll i den ansvariga tillsynsmyndighetens utkast till beslut. Att ta upp abstrakta eller allmänna farhågor eller anmärkningar kan inte anses vara relevant i detta sammanhang. Inte heller bör mindre meningsskiljaktigheter om ordalydelsen eller det rättsliga resonemanget som inte avser frågan huruvida det föreligger en överträdelse eller huruvida den planerade åtgärden överensstämmer med dataskyddsförordningen i förhållande till den personuppgiftsansvarige eller personuppgiftsbiträdet anses vara relevanta.

text: 15. Det resonemang som ligger till grund för den ansvariga tillsynsmyndighetens slutsatser i utkastet till beslut kan bli föremål för en invändning. För detta krävs emellertid att resonemanget är kopplat till slutsatsen huruvida det föreligger en överträdelse, huruvida överträdelsen av dataskyddsförordningen har blivit korrekt identifierad eller är kopplad till den planerade åtgärdens förenlighet med dataskyddsförordningen och i vilken utsträckning den tröskel som föreskrivs i

text: artikel 4.24

text: , såsom den beskrivs i detta dokument, har uppnåtts i sin helhet.

text: 2.2 ”Motiverad”

text: 16. För att invändningen ska vara ”motiverad” , måste den innehålla förtydliganden och argument om varför en ändring av beslutet föreslås (dvs. de rättsliga/sakliga felen i den ansvariga tillsynsmyndighetens utkast till beslut). Den måste också visa hur ändringen skulle leda till en annan slutsats om huruvida det föreligger en överträdelse av dataskyddsförordningen eller huruvida den planerade åtgärden i förhållande till den personuppgiftsansvarige eller personuppgiftsbiträdet är förenlig med dataskyddsförordningen.

text: 17. Den berörda tillsynsmyndigheten bör tillhandahålla välgrundade och underbyggda skäl för sin invändning, i synnerhet genom att vidareutveckla rättsliga argument (med åberopande av EUlagstiftning och/eller relevant nationell lagstiftning, bl.a. lagbestämmelser, rättspraxis, riktlinjer) eller faktiska omständigheter, i tillämpliga fall. Den berörda tillsynsmyndigheten bör lägga fram de omständigheter som påstås leda till en annan slutsats om den personuppgiftsansvariges/personuppgiftsbiträdets överträdelse av dataskyddsförordningen eller den del av utkastet till beslut som enligt deras uppfattning är bristfällig/felaktig.

text: 18. Dessutom är en invändning ”motiverad” om det ”tydligt framgår” hur stora risker utkastet till beslut medför såsom beskrivs i avsnitt 3.2 nedan. I detta syfte måste invändningen innehålla argument eller motiveringar som hänför sig till vilka följder det skulle få om beslutet utfärdas utan de föreslagna ändringarna i invändningen, och hur sådana följder skulle medföra stora risker för de registrerades grundläggande rättigheter och friheter och, i tillämpliga fall, för det fria flödet av personuppgifter inom unionen.

text: 19. För att en invändning ska vara tillräckligt motiverad bör den vara sammanhängande, tydlig, precis och detaljerad vad gäller redogörelsen för skälen till invändningen. Det bör klart och tydligt anges vilka väsentliga delar som ligger till grund för den berörda tillsynsmyndighetens bedömning och kopplingen mellan de följder som utkastet till beslut (om det skulle utfärdas som det är) förutses få och hur stora risker det förväntas medföra för de registrerades grundläggande rättigheter och friheter och, i tillämpliga fall, för det fria flödet av personuppgifter inom unionen. Dessutom bör den berörda tillsynsmyndigheten tydligt ange vilka delar av utkastet till beslut den motsätter sig. I situationer där invändningen grundas på att den ansvariga tillsynsmyndigheten inte anses ha undersökt en viktig omständighet i ärendet fullt ut, eller på en ytterligare en överträdelse av dataskyddsförordningen, kan det anses tillräckligt att den berörda tillsynsmyndigheten lägger fram sådana argument på ett övertygande och underbyggt sätt.

text: 20. Berörda tillsynsmyndigheter måste tillhandahålla all information (faktiska omständigheter, handlingar, rättsliga argument) som de åberopar för att lägga fram sina argument på ett effektivt sätt. Detta är avgörande för avgränsningen av (den potentiella) tvistens räckvidd. Detta innebär att berörda tillsynsmyndigheter i princip bör sträva efter att lämna en relevant och motiverad invändning i ett enda yttrande grundat på alla sakliga och rättsliga argument som beskrivs ovan. Inom den tidsfrist som anges i

text: artikel 60.4 i dataskyddsförordningen

text: kan den berörda tillsynsmyndigheten emellertid tillhandahålla ytterligare information som har samband med och stöder invändningen, med beaktande av att kravet på att invändningen är ”relevant och motiverad” behöver vara uppfyllt. Exempel 1: Den berörda tillsynsmyndigheten överlämnar en formell invändning, men tillhandahåller några dagar senare den ansvariga tillsynsmyndigheten ytterligare information som rör omständigheterna i ärendet via informations- och kommunikationssystemet. Den ansvariga tillsynsmyndigheten får endast beakta sådan information om den lämnas inom den tidsfrist som anges i

text: artikel 60.4 i dataskyddsförordningen

text: 21. Enligt god praxis bör invändningen om möjligt innehålla ett förslag till ny formulering som den ansvariga tillsynsmyndigheten ska överväga, vilket den berörda tillsynsmyndigheten anser möjliggör ett avhjälpande av de påstådda bristerna i utkastet till beslut. Detta kan bidra till att invändningen förtydligas bättre i det aktuella sammanhanget.

text: 3 INVÄNDNINGEN I SAK

text: 22. I sak kan invändningen avse huruvida det föreligger en överträdelse av dataskyddsförordningen och/eller huruvida den planerade åtgärden i förhållande till den personuppgiftsansvarige eller personuppgiftsbiträdet är förenlig med dataskyddsförordningen. Vilken typ av innehåll det är frågan om beror på den ansvariga tillsynsmyndighetens utkast till beslut och omständigheterna i ärendet.

text: 23. Vidare måste det tydligt framgå av den berörda tillsynsmyndighetens invändning hur stora risker utkastet till beslut medför när det gäller registrerades grundläggande rättigheter och friheter samt i tillämpliga fall det fria flödet av personuppgifter inom unionen. Huruvida det föreligger en överträdelse och/eller den planerade åtgärdens bristande överensstämmelse med dataskyddsförordningen bör bedömas mot bakgrund av hur stora risker utkastet till beslut, om det inte ändras, medför när det gäller registrerades rättigheter och friheter samt i tillämpliga fall det fria flödet av personuppgifter.

text: 3.1 Huruvida det föreligger en överträdelse av dataskyddsförordningen och/eller den planerade åtgärdens förenlighet med dataskyddsförordningen 3.1.1 Huruvida det föreligger en överträdelse av dataskyddsförordningen

text: 24. I det första fallet grundas invändningen i sak på att den berörda tillsynsmyndigheten och den ansvariga tillsynsmyndigheten är oense om huruvida den personuppgiftsansvariges eller personuppgiftsbiträdets verksamhet och behandling under de aktuella omständigheterna i ärendet har medfört en eller flera överträdelser av dataskyddsförordningen eller inte, och vilken eller vilka överträdelser i så fall.

text: 25. I detta sammanhang bör begreppet ”överträdelse” tolkas som ”en överträdelse av en viss bestämmelse i dataskyddsförordningen”. Därför måste den berörda tillsynsmyndighetens invändningar mot utkastet till beslut rättfärdigas och motiveras genom hänvisning till bevis och sakförhållanden som utväxlats mellan den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna (”relevant information” i den mening som avses i

text: artikel 60 i dataskyddsförordningen

text: ). Dessa krav bör gälla för varje enskild överträdelse och för varje enskild bestämmelse i fråga. Exempel 2: I utkastet till beslut anges att den personuppgiftsansvarige har åsidosatt artiklarna

text: och

text: i dataskyddsförordningen. Den berörda tillsynsmyndigheten anser inte att det föreligger en överträdelse av artikel

text: och

text: utan anser i stället att det föreligger en ytterligare överträdelse av

text: artikel 13 i dataskyddsförordningen

text: . Exempel 3: Den berörda tillsynsmyndigheten hävdar att den ansvariga tillsynsmyndigheten inte har beaktat att undantaget för hushåll inte är tillämpligt på viss behandling som utförs av en personuppgiftsansvarig och som omfattar användning av övervakningskameror, och att det därför inte föreligger någon överträdelse av dataskyddsförordningen. För att motivera sin invändning hänvisar den berörda tillsynsmyndigheten till

text: artikel 2.2 c i dataskyddsförordningen

text: , EDPS:s riktlinjer 3/2019 för behandling av personuppgifter genom videoenheter och EU-domstolens dom i

text: mål C-212/13

text: , Ryneš.

text: 26. En invändning avseende frågan huruvida det föreligger en överträdelse av dataskyddsförordningen kan också innebära att parterna är oeniga när det gäller vilka slutsatser som ska dras av resultaten av utredningen. Invändningen kan exempelvis gälla att slutsatserna leder till en överträdelse av en annan bestämmelse i dataskyddsförordningen än (och/eller utöver) de som redan analyserats i den ansvariga tillsynsmyndighetens utkast till beslut. Detta är emellertid mindre sannolikt om den ansvariga tillsynsmyndigheten vederbörligen har uppfyllt sin skyldighet att samarbeta med de berörda tillsynsmyndigheterna och utbyta all relevant information i enlighet med

text: artikel 60.1 i dataskyddsförordningen

text: innan utkastet till beslut utfärdades.

text: 27. Under vissa omständigheter kan en invändning vara så långtgående att den identifierar brister i utkastet till beslut som motiverar ett behov av ytterligare utredning från den ansvariga tillsynsmyndigheten. Om den ansvariga tillsynsmyndigheten i sin undersökning till exempel felaktigt har underlåtit att behandla några av de frågor som klaganden tagit upp eller som följer av en överträdelse som rapporterats av en berörd tillsynsmyndighet, kan en relevant och motiverad invändning göras på grundval av den ansvariga tillsynsmyndighetens underlåtenhet att behandla klagomålet på ett korrekt sätt och skydda den registrerades rättigheter. I detta hänseende krävs det en åtskillnad mellan utredningar på eget initiativ och utredningar som utlöses av klagomål eller av rapporter om potentiella överträdelser som delas av de berörda tillsynsmyndigheterna. I förfaranden som grundas på ett klagomål eller en överträdelse som rapporterats av en berörd tillsynsmyndighet bör förfarandets tillämpningsområde (dvs. de delar av uppgiftsbehandlingen som eventuellt är föremål för en överträdelse) fastställas genom innehållet i klagomålet eller i den rapport som överlämnats av den berörda tillsynsmyndigheten. Innehållet bör med andra ord definieras mot bakgrund av de aspekter som tas upp i klagomålet eller rapporten. Vid utredningar på eget initiativ bör den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna försöka enas om förfarandets omfattning (dvs. de delar av uppgiftsbehandling som är föremål för granskning) innan ett formellt förfarande inleds. Detsamma gäller i situationer där en tillsynsmyndighet som handlägger ett klagomål eller en rapport från en annan tillsynsmyndighet anser att det även krävs en undersökning på eget initiativ för att hantera systematiska efterlevnadsproblem som ligger utanför det specifika klagomålet eller den specifika rapporten.

text: 28. Såsom angetts ovan bör en invändning endast utgöra en sista utväg för att avhjälpa situationer där de berörda tillsynsmyndigheterna inte påstås ha involverats tillräckligt i de föregående skedena av förfarandet. Det system som lagstiftaren har utformat talar för att de berörda tillsynsmyndigheterna bör komma överens om undersökningens omfattning i ett tidigare skede.

text: 29. En invändning kopplad till förekomsten av en överträdelse kan även avse otillräckliga faktauppgifter eller en otillräcklig beskrivning av det aktuella ärendet, eller avsaknaden av bedömning eller motivering eller bristande sådana (vilket innebär att den bedömning som gjorts och de bevis som läggs fram inte utgör tillräcklig grund för den ansvariga tillsynsmyndighetens slutsats i utkastet till beslut, såsom krävs enligt

text: artikel 58 i dataskyddsförordningen

text: ). Detta förutsätter att den tröskel som fastställs i

text: artikel 4.24 i dataskyddsförordningen

text: uppnås fullt ut och det kan finnas ett möjligt samband mellan en sådan påstått otillräcklig analys och fastställandet av en överträdelse/den planerade åtgärden.

text: 30. Genom en relevant och motiverad invändning är det möjligt att ta upp förfarandefrågor i den mån det är frågan om situationer där den ansvariga tillsynsmyndigheten påstås ha åsidosatt formföreskrifter i dataskyddsförordningen och detta påverkar slutsatsen i utkastet till beslut. Exempel 4: Tillsynsmyndigheten i medlemsstat YY är behörig att agera som ansvarig tillsynsmyndighet vad gäller den gränsöverskridande behandling som utförs av den personuppgiftsansvarige CC som har sitt huvudsakliga verksamhetsställe i YY. Den behöriga tillsynsmyndigheten i medlemsstat XX informerar den ansvariga tillsynsmyndigheten i YY om ett klagomål som lämnats in till förstnämnda tillsynsmyndigheten och som huvudsakligen enbart påverkar registrerade i XX, i enlighet med artikel

text: och

text: i dataskyddsförordningen. Den ansvariga tillsynsmyndigheten beslutar att behandla ärendet. Tillsynsmyndigheten i XX beslutar att lämna ett utkast till beslut till den ansvariga tillsynsmyndigheten i enlighet med

text: artikel 56.4 i dataskyddsförordningen

text: . Den ansvariga tillsynsmyndigheten utarbetar ett utkast till beslut i enlighet med

text: artikel 60.3 i dataskyddsförordningen

text: och lägger fram det för den berörda tillsynsmyndigheten. Tillsynsmyndigheten i XX anser att den ansvariga tillsynsmyndigheten inte har fullgjort sin skyldighet enligt

text: artikel 56.4 i dataskyddsförordningen

text: att ta största möjliga hänsyn till det utkast som förstnämnda tillsynsmyndighet har lämnat in när den har utarbetat sitt utkast till beslut, eftersom den inte har motiverat varför den har avvikit från utkastet till beslut från tillsynsmyndigheten i XX. Därefter gör tillsynsmyndigheten i XX en relevant och motiverad invändning i vilken den framför argument som preciserar den avvikande slutsatsen som skulle ha nåtts i utkastet till beslut om den ansvariga tillsynsmyndigheten hade följt dess utkast till beslut, i syfte att fastställa en överträdelse eller fastställa vilka åtgärder som planeras gentemot den personuppgiftsansvarige, och i syfte att undvika de risker som detta medför för registrerades grundläggande rättigheter och friheter samt i tillämpliga fall för det fria flödet av personuppgifter inom unionen.

text: 31. En invändning enligt artiklarna

text: och

text: 65.1 a

text: i dataskyddsförordningen påverkar inte tillämpningen av

text: artikel 65.1 b i dataskyddsförordningen

text: . Därför bör en oenighet som avser huruvida den tillsynsmyndighet som fungerar som ansvarig tillsynsmyndighet är behörig att anta ett beslut i ett specifikt ärende inte framföras genom en invändning enligt

text: artikel 60.4 i dataskyddsförordningen

text: och omfattas inte av tillämpningsområdet för

text: artikel 4.24 i dataskyddsförordningen

text: . Till skillnad från en invändning enligt

text: artikel 60.4 i dataskyddsförordningen

text: anser EDPB att förfarandet enligt

text: artikel 65.1 b i dataskyddsförordningen

text: är tillämpligt i vilket skede som helst.

text: 3.1.2 Huruvida den planerade åtgärden i förhållande till den personuppgiftsansvarige eller personuppgiftsbiträdet i utkastet till beslut är förenlig med dataskyddsförordningen

text: 32. I detta andra scenario utgörs bakgrunden till den relevanta och motiverade invändningen av att tillsynsmyndigheterna är oense om den särskilda korrigerande åtgärd som den ansvariga tillsynsmyndigheten har föreslagit eller andra planerade åtgärder i utkastet till beslut.

text: 33. Mer specifikt bör den berörda tillsynsmyndigheten förklara i den relevanta och motiverade invändningen varför de åtgärder som föreskrivs i utkastet till beslut inte är förenliga med dataskyddsförordningen. I detta syfte måste nämnda tillsynsmyndighet tydligt åberopa vilka faktiska omständigheter och/eller rättsliga argument som den avvikande bedömningen av situationen grundas på, genom att ange vilka åtgärder den ansvariga tillsynsmyndigheten lämpligen borde vidta och inkludera i det slutliga beslutet. Exempel 5: Den personuppgiftsansvarige har utan rättslig grund lämnat ut känsliga medicinska uppgifter om klaganden till en tredje part. I sitt utkast till beslut föreslog den ansvariga tillsynsmyndigheten att en reprimand skulle utfärdas, medan den berörda tillsynsmyndigheten tillhandahåller faktauppgifter som visar att den personuppgiftsansvarige har omfattande och systemrelaterade problem med sin efterlevnad av dataskyddsförordningen (t.ex. lämnas kundernas uppgifter regelbundet ut till tredje parter utan rättslig grund). Därför föreslår den berörda tillsynsmyndigheten ett föreläggande för att se till att uppgiftsbehandlingen uppfyller kraven, ett tillfälligt förbud mot uppgiftsbehandling eller ett åläggande av böter. Exempel 6: På grund av ett misstag från en av sina anställda har den personuppgiftsansvarige offentliggjort namn, efternamn och telefonnummer från alla sina 100 000 kunder på sin webbplats. Dessa personuppgifter var tillgängliga för allmänheten i två dagar. Eftersom den personuppgiftsansvarige reagerade så snart som möjligt, misstaget rapporterades och alla kunder informerades enskilt, planerade den ansvariga tillsynsmyndigheten att enbart utfärda en reprimand. En berörd tillsynsmyndighet anser dock att böter måste åläggas på grund av att det är frågan om en omfattande personuppgiftsincident och dess möjliga inverkan på eller risker för kundernas privatliv.

text: 34. I enlighet med

text: artikel 65.1 a

text: sista meningen i dataskyddsförordningen ska EDPB:s bindande beslut avse alla ärenden som är föremål för invändningen, särskilt vid en överträdelse. I skäl 150 femte meningen i dataskyddsförordningen anges att mekanismen för enhetlighet också kan tillämpas för att främja en enhetlig tillämpning av administrativa sanktionsavgifter. Det är således möjligt att invändningen gäller de omständigheter som åberopats för att beräkna bötesbeloppet. Om EDPB vid sin bedömning i detta sammanhang konstaterar att det resonemang som leder fram till åläggandet av de aktuella böterna är bristfälligt, kommer den ansvariga tillsynsmyndigheten att uppmanas att ompröva böterna och åtgärda de konstaterade bristerna. EDPB:s bedömning i denna fråga bör baseras på styrelsens gemensamma standarder enligt artikel

text: och

text: i dataskyddsförordningen och riktlinjerna för beräkning av administrativa böter. Exempel 7: Mot bakgrund av de faktiska omständigheterna i ärendet anser den berörda tillsynsmyndigheten att den ansvariga tillsynsmyndighetens planerade bötesbelopp i utkastet till beslut inte är effektivt, proportionerligt eller avskräckande, vilket krävs enligt

text: artikel 83.1 i dataskyddsförordningen

text: 3.2 Hur stora risker utkastet till beslut medför när det gäller registrerades grundläggande rättigheter och friheter samt i tillämpliga fall det fria flödet av personuppgifter inom unionen 3.2.1 Innebörden av rekvisitet ”hur stora risker”

text: 35. Det är viktigt att komma ihåg att tillsynsmyndigheternas arbete syftar till att skydda de registrerades grundläggande rättigheter och friheter och att underlätta det fria flödet av personuppgifter inom unionen (artiklarna

text: och

text: samt

text: skäl 123

text: i

text: dataskyddsförordningen

text: 36. Skyldigheten att visa hur stora risker utkastet till beslut medför (t.ex. genom de åtgärder som föreskrivs eller avsaknaden av korrigerande åtgärder osv.) för registrerades rättigheter och friheter samt i tillämpliga fall det fria flödet av personuppgifter inom unionen ankommer på den berörda tillsynsmyndigheten. De berörda tillsynsmyndigheternas möjlighet att visa detta beror även på detaljnivån i själva utkastet till beslut och på den ansvariga tillsynsmyndighetens inledande tillhandahållande av information, vilket framhålls ovan i punkt 8.

text: 37. ”Risk” nämns i flera avsnitt av dataskyddsförordningen, och i tidigare riktlinjer från EDPB definieras en ”risk” som ”ett scenario som beskriver en händelse och dess uppskattade konsekvenser vad gäller allvar och sannolikhet”. I

text: artikel 4.24 i dataskyddsförordningen

text: anges att det ska framgå hur stora risker utkastet till beslut medför, dvs. att den berörda tillsynsmyndigheten visar vilka konsekvenser utkastet till beslut skulle få för de värden som skyddas. Det krävs att den berörda tillsynsmyndigheten lägger fram tillräckliga argument för att uttryckligen visa att sådana risker är väsentliga och rimliga för de registrerades grundläggande rättigheter och friheter samt i tillämpliga fall det fria flödet av personuppgifter inom unionen. Det kan inte underförstått anses framgå av de rättsliga och/eller faktiska argument som den berörda tillsynsmyndigheten lägger fram att det är frågan om stora risker, utan detta måste uttryckligen identifieras och utvecklas i invändningen.

text: 38. Det bör framhållas att även om det tydligt måste framgå av en relevant och motiverad invändning hur stora risker utkastet till beslut medför när det gäller registrerades grundläggande rättigheter och friheter (se avsnitt 3.2.2 nedan), krävs det endast att riskerna för det fria flödet av personuppgifter inom Europeiska unionen framgår ”i tillämpliga fall” (se avsnitt 3.2.3 nedan).

text: 3.2.2 Risker för registrerades grundläggande rättigheter och friheter

text: 39. Den aktuella frågan gäller vilka konsekvenser utkastet till beslut i dess helhet skulle få på registrerades grundläggande rättigheter och friheter. Detta kan gälla de slutsatser från den ansvariga tillsynsmyndigheten om huruvida den personuppgiftsansvarige eller personuppgiftsbiträdet har överträtt dataskyddsförordningen och/eller åläggandet av korrigerande åtgärder.

text: 40. Den metod som ska användas vid bedömningen av den risk utkastet till beslut medför är inte densamma som den som tillämpas när en personuppgiftsansvarig genomför en konsekvensbedömning avseende dataskydd för att fastställa vilken risk en planerad behandling medför. Det är istället fråga om en bedömning av effekterna av den ansvariga tillsynsmyndighetens slutsatser i dess utkast till beslut om huruvida en överträdelse har begåtts eller inte. Den ansvariga tillsynsmyndighetens slutsatser kan innebära att vissa åtgärder vidtas (”den planerade åtgärden”). Såsom redan angetts ska den berörda tillsynsmyndigheten påvisa sådana risker med beaktande av utkastet till beslut i dess helhet.

text: 41. I

text: skäl 129

text: i

text: dataskyddsförordningen

text: klargörs att ”[t]illsynsmyndigheternas befogenheter bör utövas opartiskt, rättvist och inom rimlig tid i överensstämmelse med lämpliga rättssäkerhetsgarantier i unionsrätten och i medlemsstaternas nationella rätt” och att ”varje åtgärd [bör] vara lämplig, nödvändig och proportionell för att säkerställa efterlevnad av denna förordning, med beaktande av omständigheterna i varje enskilt fall, samt respektera varje persons rätt att bli hörd innan några enskilda åtgärder som påverkar honom eller henne negativt vidtas och vara utformad så att onödiga kostnader och alltför stora olägenheter för de berörda personerna undviks”.

text: 42. Utvärderingen av de risker utkastet till beslut medför för registrerades grundläggande rättigheter och friheter kan därför bland annat baseras på huruvida de åtgärder som planeras (eller inte planeras) i utkastet är lämpliga, nödvändiga och proportionerliga, på grundval av slutsatserna beträffande förekomsten av en överträdelse och eventuella korrigerande åtgärder som den personuppgiftsansvarige eller personuppgiftsbiträdet har fastställt.

text: 43. Dessutom kan de aktuella riskerna hänföra sig till de konsekvenser som utkastet till beslut får för de grundläggande rättigheterna och friheterna från registrerade vars personuppgifter behandlas av den personuppgiftsansvarige eller personuppgiftsbiträdet, men även till konsekvenserna med avseende på rättigheter och friheter från registrerade vars personuppgifter kan komma att behandlas i framtiden och till en eventuell minskning av framtida överträdelser av dataskyddsförordningen, om sakförhållandena i ärendet talar för detta. Exempel 8: Den ansvariga tillsynsmyndigheten har i sitt utkast till beslut dragit slutsatsen att den personuppgiftsansvarige inte har åsidosatt principen om uppgiftsminimering i

text: artikel 5.1 c i dataskyddsförordningen

text: . Den berörda tillsynsmyndigheten lägger fram faktauppgifter och rättsliga argument i sin invändning som visar att den personuppgiftsansvariges behandling faktiskt har medfört ett åsidosättande av

text: artikel 5.1 c i dataskyddsförordningen

text: och förespråkar att en reprimand bör utfärdas mot den personuppgiftsansvarige. För att visa hur stora risker utkastet till beslut medför för registrerades grundläggande rättigheter och friheter gör den berörda tillsynsmyndigheten gällande att det skulle utgöra ett farligt prejudikat om ingen reprimand utfärdas för överträdelse av en grundläggande princip, vilket signalera att det inte föreligger något behov av att korrigera organisationens behandling av personuppgifter. Detta skulle medföra fara för registrerade vars personuppgifter behandlas och kommer att behandlas av den personuppgiftsansvarige.

text: 3.2.3 Risker för det fria flödet av personuppgifter inom unionen

text: 44. Om invändningen även hänför sig till dessa särskilda risker behöver den berörda tillsynsmyndigheten klargöra varför detta anses ”tillämpligt”. En invändning som visar att det föreligger risker för det fria flödet av personuppgifter, men inte för de registrerades rättigheter och friheter, kan inte anses nå upp till den tröskel som fastställs i

text: artikel 4.24 i dataskyddsförordningen

text: 45. Behovet av att undvika att begränsa eller förbjuda det fria flödet av personuppgifter av skäl som rör skyddet för fysiska personer med avseende på behandlingen av personuppgifter framhålls uttryckligen i dataskyddsförordningen , vilken syftar till att införa harmoniserade dataskyddsregler i hela EU och möjliggöra det fria flödet av personuppgifter inom unionen, samtidigt som en hög skyddsnivå säkerställs för fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av sina personuppgifter.

text: 46. Samtliga åtgärder kan medföra risker för det fria flödet av personuppgifter inom unionen, inbegripet beslut från nationella tillsynsmyndigheter som inför omotiverade begränsningar av datalagring (t.ex. bestämmelser som ålägger en personuppgiftsansvarig att lagra viss information i en viss medlemsstat) och/eller av det fria flödet av personuppgifter mellan medlemsstaterna (t.ex. genom att avbryta dataflöden eller införa tillfälliga eller definitiva begränsningar, inbegripet ett förbud mot behandling).

text: 47. På samma sätt kan det fria flödet av personuppgifter inom unionen äventyras när det föreligger förväntningar (eller ställs krav) på hur registeransvariga ska fullgöra sina skyldigheter enligt dataskyddsförordningen, dvs. på ett sådant sätt att de åtgärder som förväntas av personuppgiftsansvariga blir kopplade till en viss region i EU (t.ex. genom särskilda kvalifikationskrav).

text: 48. Dessutom kan det fria flödet av personuppgifter inom unionen också hindras om tillsynsmyndigheterna utan godtagbara skäl fattar olika beslut i situationer som är identiska eller likartade (t.ex. vad gäller sektor eller typ av behandling), eftersom bristande enhetlighet skulle äventyra lika villkor och skapa motstridiga situationer inom EU samt medföra en risk för forumshopping. I detta avseende bör nationella särdrag beaktas i den mån det är tillåtet enligt dataskyddsförordningen med avseende på vissa sektorer såsom hälso- och sjukvård, journalistik eller arkiv.