text: När det gäller begreppet relevant och motiverad invändning, se Europeiska dataskyddsstyrelsens (EDPB)

text: riktlinjer 09/2020

text: om relevanta och motiverade invändningar enligt förordning 2016/679, version 2.0, 9.3.2021 (riktlinjerna om relevanta och motiverade invändningar), https://edpb.europa.eu/sites/edpb/files/files/file1/edpb guidelines 202009 rro final en.pdf. Mekanismen för samarbete och enhetlighet är tillämplig på ”enskilda fall” oavsett om ärendet gäller ett klagomål eller en utredning/undersökning på eget initiativ.

text: Skäl 136

text: och

text: artikel 65.1 a i dataskyddsförordningen

text: Artikel 56.6 i dataskyddsförordningen

text: . I fall som rör klagomål från registrerade personer fungerar varje berörd tillsynsmyndighet som huvudsaklig kontaktpunkt för den eller de registrerade på dess medlemsstats territorium. Se artikel

text: artikel 65.6

text: och

text: artikel 77.2 i dataskyddsförordningen

text: . Se även skäl 130 och 141 till dataskyddsförordningen. Se

text: artikel 60.3 i dataskyddsförordningen

text: . I enlighet med

text: artikel 60.2 i dataskyddsförordningen

text: får den ansvariga tillsynsmyndigheten när som helst begära att den andra berörda tillsynsmyndigheten ger ömsesidigt bistånd i enlighet med

text: artikel 61

text: , och får genomföra gemensamma insatser i enlighet med

text: artikel 62 i dataskyddsförordningen

text: . Denna samarbetsplikt gäller för varje skede i förfarandet, från det att ärendet inleds, och sträcker sig över hela beslutsprocessen; se

text: artikel 60.1 i dataskyddsförordningen

text: och punkt 1 i riktlinjerna om relevanta och motiverade invändningar. Som en del av samarbetsförfarandet måste den ansvariga tillsynsmyndigheten och berörda tillsynsmyndigheter utbyta all relevant information med varandra (

text: artikel 60.1 i dataskyddsförordningen

text: Artikel 60.3 i dataskyddsförordningen

text: Artikel 60.4 i dataskyddsförordningen

text: . Artiklarna

text: och

text: 65.1 a

text: i dataskyddsförordningen. Om den ansvariga tillsynsmyndigheten avser att instämma i invändningen som bedöms vara relevant och motiverad, ska den överlämna ett reviderat utkast till beslut till alla de berörda tillsynsmyndigheterna. Dessa har sedan en period på två veckor på sig att uttrycka sina relevanta och motiverade invändningar mot det reviderade utkastet till beslut (

text: artikel 60.5 i dataskyddsförordningen

text: ). Se även punkterna 2–3 i riktlinjerna om relevanta och motiverade invändningar. Detta kommer särskilt att gälla om klagomålet helt eller delvis avvisas (artikel

text: i dataskyddsförordningen). Se mer i punkt 51 och därefter. EDPB:s arbetsordning, antagen den 25 maj 2018, senast ändrad och antagen den 8 oktober 2020, finns på https://edpb.europa.eu/sites/edpb/files/files/file1/edpb rop version 7 adopted 20201008 sv.pdf (arbetsordningen).

text: Ytterligare vägledning om

text: artikel 60 i dataskyddsförordningen

text: finns i

text: riktlinjerna 02/2022

text: om tillämpningen av

text: artikel 60 i dataskyddsförordningen

text: , 14.3.2022, som finns på https://edpb.europa.eu/system/files/2022- 03/guidelines 202202 on the application of article 60 gdpr en.pdf.

text: I avsnitt 4 finns närmare uppgifter om EDPB:s behörighet i enlighet med

text: artikel 65.1 a i dataskyddsförordningen

text: Artikel 60.3 i dataskyddsförordningen

text: Artikel 56.4

text: och

text: artikel 60.1 i dataskyddsförordningen

text: . Sekretariatet utför analysen av aktens fullständighet på ordförandens vägnar. Vid behov kommer dokument som inges av den behöriga myndigheten att översättas till engelska av EDPB:s sekretariat. Se artikel 11.4 i arbetsordningen och se vidare i avsnitt 3.3. Syftet med att tillhandahålla denna information är att sekretariatet ska kunna kontrollera att invändningen har lämnats in skriftligen och inom den föreskrivna tidsfristen. Tidpunkten och formatet för inlämningen av (det reviderade) utkastet till beslut och invändningen/invändningarna kan till exempel bevisas genom rapporten om

text: relevanta och motiverade invändningar från det informations- och kommunikationssystem som nämns i artikel 17 i arbetsordningen. Artikel 11.2 i arbetsordningen. Se även avsnitt 5. Artikel 11.2 i arbetsordningen.

text: I artikel 11.2 i arbetsordningen föreskrivs att EDPB under exceptionella omständigheter kan besluta att ta hänsyn till ytterligare handlingar som den anser vara nödvändiga. Till följd av detta kan sekretariatet/ordföranden begära ytterligare information, men EDPB måste besluta om den kommer att ta hänsyn till den ytterligare inkomna informationen eller inte. Den behöriga myndigheten måste uttrycka sitt godkännande av den översättning som tillhandahålls (artikel 11.2 i arbetsordningen). Artikel 11.2 i arbetsordningen. Artikel 11.2 i arbetsordningen. Artikel 11.2 i arbetsordningen. En sådan tidsram bör fastställas från fall till fall, med beaktande av de begärda handlingarnas art och omfattning. Sekretariatet ska samråda med den ansvariga tillsynsmyndigheten (eller, i tillämpliga fall, den berörda tillsynsmyndigheten) för att inhämta deras synpunkter på vad som utgör en lämplig tidsram.

text: Se särskilt artikel 11.2 i arbetsordningen: ”[...] tillsammans med bekräftelse och bevis på vilka till styrelsen inlämnade handlingar som de fick tillgång till när de uppmanades att utöva sin rätt att höras, eller ett tydligt fastställande av när så inte var fallet.” Se mer information i avsnitt 5 om utövandet av rätten att bli hörd. Se punkt 20 ovan. Ordalydelsen i artikel 11.2 d i arbetsordningen bekräftar också att den ansvariga tillsynsmyndigheten när förfarandet inleds bör lämna en ”uppgift” om huruvida den inte följer den relevanta och motiverade invändningen eller anser att invändningen inte är relevant eller motiverad (dvs. bara en uppgift om huruvida den följer invändningarna eller inte). Till följd av detta får inga nya uppgifter lämnas utöver dem som de berörda tillsynsmyndigheterna informerades om innan de lämnades in till styrelsen. I fall där tillbakadragandet gäller den enda invändning som den ansvariga tillsynsmyndigheten har beslutat att inte följa eller inte anser vara relevant och motiverad, ska EDPB inte längre vara skyldig att utfärda ett bindande beslut i enlighet med

text: artikel 65.1 a i dataskyddsförordningen

text: Artikel 65.2 i dataskyddsförordningen

text: jämförd med artikel 11.4 i arbetsordningen.

text: Artikel 65.2 i dataskyddsförordningen

text: Artikel 65.3 i dataskyddsförordningen

text: . Se även punkt 32. Rådets förordning (EEG, Euratom) nr 1182/71 av den 3 juni 1971 om regler för bestämning av perioder, datum och frister, EGT L 124, 8.6.1971, s. 1. I artikel 40 i arbetsordningen bekräftas att ”i syfte att bestämma de perioder och tidsfrister som anges i GDPR och i denna arbetsordning ska rådets förordning nr 1182/71 av den 3 juni 1971 om regler för bestämning av perioder, datum och frister tillämpas”. Se domen i målet Maatschap Toeters, MC Verberk/Productschap Vee en Vlees,

text: , ECLI:EU:C:2004:714, punkt 33. Artikel 3.3 i förordning 1182/71. Artikel 3.4 i förordning 1182/71. Artikel 11.4 i arbetsordningen.

text: Se

text: artikel 65.3 i dataskyddsförordningen

text: . Beträffande att beräkna majoritet och rösträtt för EDPB:s ledamöter, se vidare i avsnitt 3.5 (Antagande av EDPB:s bindande beslut). Se även

text: artikel 75.6 g i dataskyddsförordningen

text: , där det föreskrivs att sekretariatet särskilt ska ansvara för förberedelse, sammanställning och offentliggörande av beslut om lösning av tvister mellan tillsynsmyndigheter. Om uppmaningen att inkomma med intresseanmälan som medföredragande görs före bedömningen av aktens fullständighet, bör man se till att inga delar av akten lämnas ut förrän efter att bedömningen har gjorts och sakfrågan har hänskjutits till EDPB. Se även domen i målet Dr. August Wolff GmbH & Co. KG Arzneimittel,

text: P, 27.3.2019, ECLI:EU:C:2019:257, punkterna 29-41. Artikel 33 i arbetsordningen.

text: Artikel 54.2 i dataskyddsförordningen

text: Artikel 56 i förordning (EU) 2018/1725

text: Artikel 22.3 i arbetsordningen. Se gemensamma EES-kommitténs beslut nr 154/2018 av den 6 juli 2018 om ändring av bilaga XI (Elektronisk kommunikation, audiovisuella tjänster och informationssamhället) och protokoll 37 (med den förteckning som avses i

text: artikel 101

text: ) till EES-avtalet [2018/1022]. Se även skäl 7 och artikel 4.1 i arbetsordningen. Ordföranden och sekretariatet ska underrättas om delegeringar av rösträtt. Artikel 22.5 i arbetsordningen.

text: Artikel 65.2 i dataskyddsförordningen

text: jämförd med artikel 22.3 i arbetsordningen.

text: Artikel 65.3 i dataskyddsförordningen

text: Artikel 65.5 i dataskyddsförordningen

text: . Artikel 11.6 i arbetsordningen. Artikel 11.6 i arbetsordningen. Artikel 11.6 i arbetsordningen. Brådskande översättningar kan tillhandahållas till myndigheter som måste anta ett beslut eller vidta åtgärder på nationell nivå på grundval av EDPB:s bindande beslut på ett annat EU-språk. Andra berörda tillsynsmyndigheter kan undantagsvis begära en brådskande översättning om de anger skälen till en sådan begäran. Eftersom det giltiga språket för EDPB:s beslut är engelska ansvarar EDPB inte för någon användning av de översättningar som tillhandahålls (artikel 11.7 i arbetsordningen).

text: Om ett klagomål helt eller delvis avvisas, se artikel

text: och

text: i dataskyddsförordningen.

text: Artikel 65.6 i dataskyddsförordningen

text: . Kravet att det slutliga beslutet ska ”fogas” till EDPB:s beslut innebär inte att EDPB:s beslut måste bifogas det slutliga beslutet i ett enda dokument (det räcker att EDPB:s beslut meddelas den personuppgiftsansvarige eller personuppgiftsbiträdet tillsammans med det slutliga beslutet). Se artikel

text: och

text: i dataskyddsförordningen. Skäl 136 och 143 till dataskyddsförordningen.

text: Skäl 136

text: och

text: artikel 65.1 a i dataskyddsförordningen

text: . Se avsnitt 4 (EDPB:s behörighet), särskilt avsnitt 4.2 (Sakfrågor som den relevanta och motiverade invändningen gäller).

text: Artikel 65.6 i dataskyddsförordningen

text: Artikel 60.7 i dataskyddsförordningen

text: Artikel 60.8 i dataskyddsförordningen

text: Artikel 60.8 i dataskyddsförordningen

text: . Se även skäl 143 till dataskyddsförordningen. Se vidare i avsnitt 8 (Rättsmedel).

text: Artikel 65.6 i dataskyddsförordningen

text: . EU-institutionernas personal är även ålagd tystnadsplikt genom tjänsteföreskrifterna, och Europeiska datatillsynsmannens personal, inklusive EDPB:s sekretariat, är det även genom artikel 56 i förordning (EU)

text: 2018/1725. Tystnadsplikt åläggs vidare varje tillsynsmyndighets ledamöter och personal genom

text: artikel 54.2 i dataskyddsförordningen

text: . Se t.ex. domarna i målet Bank Austria Creditanstalt,

text: , 30.5.2006, ECLI:EU:T:2006:136; i målet Evonik Degussa,

text: , 28.1.2015, ECLI:EU:T:2015:51; i målet Akzo Nobel NV,

text: , 28.1.2015, ECLI:EU:T:2015:50; i målet MasterCard, Inc.,

text: , 9.9.2014, EU:T:2014:759; i målet Stichting Greenpeace Nederland,

text: RENV, 21.11.2018, ECLI:EU:T:2018:817; i målet Amicus Therapeutics UK Ltd,

text: , 25.9.2018, ECLI:EU:T:2018:595; i målet Pergan Hilfsstoffe für industrielle Prozesse GmbH,

text: , 12.10.2007, [2007] ECR II-4225. Enligt

text: artikel 70.1 y i dataskyddsförordningen

text: måste EDPB föra ett offentligt elektroniskt register över tillsynsmyndigheters beslut och domstolars avgöranden i frågor som hanteras inom mekanismen för enhetlighet. Se https://edpb.europa.eu/our-work-tools/consistency-findings/register-for-decisions. I skäl 136 föreskrivs att ”[...] Styrelsen bör också ges befogenhet att anta rättsligt bindande beslut vid tvister mellan tillsynsmyndigheter. För detta ändamål bör den, normalt med två tredjedelars majoritet av sina ledamöter, utfärda rättsligt bindande beslut i tydligt fastställda fall då tillsynsmyndigheter har olika uppfattningar, framför allt när det gäller mekanismen för samarbete mellan den ansvariga tillsynsmyndigheten och berörda tillsynsmyndigheter om sakförhållandena, i synnerhet om huruvida denna förordning har överträtts.”

text: Punkterna 12–21 i riktlinjerna om relevanta och motiverade invändningar. Som klargjorts tidigare ska den ansvariga tillsynsmyndigheten överlämna ärendet till EDPB antingen om den inte följer den relevanta och motiverade invändningen eller om den anser att invändningen inte är relevant eller motiverad. Se avsnitt 3.1 ovan. Punkt 12 i riktlinjerna om relevanta och motiverade invändningar. En invändning är ”relevant” när den, om den följs, medför en ändring som leder till en annan slutsats om huruvida det föreligger en överträdelse av dataskyddsförordningen eller huruvida den planerade åtgärden, såsom den föreslagits av den ansvariga tillsynsmyndigheten, i förhållande till den personuppgiftsansvarige eller personuppgiftsbiträdet är förenlig med dataskyddsförordningen. Punkt 13 i riktlinjerna om relevanta och motiverade invändningar. Punkt 19 i riktlinjerna om relevanta och motiverade invändningar. Se även punkt 16 i riktlinjerna om relevanta och motiverade invändningar. (”För att invändningen ska vara ”motiverad”, måste den innehålla förtydliganden och argument om varför en ändring av beslutet föreslås (dvs. de rättsliga/sakliga felen i den ansvariga tillsynsmyndighetens utkast till beslut). Den måste också visa hur ändringen skulle leda till en annan slutsats om huruvida det föreligger en överträdelse av dataskyddsförordningen eller huruvida den planerade åtgärden i förhållande till den personuppgiftsansvarige eller personuppgiftsbiträdet är förenlig med dataskyddsförordningen.”) Se även punkterna 7 och 37 i riktlinjerna om relevanta och motiverade invändningar.

text: Punkterna 22–48 i riktlinjerna om relevanta och motiverade invändningar. Punkterna 24–25 i riktlinjerna om relevanta och motiverade invändningar. I riktlinjerna om relevanta och motiverade invändningar finns följande exempel: Den berörda tillsynsmyndigheten hävdar att den ansvariga tillsynsmyndigheten inte har beaktat att undantaget för hushåll inte är tillämpligt på viss behandling som utförs av en personuppgiftsansvarig och som omfattar användning av övervakningskameror, och att det därför inte föreligger någon överträdelse av dataskyddsförordningen.

text: Punkt 26 i riktlinjerna om relevanta och motiverade invändningar. Se avsnitt 5 om rätten att bli hörd. Se även artikel 29-arbetsgruppens riktlinjer om öppenhet enligt förordning 2016/679, 29.11.2017,

text: rev.01, 11.4.2018, punkt 46.

text: När så är lämpligt kan den berörda tillsynsmyndigheten och den ansvariga tillsynsmyndigheten använda sig av artiklarna

text: och

text: i dataskyddsförordningen i syfte att erhålla nödvändig information innan utkastet till beslut utfärdas. Se avsnitt 3.2 ovan. Punkt 27 i riktlinjerna om relevanta och motiverade invändningar. Domstolens dom i målet Schrems,

text: , 6.10.2015, ECLI:EU:C:2015:650, punkt 63.

text: EDPB påminner om att berörda tillsynsmyndigheter har möjlighet att när så är lämpligt utnyttja möjligheten att begära ömsesidigt bistånd i enlighet med

text: artikel 61 i dataskyddsförordningen

text: (vilket också gör det möjligt för berörda tillsynsmyndigheter, om den ansvariga tillsynsmyndigheten inte efterlever bestämmelserna, att anta en provisorisk åtgärd i enlighet med

text: artikel 66

text: ) eller begära ett yttrande i enlighet med

text: artikel 64.2 i dataskyddsförordningen

text: (vilket uttryckligen anses särskilt lämpligt av lagstiftaren om en tillsynsmyndighet inte uppfyller sina skyldigheter till ömsesidigt bistånd i enlighet med

text: artikel 61 i dataskyddsförordningen

text: ). Det sistnämnda förfarandet kan i slutändan ge upphov till ett bindande beslut från EDPB i enlighet med

text: artikel 65.1 c i dataskyddsförordningen

text: . Se även generaladvokat Bobeks förslag till avgörande i målet Facebook Ireland Limited,

text: , ECLI:EU:C:2021:5, punkterna 115–121. Dessutom får EDPB i sitt bindande beslut enligt

text: artikel 65.1 a i dataskyddsförordningen

text: också uppmana den berörda tillsynsmyndigheten att begära att den ansvariga tillsynsmyndigheten ytterligare utreder frågan genom en begäran om ömsesidigt bistånd enligt

text: artikel 61

text: . Punkt 29 i riktlinjerna om relevanta och motiverade invändningar. Se föregående fotnot. Punkt 29 i riktlinjerna om relevanta och motiverade invändningar.

text: Punkt 30 i riktlinjerna om relevanta och motiverade invändningar. Se ovan i punkt 61. Här erinrar EDPB om artiklarna

text: 65.1 c

text: och

text: i dataskyddsförordningen.

text: Se även punkterna 32 och framåt i riktlinjerna om relevanta och motiverade invändningar. Punkt 34 i riktlinjerna om relevanta och motiverade invändningar. Skäl 129 till dataskyddsförordningen. Se t.ex. domen i målet Frankrike/kommissionen,

text: , 14.2.1980, punkt 29. Se t.ex. domen i målet Cicala,

text: , 21.12.2011, ECLI:EU:C:2011:868, punkt 28. Se t.ex. domen i målet Mukarubega,

text: , 5.11.2014, ECLI:EU:C:2014:2336, punkt 45. Se föregående fotnot, punkt 46. Se även domarna i målet Glencore Agriculture Hungary Kft.,

text: , 16.10.2019, ECLI:EU:C:2019:861, punkt 39 (”[...] Denna skyldighet åvilar myndigheterna i medlemsstaterna när de vidtar åtgärder som faller inom unionsrättens tillämpningsområde, även om något sådant krav avseende förfarandet inte uttryckligen föreskrivs i den tillämpliga unionslagstiftningen”) och i målet Teodor Ispas,

text: , 9.11.2017, ECLI:EU:C:2017:843, punkt 26. Se även generaladvokat Bobeks förslag till avgörande i målet Teodor Ispas,

text: , 7.9.2017, ECLI:EU:C:2017:650, punkterna 35–69. Angående sammansatta administrativa förfaranden, se t.ex. generaladvokat Compos Sánchez-Bordanas förslag till avgörande i målet Silvio Berlusconi,

text: , 27.6.2018, ECLI:EU:C:2018:502, punkterna 57–79. Se även F. Brito Bastos, Beyond Executive Federalism. The Judicial Crafting of the Law of Composite Administrative Decision-Making, avhandling inlämnad för bedömning i syfte att erhålla doktorsgrad i juridik vid Europeiska universitetsinstitutet, Florens, 13.6.2018, i synnerhet s. 120–163. Craig, P., ”Article 41 – Right to Good Administration”, EU Charter of Fundamental Rights: A Commentary, red. Steve Peers, et al., Bloomsbury Publishing, 2014, s. 1 079. Enligt arbetsordningen kan dock EDPB under exceptionella omständigheter besluta att ta hänsyn till ytterligare handlingar (artikel 11.2 i arbetsordningen). Se t.ex. domarna i målen M.M.,

text: , 22.11.2012, EU:C:2012:744, punkt 87; Mukarubega, punkt 46; Glencore Agriculture Hungary, punkt 39 och där angiven rättspraxis.

text: Domen i målet Glencore, punkt 41 och 52. Se t.ex. domen i målet Technische Universität München,

text: , 21.11.1991, punkt 25. Se artikel 12 i förordning 773/2004 (EUT L 123, 27.4.2004, s. 18). Se även generaladvokat Wahls förslag till avgörande i målet SKW Stahl-Metallurgie GmbH and Holding AG v European Commission,

text: , 3.9.2015, ECLI:EU:C:2015:543, punkterna 45–47. Se punkt 95 ovan. Skäl 129 till dataskyddsförordningen.

text: När det gäller förfarandet enligt

text: artikel 65.1 a i dataskyddsförordningen

text: , vars tillämpningsområde är begränsat till lösning av tvister om de invändningar som gjorts, behöver rätten att bli hörd inte omfatta delar som inte omfattas av tvisten. Se artikel 11.2 f i arbetsordningen, där det specificeras att den ansvariga tillsynsmyndigheten, när den överlämnar ärendet till sekretariatet, bl.a. bör inkludera, ”i enlighet med

text: artikel 41 i Europeiska unionens stadga om de grundläggande rättigheterna

text: , de skriftliga synpunkter som den ansvariga tillsynsmyndigheten inhämtat från personerna som kan komma att påverkas negativt av styrelsens beslut, tillsammans med bekräftelse och bevis på vilka till styrelsen inlämnade handlingar som de fick tillgång till när de uppmanades att utöva sin rätt att höras, eller ett tydligt fastställande av när så inte var fallet”. Se även avsnitt 3.2 ovan.

text: Artikel 41.2 b i EU-stadgan

text: . Den tillsynsmyndighet som agerar på EDPB:s vägnar kan inte göra någon allmän hänvisning till sekretess för att motivera en total vägran att lämna ut handlingar i sin akt till personer som påverkas negativt, och den kan inte heller lämna tomma sidor med motiveringen att de innehöll affärshemligheter utan att tillhandahålla en mer begriplig icke-konfidentiell version eller en sammanfattning av handlingarna. Generaladvokat Bobeks förslag till avgörande i målet Teodor Ispas,

text: , 7.9.2017, ECLI:EU:C:2017:650, punkt 117 och framåt. Generaladvokat Bobeks förslag till avgörande i målet Teodor Ispas,

text: , 7.9.2017, ECLI:EU:C:2017:650, punkt 117 och framåt. Se i linje med detta även förslaget till förhandsavgörande från generaladvokat Bobek i målet Glencore Agriculture Hungary Kft.,

text: , 16.10.2019, ECLI:EU:C:2019:861, punkt 51.

text: Europaparlamentets och rådets förordning (EG) nr 1049/2001 av den 30 maj 2001

text: om allmänhetens tillgång till Europaparlamentets, rådets och kommissionens handlingar (EGT L 145, 31.5.2001, s. 43). I

text: artikel 2.1 i förordning (EG) nr 1049/2001

text: fastställs att varje unionsmedborgare och varje fysisk eller juridisk person som är bosatt eller har sitt säte i en medlemsstat skall ha rätt till tillgång till institutionernas handlingar, med beaktande av de principer, villkor och gränser som fastställs i den förordningen. Artikel 32 i arbetsordningen. Se även artikel 33 i arbetsordningen.

text: Artikel 41.2 c i EU-stadgan

text: . Se t.ex. domen i målet Métropole Télévision SA,

text: , 21.3.2011, punkt 44. Se även ”Article 41 – Right to Good Administration”, i EU Charter of Fundamental Rights: A Commentary, red. Steve Peers, et al., Bloomsbury Publishing, 2014, s. 1085. Se t.ex. tribunalens domar i målet L’Air liquide,

text: , 16.6.2011, EU:T:2011:275, punkt 64; i målet Ryanair Ltd,

text: , 28.3.2012, EU:T:2012:164, punkt 178–179; samt i målet FIH Holding A/S,

text: , 15.9.2016, EU:T:2016:474, punkt 94. Baserat på F. Brito Bastos, Beyond Executive Federalism. The Judicial Crafting of the Law of Composite Administrative Decision-Making, avhandling inlämnad för bedömning i syfte att erhålla doktorsgrad i juridik vid Europeiska universitetsinstitutet, Florens, 13.6.2018, s. 176 och framåt. Se föregående fotnot.

text: EDPB:s utkast till bindande beslut bör i princip sammanfatta huvuddragen i de fakta som föregick tvisten, tillsammans med en sammanfattning av de huvudargument som lagts fram, såvida inte den detaljerade formulering som används är nödvändig för att korrekt kunna diskutera/uppfatta den aktuella frågan. Det bör noteras att EDPB i sitt bindande beslut inte tar ställning till sakförhållandena i några väsentliga frågor som tas upp i invändningar som inte bedöms uppfylla kraven i

text: artikel 4.24 i dataskyddsförordningen

text: . När så är fallet påverkar EDPB:s beslut inte eventuella bedömningar som EDPB kan komma att uppmanas att göra i andra fall, även med samma parter, med hänsyn till innehållet i det relevanta utkastet till beslut och de invändningar som framförts av de berörda tillsynsmyndigheterna. Se även kommissionens kod för god förvaltningssed, punkt 3, tredje strecksatsen: ”Om gemenskapens lagstiftning så föreskriver, skall det i ett beslut som delges klart anges att beslutet kan överklagas och hur detta skall göras (namn på och arbetsadress till den person eller avdelning dit överklagandet skall ges in och sista dag för överklagandet). Om så är lämpligt bör det i beslutet också pekas på möjligheten att väcka talan inför domstol eller att klaga inför ombudsmannen i enlighet med artikel 230 eller 195 i Fördraget om upprättandet av Europeiska gemenskapen.” Europeiska ombudsmannens kod för god förvaltningssed,

text: artikel 19

text: – angivelse av möjligheterna till överklagan: ”Då institutionen fattar ett beslut som kan få negativa konsekvenser för en privatpersons rättigheter eller intressen skall beslutet innehålla information om vilka möjligheter det finns att överklaga beslutet. Informationen ska ange hur man går till väga för att överklaga, till vem man ska rikta sitt överklagande och vilka tidsfrister som gäller. Besluten skall särskilt hänvisa till de möjligheter att väcka talan i domstolen och att klaga hos ombudsmannen som avses i artiklarna

text: och

text: i Fördraget om Europeiska unionens funktionssätt.”

text: Se tribunalens beslut av den 7 december 2022, WhatsApp Ireland Ltd,

text: , ECLI:EU:T:2022:783, särskilt punkt 33 och framåt.

text: Artikel 278 i EUF-fördraget

text: (f.d. artikel 242 i EG-fördraget): ”Talan som förs vid Europeiska unionens domstol ska inte hindra verkställighet. Domstolen får dock om den anser att omständigheterna så kräver förordna om uppskov med verkställigheten av den påtalade rättsakten.” Se även punkt 98 ovan.

text: Se t.ex. tribunalens dom i målet Access Info Europe/rådet,

text: , ECLI:EU:T:2011:105, punkt 28. (”Om delgivning skett av mottagaren är det detta datum som ska beaktas för att beräkna tidsfristen för att väcka talan [...] och inte den dag då vederbörande fick kännedom om rättsakten. Den senare tidpunkten används endast i andra hand för det fall delgivning inte skett”.) Se artikel 17 i EDPB:s arbetsordning.

text: Skäl 143 till dataskyddsförordningen. Se även generaladvokat Bobeks förhandsavgörande i målet Facebook Ireland Limited,

text: , ECLI:EU:C:2021:5, fotnot 52, och tribunalens beslut av den 7 december 2022, WhatsApp Ireland Ltd,

text: , ECLI:EU:T:2022:783, särskilt punkt 33 och framåt. Skäl 143 till dataskyddsförordningen. Detta inbegriper utövande av utrednings-, korrigerings- och godkännandebefogenheter eller avvisande av eller avslag på klagomål, men inte icke rättsligt bindande åtgärder. Skäl 143 till dataskyddsförordningen.

identifier: Riktlinjer 03/2021

amnesord: Tillämpning av den allmänna dataskyddsförordningen

title: Riktlinjer 03/2021 om tillämpningen av artikel 65.1 a i den allmänna dataskyddsförordningen

version: Final version

text: Sammanfattning

text: Artikel 65.1 a i den allmänna dataskyddsförordningen

text: är en tvistlösningsmekanism som ska säkerställa att dataskyddsförordningen tillämpas korrekt och konsekvent i fall med gränsöverskridande behandling av personuppgifter. Syftet är att lösa motstridiga åsikter bland den eller de ansvariga tillsynsmyndigheterna och berörda tillsynsmyndigheterna om sakförhållandena i ärendet, särskilt huruvida det föreligger en överträdelse av dataskyddsförordningen eller inte, för att säkerställa att dataskyddsförordningen tillämpas korrekt och konsekvent i enskilda fall. I dessa riktlinjer klargörs tillämpningen av tvistlösningsförfarandet enligt

text: artikel 65.1 a i dataskyddsförordningen

text: Enligt

text: artikel 65.1 a i dataskyddsförordningen

text: måste Europeiska dataskyddsstyrelsen (EDPB) utfärda ett bindande beslut varje gång en ansvarig tillsynsmyndighet utfärdar ett utkast till beslut och mottar invändningar från berörda tillsynsmyndigheter som den antingen inte instämmer i eller inte anser vara relevanta eller motiverade.

text: I dessa riktlinjer klargörs den tillämpliga rättsliga ramen och huvudskedena i förfarandet, i enlighet med de relevanta bestämmelserna i Europeiska unionens stadga om de grundläggande rättigheterna, dataskyddsförordningen och EDPB:s arbetsordning. I riktlinjerna klargörs även EDPB:s behörighet när man antar ett rättsligt bindande beslut på grundval av

text: artikel 65.1 a i dataskyddsförordningen

text: . I enlighet med

text: artikel 65.1 a i dataskyddsförordningen

text: ska EDPB:s bindande beslut gälla alla frågor som är föremål för den relevanta och motiverade invändningen. Följaktligen kommer EDPB först att bedöma om den eller de invändningar som framförts uppfyller den standard om att vara ”relevanta och motiverade” som fastställs i

text: artikel 4.24 i dataskyddsförordningen

text: . Det är bara för de invändningar som uppfyller det kravet som EDPB tar ställning till sakförhållandena i de väsentliga frågor som tas upp. I riktlinjerna analyseras exempel på invändningar som signalerar meningsskiljaktigheter mellan den ansvariga tillsynsmyndigheten och den eller de berörda tillsynsmyndigheterna i specifika frågor, och EDPB:s behörighet förtydligas i varje enskilt fall.

text: I riktlinjerna klargörs även de tillämpliga rättssäkerhetsgarantierna och rättsmedlen, i enlighet med de relevanta bestämmelserna i Europeiska unionens stadga om de grundläggande rättigheterna, dataskyddsförordningen och EDPB:s arbetsordning. I dessa riktlinjer behandlas särskilt rätten att bli hörd, rätten till tillgång till ärendets akt, EDPB:s skyldighet att motivera sina beslut samt en beskrivning av tillgängliga rättsmedel.

text: Dessa riktlinjer gäller inte tvistlösning från EDPB i fall där (1) det finns motstridiga åsikter om vilken av de berörda tillsynsmyndigheterna som är behörig för det huvudsakliga verksamhetsstället (

text: artikel 65.1 b i dataskyddsförordningen

text: ), eller (2) en behörig tillsynsmyndighet inte begär ett yttrande från styrelsen i de fall som avses i

text: artikel 64.1

text: , eller inte instämmer i ett yttrande som styrelsen avger enligt

text: artikel 64

text: artikel 65.1 c i dataskyddsförordningen

text: 1 INLEDNING OCH OMFATTNING

text: 1. Enligt

text: artikel 65.1 a i dataskyddsförordningen

text: ska EDPB utfärda ett rättsligt bindande beslut varje gång en ansvarig tillsynsmyndighet utfärdar ett utkast till beslut i den mening som avses i

text: artikel 60.3 i dataskyddsförordningen

text: och beslutar att inte följa en relevant och motiverad invändning från en berörd tillsynsmyndighet eller anser att invändningen inte är relevant eller motiverad .

text: är en tvistlösningsmekanism som ska säkerställa att dataskyddsförordningen tillämpas korrekt och konsekvent i fall med gränsöverskridande behandling av personuppgifter . Syftet är att lösa motstridiga åsikter bland den eller de ansvariga tillsynsmyndigheterna och berörda tillsynsmyndigheterna om sakförhållandena i ärendet, särskilt huruvida det föreligger en överträdelse av dataskyddsförordningen eller inte, för att säkerställa att dataskyddsförordningen tillämpas korrekt och konsekvent i enskilda fall .

text: 3. Inom ramen för den så kallade mekanismen för en enda kontaktpunkt, som gäller gränsöverskridande behandling av personuppgifter, fungerar den ansvariga tillsynsmyndigheten som den personuppgiftsansvariges eller personuppgiftsbiträdets enda motpart för behandlingen i fråga . Den ansvariga tillsynsmyndigheten är ansvarig för att genomföra de nödvändiga utredningarna, förmedla relevant information till alla berörda tillsynsmyndigheter och utarbeta ett utkast till beslut . Innan utkastet till beslut antas måste den ansvariga tillsynsmyndigheten samarbeta med de berörda tillsynsmyndigheterna i en strävan att nå samförstånd, och den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna måste utbyta all relevant information .

text: 4. När ett utkast till beslut har utarbetats ska den ansvariga tillsynsmyndigheten lägga fram detta utkast för alla berörda tillsynsmyndigheter så att de kan avge ett yttrande, och ta vederbörlig hänsyn till deras synpunkter . Inom fyra veckor efter att ha rådfrågats kan en berörd tillsynsmyndighet uttrycka en ”relevant och motiverad invändning” mot utkastet till beslut . Om ingen berörd tillsynsmyndighet invänder kan den ansvariga tillsynsmyndigheten gå vidare och anta beslutet. Om en berörd tillsynsmyndighet har gjort en invändning, måste den ansvariga tillsynsmyndigheten besluta om den instämmer i den relevanta och motiverade invändningen eller om den anser att invändningen inte är relevant eller motiverad. Om den ansvariga tillsynsmyndigheten inte avser att instämma i invändningen eller anser att den inte är relevant och motiverad, är den skyldig att hänskjuta ärendet till EDPB för tvistlösning .

text: 5. EDPB kommer sedan att agera som tvistlösningsorgan och anta ett rättsligt bindande beslut. Den ansvariga tillsynsmyndigheten, och i vissa situationer den berörda tillsynsmyndighet som klagomålet lämnades in till , måste anta sitt slutliga beslut på grundval av EDPB:s beslut. Den behöriga tillsynsmyndighetens slutliga beslut kommer att riktas till den personuppgiftsansvarige eller personuppgiftsbiträdet och, i relevanta fall, till den enskilde.

text: 6. I dessa riktlinjer klargörs tillämpningen av

text: artikel 65.1 a i dataskyddsförordningen

text: . Framför allt klargör riktlinjerna tillämpningen av de relevanta bestämmelserna i dataskyddsförordningen och arbetsordningen, de beskriver förfarandets huvudskeden och klargör EDPB:s behörighet när den antar ett rättsligt bindande beslut på grundval av

text: artikel 65.1 a i dataskyddsförordningen

text: . Riktlinjerna innehåller även en beskrivning av de tillämpliga rättssäkerhetsgarantierna och rättsmedlen.

text: 7. Föreliggande riktlinjer gäller inte tvistlösning från EDPB i fall där • det finns motstridiga åsikter om vilken av de berörda tillsynsmyndigheterna som är behörig för det huvudsakliga verksamhetsstället (

text: artikel 65.1 b i dataskyddsförordningen

text: ), • en behörig tillsynsmyndighet inte begär ett yttrande från styrelsen i de fall som avses i

text: artikel 64.1

text: artikel 64

text: artikel 65.1 c i dataskyddsförordningen

text: 2 RÄTTSLIG RAM OCH ARBETSORDNING

text: 2.1 Rätten till god förvaltning

text: 8. EDPB omfattas av EU:s stadga om de grundläggande rättigheterna (EU-stadgan), särskilt dess

text: artikel 41

text: (rätt till god förvaltning). Detta återspeglas också i artikel 11.1 i EDPB:s arbetsordning , som bekräftar att EDPB måste respektera rätten till god förvaltning så som den fastställs i artikel 41 i EUstadgan.

text: 9. Enligt

text: artikel 41 i EU-stadgan

text: har var och en rätt att få sina angelägenheter behandlade opartiskt, rättvist och inom skälig tid av unionens institutioner, organ och byråer. Detta innebär att var och en har rätt • att bli hörd innan en enskild åtgärd som skulle beröra honom eller henne negativt vidtas mot honom eller henne, och • att ha tillgång till de akter som berör honom eller henne, med förbehåll för berättigade intressen vad avser sekretess, tystnadsplikt och affärshemlighet. Rätten till god förvaltning inbegriper också att förvaltningen är skyldig att motivera sina beslut.

text: 2.2 Den allmänna dataskyddsförordningen

text: 10. I

text: artikel 65.1 i dataskyddsförordningen

text: identifieras tre olika situationer där EDPB fungerar som tvistlösningsorgan. De huvudregler som gäller för tvistlösningsförfarandena fastställs i

text: artikel 65.2

text: – 65.6 i dataskyddsförordningen.

text: 11. I händelse av en tvistlösning på grundval av

text: artikel 65.1 a i dataskyddsförordningen

text: måste hänsyn också tas till

text: artikel 60 i dataskyddsförordningen

text: , som gäller samarbetet mellan den ansvariga tillsynsmyndigheten och den berörda tillsynsmyndigheten i enskilda fall som inbegriper gränsöverskridande behandling, och där det förklaras i vilka fall den ansvariga tillsynsmyndigheten ska lämna ärendet till EDPB för tvistlösning. Dessa riktlinjer är främst inriktade på tillämpningen av

text: artikel 65.1 a i dataskyddsförordningen

text: , men det kommer också att hänvisas till bestämmelserna i artikel 60 i den mån de är relevanta för att klargöra de viktigaste stegen i EDPB:s förfarande och behörighet enligt

text: artikel 65.1 a i dataskyddsförordningen

text: 2.3 EDPB:s arbetsordning

text: 12. I artikel 11 i arbetsordningen klargörs ytterligare vilka regler som gäller i fall där EDPB uppmanas att fatta ett bindande beslut, däribland inom ramen för tvistlösningsförfarandet. Artikel 11.2 i arbetsordningen innehåller regler som specifikt gäller för tvistlösningsförfarandet i

text: artikel 65.1 a i dataskyddsförordningen

text: 13. Även om dessa riktlinjer inte är inriktade på

text: artikel 22

text: (Omröstningsförfaranden),

text: artikel 32

text: (Tillgång till handlingar),

text: artikel 33

text: (Sekretess kring diskussioner) och

text: artikel 40

text: (Bestämning av tidsfrister) i arbetsordningen, kommer de också att beaktas, när så är lämpligt.

text: 3 HUVUDSKEDEN I FÖRFARANDET (ÖVERSIKT)

text: 3.1 Villkor för att anta ett bindande beslut

text: 14. De allmänna villkoren för att EDPB ska anta ett bindande beslut fastställs i artikel

text: och

text: artikel 65.1 a i dataskyddsförordningen

text: 15. EDPB ska vara behörig att utfärda bindande beslut på grundval av

text: artikel 65.1 a i dataskyddsförordningen

text: när följande villkor är uppfyllda: • Den ansvariga tillsynsmyndigheten har för de berörda tillsynsmyndigheterna lagt fram ett utkast till beslut i den mening som avses i

text: artikel 60.3

text: . • Minst en berörd tillsynsmyndighet har lyft (en eller flera) invändningar mot den ansvariga tillsynsmyndighetens (reviderade) utkast till beslut inom den tidsfrist som föreskrivs i

text: artikel 60.4

text: – 60.5 i dataskyddsförordningen. • Den ansvariga tillsynsmyndigheten har beslutat att inte följa invändningen/invändningarna mot utkastet till beslut eller avvisat dem eftersom de inte är relevanta eller motiverade.

text: 16. När dessa villkor är uppfyllda ska EDPB vara behörig att anta ett bindande beslut på grundval av

text: artikel 65.1 a i dataskyddsförordningen

text: , som ska gälla alla frågor som är föremål för den eller de relevanta och motiverade invändningarna, särskilt huruvida det föreligger en överträdelse av dataskyddsförordningen .

text: 17. En ren ”kommentar” som en berörd tillsynsmyndighet uttrycker till ett utkast till beslut räknas inte som en invändning i den mening som avses i

text: artikel 4.24 i dataskyddsförordningen

text: . Att det finns kommentarer ska därför inte medföra någon skyldighet att utlösa förfarandet i

text: artikel 65.1 a

text: om den ansvariga tillsynsmyndigheten beslutar att inte låta kommentaren få någon verkan. En eventuell kommentar som utrycks utgör inte heller i sig en sådan fråga om EDPB ska besluta om som en del av sitt bindande beslut. Den ansvariga tillsynsmyndigheten är dock skyldig att ta vederbörlig hänsyn till de synpunkter som alla berörda tillsynsmyndigheter uttrycker och, i de fall där villkoren i

text: artikel 56.2

text: är uppfyllda, ta största möjliga hänsyn till de synpunkter som framförts av den berörda tillsynsmyndighet som klagomålet har lämnats in till, vid utarbetandet av utkastet till beslut, och att ta vederbörlig hänsyn till de synpunkter som alla berörda tillsynsmyndigheter framfört .

text: 3.2 Bedömning av aktens fullständighet

text: 18. Enligt artikel 11.2 i arbetsordningen ansvarar ordföranden och den ansvariga tillsynsmyndigheten för att besluta om huruvida ärendets akt är fullständig . Bedömningen av aktens fullständighet är ett viktigt steg i förfarandet, utformat för att säkerställa att alla villkor för att anta ett bindande beslut är uppfyllda och att EDPB har all den information som krävs för att göra detta . Bedömningen av aktens fullständighet fungerar också som utgångspunkt för de rättsliga tidsfrister som nämns i

text: artikel 65.2

text: – 65.3 i dataskyddsförordningen . Slutligen syftar bedömningen av aktens fullständighet också till att säkerställa efterlevnad av rätten att bli hörd i

text: artikel 41 i EU-stadgan

text: 19. När frågan lämnas till EDPB för tvistlösning ska den ansvariga tillsynsmyndigheten inkludera a) utkastet till beslut eller det reviderade utkastet till beslut som är föremål för invändningar, b) en sammanfattning av relevanta fakta och en relevant motivering, c) den eller de invändningar som tillsynsmyndigheten/tillsynsmyndigheterna gjort i enlighet med

text: artikel 60.4

text: (och i tillämpliga fall

text: artikel 60.5

text: ) i dataskyddsförordningen, d) en uppgift om huruvida den ansvariga tillsynsmyndigheten inte följer den relevanta och motiverade invändningen eller anser att invändningen inte är relevant eller motiverad, e) handlingar som styrker tidpunkten och formatet för inlämningen av (det reviderade) utkastet till beslut och den eller de berörda tillsynsmyndigheternas invändning(ar) , och f) i enlighet med

text: , de skriftliga synpunkter som den ansvariga tillsynsmyndigheten inhämtat från personerna som kan komma att påverkas negativt av styrelsens beslut, tillsammans med bekräftelse och bevis på vilka till styrelsen inlämnade handlingar som de fick tillgång till när de uppmanades att utöva sin rätt att höras, eller ett tydligt fastställande av när så inte var fallet .

text: 20. Ordalydelsen i

text: artikel 60.4 i dataskyddsförordningen

text: och artikel 11.2 i arbetsordningen klargör att den ansvariga tillsynsmyndigheten ansvarar för att säkerställa att akten är fullständig och lämna in all relevant information till EDPB. Vid behov kan sekretariatet dock begära ytterligare information från den ansvariga tillsynsmyndigheten och/eller de berörda tillsynsmyndigheterna inom en viss tidsram . Möjligheten att begära ytterligare information bör tolkas mot bakgrund av målet att säkerställa att EDPB får all information som krävs för att fatta ett bindande beslut om alla frågor som är föremål för den eller de relevanta och motiverade invändningarna, särskilt huruvida det föreligger en överträdelse av dataskyddsförordningen. Exempel 1: Ett utkast till beslut innehåller flera hänvisningar till den personuppgiftsansvariges interna dokumentation. I sitt utkast till beslut använder den ansvariga tillsynsmyndigheten innehållet i denna dokumentation för att bevisa sitt (bestridda) konstaterande av en överträdelse, men tillsynsmyndigheten inkluderar ändå inte någon kopia av denna när den lämnar in ärendet till EDPB för tvistlösning. Sekretariatet får begära att den ansvariga tillsynsmyndigheten tillhandahåller en kopia av den dokumentation som det hänvisas till, vid behov inom en särskild tidsram, så att det kan avgöra sakfrågan för den eller de relevanta och motiverade invändningarna. Möjligheten att begära ytterligare information i ett senare skede minskar inte den ansvariga tillsynsmyndighetens ansvar att tillhandahålla all relevant information från början när den lämnar in ärendet till EDPB. Eftersom ansvaret för att säkerställa att akten är fullständig ligger hos den ansvariga tillsynsmyndigheten, bör begäran om ytterligare information från den ansvariga tillsynsmyndigheten och/eller den berörda tillsynsmyndigheten i princip endast vara nödvändig i undantagsfall. Eftersom den ansvariga tillsynsmyndigheten och den berörda tillsynsmyndigheten dessutom är skyldiga att utbyta all relevant information under samarbetsförfarandet, bör den relevanta informationen dessutom redan ha lämnats till de berörda tillsynsmyndigheterna innan tvistlösningsförfarandet inleddes. Om alla uppgifter som är nödvändiga för att fatta ett bindande beslut om de invändningar som gjorts också översänds av den ansvariga tillsynsmyndigheten när sakfrågan hänskjuts till EDPB, är det inte nödvändigt för sekretariatet att begära ytterligare information innan akten förklaras fullständig.

text: 21. Det bör noteras att en begäran om ytterligare uppgifter endast syftar till att säkerställa att akten är fullständig. Den innebär inte något omdöme om de framförda invändningarnas värde, och ändrar inte på något sätt den sakfråga som hänskjutits till EDPB. När akten väl har bedömts vara fullständig och sakfrågan hänskjuts till EDPB kan ytterligare information i undantagsfall också begäras i ett senare skede av förfarandet (det vill säga när ämnet har hänskjutits till styrelsen) om det är nödvändigt för att åtgärda eventuella utelämnanden. Detta blir föremål för ett beslut från EDPB .

text: 22. Vid behov kommer handlingar som lämnas in av den ansvariga tillsynsmyndigheten och/eller den berörda tillsynsmyndigheten att översättas till engelska av sekretariatet . Översättningen kan också begränsas till de specifika delar som sannolikt är relevanta för att avgöra sakfrågan för den eller de relevanta och motiverade invändningarna. Den ansvariga tillsynsmyndigheten och/eller den berörda tillsynsmyndigheten måste godkänna översättningen . Exempel 2: I sitt utkast till beslut drar den ansvariga tillsynsmyndigheten slutsatsen att endast en av de överträdelser av dataskyddsförordningen som den enskilde hävdar har visat sig. Den berörda tillsynsmyndigheten anser i sin relevanta och motiverade invändning att de andra överträdelser som den enskilde hävdade också begicks, samtidigt som utkastet till beslut inte till fullo förklarar de fakta som behövs för att dra slutsatsen att överträdelserna inte skedde. Sekretariatet uppmanar därför den ansvariga tillsynsmyndigheten att tillhandahålla en kopia av de nödvändiga delarna av utredningsrapporten inom en viss tidsram . Om det är nödvändigt att översätta dessa delar, kommer sekretariatet att översätta den till engelska och den ansvariga tillsynsmyndigheten måste godkänna översättningen.

text: 23. Så snart ordföranden och den ansvariga tillsynsmyndigheten har beslutat att akten är fullständig (och den behöriga tillsynsmyndigheten godkänt eventuella nödvändiga engelska översättningar) kommer sekretariatet på ordförandens vägnar utan onödigt dröjsmål att hänskjuta ärendet till EDPB:s ledamöter .

text: 24. Om den ansvariga tillsynsmyndigheten inte tillhandahåller den information som anges ovan inom den fastställda tidsramen kommer ordföranden att be sekretariatet att hänskjuta ärendet till EDPB. Därefter kommer EDPB, från fall till fall, att bedöma om den kan gå vidare och anta sitt beslut på grundval av den information som redan lämnats, eller om det är nödvändigt att först erhålla den begärda informationen (t.ex. bekräftelse och bevis på vilka till styrelsen inlämnade handlingar som de fick tillgång till när de uppmanades att utöva sin rätt att höras, eller ett tydligt fastställande av när så inte var fallet) innan det antas ett beslut. Koppling till rätten att bli hörd

text: 25. Bedömningen av aktens fullständighet syftar också till att säkerställa efterlevnad av rätten att bli hörd i

text: artikel 41 i EU-stadgan

text: . Enligt artikel 11.2 i arbetsordningen ska EDPB endast beakta de handlingar som inlämnats av den ansvariga tillsynsmyndigheten och den eller de andra berörda tillsynsmyndigheterna innan ärendet överlämnas till styrelsen. Varje person som kan komma att påverkas negativt bör därför i princip redan ha uppmanats att utöva sin rätt att bli hörd . Vid behov kommer styrelsen att vidta ytterligare åtgärder för att säkerställa de berörda personernas rätt att höras när det gäller de delar av handlingarna i akten som EDPB kommer att beakta när den fattar sitt beslut .

text: 26. Så snart akten har förklarats fullständig kan den ansvariga tillsynsmyndigheten och den eller de berörda tillsynsmyndigheterna i princip inte lämna in någon ytterligare information om sakfrågan för tvisten (om inte sekretariatet begär detta för att åtgärda ett utelämnande i enlighet med artikel 11.2 i arbetsordningen ). Endast i undantagsfall kan styrelsen besluta att ta hänsyn till ytterligare handlingar som den anser vara nödvändiga. Den ansvariga tillsynsmyndigheten kan t.ex. inte introducera nya fakta som stöder dess beslut att inte följa en eller flera invändningar, när dessa fakta inte tidigare meddelats innan ärendet hänsköts till EDPB . Dessutom borde all information som är relevant för bedömningen av de gjorda invändningarna redan ha utbytts mellan den ansvariga tillsynsmyndigheten och den berörda tillsynsmyndigheten innan förfarandet enligt

text: artikel 65.1 a

text: inleds, i syfte att nå samförstånd (vilket även kan göra att man undviker att behöva utlösa tvistlösningsmekanismen).

text: 27. Så snart akten har förklarats fullständig och sakfrågan har hänskjutits till EDPB måste EDPB utfärda ett bindande beslut för varje invändning som görs, såvida inte den berörda tillsynsmyndighet som gjorde en viss invändning beslutar att dra tillbaka den. Eftersom tillbakadragandet av invändningen innebär att tvisten mellan den ansvariga tillsynsmyndigheten och den berörda tillsynsmyndigheten upphör, är det inte längre nödvändigt för EDPB att lösa frågan . På samma sätt kan det vara möjligt för den ansvariga tillsynsmyndigheten att dra tillbaka ett hänskjutande till EDPB på grundval av

text: artikel 60.4 i dataskyddsförordningen

text: i fall där den senare beslutar att den vill följa var och en av de invändningar som gjorts. Tillbakadragande av antingen en invändning eller ett hänskjutande bör dock endast ske i mycket exceptionella fall, eftersom den ansvariga tillsynsmyndighetens och de berörda tillsynsmyndigheternas skyldighet att eftersträva samförstånd enligt

text: artikel 60 i dataskyddsförordningen

text: kräver att tvistlösningsmekanismen endast utlöses i fall av ihållande oenighet där det inte gick att nå samförstånd.

text: 3.3 Fastställande av tidsfrister

text: 28. Den rättsliga standardfristen för EDPB att anta ett bindande beslut är en månad efter det att ordföranden och den behöriga tillsynsmyndigheten har beslutat att akten är fullständig . Tidsfristen får förlängas med ytterligare en månad med hänsyn till sakfrågans komplexitet Om EDPB inte har kunnat anta ett beslut när en sådan förlängning har löpt ut, ska detta ske inom två veckor efter det att förlängningen har löpt ut .

text: 3.3.1 Beräkning

text: 29. Beräkningen av tidsfristen för att anta det bindande beslutet ska göras på grundval av förordning 1182/71 . I enlighet med artikel 3.2 c i förordning 1182/71. ”En tidsfrist uttryckt i veckor, månader eller år skall inledas vid början av första dagens första timme inom tidsfristen och upphöra vid utgången av den sista timmen under den dag i den sista veckan, månaden eller året som infaller på samma veckodag respektive samma datum som den dag som inleder tidsfristen.” Domstolen har bekräftat att om t.ex. en händelse som inleder en enveckasfrist äger rum en måndag upphör fristen följaktligen följande måndag, som blir fristens sista dag (dies ad quem) . Om tidsgränsen uttrycks i månader och den utlösande händelsen inträffar den 20 mars, löper perioden på samma sätt ut den 20 april.

text: 30. Startdatumet (dies a quo) vid tillämpningen av

text: artikel 65.1 a i dataskyddsförordningen

text: utgörs av den dag då ordföranden och den behöriga tillsynsmyndigheten har beslutat att akten är fullständig och sakfrågan hänskjuts till EDPB av sekretariatet via det informations- och kommunikationssystem som nämns i artikel 17 i EDPB:s arbetsordning.

text: 31. Eftersom perioder inte uttrycks i arbetsdagar i dataskyddsförordningen omfattar tidsfristerna allmänna helgdagar, söndagar och lördagar . När den sista dagen i en period är en allmän helgdag, söndag eller lördag, ska dock perioden upphöra när den sista timmen på närmast följande arbetsdag går ut ; tidsfristen löper alltså ut (dies ad quem) följande arbetsdag.

text: 3.3.2 Beslut om förlängning med en månad

text: 32. Enligt

text: artikel 65.2 i dataskyddsförordningen

text: får den första tidsfristen på en månad förlängas med ytterligare en månad, med hänsyn till sakfrågans komplexitet. Förlängningen måste beslutas av EDPB:s ordförande, antingen på eget initiativ eller på begäran av minst en tredjedel av EDPB:s ledamöter . Beslutet om förlängning måste tas innan tidsfristen på en månad löper ut.

text: 3.3.3 Förlängning med två veckor

text: 33. Det bindande beslutet måste i princip antas med två tredjedelars majoritet senast två månader efter det att akten har bedömts vara fullständig och sakfrågan har hänskjutits till EDPB. Om EDPB emellertid inte har kunnat anta ett beslut inom den förlängda tidsfristen på grund av att den majoritet som krävs inte har uppnåtts, ska EDPB anta beslutet inom två veckor efter utgången av den andra månaden på grundval av enkel majoritet bland sina ledamöter .

text: 34. Under de två extra veckorna kan ändringar göras i utkastet till EDPB:s bindande beslut som tidigare lämnats in för antagande med två tredjedels majoritet, om det är nödvändigt för att uppnå enkel majoritet. Med andra ord kan utkastet till bindande beslut från EDPB anpassas och justeras om två tredjedels majoritet inte uppnås.

text: 3.4 Utarbetande av utkastet till EDPB:s bindande beslut

text: 35. Enligt artikel 11.5 i arbetsordningen ska de bindande besluten ”förberedas och upprättas av sekretariatet, alternativt av sekretariatet i samarbete med föredragande och medlemmar av expertundergrupper, om så beslutas av ordföranden” . Därför bör EDPB:s sekretariat fungera som huvudföredragande och ordföranden bör besluta huruvida en expertundergrupp och medföredragande ska involveras.

text: 36. Så snart den ansvariga tillsynsmyndigheten har lämnat in ärendet till EDPB för tvistlösning bör sekretariatet inleda bedömningen av aktens fullständighet. Under denna bedömning uppmanas ordföranden att besluta om eventuell involvering av medföredragande och kommer att uppmana EDPB:s ledamöter att uttrycka sitt intresse för att bli medföredragande (om inte ordföranden beslutar att inte involvera medföredragande i detta fall) . För att säkerställa rättvisa och opartiskhet bör (gruppen av) medföredragande inte inkludera delegationer från vare sig den ansvariga tillsynsmyndigheten eller de berörda tillsynsmyndigheter som gjorde invändningar mot utkastet till beslut .

text: 37. Slutligen bör det noteras att ordföranden också kan besluta att involvera ledamöter i en eller flera andra expertundergrupper, beroende på behoven i ärendet.

text: 38. Som angetts tidigare står det i artikel 11.2 i arbetsordningen att EDPB endast ska beakta de handlingar som inlämnats av den ansvariga tillsynsmyndigheten och den eller de andra berörda tillsynsmyndigheterna innan ärendet överlämnas till EDPB. Detta innebär att den ansvariga tillsynsmyndigheten eller den eller de berörda tillsynsmyndigheterna under utarbetandefasen inte kan introducera nya fakta som stöder deras respektive ståndpunkter.

text: 39. I enlighet med

text: artikel 76.1 i dataskyddsförordningen

text: ska överläggningar i styrelsen och expertundergrupper vara konfidentiella när de gäller mekanismen för enhetlighet . Dessutom åläggs personalen vid alla nationella tillsynsmyndigheter i EES , Europeiska datatillsynsmannen och EDPB:s sekretariat en yrkesmässig tystnadsplikt. Detta innebär att sekretessen och tystnadsplikten, som är av yttersta vikt, ska respekteras av EDPB och dess ledamöter även i samband med tvistlösningsärenden enligt

text: artikel 65.1 a

text: . Det gäller både överläggningarna och de handlingar som utbyts.

text: 3.5 Antagande av EDPB:s bindande beslut

text: 40. Alla majoriteter som avses i dataskyddsförordningen (eller i arbetsordningen) avser det totala antalet röstberättigade ledamöter i EDPB, oavsett om de är närvarande eller inte .

text: 41. Tillsynsmyndigheterna i Efta och EES (dvs. Island, Liechtenstein och Norge) har inte rösträtt, men har ändå rätt att uttrycka sina ståndpunkter i alla frågor som diskuteras och/eller röstas igenom .

text: 42. I enlighet med

text: artikel 68.6 i dataskyddsförordningen

text: ska Europeiska datatillsynsmannen endast ha rösträtt i fråga om beslut som rör principer och regler som är tillämpliga på unionens institutioner, organ och byråer, och som i allt väsentligt motsvarar dem i dataskyddsförordningen. När så är fallet har datatillsynsmannen rätt att rösta om beslutet som helhet.

text: 43. Varje ledamot av EDPB som har rösträtt och som inte företräds vid ett plenarsammanträde kan delegera sin rösträtt till en annan styrelseledamot som innehar rösträtt och som närvarar vid plenarsammanträdet .

text: 44. Den majoritet som krävs för att anta ett bindande beslut enligt

text: artikel 65.1 a i dataskyddsförordningen

text: är två tredjedelar av EDPB:s röstberättigade ledamöter . Om EDPB inte har kunnat anta ett beslut med två tredjedels majoritet ska EDPB anta sitt beslut inom de följande två veckorna med enkel majoritet. Om styrelsens ledamöter är delade i frågan ska beslutet antas i enlighet med ordförandens röst .

text: 3.6 Meddelande till de berörda tillsynsmyndigheterna

text: 45. När EDPB har antagit sitt bindande beslut ska EDPB:s ordförande utan onödigt dröjsmål meddela beslutet till alla berörda tillsynsmyndigheter . Samtliga berörda tillsynsmyndigheter i ärendet måste alltså meddelas om det bindande beslutet.

text: 46. Anmälan kommer att göras av sekretariatet på ordförandens vägnar via det informations- och kommunikationssystem som nämns i artikel 17 i arbetsordningen . Meddelandet om det bindande beslutet sker genom att beslutet meddelas på engelska, som är det enda giltiga språket i beslutet . De berörda tillsynsmyndigheterna kommer att anses vara fullt bekanta med det meddelade beslutet .

text: 3.7 Tillsynsmyndighetens/tillsynsmyndigheternas slutliga beslut

text: 47. Inom en månad efter det att EDPB:s beslut meddelats tillsynsmyndigheterna måste den ansvariga tillsynsmyndigheten och/eller den berörda tillsynsmyndigheten (i förekommande fall ) anta ett slutgiltigt beslut . Varje slutligt beslut måste antas ”på grundval av” EDPB:s beslut. Dessutom måste det eller de slutliga besluten hänvisa till EDPB:s beslut och närmare ange att detta beslut kommer att offentliggöras på EDPB:s webbplats. Den ansvariga tillsynsmyndighetens och/eller berörda tillsynsmyndighetens slutliga beslut ska även fogas till EDPB:s beslut .

text: 3.7.1 ”På grundval av”

text: 48. Kravet att anta ett slutligt beslut ”på grundval av” EDPB:s beslut återspeglar att EDPB:s beslut är rättsligt bindande för den ansvariga tillsynsmyndigheten (och/eller i slutändan den eller de berörda tillsynsmyndigheterna, om det är nödvändigt att anta ett slutgiltigt beslut mot de registrerade ) som adressater för beslutet .

text: 49. Syftet med det bindande beslutet är att lösa motstridiga åsikter bland den eller de ansvariga tillsynsmyndigheterna och berörda tillsynsmyndigheterna om sakförhållandena i ärendet, särskilt huruvida det föreligger en överträdelse av dataskyddsförordningen, för att säkerställa att dataskyddsförordningen tillämpas korrekt och konsekvent i enskilda fall .

text: 50. Det slutliga beslutet måste antas på grundval av EDPB:s beslut och måste därför ge full verkan åt den eller de bindande riktlinjer som anges i EDPB:s beslut. Om EDPB t.ex. har avgjort att det faktiskt har förekommit en överträdelse av dataskyddsförordningen, kan inte den ansvariga tillsynsmyndigheten eller den berörda tillsynsmyndigheten fastställa något annat. På samma sätt måste den ansvariga tillsynsmyndigheten eller den berörda tillsynsmyndigheten, om EDPB har fastställt att den planerade åtgärden med avseende på den personuppgiftsansvarige eller personuppgiftsbiträdet inte är förenlig med dataskyddsförordningen, anpassa sina åtgärder i enlighet därmed .

text: 3.7.2 Beslut från den ansvariga tillsynsmyndigheten och/eller den berörda tillsynsmyndigheten

text: 51. Det slutliga beslutet från den ansvariga tillsynsmyndigheten och, i förekommande fall, den berörda tillsynsmyndighet som klagomålet lämnats in till, ska antas i enlighet med artikel

text: och

text: i dataskyddsförordningen .

text: 52. Utgångspunkten är att den ansvariga tillsynsmyndigheten blir skyldig att anta och meddela sitt slutliga beslut till den personuppgiftsansvariges eller personuppgiftsbiträdets huvudsakliga eller enda verksamhetsställe och underrätta de övriga berörda tillsynsmyndigheterna samt EDPB om sitt slutliga beslut (inklusive en sammanfattning av relevanta fakta och motivering) . Ett viktigt undantag från detta krav gäller situationer där ett klagomål har avvisats eller avslagits.

text: 53. Om ett klagomål har avvisats eller avslagits ska den tillsynsmyndighet till vilken klagomålet lämnades in anta beslutet och meddela den enskilde samt informera den personuppgiftsansvarige .

text: 54. Om det behöver tas ett beslut om att bara delvis avvisa ett klagomål, ska den ansvariga tillsynsmyndigheten anta beslutet för den del som gäller åtgärder som avser den personuppgiftsansvarige eller personuppgiftsbiträdet, meddela det till den personuppgiftsansvariges eller personuppgiftsbiträdets huvudsakliga eller enda verksamhetsställe på medlemsstatens territorium och underrätta den enskilde om detta, medan den enskildes tillsynsmyndighet ska anta beslutet för den del som gäller avvisande av eller avslag på klagomålet och meddela det till den enskilde och underrätta den personuppgiftsansvarige eller personuppgiftsbiträdet om detta .

text: 55. Varje fysisk eller juridisk person har rätt till ett effektivt rättsmedel vid behörig nationell domstol mot en tillsynsmyndighets beslut som har rättsliga följder för denna person, i enlighet med

text: artikel 78 i dataskyddsförordningen

text: 3.7.3 Information till EDPB

text: 56. Den ansvariga tillsynsmyndigheten eller, allt efter omständigheterna, den berörda tillsynsmyndighet till vilken klagomålet har lämnats in, måste underrätta EDPB om vilken dag dess slutliga beslut meddelas till den personuppgiftsansvarige respektive personuppgiftsbiträdet och den registrerade .

text: 3.8 Offentliggörande av EDPB:s bindande beslut

text: 57. I enlighet med

text: artikel 65.5 i dataskyddsförordningen

text: ska offentliggörandet av EDPB:s bindande beslut på styrelsens webbplats ske ”utan onödigt dröjsmål” efter att den ansvariga tillsynsmyndigheten har meddelat det slutliga nationella beslutet till den personuppgiftsansvarige/personuppgiftsbiträdet och/eller den berörda tillsynsmyndigheten har meddelat den registrerade (om ett klagomål avvisas). När så är möjligt bör ”utan onödigt dröjsmål” tolkas som att offentliggörandet av EDPB:s bindande beslut bör ske samma dag som det slutliga nationella beslutet meddelas den personuppgiftsansvarige/personuppgiftsbiträdet/den enskilde.

text: 58. För att EDPB ska kunna offentliggöra sitt bindande beslut ”utan onödigt dröjsmål” efter att det slutliga nationella beslutet meddelats, ska den behöriga tillsynsmyndigheten enligt

text: artikel 65.6 i dataskyddsförordningen

text: informera styrelsen om vilken dag dess slutliga beslut meddelas till den personuppgiftsansvarige eller personuppgiftsbiträdet respektive den registrerade. För att undvika onödiga dröjsmål bör varje behörig tillsynsmyndighet informera sekretariatet om den dag då meddelande av det nationella beslutet förväntas äga rum, helst minst en dag i förväg.

text: 59. Enligt

text: artikel 339 i EUF-fördraget

text: är EU-institutionernas medlemmar och personal förpliktigade att inte lämna ut upplysningar som omfattas av tystnadsplikt, särskilt uppgifter om företag, deras affärsförbindelser eller deras kostnadsförhållanden . Till följd av detta kan vissa delar av EDPB:s bindande beslut behöva redigeras så att man undviker att lämna ut upplysningar som omfattas av tystnadsplikt. Sekretariatet kommer att utvärdera behovet av att redigera sådana delar på grundval av EU-lagstiftningen och EU-domstolens rättspraxis .

text: 60. EDPB kommer också att offentliggöra de slutliga nationella besluten i sitt register , med beaktande av eventuella begränsningar enligt den behöriga tillsynsmyndighetens nationella lagstiftning när det gäller offentliggörandet av dess beslut. Om sådana begränsningar är tillämpliga bör tillsynsmyndigheterna informera sekretariatet om alla dessa begränsningar.

text: 4 EDPB:S BEHÖRIGHET

text: 61. Syftet med mekanismen för enhetlighet, inklusive

text: artikel 65.1 a i dataskyddsförordningen

text: , är att bidra till en konsekvent tillämpning av dataskyddsförordningen i hela unionen. I skäl 136 anges tydligt att EDPB:s behörighet att utfärda ett bindande beslut, då den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna har olika uppfattningar inom ramen för samarbetsmekanismen, är kopplad till sakförhållandena, i synnerhet angående huruvida dataskyddsförordningen har överträtts .

text: 62. I enlighet med

text: artikel 65.1 a i dataskyddsförordningen

text: ska EDPB:s bindande beslut gälla alla ärenden som är föremål för den relevanta och motiverade invändningen. Därför kommer EDPB endast att bedöma de frågor som ingår i de invändningar som gjorts i fråga om den ansvariga tillsynsmyndighetens utkast till eller reviderade utkast till beslut. EDPB kommer inte att ompröva hela ärendet och kommer inte heller att behandla sådana frågor som kan tas upp under förfarandet enligt

text: artikel 65

text: men som inte var föremål för de motiverade och relevanta invändningar som lämnades in innan tvisten hänsköts till EDPB.

text: 63. Tvisten mellan den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna kan gälla antingen att den ansvariga tillsynsmyndigheten inte följer en eller flera relevanta och motiverade invändningar, eller att den ansvariga tillsynsmyndigheten anser att en eller flera invändningar inte är relevanta eller motiverade. EDPB kommer för varje invändning som framförts att göra en bedömning huruvida invändningen uppfyller kraven i

text: artikel 4.24 i dataskyddsförordningen

text: och, om så är fallet, behandla invändningen i sak i det bindande beslutet.

text: 4.1 Bedömning av huruvida invändningarna är relevanta och motiverade

text: 64. I sina riktlinjer om relevanta och motiverade invändningar har EDPB förtydligat de villkor som måste vara uppfyllda för att en invändning ska anses vara ”relevant och motiverad” i den mening som avses i

text: artikel 4.24 i dataskyddsförordningen

text: 65. När en ansvarig tillsynsmyndighet hänskjuter en tvist till EDPB för lösning i enlighet med artikel

text: och

text: i dataskyddsförordningen, måste EDPB först bedöma om de invändningar som gjorts faktiskt uppfyller villkoren för att vara relevanta och motiverade .

text: 66. EDPB påminner om att det för att invändningen ska anses vara ”relevant” måste finnas ett direkt samband mellan invändningen och innehållet i det aktuella utkastet till beslut. Mer specifikt krävs det att invändningen antingen avser huruvida det föreligger en överträdelse av dataskyddsförordningen eller huruvida den planerade åtgärden i förhållande till den personuppgiftsansvarige eller personuppgiftsbiträdet är förenlig med dataskyddsförordningen .

text: 67. För att en invändning ska vara ”motiverad” bör den vara sammanhängande, tydlig, precis och detaljerad vad gäller redogörelsen för skälen till invändningen. Det bör klart och tydligt anges vilka väsentliga delar som ligger till grund för den berörda tillsynsmyndighetens bedömning och kopplingen mellan de följder som utkastet till beslut (om det skulle utfärdas som det är) förutses få och hur stora risker det förväntas medföra för de registrerades grundläggande rättigheter och friheter och, i tillämpliga fall, för det fria flödet av personuppgifter inom unionen .

text: 68. Vid bedömningen av huruvida invändningarna faktiskt uppfyller villkoren för att vara relevanta och motiverade kommer EDPB:s bedömning att vara både väsentlig och formell. Med andra ord kommer EDPB att beakta den specifika formulering som används av den berörda tillsynsmyndigheten inom var och en av de invändningar som görs, och huruvida varje del av

text: artikel 4.24 i dataskyddsförordningen

text: uttryckligen nämns med avseende på varje specifik invändning; detta kräver alltså en uttrycklig hänvisning till de risker som utkastet till beslut medför när det gäller de registrerades grundläggande rättigheter och friheter .

text: 69. I sitt bindande beslut kommer EDPB inte att ta ställning till sakförhållandena i några väsentliga frågor som tas upp i invändningar som inte uppfyller villkoren i

text: artikel 4.24 i dataskyddsförordningen

text: . Om en invändning inte uppfyller villkoren i

text: artikel 4.24 i dataskyddsförordningen

text: , kommer EDPB:s bindande beslut fortfarande inte att påverka eventuella bedömningar som EDPB kan komma att uppmanas att göra i andra fall, även med samma parter, med hänsyn till innehållet i det relevanta utkastet till beslut och de invändningar som framförts av de berörda tillsynsmyndigheterna.

text: 4.2 Sakfrågor i den relevanta och motiverade invändningen

text: 70. I sina riktlinjer om relevanta och motiverade invändningar har EDPB också klargjort den möjliga sakfrågan i en relevant och motiverad invändning (invändningen i sak) . I dessa riktlinjer beskrivs ett antal exempel på invändningar som kan uppfylla kraven i

text: artikel 4.24 i dataskyddsförordningen

text: . Dessa exempel gäller eventuella oenigheter mellan den ansvariga tillsynsmyndigheten och den berörda tillsynsmyndigheten i följande frågor:

text: 1. Huruvida det föreligger en viss överträdelse av dataskyddsförordningen. 2. Huruvida det föreligger ytterligare eller alternativa överträdelser av dataskyddsförordningen. 3. Luckor i utkastet till beslut som motiverar vidare utredning. 4. Otillräckliga faktauppgifter eller otillräcklig motivering. 5. Förfarandefrågor. and 6. Den särskilda åtgärd som planeras i utkastet till beslut.

text: 4.2.1 Huruvida det föreligger en viss överträdelse av dataskyddsförordningen

text: 71. Ett första exempel på en möjlig relevant och motiverad invändning är oenighet mellan den ansvariga tillsynsmyndigheten och den berörda tillsynsmyndigheten om huruvida en viss bestämmelse i dataskyddsförordningen har överträtts eller inte . Sådan oenighet kan uppstå när något av följande bekräftas i utkastet till beslut som antagits av den ansvariga tillsynsmyndigheten: • Att det förekommit en överträdelse av en särskild artikel i dataskyddsförordningen, men den berörda tillsynsmyndigheten anser att denna artikel i dataskyddsförordningen inte har överträtts . • Att en viss artikel i dataskyddsförordningen inte har överträtts, samtidigt som den berörda tillsynsmyndigheten anser att artikeln i fråga har överträtts.

text: 72. Enligt

text: artikel 65.1 a i dataskyddsförordningen

text: ska EDPB fatta ett bindande beslut som avser alla ärenden som är föremål för den relevanta och motiverade invändningen, ”särskilt frågan om huruvida det föreligger en överträdelse av den allmänna dataskyddsförordningen”. EDPB måste fatta ett bindande beslut som när så är möjligt, med beaktande av aspekterna i ärendets akt och rätten att bli hörd, ska ge en lämplig slutsats om hur dataskyddsförordningen tillämpas med avseende på det aktuella ärendet. Med andra ord ska EDPB bedöma sakförhållandena i de argument som den berörda tillsynsmyndigheten lyfter fram i invändningen gentemot argumenten från den ansvariga tillsynsmyndigheten, och slutgiltigt avgöra om den aktuella överträdelsen av dataskyddsförordningen ägde rum eller inte. EDPB kommer att instruera den ansvariga tillsynsmyndigheten att ändra ett konstaterande av en överträdelse eller att inkludera ett sådant vid behov. I sådana fall blir den ansvariga tillsynsmyndigheten sedan skyldig att genomföra ändringen i sitt slutliga beslut, med beaktande av EDPB:s bindande beslut avseende den gjorda invändningen.

text: 4.2.2 Ytterligare eller alternativa överträdelser av dataskyddsförordningen

text: 73. Ett andra exempel på en möjlig relevant och motiverad invändning handlar om oenighet mellan den ansvariga tillsynsmyndigheten och den berörda tillsynsmyndigheten om de slutsatser som ska dras av utredningsresultaten. Invändningen kan exempelvis gälla att slutsatserna leder till en överträdelse av en annan bestämmelse i dataskyddsförordningen än (och/eller utöver) de som redan analyserats i utkastet till beslut .

text: 74. Som tidigare angetts måste EDPB fatta ett bindande beslut som när så är möjligt, med beaktande av aspekterna i ärendets akt och svarandens rätt att bli hörd, ska ge en lämplig slutsats om hur dataskyddsförordningen tillämpas med avseende på det aktuella ärendet. Detta kan eventuellt inbegripa ett fastställande av förekomsten av ytterligare (eller alternativa) överträdelser, förutsatt att ärendets akt innehåller tillräckliga fakta för att styrka den påstådda överträdelsen och att de personer som skulle påverkas negativt har hörts eller kan höras med avseende på de invändningar där det påstås finnas ytterligare en alternativ överträdelse . Exempel 3: I utkastet till beslut från den ansvariga tillsynsmyndigheten anges att den personuppgiftsansvarige inte har fullgjort sin skyldighet att informera enligt

text: artikel 14 i dataskyddsförordningen

text: (information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade). I utkastet till beslut anges att den personuppgiftsansvarige bör ha lämnat informationen i punkterna 14.1 och 14.2 a och e i dataskyddsförordningen och inte finner några andra överträdelser av

text: artikel 14

text: . En av de berörda tillsynsmyndigheterna anser att den personuppgiftsansvarige borde ha tillhandahållit all den information som avses i artikel 14.2

text: b

text: och

text: f

text: i dataskyddsförordningen, eftersom det normala utgångsläget är att all sådan information som anges i den underartikeln bör lämnas till den registrerade, såvida inte en eller flera kategorier av informationen inte finns eller inte är tillämplig . Under förutsättning att den invändning som framförts av den berörda tillsynsmyndigheten uppfyller kraven i

text: artikel 4.24

text: , och med beaktande av aspekterna i akten och rätten att bli hörd, kommer EDPB att avgöra huruvida den personuppgiftsansvarige dessutom har åsidosatt artikel 14.2

text: b

text: och

text: f

text: i dataskyddsförordningen, utöver artiklarna

text: och 14.2

text: a

text: och

text: e

text: i dataskyddsförordningen.

text: 75. Om EDPB, efter en relevant och motiverad invändning om saken, fastställer att ytterligare och/eller alternativa bestämmelser i dataskyddsförordningen har överträtts, blir den ansvariga tillsynsmyndigheten skyldig att återspegla detta i sitt slutliga beslut, med beaktande av EDPB:s bindande beslut med avseende på den invändning som gjorts.

text: 76. I undantagsfall kan det vara möjligt att den akt som lämnats in till EDPB inte innehåller tillräckliga fakta för att EDPB ska kunna dra en slutgiltig slutsats huruvida den överträdelse föreligger som identifierats i den relevanta och motiverade invändningen. I de flesta fall bör dock den information som utbyts under samarbetsförfarandet vara tillräcklig för att den berörda tillsynsmyndigheten ska kunna styrka sin invändning på ett sådant sätt att EDPB slutgiltigt ska kunna avgöra om det har förekommit en överträdelse av dataskyddsförordningen eller inte . När den ansvariga tillsynsmyndigheten överlämnar ärendet till sekretariatet för att erhålla ett bindande beslut på grundval av

text: artikel 65.1 a i dataskyddsförordningen

text: , får sekretariatet dessutom begära att den ansvariga tillsynsmyndigheten och/eller den berörda tillsynsmyndigheten tillhandahåller ytterligare information som är nödvändig för att säkerställa att akten är fullständig .

text: 4.2.3 Luckor i utkastet till beslut som motiverar vidare utredning från den ansvariga tillsynsmyndigheten

text: 77. Ett tredje exempel på en möjlig relevant och motiverad invändning handlar om oenighet mellan den ansvariga tillsynsmyndigheten och den berörda tillsynsmyndigheten om de relevanta överträdelserna av dataskyddsförordningen har utretts tillräckligt i utkastet till beslut . Exempel 4: Efter att ha mottagit ett klagomål anser den ansvariga tillsynsmyndigheten att inte alla påståenden om överträdelser i klagomålet förtjänar en utredning. I sitt utkast till beslut tar den ansvariga tillsynsmyndigheten endast upp de aspekter av klagomålet som den beslutade att utreda, utan något uttalande om de andra påstådda överträdelserna av dataskyddsförordningen. Den berörda tillsynsmyndigheten anser då att den ansvariga tillsynsmyndigheten i sin utredning omotiverat lät bli att ta itu med ett antal påstådda överträdelser som klaganden tagit upp, och lämnar in en relevant och motiverad invändning på grundval av den ansvariga tillsynsmyndighetens underlåtenhet att korrekt hantera klagomålet så att den registrerades rättigheter skyddades.

text: 78. I

text: artikel 57.1 f i dataskyddsförordningen

text: åläggs tillsynsmyndigheterna att behandla varje klagomål som lämnas in till dem och att undersöka sakfrågan som klagomålet gäller ”där så är lämpligt”. Begreppet ”där så är lämpligt” ger den behöriga tillsynsmyndigheten ett visst utrymme för eget omdöme när det gäller hur omfattande eller djupgående undersökningen behöver vara. Denna befogenhet för eget omdöme måste dock utövas med all tillbörlig aktsamhet och i enlighet med de relevanta bestämmelserna i dataskyddsförordningen, vilket innebär ömsesidigt samarbete.

text: 79. Om EDPB, på grundval av en relevant och motiverad invändning, fastställer att den ansvariga tillsynsmyndigheten felaktigt har underlåtit att utreda eller på något annat sätt hantera vissa av de frågor som togs upp i klagomålet, kan EDPB utfärda ett bindande beslut som specificerar den ansvariga tillsynsmyndighetens behov av att hantera frågan ytterligare och – i den mån det är lämpligt – undersöka den återstående sakfrågan i klagomålet. I den mån utkastet till beslut tillåter det bör den ansvariga tillsynsmyndigheten i princip först försöka slutföra sitt utkast till beslut när det gäller de frågor som inte kräver ytterligare utredning inom den tidsfrist som anges i

text: artikel 65.6

text: 80. För de frågor som kräver ytterligare utredning kan det vara nödvändigt att den ansvariga tillsynsmyndigheten öppnar en ny ärendeakt. Om en ny ärendeakt öppnas för att behandla de återstående frågorna, måste den ansvariga tillsynsmyndigheten följa alla bestämmelser om samarbete i dataskyddsförordningen. Detta kan leda till att det lämnas in ett nytt utkast till beslut i enlighet med

text: artikel 60.3 i dataskyddsförordningen

text: , som tar upp den utestående påstådda överträdelsen. I situationer där det inte är möjligt för den ansvariga tillsynsmyndigheten att följa detta tillvägagångssätt (t.ex. när det finns en oupplöslig koppling mellan den fråga som kräver ytterligare utredning och de andra delar av den ansvariga tillsynsmyndighetens utkast till beslut som ska slutföras) kan det vara nödvändigt att den ansvariga tillsynsmyndigheten först utreder frågan ytterligare och utarbetar ett uppdaterat utkast till beslut.

text: 81. Under alla omständigheter ska den ansvariga tillsynsmyndigheten vara skyldig att behandla frågan ytterligare och hålla EDPB:s ledamöter underrättade om de åtgärder som vidtagits. Dessutom kan de berörda tillsynsmyndigheterna sträva efter att använda de samarbets- och enhetlighetsmekanismer som föreskrivs i dataskyddsförordningen om den ansvariga tillsynsmyndigheten inte fullgör sina skyldigheter enligt beslutet enligt

text: artikel 65

text: (dvs. tar itu med de återstående frågor som ska lösas) .

text: 4.2.4 Otillräckliga faktauppgifter eller otillräcklig motivering

text: 82. Ett fjärde exempel på en möjlig relevant och motiverad invändning är oenighet mellan den ansvariga tillsynsmyndigheten och den berörda tillsynsmyndigheten om huruvida tillräckliga faktauppgifter och/eller motiveringar har inkluderats i utkastet till beslut . En berörd tillsynsmyndighet kan t.ex. anse att den ansvariga tillsynsmyndighetens slutsats som ingick i utkastet till beslut inte stöds tillräckligt av den genomförda bedömningen och de bevis som lagts fram . I ett sådant fall ska EDPB också vara behörig att utfärda ett bindande beslut, förutsatt att den invändning som görs uppfyller hela tröskelvärdet i

text: artikel 4.24 i dataskyddsförordningen

text: , inklusive en koppling mellan den påstått otillräckliga analysen och förekomsten av en överträdelse eller den planerade åtgärden .

text: 83. I en situation där den ansvariga tillsynsmyndighetens utkast till beslut innehåller otillräckliga fakta eller motiveringar finns det i huvudsak två möjliga scenarier.

text: 84. I det första scenariot innehåller den akt som EDPB ska ha som grundval för sitt beslut redan tillräcklig information som skulle göra det möjligt att avhjälpa bristen på tillräckliga fakta eller motivering i utkastet till beslut. I sådana fall ska EDPB, inom ramen för den relevanta och motiverade invändningen, avgöra i vilken utsträckning den ansvariga tillsynsmyndigheten bör ändra sitt utkast till beslut så att den otillräckliga motiveringen avhjälps, genom att hänvisa till relevanta delar i ärendeakten. Exempel 5: I den ansvariga tillsynsmyndighetens utkast till beslut fastställs en överträdelse av dataskyddsförordningen på grundval av fakta som stöds av dokumentation som lämnades till EDPB i akten. Ett antal berörda tillsynsmyndigheter lämnar in relevanta och motiverade invändningar där de beskriver att det inte finns tillräckligt starkt resonemang bakom kopplingen mellan dokumentationen och konstaterandet av överträdelsen i utkastet till beslut. EDPB finner i sitt beslut att invändningen/invändningarna är relevanta och motiverade och anger den korrekta rättsliga tolkning och motivering som den ansvariga tillsynsmyndigheten bör införliva i sitt slutliga beslut.

text: 85. I det andra scenariot innehåller den akt som EDPB ska ha som grund för sitt beslut inte tillräckliga faktauppgifter för att avhjälpa bristen på fakta eller motivering. Exempel 6: Den ansvariga tillsynsmyndigheten konstaterar i sitt utkast till beslut att det inte föreligger någon överträdelse av

text: artikel 6.1 a i dataskyddsförordningen

text: och att behandlingen i fråga är laglig på grundval av den registrerades samtycke. Emellertid innehåller varken utkastet till beslut eller något annat dokument i akten något ytterligare material eller någon analys av huruvida villkoren i

text: artikel 7 i dataskyddsförordningen

text: har uppfyllts. Det står bara i utkastet till beslut att behandlingen lagligen har grundat sig på samtycke, utan att ytterligare motivering eller bevis anges. En berörd tillsynsmyndighet gör en invändning mot denna brist på motivering, och hävdar att avsaknaden av denna analys ger upphov till osäkerhet kring konstaterandet att ingen överträdelse skett i detta fall. Om EDPB fastställer att den akt som ska ligga till grund för EDPB:s beslut inte innehåller tillräckliga faktauppgifter som skulle göra det möjligt att avhjälpa den otillräckliga motiveringen, kan EDPB utfärda ett bindande beslut som specificerar att den ansvariga tillsynsmyndigheten behöver utreda eller behandla frågan ytterligare i syfte att erhålla tillräcklig faktainformation, i enlighet med vad som anges i punkterna 79–81 ovan.

text: 4.2.5 Förfarandefrågor

text: 86. Ett femte exempel på en möjlig relevant och motiverad invändning är en oenighet mellan den ansvariga tillsynsmyndigheten och den berörda tillsynsmyndigheten om huruvida de förfarandekrav som föreskrivs i dataskyddsförordningen har respekterats korrekt och om detta påverkar den slutsats som dragits i utkastet till beslut .

text: 87. EDPB erinrar om att syftet med tvistlösningsmekanismen i

text: artikel 65.1 a i dataskyddsförordningen

text: är att lösa motstridiga åsikter i sakförhållandena . Den är inte avsedd att lösa eventuella tvister om förfarandekrav eller samarbetsskyldigheter .

text: 88. En invändning som inbegriper oenighet om förfarandekrav kommer endast att anses vara relevant och motiverad om den också lägger fram argument som klargör den annorlunda slutsats som den ansvariga tillsynsmyndigheten borde ha kommit fram till i sitt utkast till beslut. I sitt beslut kommer EDPB att lösa tvisten kring de slutsatser som nåddes i utkastet till beslut.

text: 89. Om de förfarandemässiga bristerna gör att EDPB inte kan lösa tvisten kring slutsatserna i utkastet till beslut (t.ex. på grund av otillräckliga faktauppgifter) kommer EDPB att påminna om samarbetsplikten och utfärda ett bindande beslut som specificerar att den ansvariga tillsynsmyndigheten behöver utreda eller behandla frågan ytterligare, i enlighet med vad som anges i punkterna 79–81 ovan, och då säkerställa full överensstämmelse med de förfarandekrav i dataskyddsförordningen som inte uppfyllts.

text: 4.2.6 Planerad åtgärd

text: 90. Ett sjätte exempel på en möjlig relevant och motiverad invändning handlar om oenighet mellan den ansvariga tillsynsmyndigheten och den berörda tillsynsmyndigheten om huruvida den planerade åtgärden i förhållande till den personuppgiftsansvarige eller personuppgiftsbiträdet är förenlig med dataskyddsförordningen .

text: 91. EDPB erinrar om att skäl 150 femte meningen i dataskyddsförordningen anges att mekanismen för enhetlighet också kan tillämpas för att främja en enhetlig tillämpning av administrativa sanktionsavgifter. Om EDPB vid sin bedömning i detta sammanhang konstaterar att det resonemang som leder fram till åläggandet av de aktuella böterna är bristfälligt, kommer följaktligen den ansvariga tillsynsmyndigheten att uppmanas att ompröva böterna och åtgärda de konstaterade bristerna .

text: 92. Sanktionsavgifter är inte på något sätt den enda åtgärd som en tillsynsmyndighet kan planera. En relevant och motiverad invändning kan därför också ha att göra med andra planerade åtgärder, med beaktande av de befogenheter som förtecknas i

text: artikel 58.2 i dataskyddsförordningen

text: . Varje planerad åtgärd bör vara lämplig, nödvändig och proportionell för att säkerställa efterlevnad av denna förordning, med beaktande av omständigheterna i varje enskilt fall . I detta sammanhang bör det erinras om att beslutet att helt eller delvis avslå eller avvisa ett klagomål också utgör en planerad åtgärd som kan bli föremål för en relevant och motiverad invändning. Om EDPB, på grundval av en relevant och motiverad invändning, fastställer att den planerade åtgärden i utkastet till beslut inte är förenlig med dataskyddsförordningen ska EDPB ålägga den ansvariga tillsynsmyndigheten att ompröva den planerade åtgärden och ändra utkastet till beslut i enlighet med EDPB:s bindande beslut.

text: 5 RÄTTEN ATT BLI HÖRD

text: 5.1 Tillämplighet

text: 93. Rätten att bli hörd innan en förvaltning vidtar en åtgärd som skulle påverka en person negativt är fastställd i

text: artikel 41 i EU-stadgan

text: och har länge erkänts som en allmän princip i EU-rätten . Rätten att bli hörd finns också med i artikel 16 i den europeiska kodexen för god förvaltningssed, och återspeglas i artikel 11 i arbetsordningen.

text: Artikel 41 i EU-stadgan

text: är inte riktad till medlemsstaterna utan enbart till Europeiska unionens institutioner, organ och byråer . Rätten att bli hörd har dock också erkänts som ”en oskiljaktig del av rätten till försvar, som är en allmän princip i EU-rätten ”, och gäller därför även när medlemsstaterna antar beslut som faller inom EU-rättens tillämpningsområde .

text: 95. Rätten att bli hörd gäller administrativa förfaranden där utgången sannolikt kommer att påverka (den juridiska eller fysiska) personens intressen. Den gäller även i situationer där förvaltningen av EU-rätten är delad mellan EU och medlemsstaterna (så kallade sammansatta förfaranden ). Artikel 41.2 a i EUstadgan har en inramning i termer av enskilda åtgärder som skulle beröra en person negativt, utan något särskilt krav på att den bestridda åtgärden ska vara inledd mot den personen .

text: 96. I

text: artikel 65.2 i dataskyddsförordningen

text: föreskrivs att EDPB:s beslut ”ska vara motiverat och riktat till den ansvariga tillsynsmyndigheten och alla berörda tillsynsmyndigheter och ska vara bindande för dem”.

text: Artikel 65.2 i dataskyddsförordningen

text: återspeglar det faktum att EDPB:s bindande beslut syftar till att lösa en tvist som har uppstått mellan två eller flera nationella tillsynsmyndigheter. I enlighet med förfarandet i

text: artikel 60 i dataskyddsförordningen

text: kommer den ansvariga tillsynsmyndigheten att ha delat sin rättsliga analys i utkastet till beslut och med avseende på de invändningar som framförts under samarbetsförfarandet. De berörda tillsynsmyndigheterna kommer på samma sätt att ha delat med sig av sin/sina invändningar mot utkastet till beslut, däribland med eventuella underlag som underbygger deras invändningar. Dessutom kan både den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna dela med sig av sina synpunkter under utarbetandet och antagandet av EDPB:s beslut .

text: 97. I

text: artikel 65.2 i dataskyddsförordningen

text: bekräftas också att EDPB:s beslut inte riktar sig direkt till någon annan part än den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna. Det beslut som antas av EDPB på EU-nivå ska dock vara bindande för den ansvariga tillsynsmyndigheten eller, i förekommande fall, den berörda tillsynsmyndighet till vilken klagomålet har lämnats in, och är därför avgörande för utgången av förfarandet på nationell nivå. Det kan därför även påverka intressena hos personer som ingick i förfarandet som gav upphov till utkastet till beslut.

text: 98. Till följd av detta måste alla dessa personer som skulle påverkas negativt av beslutet, särskilt den eller de personuppgiftsansvariga och/eller den eller de personuppgiftsbiträden som behandlas i utkastet till den ansvariga tillsynsmyndighetens beslut, samt alla andra personer som skulle påverkas negativt av beslutet, ges rätt att bli hörda i den fråga som hänskjuts till EDPB i enlighet med artiklarna

text: och

text: 65.1 a

text: i dataskyddsförordningen.

text: 5.2 Mål

text: 99. Rätten att bli hörd beskrivs av domstolen som att ”var och en garanteras en möjlighet att på ett meningsfullt och effektivt sätt framföra sin ståndpunkt under det administrativa förfarandet och innan ett beslut fattas som kan påverka hans eller hennes intressen på ett ogynnsamt sätt” . Som EUdomstolen klargör är syftet med regeln att den person till vilken ett negativt beslut är riktat ska ges möjlighet att yttra sig innan beslutet fattas att bereda den behöriga myndigheten tillfälle att på ett meningsfullt sätt beakta samtliga relevanta uppgifter. För att säkerställa att den berörda personen faktiskt är skyddad är syftet med den regeln bland annat att personen ska kunna rätta till fel eller göra gällande uppgifter avseende sin personliga situation som ger stöd för att beslutet ska fattas, att det inte ska fattas eller att det ska ges ett visst innehåll .

text: 100. Även rätten att svara ingår i rätten att bli hörd, eftersom ett ”administrativt förfarande förutsätter att den berörda parten har möjlighet att [...] ta ställning till och uttala sig om relevansen av de faktiska omständigheterna och i förekommande fall de handlingar som gemenskapsinstitutionen har tillgång till” . Utom i de fall där det i lagstiftningen uttryckligen föreskrivs en möjlighet till muntligt hörande, t.ex. i konkurrensförfaranden, kräver rätten att bli hörd inte nödvändigtvis ett muntligt hörande .

text: 5.3 Tidpunkter 5.3.1 På nationell nivå och före hänskjutandet till EDPB

text: 101. Innan EDPB får i uppdrag att utfärda ett bindande beslut är varje tillsynsmyndighet skyldig att respektera rätten att bli hörd inom ramen för sitt nationella förfarande, som en allmän princip i EUrätten . Varje tillsynsmyndighet behöver också onekligen ”respektera varje persons rätt att bli hörd innan några enskilda åtgärder som påverkar honom eller henne negativt vidtas” . Rätten att bli hörd gäller oavsett om ärendet är gränsöverskridande till sin karaktär eller inte.

text: 102. Även när det inte finns några särskilda bestämmelser i nationell lagstiftning bör den ansvariga tillsynsmyndigheten, innan den åberopar

text: artikel 65.1 a i dataskyddsförordningen

text: , se till att det förfarande som genomförs på nationell nivå tar hänsyn till kraven på rätten att bli hörd som en allmän unionsrättslig princip.

text: 5.3.2 Under bedömningen av aktens fullständighet

text: 103. När den ansvariga tillsynsmyndigheten lägger fram ärendet för sekretariatet i syfte att erhålla ett bindande beslut från EDPB enligt

text: artikel 65.1 a i dataskyddsförordningen

text: , bör sekretariatet bedöma vilka personer som eventuellt skulle påverkas negativt av EDPB:s beslut i den mening som avses i

text: artikel 41 i stadgan

text: . Det bör också bedöma huruvida var och en av dessa personer erbjöds möjligheten att utöva sin rätt att bli hörd.

text: 104. Det räcker inte att den ansvariga tillsynsmyndigheten har hört de personer som kan påverkas negativt under det nationella förfarandet innan utkastet till beslut i den mening som avses i

text: artikel 60.3 i dataskyddsförordningen

text: antas. Innan EDPB kommer att kunna lösa tvisten måste rätten att bli hörd också ges i samband med eventuella invändningar mot utkastet till beslut, särskilt om den ansvariga tillsynsmyndigheten väljer att inte följa invändningen (eller anser att den inte är relevant och/eller motiverad).

text: 105. När den ansvariga tillsynsmyndigheten lägger fram ärendet för sekretariatet förväntas den påvisa personer som åtnjuter rätten att bli hörd har fått den rätten under det nationella förfarande som ledde fram till utkastet till beslut. När det gäller de handlingar som delades när ärendet lämnades in till sekretariatet bör den ansvariga tillsynsmyndigheten särskilt ange huruvida dessa handlingar (eller det relevanta innehållet i dem ) omfattades av rätten att bli hörd och med avseende på vilka personer . Även svar eller sammanfattningar av hörandena bör lämnas.

text: 106. Att tillgodose rätten att bli hörd är en väsentlig del av förfarandet, och utan det kan EDPB inte lösa sakfrågan i tvisten. Till följd av detta samlas den relevanta informationen in och kontrolleras i samband med kontrollen av att akten är fullständig, innan sakfrågan hänskjuts till EDPB. Först efter det att sekretariatet har gjort alla relevanta kontroller ska ordföranden kunna förklara akten fullständig .

text: 107. Om det finns relevanta handlingar eller information som inte har varit föremål för rätten att bli hörd kan ordföranden instruera sekretariatet att be tillsynsmyndigheterna (de ansvariga/berörda) att vidta nödvändiga åtgärder så att alla parter som kan påverkas kan bli hörda. Vid behov får ordföranden instruera sekretariatet att vidta åtgärder för att direkt säkerställa rätten att bli hörd på EDPB-nivå. I båda fallen ska de personer som skulle påverkas negativt uppmanas att utöva rätten att bli hörd om relevanta handlingar eller information inom en viss tidsram, med beaktande av sakfrågans komplexitet (och möjliga översättningsbehov).

text: 6 TILLGÅNG TILL AKTEN

text: 108. I rätten till god förvaltning ingår att var och en ska ha tillgång till de akter som berör honom eller henne, med förbehåll för berättigade intressen vad avser sekretess, tystnadsplikt och affärshemlighet .

text: 109. Tillgång till de handlingar och den information som ligger till grund för ett administrativt beslut har ett nära samband med rätten att bli hörd . I enlighet med denna princip gäller att ”när ett beslut påtagligt påverkar adressatens intressen ska denna beredas tillfälle att på ett ändamålsenligt sätt framföra sin ståndpunkt angående de omständigheter på vilka myndigheten avser att grunda sitt beslut” .

text: 110. Rätten till tillgång till EDPB:s ärendeakt som en del av rätten till god förvaltning skiljer sig från den allmänna rätten till tillgång till handlingar som finns hos EU:s institutioner, organ och byråer i enlighet 118 119 med förordning

text: (EG) nr 1049/2001

text: artikel 15.3 i EUF-fördraget

text: eller

text: artikel 42 i stadgan

text: . Rätten till tillgång till akten och rätten till tillgång till handlingar är underställda olika kriterier och undantag och tjänar olika syften.

text: 111. Rätten till tillgång till akten sträcker sig till de handlingar som delas med EDPB för att lösa tvisten i enlighet med förfarandet enligt

text: artikel 65.1 a

text: , utom när de inbegriper andra företags affärshemligheter och konfidentiell information, enligt EDPB:s bedömning från fall till fall.

text: 112. Rätten till tillgång till akten ska inte sträcka sig till konfidentiell information och EDPB:s eller tillsynsmyndigheternas interna handlingar (t.ex. e-postkorrespondens eller förberedande handlingar). Rätten till tillgång ska inte omfatta utbyten mellan EDPB och dess ledamöter när förfarandet väl har inletts .

text: 7 SKYLDIGHETEN ATT MOTIVERA

text: 113. Rätten till god förvaltning i

text: artikel 41 i EU-stadgan

text: omfattar även förvaltningens skyldighet att motivera sina beslut .

text: 114. Skyldigheten att motivera innebär att informera beslutets adressat om de faktiska och rättsliga grunder som det bygger på, så att personen kan bestämma sig för att söka rättslig prövning och domstolarna lättare kan utöva sådan kontroll .

text: 115. EDPB måste på ett tydligt och otvetydigt sätt redogöra för motiveringen bakom sitt beslut så att de berörda personerna kan förvissa sig om skälen till beslutet. EDPB behöver inte uppge samtliga rättsliga och faktiska motiv till sitt beslut, men man måste förklara dem som var av avgörande betydelse . På samma sätt måste inte heller EDPB inta en uttrycklig ståndpunkt om alla argument som framförts. Det räcker att i beslutet på ett tydligt och otvetydigt sätt fastställa de huvudsakliga rättsliga och faktiska aspekter som beslutet grundas på och som är nödvändiga för att kunna förstå det resonemang som motiverat EDPB:s beslut. Det som i slutändan spelar roll är att EDPB när man anger motiven gör det möjligt för alla personer som berörs av beslutet att förvissa sig om att de relevanta bestämmelserna har tillämpats korrekt.

text: 116. EDPB måste i sitt angivande av motiv fastställa samtliga relevanta grunder och motiv till att man antagit sitt beslut – inklusive dem som härrör från den nationella nivån. Detta innebär att så länge de fakta som fastställs i utkastet till beslut eller tillhörande handlingar är avgörande för EDPB:s beslut, bör EDPB också ta med dem i sitt angivande av motiv .

text: 117. När det gäller invändningar där EDPB helt enkelt instämmer i motiven i utkastet till den ansvariga tillsynsmyndighetens beslut eller den ansvariga tillsynsmyndighetens beslut att inte följa den relevanta och motiverade invändningen (eller att anse att de inte är relevanta eller motiverade), får EDPB fullgöra sin skyldighet att ange skäl genom att helt enkelt hänvisa tillbaka till den ansvariga tillsynsmyndighetens ståndpunkt, förutsatt att de berörda personerna informerades om dessa ståndpunkter från den ansvariga tillsynsmyndigheten och fick tillfälle att bli hörda om dessa ståndpunkter .

text: 118. Med tanke på ovanstående överväganden bör det bindande beslut som antagits av EDPB på grundval av

text: artikel 65.1 a i dataskyddsförordningen

text: i princip innehålla en sammanfattning av tvisten samt en bedömning av huruvida villkoren för att anta ett bindande beslut är uppfyllda. För varje invändning som görs kommer sedan EDPB i princip att • sammanfatta de huvuddrag i utkastet till beslut som gäller sakfrågan i invändningen, • sammanfatta huvuddragen i den invändning som gjorts, • sammanfatta den ansvariga tillsynsmyndighetens eller den berörda tillsynsmyndighetens ståndpunkt med avseende på den invändning som gjorts, och • sammanfatta ståndpunkterna från de personer som kan påverkas negativt med avseende på invändningen. Så snart de relevanta dragen har fastställts kommer EDPB för varje invändning som framförts att göra en bedömning av huruvida den uppfyller kraven i

text: artikel 4.24 i dataskyddsförordningen

text: och, om så är fallet, behandla invändningen i sak i det bindande beslutet .

text: 119. Beslutets operativa delar bör tydligt identifieras som sådana och inkluderas i slutet av beslutet, och där återge uttryckligen i hur hög grad den behöriga myndigheten måste eller inte måste ändra sitt utkast till beslut innan det slutförs.

text: 8 RÄTTSMEDEL

text: Artikel 47 i stadgan

text: garanterar rätten till ett effektivt rättsmedel och till en opartisk domstol. Detta är kopplat till behovet av att säkerställa att EU-institutionernas rättsakter är förenliga med EU:s rättsordning, vilket är en uppgift som i allmänhet anförtros EU-domstolen och domstolarna i EU.

text: 121. God förvaltningssed innebär att personer som påverkas av åtgärden informeras om den tillgängliga överklagandemekanismen . EDPB:s beslut kommer att hänvisa till möjligheterna att överklaga det (dvs. att söka ogiltigförklaring), medan den behöriga tillsynsmyndigheten kommer att hänvisa till de överklagandemekanismer som finns tillgängliga på nationell nivå. Den behöriga tillsynsmyndigheten kan i sitt slutliga beslut också välja att hänvisa till möjligheterna att ogiltigförklara det beslut från EDPB som ligger till grund för det slutliga beslutet, vilket klargörs i

text: skäl 143

text: i

text: dataskyddsförordningen

text: (utöver att tillhandahålla information om eventuella överklagandemekanismer på nationell nivå med avseende på dess slutliga beslut).

text: 122. I skäl 143 hänvisas till möjligheten för personer som direkt och individuellt berörs av ett beslut från EDPB att väcka ogiltighetstalan vid EU-domstolen, men EU-domstolen kommer i slutändan att bedöma ställningstagandet mot bakgrund av villkoren i

text: artikel 263 i EUF-fördraget

text: 123. En ogiltighetstalan vid domstolen upphäver inte verkningarna av EDPB:s beslut . De behöriga tillsynsmyndigheterna måste därför fortfarande följa EDPB:s beslut som antagits på grundval av

text: artikel 65.1 a i dataskyddsförordningen

text: , trots överklagandet. Detta påverkar inte den personuppgiftsansvariges eller personuppgiftsbiträdets rätt till ett effektivt rättsmedel på nationell nivå i enlighet med

text: artikel 78 i dataskyddsförordningen

text: 8.1 Tillsynsmyndigheter

text: 124. I

text: artikel 65.2 i dataskyddsförordningen

text: klargörs att beslut som antas av EDPB på grundval av

text: artikel 65.1 a i dataskyddsförordningen

text: är bindande för den ansvariga tillsynsmyndigheten och alla de berörda tillsynsmyndigheterna. De nationella tillsynsmyndigheterna måste anta sitt slutliga beslut på grundval av EDPB:s beslut.

text: Artikel 65.2

text: visar också tydligt att beslutet är en rättsakt som är ”riktat till” den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna – det riktar sig inte direkt till några tredje parter .

text: 125. Enligt skäl 143 till dataskyddsförordningen måste de berörda tillsynsmyndigheter som önskar överklaga sådana beslut, i sin egenskap av adressater för dem, i enlighet med artikel 263 i EUFfördraget väcka talan inom två månader efter det att beslutet meddelats dem. Detta innebär bl.a. att de tillsynsmyndigheter som väcker talan vid domstolen mot ett bindande beslut från EDPB skulle behöva göra detta på något av de angivna skäl till ogiltigförklaring som står i artikel 263 i EUFfördraget.

text: 126. Även om endast den ansvariga tillsynsmyndigheten och vissa berörda tillsynsmyndigheter (enligt artikel

text: och

text: i dataskyddsförordningen) ska anta sitt nationella beslut på grundval av EDPB:s bindande beslut, riktas beslutet till alla berörda tillsynsmyndigheter som är involverade i det gränsöverskridande fallet. I

text: artikel 65.2 i dataskyddsförordningen

text: nämns alla berörda tillsynsmyndigheter som mottagare av beslutet, och det slutliga nationella beslutet är resultatet av ett medbeslutandeförfarande som i hög grad påverkas av EDPB:s beslut. Följaktligen är alla tillsynsmyndigheter som berörs i ett visst gränsöverskridande fall (se

text: artikel 4.22 i dataskyddsförordningen

text: ) ”adressater” för beslutet och har därför rätt att väcka ogiltighetstalan mot EDPB:s beslut.

text: 127. Även om de berörda tillsynsmyndigheterna, i egenskap av ledamöter i EDPB, får kännedom om innehållet i EDPB:s bindande beslut när det antas i enlighet med

text: artikel 65.2 i dataskyddsförordningen

text: , kommer tidsfristen för dem att väcka talan att börja löpa när beslutet meddelas dem av EDPB:s sekretariat, som agerar på ordförandens vägnar och använder det interna informations- och kommunikationssystemet .

text: 8.2 Personuppgiftsansvarig, personuppgiftsbiträde, den enskilde eller annan enhet

text: 128. Andra enheter än adressaterna kan ha rätt att väcka talan vid domstolen för ogiltigförklaring av EDPB:s bindande beslut om beslutet direkt och personligen berör dem, på de villkor som anges i

text: artikel 263 i EUF-fördraget

text: 129. I skäl 143 nämns det uttryckligen att personuppgiftsansvariga, personuppgiftsbiträden eller enskilda kan vara direkt och personligen berörda av ett bindande beslut från EDPB. Dessa krav tolkas dock restriktivt av domstolen, och därför är det nödvändigt med en analys från fall till fall .

text: 130. Utan att det påverkar rätten inom ramen för

text: artikel 263 i EUF-fördraget

text: har varje fysisk eller juridisk person också rätt till ett effektivt rättsmedel vid den behöriga nationella domstolen mot de beslut av tillsynsmyndigheter som har rättsliga följder för denna person . Denna rätt måste utövas i enlighet med den tillämpliga nationella lagstiftningen. I

text: artikel 78.4 i dataskyddsförordningen

text: anges att om talan väcks mot ett beslut som fattats av en tillsynsmyndighet och som föregicks av ett yttrande från eller beslut av styrelsen inom ramen för mekanismen för enhetlighet ska tillsynsmyndigheten vidarebefordra detta yttrande eller beslut till domstolen.

text: 131. Om ett beslut av en tillsynsmyndighet som genomför EDPB:s beslut enligt

text: artikel 65 i dataskyddsförordningen

text: överklagas till en nationell domstol och giltigheten av EDPB:s beslut står på spel, har den nationella domstolen inte befogenhet att ogiltigförklara EDPB:s beslut enligt

text: artikel 65 i dataskyddsförordningen

text: . Om den anser att beslutet är ogiltigt ska den hänskjuta frågan om beslutets giltighet till domstolen i enlighet med

text: artikel 267 i EUF-fördraget

text: 132. En nationell domstol får dock inte hänskjuta en fråga om giltigheten av EDPB:s beslut när den fysiska eller juridiska person som begärde detta hade juridiska möjligheter att väcka ogiltighetstalan mot beslutet vid EU-domstolen (i synnerhet om personen direkt och personligen berördes av beslutet) men inte gjorde detta inom den period på två månader som anges i

text: artikel 263 i EUF-fördraget

text: . När de direkt och personligen berörda personerna beslutar att inte väcka ogiltighetstalan mot EDPB:s bindande beslut, kommer detta därför att hindra dem från att bestrida giltigheten av EDPB:s bindande beslut inför nationella domstolar.