Riktlinjer 02/2022 om tillämpningen av artikel 60 i den allmänna dataskyddsförordningen

SAMMANFATTNING

När den allmänna dataskyddsförordningen (dataskyddsförordningen) infördes, etablerades begreppet ”en enda kontaktpunkt” som en av de främsta nyheterna. I fall av gränsöverskridande behandling är det tillsynsmyndigheten i den medlemsstat där den personuppgiftsansvarige eller personuppgiftsbiträdet har sitt huvudsakliga verksamhetsställe (etableringsort) som är den myndighet som leder verkställandet av dataskyddsförordningen för respektive gränsöverskridande behandling, i samarbete med alla de myndigheter som kan beröras av den behandling det gäller, oavsett om det är genom den personuppgiftsansvariges eller personuppgiftsbiträdets verksamhetsställen på deras territorium eller genom klagomål mot behandlingen från deras invånare. Registrerade personer bör också enkelt kunna genomdriva sin rätt till skydd av personuppgifter, och bör kunna klaga hos en tillsynsmyndighet där de har sin hemvist. Denna tillsynsmyndighet ska också vara fortsatt kontaktpunkt för den enskilde (klagande) när handläggningsprocessen för klagomålet går vidare. För att uppfylla alla dessa krav regleras i artikel 60 i dataskyddsförordningen samarbetsförfarandet mellan den ansvariga tillsynsmyndigheten och andra berörda tillsynsmyndigheter. Dessa riktlinjer handlar om hur tillsynsmyndigheterna samverkar med varandra, med Europeiska dataskyddsstyrelsen och med tredje parter i enlighet med artikel 60 i dataskyddsförordningen. Syftet är att analysera samarbetsförfarandet och ge vägledning om hur bestämmelserna tillämpas konkret.

Allmänna överväganden

För att samarbetsförfarandet ska gå så smidigt som möjligt förutsätts att det finns en samsyn om termerna och de grundläggande begreppen. För det första fastställs i riktlinjerna

- att samarbetsförfarandet gäller för i princip samtliga fall av gränsöverskridande behandling, - att det främst är den ansvariga tillsynsmyndigheten som har ansvar för att hantera sådana ärenden, utan att ha befogenhet att i slutändan fatta beslut själv, - att samarbetsförfarandet inte påverkar tillsynsmyndigheternas oberoende, då de behåller sitt utrymme för skönsmässig bedömning inom ramen för samarbetet.

Det påminns om att nationella förfaranderegler inte kan få som konsekvens att samarbetet enligt dataskyddsförordningen begränsas eller hämmas.

Riktlinjernas struktur och innehåll

Dessa riktlinjer bygger på kraven i artikel 60, och här klargörs stycke för stycke de villkor som uppkommer genom själva förordningen och hur den genomförs praktiskt. Inom ramen för artikel 60.1 i dataskyddsförordningen fastställs att de principer som ska observeras under hela samarbetsförfarandet är ömsesidiga skyldigheter. Det betonas att även om det inte är någon skyldighet att tillsynsmyndigheterna ska uppnå samförstånd, är strävan att uppnå beslut i samförstånd ett övergripande mål som ska uppnås genom ömsesidigt och konsekvent utbyte av all relevant information. Detta informationsutbyte är obligatoriskt för alla berörda tillsynsmyndigheter, inklusive den ansvariga tillsynsmyndigheten. Innebörden av ”relevant” i detta sammanhang förklaras vidare genom exempel. När det gäller lämplig tidpunkt rekommenderas i dokumentet att den relevanta informationen delas proaktivt och så snabbt som möjligt. Slutligen erinras om möjligheten att använda informella kommunikationssätt för att nå samförstånd. I följande avsnitt om artikel 60.2 i dataskyddsförordningen behandlas situationen där den ansvariga tillsynsmyndigheten begär att den eller de berörda tillsynsmyndigheterna tillhandahåller ömsesidigt

bistånd enligt artikel 61 i dataskyddsförordningen och utför gemensamma insatser enligt artikel 62 i dataskyddsförordningen. I detta avsnitt ges även vägledning till hur dessa instrument specifikt fungerar inom ramen för ett pågående samarbetsförfarande. I dokumentet behandlas processen med att lämna in ett utkast till beslut enligt artikel 60.3 i dataskyddsförordningen. Det betonas att den ansvariga tillsynsmyndigheten måste agera proaktivt och så snabbt som möjligt och att de berörda tillsynsmyndigheterna måste kunna bidra till förfarandet i stort, även innan utkastet till beslut tagits fram (till exempel genom informationsutbyte). Dessutom måste den ansvariga tillsynsmyndigheten lägga fram ett utkast till beslut till de berörda tillsynsmyndigheterna i samtliga fall av gränsöverskridande behandling. I avsnitten om artikel 60.4–60.6 beskrivs de olika scenarierna som följer efter att den ansvariga tillsynsmyndigheten lagt fram ett utkast till beslut, och detta innebär ett konsekvent sätt att arbeta med förfarandet från att ett (reviderat) utkast till beslut läggs fram till att beslutet i avsaknad av relevanta och motiverade invändningar får en bindande verkan, alternativt att ärendet hänskjuts till tvistlösningsförfarandet. I riktlinjerna erkänns också den ansvariga tillsynsmyndighetens möjlighet att anta och på nytt skicka det utkast till beslut som lades fram enligt artikel 60.4 i dataskyddsförordningen innan fyraveckorsperioden löper ut, förutsatt att nya faktorer eller överväganden motiverar sådan anpassning och att dessas betydelse rättvist vägs mot samarbetsförfarandets ändamålsenlighet. Det specificeras dessutom att det kan finnas flera reviderade beslut, men bara i fall där det är sannolikt att samförstånd uppnås p.g.a. avsevärd överensstämmelse mellan den ansvariga tillsynsmyndigheten och andra berörda tillsynsmyndigheter. Detta följs av analysen av de olika scenarierna efter att (det reviderade) utkastet till beslut har blivit bindande för den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna. Det klargörs vilken tillsynsmyndighet som måste anta det slutliga nationella beslutet i enlighet med artikel 60.7– 60.9 i dataskyddsförordningen på grundval av utkast till beslut som blivit bindande, och vilken tillsynsmyndighet som måste meddela den personuppgiftsansvarige/personuppgiftsbiträdet eller den enskilde. Här behandlas också skillnaden mellan att meddela och informera/underrätta. Vidare behandlas i riktlinjerna den viktiga åtskillnaden mellan situationer som utgör ett avvisande/avslag av ett klagomål, med följden att den tillsynsmyndighet som mottog klagomålet antar det slutliga beslutet, och situationer där den ansvariga tillsynsmyndigheten agerar beträffande klagomålet riktat mot den personuppgiftsansvarige, med följden att den ansvariga tillsynsmyndigheten antar det slutliga beslutet. I detta sammanhang betonas det att villkor i EU-rätten där det inte uttryckligen hänvisas till medlemsstaternas rätt normalt måste ges en självständig och enhetlig tolkning. I följande avsnitt beskrivs den personuppgiftsansvariges eller personuppgiftsbiträdets plikt att se till att behandlingen på alla dess verksamhetsställen efterlever det slutliga beslutet (artikel 60.10 i dataskyddsförordningen). I det sista avsnittet behandlas de särskilda kraven när artikel 66 i dataskyddsförordningen (skyndsamt förfarande) tillämpas under ett pågående samarbetsförfarande (artikel 60.11 i dataskyddsförordningen). Slutligen finns som bilaga till riktlinjerna en snabbreferensguide, med avsikten att förtydliga det komplicerade förfarandet för de verksamma på tillsynsmyndigheterna och ge en snabb överblick över förfarandet.

Europeiska dataskyddsstyrelsen har antagit följande riktlinjer

med beaktande av artikel 70.1 e i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (dataskyddsförordningen), med beaktande av EES-avtalet, särskilt bilaga XI och protokoll 37, ändrat genom gemensamma EESkommitténs beslut nr 154/2018 av den 6 juli 2018 ,

med beaktande av artiklarna 12 och 22 i arbetsordningen.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

INLEDNING

1. Det förekommer allt fler nationella verkställighetsförfaranden angående gränsöverskridande behandlingar av uppgifter, och många blir lösta inom dataskyddsförordningens samarbetsmekanism. Det är artikel 57.1 g, f som utgör ramen för samarbetet i allmänhet, men systemet med en enda kontaktpunkt är fastställt enligt artikel 56 och 60 i dataskyddsförordningen . För just detta förfarande måste den ansvariga tillsynsmyndigheten samarbeta med de andra berörda tillsynsmyndigheterna i en strävan att nå samförstånd.

2. Det bör understrykas att modellen med en enda kontaktpunkt, som gör att tillsynsmyndigheterna i alla medlemsstater kan vara med i ett slags medbestämmandeförfarande, är ett nytt begrepp i dataskyddslagstiftningen som införts genom dataskyddsförordningen.

3. Dessa riktlinjer handlar om hur tillsynsmyndigheterna samverkar med varandra, med Europeiska dataskyddsstyrelsen och med tredje parter i enlighet med artikel 60. Syftet är att analysera och ge vägledning om hur bestämmelserna tillämpas konkret. Eftersom samarbetsförfarandet gäller behandlingsverksamheter berör resultatet av det per definition de aktörer som är inblandade i sådan behandling (registrerad, personuppgiftsansvarig, personuppgiftsbiträden osv.). Men eftersom den plikt att samarbeta som finns med i artikel 60 gäller tillsynsmyndigheter, är detta dokument inriktat på den ansvariga tillsynsmyndigheten och en eller flera andra berörda tillsynsmyndigheter och de skyldigheter de har.

4. I dessa riktlinjer ingår inte att behandla frågan om utnämning av den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna. Det förutsätts i dessa riktlinjer att detta redan har klargjorts och överenskommits i enlighet med artikel 56, då de inblandade tillsynsmyndigheterna i förfarandet enligt artikel 60 påförs särskilda behörigheter och åtgärder utifrån sina roller. Därför antas här att det redan har utbytts tillräcklig information för att fastställa de olika rollerna, vid den punkt då arbetet enligt artikel 60 i dataskyddsförordningen inleds.

5. I särskilda situationer kan det dock senare hända att tillsynsmyndigheternas behörigheter och roller förändras (t.ex. att det huvudsakliga verksamhetsstället flyttar, eller ett fall av gemensamt personuppgiftsansvar). Så fort tillsynsmyndigheterna får kännedom om någon omständighet som kan påverka behörigheten att handlägga ärendet under samarbetsfasen, bör därför den informationen genast delas mellan tillsynsmyndigheterna, för att identifiera den som nu förutsätts vara ansvarig tillsynsmyndighet och komma överens om rollfördelningen .

6. Så snart en överenskommelse nåtts bör förfarandet enligt artikel 60 kunna gå vidare i enlighet med detta. Om det inte går att nå samförstånd, ska ärendet hänskjutas till Europeiska dataskyddsstyrelsen (EDPB eller styrelsen) med hänvisning till artikel 65.1 b.

7. Varje gång det i dessa riktlinjer hänvisas till användning av ”EDPB:s informationssystem”, menas med denna hänvisning informationssystemet för den inre marknaden (”IMI”) i enlighet med Europaparlamentets och rådets förordning (EU) nr 1024/2012 av den 25 oktober 2012 om administrativt samarbete genom informationssystemet för den inre marknaden och om upphävande av kommissionens beslut 2008/49/EG (IMI-förordningen) . EDPB:s informationssystem ska användas i enlighet med artikel 60.12 för tillhandahållandet av all information som krävs enligt artikel 60. Dessutom bör tillsynsmyndigheterna använda alla kommunikationsformer, såsom e-post, telefon, videokonferens eller personligt möte, för att underlätta processen med att uppnå samförstånd.

ARTIKEL 60 INOM RAMEN FÖR SYSTEMET MED EN ENDA KONTAKTPUNKT

Samarbetsförfarandets tillämplighet

8. Samarbetsförfarandet mellan den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna enligt artikel 56.1 och artikel 60 har i grunden följande villkor: Behandlingen måste vara gränsöverskridande enligt artikel 4.23, vilket också innebär att den personuppgiftsansvarige eller personuppgiftsbiträdet måste ha ett huvudsakligt eller enda verksamhetsställe i EU. I artikel 4.23 föreskrivs två alternativa anknutna definitioner. Dels krävs det i artikel 4.23 a att den personuppgiftsansvarige eller personuppgiftsbiträdet har verksamhetsställen i fler än en medlemsstat, dels måste den aktuella behandlingen av personuppgifter äga rum inom ramen för verksamhet vid flera verksamhetsställen i EU. Enligt artikel 4.23 b kan effekterna på de registrerade personerna avgöra när gränsöverskridande behandling föreligger. Om behandlingen äger rum inom ramen för verksamhet vid ett enda verksamhetsställe tillhörande en personuppgiftsansvarig eller ett personuppgiftsbiträde inom EU, förutsätts att gränsöverskridande behandling föreligger om behandlingen väsentligt påverkar eller sannolikt väsentligt kommer att påverka registrerade i fler än en medlemsstat .

9. EDPB betonar att artiklarna 56 och 60 tillämpas på samarbetet mellan tillsynsmyndigheter i samtliga ärenden som baseras på gränsöverskridande behandling, utan hänsyn till ärendets ursprung (klagomål, utredning på eget initiativ osv.). Detta ska inte påverka tillämpningen av artiklarna 55 och 65.

10. Även om det bara är den sista meningen i artikel 60.7 samt punkterna 8 och 9 som nämner behandling av klagomål, är artikel 56.1 och artikel 60 centrala bestämmelser för samarbetsförfarandet, och som sådana hänvisar de till gränsöverskridande behandling i allmänhet. När det gäller samarbetsmekanismen nämns det också i artikel 60.3 att den ansvariga tillsynsmyndigheten ska meddela ”den relevanta informationen i ärendet”, dvs. ärendet eller frågan i allmänhet, så den är alltså inte alls begränsad till ärenden som grundas på klagomål. Termen ”ärende” innefattar till exempel förfaranden på eget initiativ och möjligheten enligt artikel 57.1 h att utföra en utredning t.ex. på grundval av information från en annan tillsynsmyndighet eller annan offentlig myndighet. Eftersom behandling av klagomål redan omfattas av artikel 57.1 f, måste inte denna information som lämnas i enlighet med artikel 57.1 h vara grundad på ett klagomål.

11. Dessutom stöds detta av ett systematiskt synsätt när det gäller möjliga sanktioner eller rättsmedel i enlighet med artikel 58.2, som gäller för alla typer av behandling och inte bara klagomål. Exempel 1: Källor som härrör från medier eller från visselblåsare och som tillhandahålls av en berörd tillsynsmyndighet kan också ge upphov till ett förfarande enligt artikel 60, om de är specifika och bestyrkta, dvs. fakta presenteras på ett konkret och fullständigt sätt. Att bara vidarebefordra en tidningsartikel utan mer detaljerad information, t.ex. en inledande bedömning från den berörda tillsynsmyndigheten, utgör emellertid som regel inte tillräckligt bevis på en personuppgiftsincident och skulle därför inte ses som tillräckligt bestyrkt för att medföra tillsynsåtgärder. Å andra sidan behöver det inte tillhandahållas säkra bevis för att inleda ett artikel 60-förfarande, eftersom förfarandet i sig har som syfte att fastställa om det föreligger en överträdelse eller inte. Den ansvariga tillsynsmyndigheten har dock omfattande utrymme för att skönsmässigt avgöra om den ska inleda en utredning på eget initiativ på grundval av information den fått om potentiella överträdelser från andra berörda tillsynsmyndigheter eller källor.

12. Att förfarandet är tillämpligt i alla gränsöverskridande fall är också en följd av samarbetsmekanismens syfte; den inrättades ”i syfte att främja en enhetlig tillämpning av dataskyddsreglerna, genom […] en konsekvent tolkning” och för att säkerställa effektiv tillsyn och verkställighet i hela unionen. Att begränsa den till klagomålsbaserade ärenden skulle gå emot det syftet.

13. För ärenden med endast lokal påverkan föreskrivs i artikel 56.2 och 56.3 att den berörda tillsynsmyndigheten, som mottog klagomålet eller uppmärksammades på en möjlig överträdelse, ska vara behörig om den ansvariga tillsynsmyndigheten beslutar att inte behandla ärendet. Artikel 60 gäller inte i dessa fall. Det är bara när den ansvariga tillsynsmyndigheten beslutar att behandla ärendet som artikel 60 är tillämplig enligt artikel 56.4.

Ansvarig tillsynsmyndighet/berörd tillsynsmyndighet som involverade aktörer

14. Artikel 56.1 innehåller en juridisk definition av den behöriga ansvariga tillsynsmyndigheten; den definitionen ska läsas tillsammans med artikel 60, där den ansvariga tillsynsmyndighetens väsentliga uppgifter och befogenheter i artikel 60-förfarandet fastställs . Den ansvariga tillsynsmyndigheten definieras som tillsynsmyndigheten för den personuppgiftsansvariges eller personuppgiftsbiträdets huvudsakliga verksamhetsställe (etableringsort) eller enda verksamhetsställe i unionen, och denna är behörig för den gränsöverskridande behandling som utförs av denne personuppgiftsansvarige eller detta personuppgiftsbiträde. Den är också den enda motparten för denne personuppgiftsansvarige eller detta personuppgiftsbiträde enligt artikel 56.6.

15. Den relevanta utgångspunkten för att fastställa ansvarig tillsynsmyndighet är vilken specifik gränsöverskridande behandling av uppgifter som ”utförs” av respektive personuppgiftsansvarig eller personuppgiftsbiträde .

16. Det klargörs i WP244 att en ansvarig tillsynsmyndighet är ”den myndighet som har det främsta ansvaret för att handlägga ärenden som rör gränsöverskridande behandling”. Med andra ord har den ansvariga tillsynsmyndigheten behörighet för den gränsöverskridande behandling som utförs av en viss personuppgiftsansvarig eller ett visst personuppgiftsbiträde, och är då den enda motparten för denne personuppgiftsansvarige eller detta personuppgiftsbiträde i respektive medlemsstat enligt artikel 56.6. Inom ramen för det samarbetsförfarande som beskrivs i artikel 60, och i enlighet med artikel 56.1, tar sig den behörigheten uttryck i en ”ledande funktion”, dvs. en styrande roll i att gå vidare med ärendet, organisera samarbetsförfarandet i syfte att involvera de andra berörda tillsynsmyndigheterna, samordna utredningar, samla bevis osv., samt ansvar för att lämna in ett utkast till beslut som görs till föremål för yttranden eller invändningar från de andra berörda tillsynsmyndigheterna .

17. EDPB anser emellertid att den ansvariga tillsynsmyndigheten inte har exklusiv behörighet när det gäller samarbetsprocessen, dvs. att det i dataskyddsförordningen föreskrivs ett gemensamt ansvar för att övervaka och verkställa tillämpningen av dataskyddsförordningen på ett konsekvent sätt, så att den ansvariga tillsynsmyndighetens ståndpunkt görs till föremål för de andra berörda tillsynsmyndigheternas uppfattningar och resultatet bör vara ett beslut som tas i samförstånd. Detta görs tydligt genom unionslagstiftarens beslut att ihållande meningsskiljaktigheter mellan berörda tillsynsmyndigheter måste lösas av EDPB enligt artikel 65.1 a.

18. Enligt artikel 4.22 menas med en berörd tillsynsmyndighet en tillsynsmyndighet som berörs av behandlingen av personuppgifter på grund av att (a) den personuppgiftsansvarige eller personuppgiftsbiträdet är etablerad på tillsynsmyndighetens medlemsstats territorium , (b) registrerade som är bosatta i den tillsynsmyndighetens medlemsstat i väsentlig grad påverkas eller sannolikt i väsentlig grad kommer att påverkas av behandlingen, eller (c) ett klagomål har lämnats in till denna tillsynsmyndighet.

19. EDPB anser att dessa krav är i grunden tydliga och enkla att fastställa, så att det i princip inte behöver observeras några särskilda krav här. När det gäller faktor a borde det i allmänhet vara lätt att avgöra om det finns ett verksamhetsställe. Samma gäller för c och frågan huruvida en viss tillsynsmyndighet har mottagit ett klagomål. Noteras ska att enligt led b den registrerade bara behöver vara bosatt i medlemsstaten i fråga; han eller hon behöver inte vara medborgare i den staten .

20. I tveksamma fall verkar det lämpligt med tanke på de juridiska följderna att varje myndighet i grunden behöver bestyrka resonemanget bakom att den är berörd.

21. Termen ”påverkad i väsentlig grad” har definierats ytterligare i WP244 genom att det där anges faktorer (exempelvis användning av ett visst språk, användning av en viss valuta, tillgången till en tjänst i den berörda medlemsstaten, konkret adress via den personuppgiftsansvarige eller personuppgiftsbiträdet osv.) som varje myndighet ska ta hänsyn till när den bedömer om den är berörd.

22. När en tillsynsmyndighet som förut inte varit berörd vid något tillfälle blir berörd under ett pågående artikel 60-förfarande (till exempel genom att få in ett klagomål), kan den räkna med följande grundläggande förfarande:  Den berörda tillsynsmyndigheten bör omedelbart meddela den ansvariga tillsynsmyndigheten om sin status och begära att bli inkluderad i förfarandet med en enda kontaktpunkt.  Den ansvariga tillsynsmyndigheten bör se till att involvera denna nya berörda tillsynsmyndighet, särskilt i respektive ärenderegister, och bör informera den nya berörda tillsynsmyndigheten om att den är inkluderad i beslutsförfarandet. Om den ansvariga tillsynsmyndigheten får kännedom om att en ännu inte involverad myndighet är eller har blivit en berörd tillsynsmyndighet, bör den informera den om denna statusändring .

23. Att involvera en nyligen berörd tillsynsmyndighet i ett pågående samarbetsförfarande bör vara möjligt när som helst under ärendet, men får inte ha någon inverkan på förfarandet i artikel 60. Alla de tidsfrister och förfaranden som föreskrivs i artikel 60 förblir därför oförändrade, dvs. så snart den ansvariga tillsynsmyndigheten har lämnat in sitt utkast till beslut gäller exempelvis tidsfristen i artikel 60.4 oavsett om en ny berörd tillsynsmyndighet ansluter sig till förfarandet under mellantiden.

24. Av denna anledning kan den berörda tillsynsmyndigheten överväga om dess eget ärende fortfarande kan behandlas ändamålsenligt inom det pågående samarbetsförfarandet eller om den hellre borde inleda ett nytt förfarande, till exempel eftersom det nuvarande inte omfattar (vissa) frågor som är centrala i den berörda tillsynsmyndighetens ärende.

Tillsynsmyndigheters oberoende inom samarbetsförfarandet

25. Inom samarbetsförfarandet agerar både den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna i enlighet med artikel 52.1.

26. Emellertid har EU-domstolen betonat att tillsynsmyndigheternas oberoende infördes för att ge bättre skydd till de berörda registrerade personerna och inte för att ge tillsynsmyndigheterna själva en särskild ställning . Oberoende ska därför uppfattas som ett absolut skydd mot all yttre påverkan. I detta sammanhang utgör dock tillsynsmyndigheterna en enhet inom ramen för ett europeiskt administrativt nätverk, där de är ansvariga för att säkerställa att dataskyddsförordningen tillämpas konsekvent i hela unionen.

27. Att det i den bestämmelse där tillsynsmyndigheterna inrättas (artikel 51.2) hänvisas till samarbetsförfarandet, visar att samarbetsmekanismen är viktig för att en enhetlig tillsyn ska fungera och för en ändamålsenlig skyddsstandard genom att dataskyddsförordningen tillämpas enhetligt inom unionen.

28. I detta avseende understryker EDPB att alla steg inom samarbetsförfarandet är förenliga med det juridiskt föreskrivna oberoende som ges till tillsynsmyndigheter i enlighet med primärrätten och artikel 52, då sådant oberoende är från yttre påverkan enligt vad som klargörs ovan och inte står i samband med den allmänna skyldighet att samarbeta som fastställs som en övergripande plikt i artikel 60.

29. Det bör noteras att tillsynsmyndigheter, som nationella förvaltande myndigheter, åtnjuter en viss grad av skönsmässig bedömning enligt inhemsk lagstiftning när det gäller att med all tillbörlig aktsamhet besluta vilka åtgärder som bäst kan åstadkomma det allmänintresse de tjänar (se artikel 51.1). Detta utrymme för skönsmässig bedömning måste användas i linje med bestämmelserna i dataskyddsförordningen och i enlighet med de lämpliga rättssäkerhetsgarantier som fastställs i unionsrätten och medlemsstaternas rätt, opartiskt, rättvist och inom rimlig tid.

30. Tillsynsmyndigheter som agerar som oberoende förvaltande myndigheter, fria från yttre intressenters påverkan, kan alltså inte ha obegränsad skönsmässig bedömning, särskilt inte gentemot EU-rätten, då de (både den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna) måste agera samarbetsvilligt och är redovisningsskyldiga för sina beslut (eller uteblivna beslut) i ett visst ärende.

Konsekvenserna av nationella förfaranderegler

31. Eftersom dataskyddsförordningen inte reglerar alla detaljer i samarbetet, måste de uppgifter och befogenheter som anförtros tillsynsmyndigheterna i artikel 57 och artikel 58 uppfyllas genom att man bygger på nationell förfarandelagstiftning.

32. Det är vanligt att EU:s rättsinstrument innehåller förfarandebestämmelser (såsom de artiklar i dataskyddsförordningen där vissa befogenheter tilldelas till tillsynsmyndigheter), men så länge det inte finns specifika förfaranderegler i EU-rätten gäller den nationella förfarandelagstiftningen. I dessa fall gäller i allmänhet principen om nationell processuell autonomi, som är en allmän princip i EU-rätten. Denna allmänna princip är, vilket beskrivs omfattande i EU-domstolens rättspraxis, begränsad av EU:s principer om likvärdighet och ändamålsenlighet . Enligt de principerna får inte de tillämpliga nationella reglerna behandla ett bestämt EU-ärende mer ogynnsamt än rent nationella ärenden (likvärdighet). Dessutom får inte tillämpningen av nationella bestämmelser avsevärt komplicera eller göra det praktiskt omöjligt att förverkliga syftet med EU:s rättsliga standarder (ändamålsenlighet).

33. Men eftersom det finns sådana olika nationella administrativa regler, kan tillämpningen av dem leda till skillnader och (delvis) vara orsaken till att tillsynsmyndigheter behandlar ärenden på olika sätt och utreder dem annorlunda. Dessa skillnader i nationell (förfarande)lagstiftning får inte leda till situationer där principerna om likvärdighet och ändamålsenlighet undergrävs.

34. Om det inte är möjligt att förena EU-rätten och de nationella kraven på detta sätt, dvs. om den nationella bestämmelsen motsäger EU-rätten, ska de nationella regler som motsäger EU-rätten i princip inte tillämpas .

35. Angående samarbetsmekanismen betonar EDPB därför att nationell (förfarande)lagstiftning som påverkar på så sätt att den avsevärt komplicerar eller gör det praktiskt omöjligt att förverkliga (”significantly complicating or making it practically impossible to realise”) ett ändamålsenligt samarbete inte är förenligt med dataskyddsförordningen och måste sammanjämkas med kravet på enhetlig tillämpning av gemenskapsrätten för att undvika ojämlik behandling (”must be reconciled with the requirement of uniform application of Community law so as do avoid unequal treatment”) (domstolens dom i målet C-290/91, punkt 8, inte översatt till svenska). Eftersom detta är en skyldighet som åläggs samtliga medlemsstater, blir följden om ovanstående sammanjämkning visar sig omöjlig att en myndighet bör överväga att inte tillämpa sådan nationell rätt.

ARTIKEL 60.1 – ÖMSESIDIG SKYLDIGHET

Allmänt

36. I artikel 60.1 föreskrivs en allmän plikt att samarbeta, som samtliga involverade tillsynsmyndigheter är lika bundna av. I formuleringen klargörs genom ordet ”ska” att skyldigheten att samarbeta inte är godtycklig utan en rättslig skyldighet.

37. I artikel 60.1 fastställs grundläggande och övergripande principer, som gäller i hela samarbetet mellan tillsynsmyndigheterna. Enligt formuleringen i denna artikel utgörs de centrala koncepten i samarbetsförfarandet av ”en strävan att uppnå samförstånd” och skyldigheten att ”utbyta all relevant information med varandra”.

38. EDPB påpekar uttryckligen att dessa skyldigheter ska uppfyllas av den ansvariga tillsynsmyndigheten och alla andra berörda tillsynsmyndigheter (ömsesidig skyldighet).

Strävan att uppnå samförstånd

39. ”Strävan att uppnå samförstånd” ska uppfattas som ett rättsligt mål , som inte medför någon juridisk skyldighet att uppnå samförstånd i ett enskilt fall. Dock har detta rättsliga mål ett avgörande inflytande på alla berörda tillsynsmyndigheters samtliga åtgärder under hela samarbetsprocessen, dvs. det stakar ut riktningen för samarbetande åtgärder på ett sådant sätt att tillsynsmyndigheterna gör sitt yttersta och en ”seriös beslutsam insats” för att uppnå samförstånd.

40. Det samarbetsförfarande som utförs i en ”strävan att uppnå samförstånd” medför av nödvändighet ett ömsesidigt utbyte av åsikter och handlingar om ämnet. Detta ömsesidiga utbyte är avsett att säkerställa att alla omständigheter som är relevanta för ärendet har tagits i beaktande och därmed också kan bidra till att förebygga tvister .

41. Att åtgärder i samförstånd bör vara regeln märks ytterligare på bestämmelserna i artikel 60.11 och artikel 66.1 om att en berörd tillsynsmyndighet ”under exceptionella omständigheter” respektive ”med avvikelse från […] det förfarande som avses i artikel 60”, kan vidta brådskande åtgärder .

42. Betydelsen av detta mål bekräftas av jämförelsen mellan den aktuella texten och kommissionens ursprungliga förslag till dataskyddsförordning från 2012, där ”samförstånd” inte nämndes och det bara emotsågs att den ansvariga tillsynsmyndigheten skulle ha exklusiv behörighet i gränsöverskridande ärenden. Den nuvarande texten återspeglar ett annat arbetssätt godkänt av EU-lagstiftaren, där tonvikten ligger på tillsynsmyndigheternas obligatoriska samarbete, som antas vara rättvist och konstruktivt . I sina insatser för att uppnå samförstånd bör tillsynsmyndigheterna använda alla tänkbara verktyg, däribland ömsesidiga utbyten av relevant information, där man ger varandra möjlighet att uttrycka sina synpunkter på den information som utväxlas och ta hänsyn till andra berörda tillsynsmyndigheters ståndpunkter .

43. Följaktligen tar sig detta uttryck i att den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna får en ömsesidig skyldighet att välja de samarbetsmetoder som är bäst lämpade för att uppnå samförstånd enligt beskrivningen.

Skyldigheten att utbyta all relevant information

Ett viktigt och ytterligare prioriterat inslag i samarbetsförfarandet är det obligatoriska (”ska”) utbytet av ”all relevant information” mellan de involverade tillsynsmyndigheterna; detta gäller under hela samarbetsförfarandet.

44. Utbytet av relevant information är en ömsesidig skyldighet som är nödvändig för att den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna ändamålsenligt ska kunna sköta sina uppgifter, till exempel när de avgör om det har skett en överträdelse av dataskyddsförordningen .

45. Det ömsesidiga utbytet av information är särskilt viktigt om inga gemensamma åtgärder (artiklarna 60.2, 62) planeras av den ansvariga tillsynsmyndigheten och inga begäranden om ömsesidigt bistånd (artiklarna 60.2, 61) används för att gemensamt samla in relevant information. Utan dessa ytterligare förfaranden, som naturligtvis kräver ytterligare engagemang och samordning, måste den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna använda sig av det ömsesidiga informationsutbytet i enlighet med artikel 60.1 andra meningen.

3.3.1 Termen ”relevant information”

46. Vilken information som ska ses som ”relevant” beror på omständigheterna i varje enskilt fall. I princip bör all information som direkt eller indirekt syftar till att slutföra förfarandet klassas som relevant. Hit hör tillräcklig information om de fakta och rättsliga frågor som är specifika för ärendet. Information som redan är känd eller offentligt tillgänglig behöver inte nödvändigtvis delas.

47. Utbytet av information är därför inget självändamål, utan är till för alla involverade tillsynsmyndigheter så att de kan hantera ärendet och ordentligt fullgöra sin uppgift som tillsynsmyndigheter. För det praktiska genomförandet är det därför obligatoriskt att alla involverade parter agerar på lämpligt sätt, dvs. proportionerligt och i god samarbetsanda. Därför bör frågan i varje fall i grunden vara vilken information varje tillsynsmyndighet av nödvändighet skulle behöva själv för att behandla ärendet.

48. När det gäller en ansvarig tillsynsmyndighet syftar detta på all relevant information som samlas in vid kontakten med den personuppgiftsansvarige eller personuppgiftsbiträdet – den ansvariga tillsynsmyndigheten är då ”den enda motparten” till den personuppgiftsansvarige (resultat från utredningar, rapporter, utbyten med den personuppgiftsansvarige, dokumentation från möten, ytterligare bevis osv.).

49. Om informationen är särskilt innehållsrik och omfattande bör den ansvariga tillsynsmyndigheten hitta sätt att få fram sammanfattningar, utdrag och rapporter för att bestyrka de argument som läggs fram i utkastet till beslut.

50. När det gäller en annan berörd tillsynsmyndighet bör detta omsättas i en skyldighet att proaktivt lämna ut, både till den ansvariga tillsynsmyndigheten och till de andra berörda tillsynsmyndigheterna, all relevant information om ärendet (klagomål, anmälan av personuppgiftsincident osv.) som tillsynsmyndigheten förfogar över och som är användbar för att bedöma den juridiska och faktiska situationen i ärendet. Det kan innefatta alla eventuella inlagor, argument, korrespondens med registrerade eller eventuella konstateranden som görs av den berörda tillsynsmyndigheten under till exempel granskningsfasen, eller nationella inspektioner som lett till att en möjlig överträdelse upptäckts på den personuppgiftsansvariges nationella verksamhetsställe i ett gränsöverskridande sammanhang. Exempelvis kan följande information utbytas mellan tillsynsmyndigheterna: - Information som har konsekvenser för omfördelningen av den ansvariga tillsynsmyndighetens behörigheter och fördelningen av roller/kvalifikationer för berörda tillsynsmyndigheter (t.ex. ändring av personuppgiftsansvarig eller huvudsakligt verksamhetsställe osv.). - Korrespondens med personuppgiftsansvarig/registrerade angående ett klagomål eller en utredning. - Möten med personuppgiftsansvariga eller personuppgiftsbiträden: agenda, omfattning och uppgift, sammanträdesprotokoll/utvärdering av resultatet från mötet, avsedda uppföljningsåtgärder. - Protokoll från förhandlingar och förnyade förhandlingar – även angående enskilda frågor i ärendet. - Frågeformulär skickade till den personuppgiftsansvarige/personuppgiftsbiträdet. - Möjligt första utkast till rapport om utredningen/inspektionen. - Möjliga sakkunnigutlåtanden (juridiska, tekniska) även från utomstående leverantörer. - Avsedd omfattning för en utredning/inspektionsrapport/protokoll från utredningar. - Vittnesmål och annan rättslig bevisning, andra relevanta indikationer, erfarenhet av den personuppgiftsansvarige eller personuppgiftsbiträdet eller uppgiftsbehandlingen, administrativ praxis. - Information som behövs för att sätta rätt fokus: För en utredning i ett väldigt tekniskt ämne är det till exempel sannolikt att information om de tekniska aspekterna är mycket relevant, men ej i andra fall. - Observera: Exemplen ovan är inte uttömmande. Vilken information som tillsynsmyndigheterna bedömer är relevant information beror på omständigheterna i det enskilda fallet. För utbyte av sådan information bör EDPB:s informationssystem användas.

51. När det gäller principen om uppgiftsminimering i artikel 5.1 c bör det bedömas från fall till fall om det är nödvändigt att meddela personuppgifter. Personuppgifter bör endast delas om det är nödvändigt för att hantera ett specifikt problem.

52. Den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna kan flagga viss information som (högst) konfidentiell, särskilt när detta tycks nödvändigt för att uppfylla krav på konfidentialitet i nationella lagar. I ett sådant fall bör tillsynsmyndigheterna omedelbart informera varandra och gemensamt hitta juridiska möjligheter till en lösning mot bakgrunden att konfidentialitetsbestämmelser vanligen gäller utomstående tredje parter och inte berörda tillsynsmyndigheter. I detta avseende bör ingen mottagen information som omfattas av nationella sekretessregler offentliggöras eller lämnas ut till tredje parter utan att man först om möjligt haft samråd med myndigheten som informationen härrör från.

53. När det gäller begäranden om allmänhetens tillgång bör tillsynsmyndigheterna, utan att det påverkar nationella regelverk om transparens, rådgöra med varandra innan de beviljar eller avslår tillgång till handlingar som utbyttes under samarbetsförfarandet.

3.3.2 Tidpunkter för informationsutbytet

54. I artikel 60.1 anges ingen särskild tidslinje, då det är fråga om en allmän skyldighet oavsett vilka tidpunkter det gäller. För att ändamålsenligt verkställa dataskyddsförordningen i hela EU krävs det emellertid att alla berörda tillsynsmyndigheter får all relevant information i god tid, dvs. så snart som rimligen är möjligt. Därför anser EDPB att den ömsesidiga skyldigheten att utbyta all relevant information är nödvändig att tillämpa redan innan den ansvariga tillsynsmyndigheten lägger fram ett utkast till beslut.

55. För att göra det lättare att uppnå samförstånd bör informationen delas vid ett tillfälle då det fortfarande är möjligt för den ansvariga tillsynsmyndigheten att ta till sig synpunkterna från de andra berörda tillsynsmyndigheterna. Detta bör gälla för varje skede i förfarandena, och det bör framför allt förhindra att de andra berörda tillsynsmyndigheterna ställs inför fullbordat faktum då till exempel vissa skeden i förfarandena kan bli uteslutna enligt nationell rätt.

56. På så sätt ger artikel 60 ”utrymme för eftertanke” för både den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna, genom att det blir lättare att nå samförstånd genom ”informella” utbyten av ”all relevant information” utan strikta tidsfrister innan de ”formella” stegen inleds. Ju mer omfattande information de medverkade tillsynsmyndigheterna utbyter, och i ju lägligare tid, desto mer sannolikt blir det att samförstånd uppnås så tidigt som möjligt.

57. EDPB rekommenderar därför som minimistandard att den ansvariga tillsynsmyndigheten vidtar alla mått och steg för att med de andra berörda tillsynsmyndigheterna proaktivt dela vad dess utkast till beslut omfattar och huvudslutsatserna i det innan det lämnas in formellt. I och med detta kan de andra berörda tillsynsmyndigheterna forma sina egna åsikter i detta avseende och i god tid förvarna den ansvariga tillsynsmyndigheten om möjliga frågor. Denna kan besluta att ta upp frågorna innan utkastet till beslut utfärdas formellt, och alltså också innan man utlöser det mycket strikta förfarande som avses i artikel 60.4 och 60.5 för att göra invändningar mot utkastet till beslut.

58. Det bör trots allt hållas i åtanke att samarbetsmekanismen är avsedd att vara stödjande och bidra till att dataskyddet verkställs ändamålsenligt inom EU. Tillsynsmyndigheterna kommer att behöva utarbeta bästa praxis genom att kontinuerligt samla praktisk erfarenhet, och då vara flexibla när de väljer de optimala samarbetssätten.

ARTIKEL 60.2 – ÖMSESIDIGT BISTÅND OCH GEMENSAMMA INSATSER

Allmänt

59. I artikel 60.2 behandlas särskilda former av samarbete mellan den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna genom det samarbetsförfarande som artikel 60 föreskriver, dvs. inom ramen för mekanismen med en enda kontaktpunkt.

60. Artikel 60.2 går längre än den plikt att utbyta all relevant information som anges i artikel 60.1, och föreskriver ett särskilt slags samarbete som den ansvariga tillsynsmyndigheten kan eftersträva om det är nödvändigt i ett konkret fall: antingen att begära att den eller de berörda tillsynsmyndigheterna ger ömsesidigt bistånd, eller begära att de genomför en gemensam insats som leds av den ansvariga tillsynsmyndigheten.

61. Att artiklarna 61 och 62 tillämpas i uppdraget i artikel 60.2 medför att bestämmelserna i dessa artiklar ska läsas tillsammans med artikel 60 och att de därför måste justeras efter ett samarbetsförfarandes exakta kontext och efter den fördelning av roller som föreskrivs i mekanismen med en enda kontaktpunkt och i synnerhet i artikel 60.2.

62. Genom att huvudsyftena med ett sådant samarbete förklaras, dvs. att utföra utredningar eller att övervaka genomförandet av an åtgärd som gäller en personuppgiftsansvarig eller ett personuppgiftsbiträde i en annan medlemsstat, betonas i artikel 60.2 två faser i samarbetsförfarandet där dessa samarbetsverktyg är tillämpliga: För det första under utredningsfasen innan det slutliga beslutet antas. För det andra under genomförandefasen, efter att det slutliga beslutet antagits och meddelats till den personuppgiftsansvarige eller personuppgiftsbiträdet.

Krav i artikel 60.2 4.2.1 Den ansvariga tillsynsmyndigheten får begära

63. Genom att den ansvariga tillsynsmyndigheten nämns, gör denna bestämmelse att den åtgärd som ska vidtas hamnar inom mekanismen med en enda kontaktpunkt, samtidigt som den placeras i ett specifikt ärende som behandlas, sedan ansvarig tillsynsmyndighet har fastställts. Det bör sedan betonas att möjligheten att tillgripa ömsesidigt bistånd eller gemensamma utredningar i enlighet med artikel 60.2 är begränsad till det samarbetsförfarande som gäller det specifika pågående gränsöverskridande ärendet.

64. Mot bakgrund av att den ansvariga tillsynsmyndigheten har en viss grad av skönsmässigt bedömningsutrymme att utföra utredningen eller följa upp de åtgärder som vidtas av den personuppgiftsansvarige eller personuppgiftsbiträdet för att efterleva dess beslut, ger formuleringen ”får begära” myndigheten befogenhet att ta initiativet, men bara om den bedömer att det är nödvändigt eller lämpligt för det aktuella ärendet. Det är upp till den ansvariga tillsynsmyndigheten att avgöra om den ska begära ömsesidigt bistånd eller genomföra en gemensam insats, enligt artiklarna 61 respektive 62, då dataskyddsförordningen inte medför någon skyldighet för den ansvariga tillsynsmyndigheten att använda sådana möjligheter.

65. Artikel 60.2 omfattar endast begäranden från den ansvariga tillsynsmyndigheten, och inte begäranden från den berörda tillsynsmyndigheten riktade till den ansvariga inom ramen för samarbetsförfarandet i artikel 60, i och med att sådana redan avses i artikel 60.1 under ”utbytet av relevant information”.

4.2.2 Termen ”när som helst”

66. Detta innebär att den ansvariga tillsynsmyndigheten kan skicka begäranden om ömsesidigt bistånd eller om en gemensam insats, varje gång den anser den åtgärden motiverad för att fullt ut utöva sin behörighet genom det samarbetsförfarande som föreskrivs för artikel 60.

67. Inom samma samarbetsförfarande som gäller ett visst ärende kan också den ansvariga tillsynsmyndigheten mycket riktigt skicka olika begäranden, angående ömsesidigt bistånd eller en gemensam insats eller både-och. Den ansvariga tillsynsmyndigheten bör emellertid ha i åtanke att sådana begäranden bör vara nödvändiga och lämpliga för utredningen och beslutsfattandeprocessen eller för att övervaka att den personuppgiftsansvarige eller personuppgiftsbiträdet genomför den ansvariga tillsynsmyndighetens beslut.

4.2.3 De andra berörda tillsynsmyndigheterna som adressater

68. Enligt artikel 60.2 är adressaterna till begärandena från den ansvariga tillsynsmyndigheten i allmänhet de andra berörda tillsynsmyndigheterna, som aktivt har uttryckt att de är berörda i det specifika samarbetsförfarandet . I händelse av begäranden om ömsesidigt bistånd enligt artikel 61 medför inte detta att samtliga berörda tillsynsmyndigheter automatiskt är adressater till begärandena eller måste involveras i den aktuella åtgärden. Detta beror i stället på den ansvariga tillsynsmyndighetens bedömning av vem som ligger bäst till för att bidra till det pågående ärendet. När den ansvariga tillsynsmyndigheten avser att utföra gemensamma insatser har å andra sidan alla de relevanta berörda tillsynsmyndigheterna rätt att delta i enlighet med artikel 62.2 .

69. I den sista fasen i samarbetsförfarandet, som föreskrivs i artikel 60.10 som handlar om att följa upp att den personuppgiftsansvarige eller personuppgiftsbiträdet efterlever den ansvariga tillsynsmyndighetens beslut, kan den ansvariga tillsynsmyndigheten åter igen bestämma, utifrån de särskilda omständigheterna i det aktuella ärendet, vilka berörda tillsynsmyndigheter som ska involveras i insatser avsedda att kontrollera beslutets genomförande på plats. Den skickar då begärandena om bistånd därefter (till exempel till de berörda tillsynsmyndigheterna i de medlemsstater där den personuppgiftsansvarige eller personuppgiftsbiträdet har verksamhetsställen).

Begäranden om ömsesidigt stöd

70. I instrumentet för ömsesidigt stöd ingår ett antal olika möjligheter för tillsynsmyndigheter att samarbeta med varandra, för att genomföra och tillämpa dataskyddsförordningen på ett konsekvent sätt och med hänsyn till att personuppgiftsansvarigas och personuppgiftsbiträdens verksamhetsställen samt registrerade personer kan vara geografiskt utspridda. Vilken specifik typ av bistånd som krävs beror dock på de särskilda omständigheterna i ärendet, även med tanke på att den ansvariga tillsynsmyndigheten är den personuppgiftsansvariges eller personuppgiftsbiträdets enda motpart i just det fall av gränsöverskridande behandling som hanteras.

71. I ett gränsöverskridande ärende inom artikel 60-förfarandet kan den ansvariga tillsynsmyndigheten skicka den eller de berörda tillsynsmyndigheterna en begäran om vilken typ av ömsesidigt bistånd som helst som anses vara till hjälp för att ta ett beslut i just det ärendet.

72. Under utredningsfasen finns det åtskilliga situationer då den ansvariga tillsynsmyndigheten kan behöva begära ömsesidigt bistånd från andra berörda tillsynsmyndigheter. Den vanligaste kan vara att be om bistånd från den berörda tillsynsmyndigheten där klagomålet lämnades in (till exempel att söka ytterligare information som den enskilde ska tillhandahålla), eller att få vissa fakta kontrollerade eller bevis inhämtade på organisationens verksamhetsställe i den medlemsstaten. I sådana situationer är det bara en berörd tillsynsmyndighet som blir involverad.

73. Den ansvariga tillsynsmyndigheten kan dock behöva begära att de berörda tillsynsmyndigheterna lämnar information eller utför en utredning på vissa särskilda verksamhetsställen tillhörande den personuppgiftsansvarige eller personuppgiftsbiträdet i någon medlemsstat, beroende på under vilka förhållanden uppgifterna behandlas eller hur ansvarsområdena är uppdelade mellan verksamhetsställena. Under sådana förhållanden ska den ansvariga tillsynsmyndigheten adressera sin begäran till den eller de relevanta berörda tillsynsmyndigheterna.

74. I slutet av artikel 60-förfarandet, efter att den personuppgiftsansvarige eller personuppgiftsbiträdet enligt artikel 60.10 har meddelat den ansvariga tillsynsmyndigheten om de åtgärder som vidtagits för att följa myndighetens slutliga beslut, kan den ansvariga tillsynsmyndigheten, när den ger information om detta till de andra berörda tillsynsmyndigheterna, fortfarande begära att de ger ömsesidigt bistånd genom att kontrollera om – och hur – den personuppgiftsansvariges eller personuppgiftsbiträdets verksamhetsställe i respektive medlemsstat genomfört beslutet.

75. De begäranden om ömsesidigt bistånd som skickas enligt artikel 60.2 bör följa de allmänna reglerna i artikel 61 angående å ena sidan syftena och skälen bakom den ansvariga tillsynsmyndighetens begäran, och å andra sidan den eller de berörda tillsynsmyndigheternas möjliga svar.

76. I enlighet med artikel 61.2 ska de berörda tillsynsmyndigheterna, när de får en begäran från den ansvariga tillsynsmyndigheten, vidta lämpliga åtgärder för att svara ”utan onödigt dröjsmål”, och under alla omständigheter ”inte senare än en månad efter det att den tagit emot begäran”.

77. Principen att i viss mån prioritera artikel 60-förfarandet finns redan med i artikel 60.3, där termen ”utan dröjsmål” används, och även i de strikta tidsfrister som föreskrivs i punkterna 4 och 5. Termen ”onödigt dröjsmål”, som används i artikel 61, betonar också att tillsynsmyndigheten behöver agera skyndsamt, även om de olika åtgärder som omfattas av begärandena om ömsesidigt bistånd kan innebära olika tidslinjer för att helt kunna uppfylla en begäran. I vilket fall som helst ska de berörda tillsynsmyndigheterna informera den ansvariga tillsynsmyndigheten senast en månad efter att ha mottagit begäran, ”om resultatet eller, allt efter omständigheterna, om hur de åtgärder som vidtagits för att tillmötesgå begäran fortskrider”, enligt artikel 61.2 i samband med artikel 61.5.

Upprättande av gemensamma insatser

78. I enlighet med artikel 60.2 kan den ansvariga tillsynsmyndigheten genomföra gemensamma insatser enligt artikel 60: i synnerhet genomföra utredningar eller övervaka genomförandet av en åtgärd som gäller en personuppgiftsansvarig eller ett personuppgiftsbiträde som är etablerad i en annan medlemsstat.

79. Inom ramen för sin ledande roll i artikel 60-förfarandet kan därför den ansvariga tillsynsmyndigheten, varje gång den anser att det pågående ärendet har nytta av en gemensam utredning eller gemensamma verkställighetsåtgärder, upprätta en gemensam insats genom att begära att de berörda tillsynsmyndigheterna engagerar sig i en sådan insats, även om en berörd tillsynsmyndighet inte är skyldig att svara positivt.

80. En gemensam insats kan ledas av den ansvariga tillsynsmyndigheten i dess medlemsstat, eller ordnas av den ansvariga tillsynsmyndigheten som en gemensam utredningsåtgärd mellan de berörda tillsynsmyndigheterna som ska sättas in i flera medlemsstater där den personuppgiftsansvarige eller personuppgiftsbiträdet har verksamheter, för att göra kontroller på plats som behövs för resultatet av samarbetsförfarandet. En gemensam insats kan även utlösas av den ansvariga tillsmyndigheten som en gemensam verkställighetsåtgärd mellan de relevanta berörda tillsynsmyndigheterna för att på samma gång övervaka genomförandet av den ansvariga tillsynsmyndighetens beslut på varje verksamhetsställe tillhörande den personuppgiftsansvarige eller personuppgiftsbiträdet som beslutet är bindande för.

ARTIKEL 60.3 – INFORMATION FRÅN DEN ANSVARIGA TILLSYNSMYNDIGHETEN OCH KRAV PÅ UTKAST TILL BESLUT

81. I artikel 60.3 beskrivs beslutsfattandeprocessen, som är ett centralt steg i samarbetsförfarandet mellan den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna. Syftet med denna fas är att snabbt komma fram till ett beslut i samförstånd om resultatet av ärendet.

82. Artikel 60.3 handlar om den ansvariga tillsynsmyndighetens plikter, och där fastställs tre viktiga skyldigheter:  Att utan dröjsmål meddela de berörda tillsynsmyndigheterna den relevanta informationen i ärendet.  Att utan dröjsmål lägga fram ett utkast till beslut för de andra berörda tillsynsmyndigheterna så att de kan avge ett yttrande.  Att ta vederbörlig hänsyn till de berörda tillsynsmyndigheternas synpunkter. Dessa skyldigheter ska betraktas i linje med det samförståndsgrundade arbetssätt som fastställs i artikel 60.1.

Artikel 60.3 första meningen: Den ansvariga tillsynsmyndighetens skyldighet att dela information utan dröjsmål 5.1.1 Termen ”utan dröjsmål”

83. Termen ”utan dröjsmål” används i båda meningarna i artikel 60.3. Den första meningen innehåller den ansvariga tillsynsmyndighetens skyldighet att utan dröjsmål meddela de andra berörda tillsynsmyndigheterna den relevanta informationen i ärendet, medan den andra meningen beskriver att myndigheten utan ,dröjsmål måste lägga fram ett utkast till beslut för de berörda tillsynsmyndigheterna.

84. Även om termen ”utan dröjsmål” används på olika ställen i dataskyddsförordningen, är den inte vidare definierad i artikel 4.

85. Eftersom artikel 60.3 är en rättslig bestämmelse enligt unionsrätten, måste termen ”utan dröjsmål” tolkas oberoende av nationell rätt för att säkerställa att dataskyddsförordningen tillämpas enhetligt.

86. Termen ”utan dröjsmål” var föremål för domstolens dom av den 18 november 1999 i målet C-151/98 P, skäl 25, mot bakgrund av förordning (EEG) nr 2377/90. EU-domstolen fann att förstainstansrätten rätteligen konstaterat att det i artikel 8.3 b inte på ett exakt sätt föreskrivs inom vilken frist kommissionen ska lämna rådet ett förslag på vilka åtgärder som ska vidtas, utan att gemenskapens lagstiftare tvärtom genom att använda uttrycket ”utan dröjsmål” har givit kommissionen ett visst handlingsutrymme, samtidigt som den uppmanar kommissionen att handla under iakttagande av skyndsamhet.

87. I enlighet med EU-domstolens dom anser därför EDPB att termen ”utan dröjsmål” inom ramen för artikel 60.3 första meningen är en skyldighet att agera snabbt .

88. Att lagstiftaren har satt in termen ”utan dröjsmål” i detta sammanhang tyder på att den har sett ett behov av åtgärder för att påskynda informationsflödet i samband med utkastet till beslut. Trots detta går det på grund av de många olika typerna av ärende inte att bestämma någon särskild tidsfrist i detta avseende. Därför anser EDPB att termen ”utan dröjsmål” inte innebär att informationen måste lämnas bokstavligt genast eller inom en viss tidsram, utan inom en granskningsperiod som ska mätas efter omständigheterna i det enskilda ärendet. Sammanfattningsvis innebär detta att den ansvariga tillsynsmyndigheten måste agera proaktivt och så fort som möjligt, efter vad som är lämpligt för ärendet. Detta gäller naturligtvis även för de andra berörda tillsynsmyndigheternas respons på begäranden från den ansvariga tillsynsmyndigheten.

89. För att underlätta de andra berörda tillsynsmyndigheternas planering av hur de ska bidra till utkastet till beslut, bör den ansvariga tillsynsmyndigheten överväga hur man kan understödja de andra berörda tillsynsmyndigheternas schemaläggning. Detta kan exempelvis när så är lämpligt göras genom att man skapar en indikativ tidtabell. Exempel 2: Före utredningen delar den ansvariga tillsynsmyndigheten proaktivt och snabbt en tidtabell över de steg den avser att vidta. Efter att utredningen är slutförd skickar sedan den ansvariga tillsynsmyndigheten i god tid en sammanfattning av utredningsresultaten till de berörda tillsynsmyndigheterna i form av en notering, med en kort, rimlig tidsfrist för kommentarer inom ramen för ett ”informellt samråd” i EDPB:s informationssystem. Efter detta delar myndigheten den relevanta information som inhämtats och uppdaterar tidtabellen, och lägger då till ett datum då den avser att dela ett preliminärt utkast till beslut, när den vill ha in kommentarer från de berörda tillsynsmyndigheterna om detta preliminära utkast och under vilka perioder den tänker samråda med de berörda parterna.

90. Som bästa praxis kan den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna komma överens om att skyldigheten att utbyta relevant information ”utan dröjsmål” är uppfylld om det sker ett proaktivt, snabbt och omfattande utbyte av all relevant information, så att de berörda tillsynsmyndigheterna kan granska, bedöma och bemöta den i tillräckligt god tid.

5.1.2 Termen ”relevant information”

91. När det gäller begreppet relevant information kan det hänvisas till anmärkningarna under avsnitt 3.3.

92. I artikel 60.3 första meningen fastställs att den ansvariga tillsynsmyndigheten har en informationsskyldighet gentemot de berörda tillsynsmyndigheterna, till skillnad från artikel 60.1 andra meningen, där det föreskrivs ett ömsesidigt informationsutbyte mellan den ansvariga tillsynsmyndigheten och andra berörda tillsynsmyndigheter. Den ansvariga tillsynsmyndighetens förmedling av relevant information enligt artikel 60.3 första meningen i samband med artikel 60.1 andra meningen har i slutändan att göra med inlämningen av inkastet till beslut. Relevant information som bara är tillgänglig för den ansvariga tillsynsmyndigheten bör överföras till de andra berörda tillsynsmyndigheterna via EDPB:s informationssystem.

93. Grundidén med samarbetsförfarandet är att beslut i samförstånd uppnås och att ärendet löses genom samarbetsinriktad samverkan mellan den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna. Därför är de andra berörda tillsynsmyndigheternas inblandning i samarbetsförfarandet inte begränsad till rätten att uttrycka en relevant och motiverad invändning enligt artikel 60.4. I synnerhet innan utkastet till beslut har tagits fram bör de berörda tillsynsmyndigheterna kunna bidra till hela förfarandet och uttrycka sina synpunkter.

94. För den sakens skull bör den ansvariga tillsynsmyndigheten i allmänhet eftersträva att utbyta preliminära resultat innan den lägger fram utkastet till beslut, särskilt när man kan förvänta sig skilda uppfattningar eller när de andra berörda tillsynsmyndigheterna kan behöva viss tid för att sätta sig in i ämnet. På så vis kan den ansvariga tillsynsmyndigheten bli informerad om de andra berörda tillsynsmyndigheternas synpunkter, så att den kan ta vederbörlig hänsyn till dem redan medan utkastet till beslut görs i ordning. Exempel 3: Efter en preliminär utredning av ett klagomålsbaserat ärende, som tyder på att affärspartner kan använda personuppgifter ytterligare för andra ändamål, delar den ansvariga tillsynsmyndigheten på ett tidigt stadium denna upptäckt med de andra berörda tillsynsmyndigheterna för att nå en överenskommelse om huruvida man ska gå vidare uteslutande inom klagomålets område eller utöka utredningen till denna sekundära uppgiftsbehandling. Exempel 4: Efter avslutad undersökning lämnar den ansvariga tillsynsmyndigheten l en sammanfattning av huvudresultaten till de andra berörda tillsynsmyndigheterna och anger då också, om så är lämpligt i ärendet, vilka nyckelfrågor som de ska överväga för att börja bygga en gemensam grund för bedömningen av sakfrågan. Denna förväntade samverkan mellan den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna har visat sig nödvändig för att från början uppdaga skilda uppfattningar och följaktligen så mycket som möjligt främja den konvergens som behövs. Exempel 5: I ett senare skede, närmare inpå att utkastet till beslut läggs fram, får alla medverkande tillsynsmyndigheter en översikt av omständigheterna och även en bedömning av de potentiella överträdelser som påträffats under utredningsfasen. I dessa preliminära resultat och i den vidare bedömningen ingår bestämmelser som eventuellt har överträtts och åtgärder som tillsynsmyndigheterna planerar att vidta enligt artikel 58.2 och 83.2.

95. Som beskrivs ovan och i exemplen bör det vara allmän praxis att utbyta kontroversiella eller avvikande juridiska uppfattningar, och även att utbyta åsikter om kompletterande åtgärder som vidtas eller inte och/eller faktorer som tillhandahålls eller inte. På så sätt kan man förebygga att diskussionen om olika tolkningar av dataskyddsförordningen och beslutet om dem övergår till tvistlösningsförfarandet.

96. När den ansvariga tillsynsmyndigheten däremot beslutar att inleda en utredning på eget initiativ och inte på grundval av faktorer som de andra berörda tillsynsmyndigheterna vidarebefordrar, gör den detta inom ramen för sin egen skönsmässiga bedömning, och de andra berörda tillsynsmyndigheternas uppfattningar kan då därför inte göra att den ansvariga tillsynsmyndigheten tvingas ändra omfattning på sin utredning .

Artikel 60.3 andra meningen: den ansvariga tillsynsmyndighetens skyldighet att utfärda ett ”utkast till beslut” 5.2.1 Rättslig skyldighet att lägga fram ett utkast till beslut

97. I artikel 60.3 andra meningen fastställs att den ansvariga tillsynsmyndigheten är skyldig att lägga fram ett utkast till beslut för de andra berörda tillsynsmyndigheterna. Detta syns på användningen av formen ”ska” i kombination med verbet ”lägga fram”, vilket innebär en regel som ska följas i samtliga fall där artikel 60 är tillämplig.

98. Att lägga fram ett utkast till beslut enligt artikel 60.3 andra meningen är en skyldighet som gäller den ansvariga tillsynsmyndigheten i samband med alla förfaranden med en enda kontaktpunkt. Den ansvariga tillsynsmyndighetens behörighet är grundad i artikel 56.1, som ska ses som lex specialis varje gång det uppstår problem med avseende på gränsöverskridande behandlingar. Den ansvariga tillsynsmyndighetens behörighet enligt artikel 56.1 utövas i sådana fall ”i enlighet med det förfarande som föreskrivs i artikel 60”; den ansvariga tillsynsmyndighet som agerar inom ramen för en enda kontaktpunkt är därför bunden av bestämmelserna i artikel 60, däribland artikel 60.3 andra meningen.

99. Följaktligen måste den ansvariga tillsynsmyndigheten lägga fram ett utkast till beslut för de andra berörda tillsynsmyndigheterna i samtliga fall, även när ett klagomål dras tillbaka av den enskilde efter att artikel 60-förfarandet har inletts eller om inget avgörande (slutligt) beslut utfärdas enligt nationell rätt.

100. I dessa fall fungerar utkastet till beslut även som slutlig samordning mellan alla tillsynsmyndigheter som medverkar i förfarandet med en enda kontaktpunkt, inklusive de rättsliga skyldigheter som föreskrivs i artikel 60.4 ff. I klagomålsbaserade ärenden utgör utkastet till beslut också grund för de berörda tillsynsmyndigheternas beslut i enlighet med artikel 60.8 och 60.9. Exempel 6: Efter att ett klagomålsbaserat förfarande med en enda kontaktpunkt har inletts, avhjälper den personuppgiftsansvarige skyndsamt överträdelsen efter att ha kontaktats av den ansvariga tillsynsmyndigheten. Mot bakgrund av ärendet och den personuppgiftsansvariges beteende drar den ansvariga tillsynsmyndigheten slutsatsen att ärendet kan avslutas. Den ansvariga tillsynsmyndigheten utfärdar ett utkast till beslut om sin avsikt att avsluta ärendet, med noggrann motivering till sin handling, och de återstående steg som föreskrivs i artikel 60-förfarandet följs.

101. Som förklaras i avsnitt 3.2 ovan, och som EDPB påminner om i riktlinjerna 09/2020 om relevanta och motiverade invändningar, bör alla delaktiga tillsynsmyndigheter ”fokusera på att avhjälpa eventuella brister i förfarandet för att nå samstämmighet så att det leder fram till ett gemensamt utkast till beslut”. Den ansvariga tillsynsmyndigheten ska lägga fram utkastet till beslut för de andra berörda tillsynsmyndigheterna ”så att de kan avge ett yttrande”, dvs. syftet är att rådfråga de andra berörda tillsynsmyndigheterna om bestyrkandet av utkastet till beslut (se även hänvisningen i artikel 60.4 om att den ansvariga tillsynsmyndigheten måste ”rådfråga” ”i enlighet med punkt 3 i den här artikeln”). Det samråd som inlämningen av utkastet till beslut är kopplat till bör därför, åter igen, ses mot bakgrund av det mål om samförstånd som ligger till grund för hela artikel 60-mekanismen (se avsnitt 5.2.4 om att ”ta vederbörlig hänsyn till deras synpunkter”).

102. Som bästa praxis rekommenderar EDPB att den ansvariga tillsynsmyndigheten informerar de andra berörda tillsynsmyndigheterna i förväg om sin avsikt att lägga fram ett utkast till beslut. Detta kan vara enligt en preliminär tidsplan som den ansvariga tillsynsmyndigheten lämnat som en del av den relevanta informationen (enligt artikel 60.1), i synnerhet för ärenden där ett stort antal berörda tillsynsmyndigheter är involverade och/eller som väcker känsliga frågor. Att känna till i förväg vad som är på gång är i vilket fall som helst till hjälp för de berörda tillsynsmyndigheterna med att organisera sin bedömning av utkastet till beslut och fullt ut utnyttja tidsfristen på fyra veckor i artikel 60.4.

103. Angående delen ”lägga fram” i skyldigheten rekommenderar EDPB att framläggandet i fråga endast bör äga rum genom EDPB:s informationssystem, så att det inte råder någon osäkerhet om datumet för framläggandet, som är startpunkten för fyraveckorsperioden som nämns i artikel 60.4, och att alla berörda tillsynsmyndigheter kan ta emot utkastet till beslut samtidigt. Genom denna metod tryggas säkerheten och konfidentialiteten vid framläggandet, och den är också nödvändig med tanke på möjliga invändningar mot utkastet och meningsskiljaktigheter mellan den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna som utlöser förfarandet i artikel 65.1 a . Att använda EDPB:s informationssystem tycks vara den lämpligaste kanalen för att säkerställa en tydlig tidsstämpel för framläggandet av utkastet till beslut, även i enlighet med artikel 60.12.

104. När det gäller innehållet i inlämningen bör utkastet till beslut i princip vara sådant att det innehåller alla de faktorer som krävs för att de berörda tillsynsmyndigheterna ska kunna bedöma det (se avsnitt 6.2.2). I synnerhet för ärenden som leder till att det antas en korrigerande åtgärd, och som inbegriper att en stor mängd relevant information utbyts för att förstå motiveringen och analysen som leder fram till utkastet till beslut, bör dessutom den ”relevanta informationen” för utkastet ha utbytts innan utkastet läggs fram, mot bakgrund av målet om samförstånd som ligger till grund för hela samarbetsförfarandet. I andra och enklare ärenden, när utkastet till beslut förklarar sig självt och mycket lite eller ingen information behöver utbytas, kan den relevanta informationen delas tillsammans med utkastet till beslut. Skyldigheten för den ansvariga tillsynsmyndigheten enligt artikel 60.3 andra meningen är alltså i princip bara att lägga fram utkastet som sådant.

105. EDPB påminner dessutom om att den ansvariga tillsynsmyndigheten, när så är tillämpligt enligt nationell rätt, bör se till att det utkast till beslut den lägger fram är fullt förenligt med de nationella rättsliga bestämmelserna om de aktuella parternas rätt att bli hörda (i synnerhet den personuppgiftsansvarige/personuppgiftsbiträdet saken gäller och den enskilde, om ett klagomål måste avvisas eller avslås enligt gällande nationella lagar). Den ansvariga tillsynsmyndigheten behöver därför inte lämna in, tillsammans med eller samtidigt som utkastet till beslut, sådana handlingar som kan vara nödvändiga som bevis på efterlevnad av rätten att bli hörd, men den bör redovisa i själva utkastet för de steg som tagits för att säkerställa sådan efterlevnad.

5.2.2 Termen ”utkast till beslut”

106. Att lägga fram ett utkast till beslut anses vara ett av de viktigaste inslagen i samarbetsmekanismen, då det utgör å ena sidan det avgörande och slutliga tillfället till ömsesidigt samråd om kvarvarande meningsskiljaktigheter, och å andra sidan det enda tillfället för de andra berörda tillsynsmyndigheterna att uttrycka relevanta och motiverade invändningar.

107. I själva dataskyddsförordningen definieras inte konceptet utkast till beslut. Med tanke på samarbetsförfarandets mening och syfte bör det utvecklas gemensamma miniminormer för företeelsen utkast till beslut på EU-nivå, så att alla involverade tillsynsmyndigheter kan delta ordentligt i beslutsfattandeprocessen.

108. Enligt artikel 288.1 i EUF-fördraget är ett beslut en åtgärd för att utöva [unionens] befogenheter. I detta sammanhang används i dataskyddsförordningen termerna ”uppgifter” (artikel 57) och ”befogenheter” (artikel 58) för att fastställa dataskyddsmyndigheternas behörigheter.

109. När det gäller juridiskt bindande åtgärder som tillsynsmyndigheterna har befogenhet att vidta, finns en beskrivning av de formella kraven i skäl 129:  Skriftlig form.  Klar och entydig formulering.  Information om vilken tillsynsmyndighet som har utfärdat åtgärden .  Datum för utfärdandet av beslutet.  Undertecknande av behörig personal på tillsynsmyndigheten.  Motivering ingår.  Hänvisning till rätten till ett effektivt rättsmedel.

110. Dessa formella aspekter är i linje med EU-domstolens rättspraxis om EU-organens beslut i enlighet 35 36 med artikel 288.1 i EUF-fördraget samt med stadgan om de grundläggande rättigheterna . Även om dessa bestämmelser förväntas reglera EU-organen, ger de vägledning och kan göra det möjligt att dra slutsatser om formen för och innehållet i ett utkast till beslut, då de respektive behörigheterna åläggs tillsynsmyndigheterna genom unionsrätten.

111. De föregående villkoren leder till tolkningen att varje beslut som syftar till juridiska konsekvenser behöver innefatta en beskrivning av relevanta fakta, en sund motivering och en korrekt rättslig bedömning. Dessa krav har som sitt väsentliga syfte rättssäkerhet och rättsligt skydd för de berörda parterna. Tillämpat på området tillsyn av dataskydd innebär det att den personuppgiftsansvarige, personuppgiftsbiträdet och den enskilde bör kunna bekräfta alla skälen för att besluta om de ska väcka talan . Med beaktande av beslutsfattandeprocessen inom samarbetsmekanismen bör de berörda tillsynsmyndigheterna på samma sätt vara i stånd att besluta om att eventuellt vidta åtgärder (till exempel godkänna beslutet, lämna sina åsikter i sakfrågan).

112. Enligt artikel 60.3 andra meningen tillfogas termen ”beslut” orden ”utkast till”. Ett utkast betecknar vanligen ett dokument som inte är slutligt. Det är en tidigare version av dokumentet, som fortfarande behöver ett ytterligare steg för att slutföras. Förutom detta slutliga steg innehåller ett utkast samtliga beståndsdelar i det slutliga dokumentet, men kan bli föremål för vidare diskussion eller justeringar. Som följd av sådana diskussioner kan utkastet antingen bli godkänt av granskarna eller ändras enligt deras anmärkningar. Detta överensstämmer med formuleringen i dataskyddsförordningen, där det står att utkastet till beslut ska läggas fram till de andra berörda tillsynsmyndigheterna ”så att de kan avge ett yttrande”.

113. För att fullgöra sina plikter som berörda tillsynsmyndigheter inom ramen för ett samarbetsförfarande, är det nödvändigt att de andra berörda tillsynsmyndigheterna kan bedöma ärendet utifrån omfattande dokumentation. De andra berörda tillsynsmyndigheterna behöver vara i stånd att fullt ut förstå ärendet, den ansvariga tillsynsmyndighetens slutsatser och motiveringarna som lett till dessa slutsatser. Exempel 7: För att kunna förstå hur lämplig en sanktionsavgift är, måste de andra berörda tillsynsmyndigheterna känna till beloppet för den föreslagna sanktionsavgiften och de särskilda omständigheterna för bedömningen. I samband med ett beslut som uppfyller de ovan nämnda miniminormerna förklaras detta regelbundet på ett omfattande sätt.

114. Med hänsyn till vad som konstaterats ovan är ett utkast till beslut ett provisoriskt förslag i samma form som ett slutligt beslut skulle vara. Den enda skillnaden mellan ett utkast till beslut och ett slutligt beslut, förutom de förfarandemässiga övervägandena, är att steget med (det slutliga) samrådet med de andra berörda tillsynsmyndigheterna inte har utförts och att utkastet till beslut ännu inte är externt bindande. Om inga relevanta och motiverade invändningar enligt artikel 60.4 och 60.5 uttrycks, blir utkastet till beslut juridiskt bindande för alla tillsynsmyndigheter (jfr. artikel 60.6) .

115. Med tanke på de nämnda konstitutionella kraven för ett rättsligt beslut i unionsrättens mening, och mot bakgrund av samarbetsförfarandets mening och syfte, tycks det nödvändigt att utkastet till beslut i den mening som avses i artikel 60.3 andra meningen sett till form och innehåll motsvarar det beslut som den behöriga tillsynsmyndigheten ska anta i det specifika fallet. Här anser EDPB att begreppet ”utkast” syftar enbart på den provisoriska karaktär som blir följden av det obligatoriska kravet på involvering i artikel 60.3 andra meningen.

116. I ärenden där klagomål dras tillbaka efter att artikel 60-förfarandet har inletts, eller där det inte utfärdas något avgörande (slutligt) beslut enligt nationell rätt, bör utkastet till beslut ändras efter vad som är lämpligt i ärendet, i syfte att tillhandahålla slutsatser i enlighet med punkt 113. Detta innebär att utkastet till beslut i alla händelser måste innehålla den ansvariga tillsynsmyndighetens avsikt att avsluta ärendet och tillräcklig lämplig motivering för ärendet, så att de andra berörda tillsynsmyndigheterna som minst kan försvara ärendet inom sina jurisdiktioner.

117. EDPB påpekar vidare att de befintliga informationsskyldigheterna enligt samarbetsförfarandet inte påverkar formen på och innehållet i utkastet till beslut. Det är avgörande att kontinuerlig öppenhet råder i alla skeden av förfarandet, men det påverkar inte det faktum att själva utkastet behöver innehålla en korrekt beskrivning av ärendet och den rättsliga bedömningen.

118. I det samarbetssystem som lagstiftaren utformat föreslås att de behöriga tillsynsmyndigheterna på ett tidigt stadium bör eftersträva samförstånd i alla relevanta frågor angående respektive fall, genom ständigt utbyte av information. EDPB vill därför framhålla att alla delaktiga tillsynsmyndigheter bör fokusera på att avhjälpa eventuella brister i förfarandet för att nå samförstånd, så att det leder fram till ett gemensamt utkast till beslut.

119. Dessa förklaringar tillämpas utan att det påverkar eventuella ytterligare krav på beslut som kan uppkomma genom respektive nationell rätt.

5.2.3 Termen ”utan dröjsmål” med avseende på framläggandet av utkastet till beslut

120. Enligt artikel 60.3 andra meningen ska den ansvariga tillsynsmyndigheten lägga fram utkastet till beslut för de andra berörda tillsynsmyndigheterna ”utan dröjsmål”. Genom att i god tid lägga fram utkastet dämpas också riskerna vad gäller skyddet för de registrerades grundläggande rättigheter och friheter, eftersom korrigerande åtgärder som vidtas i god tid av tillsynsmyndigheter förebygger fortsatta överträdelser.

121. När det gäller den rättsliga kvalificeringen av termen ”utan dröjsmål”, gäller den analys som utfördes i avsnitt 5.1.1. Därför måste den ansvariga tillsynsmyndigheten skyndsamt börja skapa utkastet till beslut så det kan läggas fram för de andra berörda tillsynsmyndigheterna; men med tanke på hur komplicerade och varierade ärendena kan vara, kan det vara ganska olika lång tid som den ansvariga tillsynsmyndigheten behöver ha på sig för att skyndsamt lägga fram utkastet till beslut.

122. Hur lång tid som behövs för att lägga fram utkastet måste bedömas utifrån en objektiv norm. Hänsyn måste också tas till kännetecknen för det enskilda ärendet och den övergripande skyldighet att samarbeta ”i en strävan att uppnå samförstånd” som fastställs i artikel 60.1 och som i detta fall syftar på fasen innan utkastet till beslut läggs fram. Exempel 8: Med en relativt rak utredning av ett klagomål angående registrerades rättigheter, vars resultat ska lämnas ut till de andra berörda tillsynsmyndigheterna som relevant information i enlighet med artikel 60.3 första meningen, bör den ansvariga tillsynsmyndigheten kunna lämna in utkastet till beslut kort efter att utredningen är slutförd. I ärenden med komplicerade slutsatser och utredningar kan det vara berättigat att den ansvariga tillsynsmyndigheten tar en del tid på sig för att lägga fram utkastet till beslut efter att utredningen är slutförd (vilket då de berörda tillsynsmyndigheterna ska få kännedom om) .

123. Det bör också påpekas att den enskilde i enlighet med artikel 41.1 i stadgan om de grundläggande rättigheterna har rätt att få sitt klagomål behandlat inom skälig tid. EU-domstolen har fastställt i domen av den 8 maj 2014 (C 604/12) att rätten till god förvaltning, som fastställs i artikel 41 i stadgan, återspeglar en allmän princip i EU-rätten. Denna uppfattning måste också respekteras i verkställandet av unionsrätten på det hela taget, genom att medlemsstaternas förvaltningsrätt tillämpas som i artikel 60-förfarandet – inte minst med tanke på att skäl 129 påminner om att tillsynsmyndigheternas befogenheter (såsom utredningsbefogenheter och korrigerande befogenheter, inbegripet sanktioner) bör utövas ”rättvist och inom rimlig tid”. Den tid som en ansvarig tillsynsmyndighet har på sig för att lämna in ett utkast till beslut i ett klagomålsbaserat ärende bör alltså inte medföra att det krävs orimlig tid för att behandla det ärendet.

5.2.4 Termen ”ta vederbörlig hänsyn till deras synpunkter”

124. För att den ansvariga tillsynsmyndigheten ska kunna ta hänsyn till de andra berörda tillsynsmyndigheternas synpunkter, har de andra tillsynsmyndigheterna i uppgift att uttrycka sina synpunkter så tidigt som möjligt i förfarandet. De synpunkter som ska uttryckas ska alltså uppfattas som något mer omfattande än bara relevanta och motiverade invändningar. Artikel 60.3 andra meningen syftar också på ett bredare begrepp än att den ansvariga tillsynsmyndigheten bara tar hänsyn till relevanta och motiverade invändningar (artikel 60.4 och 60.5), då även kommentarer, uttryckt stöd eller anmärkningar ingår.

125. EDPB anser att den ansvariga tillsynsmyndigheten är skyldig att ta vederbörlig hänsyn till de andra berörda tillsynsmyndigheternas synpunkter före och efter att utkastet till beslut läggs fram, då skyldigheten att sträva efter samförstånd genomsyrar hela samarbetsförfarandet och inte har framläggandet av utkastet till beslut som avgörande faktor.

126. Av denna anledning bör utkastet redan så mycket som möjligt ta upp de argument och synpunkter som delas av de andra berörda tillsynsmyndigheterna. I skäl 125 andra meningen står det att den ansvariga tillsynsmyndigheten bör involvera och samordna de berörda tillsynsmyndigheterna redan i beslutsfattandet. Hur pass möjligt detta är kan variera från fall till fall.

127. Att den ansvariga tillsynsmyndigheten måste ta vederbörlig hänsyn till de andra berörda tillsynsmyndigheternas synpunkter medan utkastet till beslut utarbetas, går också att härleda från formuleringen i artikel 60.3 andra meningen i den mån den handlar om synpunkter som uttrycks innan utkastet till beslut läggs fram. Den ansvariga tillsynsmyndighetens skyldighet att ta vederbörlig hänsyn till de andra berörda tillsynsmyndigheternas synpunkter kräver att den beaktar inte bara relevanta och motiverade invändningar utan också kommentarer eller anmärkningar, som uttrycks under den period som föreskrivs i artikel 60.4 och 60.5.

128. Skyldigheten att ta vederbörlig hänsyn innebär att den ansvariga tillsynsmyndigheten måste ta beakta de andra berörda tillsynsmyndigheternas synpunkter och argument i sak, med vederbörlig aktsamhet, eftersom samarbetsförfarandet är inriktat på beslut i samförstånd.

129. Som bästa praxis bör den ansvariga tillsynsmyndigheten bemöta synpunkterna från samtliga berörda tillsynsmyndigheter. Den övergripande skyldigheten att eftersträva samförstånd medför åtföljande skyldigheter för både den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna. Det innebär att den ansvariga tillsynsmyndigheten måste ta hänsyn till samtliga synpunkter. Den är emellertid inte tvungen att följa varje synpunkt som uttryckts. Det gäller särskilt när det förekommer motstridiga åsikter bland de andra berörda tillsynsmyndigheterna.

130. I artikel 60.3 andra meningen används formuleringen ”ta vederbörlig hänsyn” till de andra berörda tillsynsmyndigheternas synpunkter, medan det i skäl 130.2 talas om att ”ta största hänsyn” till synpunkter från den berörda tillsynsmyndighet till vilken klagomålet har ingetts, när det vidtas åtgärder avsedda att ha rättsverkan, inbegripet utdömandet av administrativa sanktionsavgifter. Det annorlunda ordvalet (”största” i stället för ”vederbörlig”) återspeglar den särskilda rollen för den berörda tillsynsmyndighet till vilken klagomålet har ingetts, och det visar att den myndighetens synpunkter har ett mer betydande inflytande på utkastet till beslut. Detta beror på det nära sambandet mellan den myndigheten och ärendet, eftersom denna berörda tillsynsmyndighet fungerar som enda kontaktpunkt för den enskilde, och den kan dessutom behöva anta och försvara ett beslut, i enlighet med artikel 60.8 och 60.9.

ARTIKEL 60.4 – BEDÖMNING AV INVÄNDNINGARNA OCH MÖJLIGHETEN ATT UTLÖSA EN TVISTLÖSNINGSPROCESS

Syfte med bestämmelsen

131. Artikel 60.4 gäller perioden omedelbart efter att den ansvariga tillsynsmyndigheten har lagt fram utkastet till beslut. Efter framläggandet börjar en fyra veckors tidsfrist att löpa, då alla berörda tillsynsmyndigheter kan göra invändningar mot utkastet.

132. Bland de enskilda bestämmelserna i artikel 60 har artikel 60.4 en unik ställning, genom att det där upprättas en koppling mellan samarbets- och enhetlighetsförfarandet. Om en berörd tillsynsmyndighet ”uttrycker en relevant och motiverad invändning mot utkastet till beslut ska den ansvariga tillsynsmyndigheten, om den inte instämmer i den relevanta och motiverade invändningen eller anser att invändningen inte är relevant eller motiverad, överlämna ärendet till den mekanism för enhetlighet som avses i artikel 63”. Detta är värt att särskilt uppmärksamma med tanke på att målet att nå samförstånd mellan tillsynsmyndigheterna, som är väsentligt för samarbetsförfarandet, inte kunde uppnås i detta scenario.

133. EDPB påminner om att hela förfarandet som fastställs i artikel 60 har som sitt slutgiltiga mål att det ska uppnås en överenskommelse i samförstånd om ärendets resultat, och att det bör prioriteras att nå samförstånd framför att inleda tvistlösningsprocessen. Samarbetsplikten gäller för varje skede i förfarandet och för alla involverade tillsynsmyndigheter. När det gäller artikel 60.4 innebär detta att både andra berörda tillsynsmyndigheter och ansvariga tillsynsmyndigheter noggrant bör följa de föregående stegen som fastställts i artikel 60.1 och 60.3.

Relevanta och motiverade invändningar från en berörd tillsynsmyndighet

134. Efter att ha rådfrågats av den ansvariga tillsynsmyndigheten i enlighet med artikel 60.3 kan de andra berörda tillsynsmyndigheterna göra relevanta och motiverade invändningar inom en tidsfrist på fyra veckor, då de berörda tillsynsmyndigheterna måste ha rådfrågats ”i enlighet med punkt 3”.

6.2.1 Beräkning av tidsfristen

135. Fyraveckorsperioden inleds så fort den ansvariga tillsynsmyndigheten har lagt fram utkastet till beslut enligt artikel 60.3 andra meningen via EDPB:s informationssystem. Beräkningen av tidsfristen för att göra möjliga invändningar ska göras på grundval av förordning 1182/71 . Enligt artikel 3.2 c i förordning 1182/71 ska ”en tidsfrist uttryckt i veckor […] inledas vid början av första dagens första timme inom tidsfristen och upphöra vid utgången av den sista timmen under den dag i den sista veckan […] som infaller på samma veckodag respektive samma datum som den dag som inleder tidsfristen”.

136. Om en händelse då en veckoperiod börjar löpa inträffar till exempel på en måndag, upphör perioden också på en måndag, i detta fall vid slutet av måndagen (dvs. 23:59:59) fyra veckor senare.

137. Perioden innefattar allmänna helgdagar, söndagar och lördagar, eftersom dataskyddsförordningen inte uttryckligen utesluter dessa . När den sista dagen i en period är en allmän helgdag, söndag eller lördag, ska dock perioden upphöra när den sista timmen på närmast följande arbetsdag går ut; tidsfristen upphör alltså följande arbetsdag . Med tanke på samarbetsförfarandets europeiska karaktär bör de helgdagar som gäller för EU-institutionerna och som offentliggörs i Europeiska unionens officiella tidning tas i beaktande för att avgöra allmänna helgdagar. Vidare bör den tidszon användas där EDPB är inrättad.

138. För att undvika att utgångsdatumet infaller under veckoslutet bör den som inleder arbetsgången (dvs. den ansvariga tillsynsmyndigheten) utlösa den endast på arbetsdagar och försäkra sig om att tidsfristen inte löper ut på en av EU-helgdagarna . I en anda av samarbete uppmuntrar EDPB de ansvariga tillsynsmyndigheterna att ta hänsyn till de möjliga konsekvenserna av långvariga helgperioder innan de lägger fram sitt utkast till beslut, så att de andra berörda tillsynsmyndigheterna får så mycket tid som möjligt att reagera på utkastet.

139. Under fyraveckorsperioden kan en berörd tillsynsmyndighet uttrycka en eller flera invändningar mot det utkast till beslut som den ansvariga tillsynsmyndigheten lägger fram. Med tanke på kraven att göra relevanta och motiverade invändningar mot utkastet till beslut som helhet, bör dock den berörda tillsynsmyndigheten lämna alla sina invändningar samtidigt, även om den tydligt skiljer mellan de olika invändningarna. Denna bästa praxis kommer att underlätta den ansvariga tillsynsmyndighetens analys, och i slutändan även EDPB:s, om tvistlösningsmekanismen utlöses. Om den berörda tillsynsmyndigheten efter att ha infört invändningen/invändningarna i EDPB:s informationssystem vill ändra sin inlaga, på något sätt och av något skäl, är detta fortfarande möjligt så länge det fortfarande är inom den tidsfrist som föreskrivs i artikel 60.4. Därför bör den berörda tillsynsmyndigheten ta bort den tidigare versionen av invändningen/invändningarna och ladda upp den nya i EDPB:s informationssystem , så att den tillgängliga inlagan för den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna alltid är den uppdaterade invändningstexten.

6.2.2 Relevanta och motiverade invändningar

140. En av de viktigaste aspekterna i detta skede av samarbetsförfarandet är att ha en gemensam uppfattning av begreppet ”relevant och motiverad invändning”. I artikel 4.24 definieras ”relevant och motiverad invändning” som en invändning mot ett förslag till beslut avseende frågan huruvida det föreligger en överträdelse av denna förordning eller huruvida den planerade åtgärden i förhållande till den personuppgiftsansvarige eller personuppgiftsbiträdet är förenlig med denna förordning, av vilken invändning det tydligt framgår hur stora risker utkastet till beslut medför när det gäller registrerades grundläggande rättigheter och friheter samt i tillämpliga fall det fria flödet av personuppgifter inom unionen.

141. Som EU-lagstiftaren föreslagit (i slutet av skäl 124) har EDPB utfärdat riktlinjer för vad som utgör en relevant och motiverad invändning. Följande punkter innehåller därför endast förtydliganden som är nödvändiga för artikel 60-förfarandet och inte redan finns i riktlinjerna 09/2020.

142. Rätten att göra en invändning enligt artikel 60.4 är tillgänglig för varje berörd tillsynsmyndighet individuellt och självständigt. Den är alltså inte beroende av om en annan berörd tillsynsmyndighet redan har gjort en invändning i samma fråga. I den mån en berörd tillsynsmyndighet invänder på grundval av flera punkter, måste var och en av dem för sig uppfylla kraven på en relevant och motiverad invändning enligt artikel 4.24 . Att bara bekräfta eller hänvisa till en relevant och motiverad invändning från en annan berörd tillsynsmyndighet utgör följaktligen inte någon relevant och motiverad invändning i sig. För såväl rättssäkerhetens skull som för tydligheten och tillförlitligheten inom invändningsprocessen, rekommenderar EDPB här att varje berörd tillsynsmyndighet lämnar in sin egen fullständiga (formella) invändning till den ansvariga tillsynsmyndigheten, även om en berörd tillsynsmyndighet vill samordna sin invändning med den från en annan myndighet .

143. För att nå upp till den tröskel som fastställs i artikel 4.24 bör en berörd tillsynsmyndighet i princip uttryckligen hänvisa till varje del av denna rättsliga definition i samband med varje specifik invändning. Enligt god praxis kan invändningen också om möjligt innehålla ett förslag till ny formulering som den ansvariga tillsynsmyndigheten ska överväga, vilket den berörda tillsynsmyndigheten anser möjliggör ett avhjälpande av de påstådda bristerna i utkastet till beslut.

144. Som krävs i artikel 60.12 ska de berörda tillsynsmyndigheterna lämna in invändningarna via ett elektroniskt och standardiserat format. För detta ska EDPB:s informationssystem användas.

145. En ren ”kommentar” som en berörd tillsynsmyndighet uttrycker till ett utkast till beslut räknas inte som en invändning i den mening som avses i artikel 4.24. Att det finns kommentarer ska därför inte medföra någon skyldighet att utlösa förfarandet i artikel 65.1 a om den ansvariga tillsynsmyndigheten beslutar att inte låta kommentaren få någon verkan .

6.2.3 Bedömning av invändningarna mot det framlagda utkastet enligt artikel 60.4

146. Den ansvariga tillsynsmyndigheten bör använda alla möjliga medel för utbytet med de andra berörda tillsynsmyndigheterna i de frågor som togs upp i den relevanta och motiverade invändningen. EDPB påminner om att den ansvariga tillsynsmyndighetens utkast till beslut helst bör vara självförklarande. Som svar på en invändning bör ändå den ansvariga tillsynsmyndigheten som god praxis ge den berörda tillsynsmyndigheten en förklaring till varför man intagit en viss ståndpunkt i utkastet, och den bör också ge den berörda tillsynsmyndigheten möjlighet att ytterligare förklara sina invändningar utan onödigt dröjsmål. Den ansvariga tillsynsmyndigheten kan också ta initiativ till att ordna möten eller på annat sätt använda sig av informellt samråd för att försäkra sig om att man förstått de motiveringar som respektive myndigheter använt sig av.

147. Efter detta vidare samarbete sedan en invändning gjorts, kan den berörda tillsynsmyndigheten överväga om den ansvariga tillsynsmyndigheten bemöter dess orosmoment ordentligt i sitt svar, och i så fall överväga att dra tillbaka sin invändning . Så kan särskilt vara fallet när de motstridiga synpunkterna efter förklaringarna från den ansvariga tillsynsmyndigheten visar sig vara av bara marginell karaktär, sett till riskerna för de registrerades grundläggande rättigheter och friheter.

148. Om en berörd tillsynsmyndighet beslutar att dra tillbaka sin invändning bör den alltid uttryckligen identifiera vilken invändning den avser att dra tillbaka, och vara tydlig med att den vill dra tillbaka just den invändningen. Detta tillbakadragande kan äga rum under fyraveckorsperioden, eller för ett reviderat utkast till beslut tvåveckorsperioden, efter att utkastet till beslut lades fram, och i sådana fall ska tillbakadragandet göras i samma meddelande i EDPB:s informationssystem där invändningen gjordes. Tillbakadragandet kan också ske efter denna period . Den ansvariga tillsynsmyndigheten bör se till att dokumentera när detta inträffade och utan onödigt dröjsmål meddela de andra berörda tillsynsmyndigheterna om tillbakadragandet, via EDPB:s informationssystem, då denna information ska uppfattas som relevant information enligt artikel 60.1.

149. När olika berörda tillsynsmyndigheter i sina invändningar motsäger varandra i bedömningen av ett specifikt ärende , bör den ansvariga tillsynsmyndigheten ange vilka invändningar den avser att följa och i hur stor utsträckning och på vilket sätt den avser att följa dem. Å andra sidan bör de andra berörda tillsynsmyndigheterna noggrant överväga om det är lämpligt att dra tillbaka invändningar mot bakgrund av de ståndpunkter som den ansvariga tillsynsmyndigheten och/eller andra berörda tillsynsmyndigheter har uttryckt . Det är viktigt att komma ihåg att det övergripande syftet med artikel 60 är att beslut i möjligaste mån ska kunna tas genom samförstånd. Detta mål gäller såväl den ansvariga tillsynsmyndigheten som de andra berörda tillsynsmyndigheterna.

Överlämning till styrelsen

150. I artikel 60.4 föreskrivs två alternativa omständigheter som båda var för sig har effekten att den ansvariga tillsynsmyndigheten måste söka ett beslut från styrelsen (EDPB):  Den ansvariga tillsynsmyndigheten är av uppfattningen att invändningen/invändningarna inte är relevanta eller motiverade.  Den ansvariga tillsynsmyndigheten följer inte den eller de relevanta och motiverade invändningarna.

151. I den första situationen är den ansvariga tillsynsmyndigheten av uppfattningen att den invändning som lämnats av den berörda tillsynsmyndigheten inte uppfyller alla krav som fastställs i artikel 4.24, dvs. den anser att invändningen antingen inte är relevant eller inte motiverad, eller båda, sett till om det föreligger en överträdelse av dataskyddsförordningen och/eller om den planerade åtgärden angående den personuppgiftsansvarige eller personuppgiftsbiträdet överensstämmer med dataskyddsförordningen. I den andra situationen anser den ansvariga tillsynsmyndigheten att invändningarna är både relevanta och motiverade, men avser inte att följa dem.

152. ”Ärendet” som ska överlämnas till styrelsen gäller bara invändningar som den ansvariga tillsynsmyndigheten inte avser att följa eller som den inte anser klarar den tröskel som föreskrivs i artikel 4.24. De punkter som det råder tvist om ska därför inte behandlas genom tvistlösningen enligt artikel 65.1 a.

153. Även om det i artikel 60.4 inte föreskrivs någon uttrycklig tidsgräns för överlämningen, bör själva omständigheten med väntan på ett beslut som berör riskerna för registrerades grundläggande rättigheter och friheter leda till ett krav på överlämning så snart som möjligt som är lämpligt i det enskilda ärendet .

154. Å andra sidan, i situationer där den ansvariga tillsynsmyndigheten vill följa vissa invändningar, men inte vill följa andra invändningar och/eller inte anser dem vara relevanta och/eller motiverade, bör den lägga fram ett reviderat utkast i förfarandet enligt artikel 60.5, så som beskrivs i följande avsnitt. Den ansvariga tillsynsmyndigheten bör ange tydligt, genom ett informellt utbyte, vilka av invändningarna den avser att följa inom det reviderade utkastet till beslut och hur den avser att göra det. Dessutom bör den ange tydligt vilka invändningar som noterats, som ämne för en eventuell senare tvistlösning genom artikel 65.1 a .

155. Men eftersom det reviderade utkastet till beslut är ett nytt instrument, behöver ändå de andra berörda tillsynsmyndigheterna upprepa sin ståndpunkt genom att (på nytt) lämna in sina invändningar så snart det reviderade utkastet till beslut har delats. EDPB är av uppfattningen att detta tillvägagångssätt bör följas eftersom det då blir möjligt att använda sig av tvistlösningsförfarandet endast för de invändningar som kvarstår trots alla parternas ansträngningar för att först söka en lösning i samförstånd.

ARTIKEL 60.5 – DET REVIDERADE UTKASTET TILL BESLUT

Överlämning till de andra berörda tillsynsmyndigheterna 7.1.1 Den ansvariga tillsynsmyndigheten avser att följa

156. Genom artikel 60.5 första meningen får den ansvariga tillsynsmyndigheten möjlighet att följa en relevant och motiverad invändning. Det är viktigt att notera att det, när man följer en relevant och motiverad invändning, innebär att man följer denna invändning som den är, eftersom invändningen i fråga av den ansvariga tillsynsmyndigheten befinns vara både relevant och motiverad och den ansvariga tillsynsmyndigheten instämmer i motiveringen.

157. Fokus ligger på ”avsikten” att följa invändningen. Den ansvariga tillsynsmyndighetens avsikt att följa en invändning återspeglas i att den lämnar in ett reviderat utkast till beslut. I hur hög grad det reviderade utkastet till beslut inte följer den relevanta och motiverade invändning som en berörd tillsynsmyndighet lyft fram är, bland annat, föremål för det förfarande som regleras av artikel 60.5 andra meningen (se avsnitt 7.2) och i slutändan av artikel 65.1 a i händelse av tvister.

158. Det bör också erinras om att den tröskel som fastställs av EU-lagstiftaren i definitionen av en relevant och motiverad invändning enligt artikel 4.24 måste vara uppfylld även med avseende på hur en berörd tillsynsmyndighet ska strukturera den relevanta och motiverade invändningen enligt riktlinjerna 09/2020 . Detta påverkar hur den ansvariga tillsynsmyndigheten bedömer den relevanta och motiverade invändningen. Det står dock helt klart att avsikten att följa en relevant och motiverad invändning överensstämmer med det mål om samförstånd som ligger till grund för hela artikel 60förfarandet. Revideringen bör ha som syfte att helt åtgärda risken i det första utkastet till beslut vad avser de registrerades grundläggande rättigheter och friheter och i tillämpliga fall det fria flödet av personuppgifter inom unionen, som angavs i invändningen.

159. EDPB påminner om att den ansvariga tillsynsmyndigheten bör använda sig av alla möjliga metoder för utbyte med de andra berörda tillsynsmyndigheterna om de frågor som togs upp i den relevanta och motiverade invändningen. Den ansvariga tillsynsmyndigheten kan ta initiativ till möten eller på annat sätt använda sig av informellt samråd för att försäkra sig om att man förstått de motiveringar som respektive myndigheter använt sig av . I vilket fall som helst bör detta utbyte leda till att innehållet i det reviderade utkastet till beslut inte kommer som en överraskning för de andra berörda tillsynsmyndigheterna, då det bör vara resultatet av ett uppriktigt samarbete.

7.1.2 Skyldigheten att överlämna ett reviderat utkast till beslut

160. Den ansvariga tillsynsmyndigheten är skyldig att överlämna ett reviderat utkast till beslut om den avser att följa en relevant och motiverad invändning, dvs. det finns alltså inget alternativ enligt dataskyddsförordningen, vilket märks på användningen av hjälpverbet ”ska” ihop med verbet ”överlämna”. Alternativet till att överlämna ett reviderat utkast till beslut kan också mycket riktigt bara bestå i att ärendet överlämnas till enhetlighetsmekanismen enligt den sista meningen i artikel 60.4.

161. Det bör påpekas att det bara är en relevant och motiverad invändning som den ansvariga tillsynsmyndigheten avser att följa som utlöser denna myndighets skyldighet och möjlighet att överlämna ett reviderat utkast till beslut enligt dataskyddsförordningen. Artikel 60.5 första meningen (och för den delen artikel 60.4) nämner bara den ”relevanta och motiverade invändning” som lämnas in av en berörd tillsynsmyndighet – i motsats till i synnerhet artikel 60.3, där det talas om ”synpunkter” från de andra berörda tillsynsmyndigheterna .

162. Att en berörd tillsynsmyndighet under den fyraveckorsperiod som omnämns i artikel 60.4 inkommit till den ansvariga tillsynsmyndigheten med kommentarer, anmärkningar och observationer som inte tydligt och otvetydigt förklaras vara en relevant och motiverad invändning, medför följaktligen inte någon skyldighet eller möjlighet för den ansvariga tillsynsmyndigheten att överlämna ett reviderat utkast till beslut. Det bör här påminnas om att både den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna är bundna till utkastet till beslut ifall inga invändningar lämnas in ”inom den period som avses i punkterna 4 och 5” enligt artikel 60.6. Detta innebär att den ansvariga tillsynsmyndigheten, om inga invändningar lämnas in formellt av den berörda tillsynsmyndigheten, utfärdar ett reviderat utkast till beslut, via EDPB:s informationssystem, under den fyraveckorsperiod som fastställs i artikel 60.4 (fler uppgifter i avsnitt 8) .

163. Om den ansvariga tillsynsmyndigheten skulle anse det nödvändigt att ändå ändra sitt utkast till beslut så som det lades fram enligt artikel 60.4 med hänsyn till faktorer eller överväganden som framkommit under fyraveckorsperioden, däribland kommentarer eller anmärkningar som lämnats av de andra berörda tillsynsmyndigheterna, eller ytterligare inlagor från den personuppgiftsansvarige/personuppgiftsbiträdet, bör den ansvariga tillsynsmyndigheten dra tillbaka sitt utkast till beslut innan fyraveckorsperioden går ut och lägga fram ett nytt utkast för de andra berörda tillsynsmyndigheterna. Genom detta bör den ansvariga tillsynsmyndigheten kunna nå en balans mellan dels de nya framkommande faktorernas eller övervägandenas betydelse, dels behovet av att se till att samarbetsförfarandet går ändamålsenligt till . I vilket fall som helst bör den ansvariga tillsynsmyndigheten göra klart för samtliga berörda tillsynsmyndigheter varför man drar tillbaka sitt utkast till beslut, genom att hänvisa till den specifika faktor eller övervägande som får den att ta ett sådant steg. En ny fyraveckorsperiod inleds så snart det nya utkastet till beslut är överlämnat. Som sagt blir detta alternativ spärrat om ovanstående period går ut utan motiverade och relevanta invändningar, och utkastet till beslut så som det först utfärdades blir då bindande för den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna.

164. Med ovanstående i åtanke är det viktigt för den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna att rådfråga varandra om hur den ansvariga tillsynsmyndigheten tolkar invändningarna och hur den avser att följa dem.

165. Beträffande sättet att lämna in det reviderade utkastet till beslut, gäller samma hänsyn som när den ansvariga tillsynsmyndigheten lägger fram utkastet till beslut . En tydlig tidsstämpel (datum, timme) för överlämningen är utgångspunkten för den tvåveckorsperiod som avses i artikel 60.5 andra meningen, och det reviderade utkastet till beslut ska endast överlämnas genom EDPB:s informationssystem.

7.1.3 Överlämningen av det reviderade utkastet till beslut

166. När det gäller innehållet i överlämningen, gäller de överväganden som gjorts beträffande innehållet i utkastet till beslut . Enkelt uttryckt ska den ansvariga tillsynsmyndigheten endast lämna in ett reviderat utkast till beslut som sådant. De överväganden som gjorts beträffande utkastet till beslut och behovet av att säkerställa överensstämmelse med rätten att bli hörd gäller i tillämpliga delar även för det reviderade utkastet, och den ansvariga tillsynsmyndigheten bör alltså se till att det reviderade utkastet till beslut innehåller hänvisningar till de steg som tagits för att nå sådan överensstämmelse och är självförklarande sett till vilka ändringar som införts för att följa de relevanta och motiverade invändningarna och de bakomliggande skälen .

167. I artikel 60.5.1 sätts ingen särskild tidsfrist för när den ansvariga tillsynsmyndigheten ska överlämna det reviderade utkastet till beslut. Detta är ett exempel på när dataskyddsförordningen ger tillsynsmyndigheterna flexibilitet, även för att underlätta strävan att uppnå samförstånd. Principen om god förvaltning, däribland principerna om rimlig tidsfrist och god processekonomi, gäller alltjämt. Dessutom bör den ansvariga tillsynsmyndigheten ta hänsyn till vissa faktorer i detta avseende:  Att ett reviderat utkast till beslut är föremål för en kortare bedömningsperiod (två veckor) än utkastet till beslut.  Att orden ”utan dröjsmål” gäller för framläggandet av utkastet till beslut enligt artikel 60.3.  Att det i avsnitt 5.2.4 tas hänsyn till artikel 60.3 andra meningen vad gäller behovet av att i detta avseende beakta det aktuella ärendets komplexitet, och därvid särskilt antal och typ av relevanta och motiverade invändningar som den ansvariga tillsynsmyndigheten får in.  Mer allmänt alla tillsynsmyndigheters skyldighet att samarbeta rättvist och i en anda av ömsesidigt förtroende.

168. Alla överväganden ovan torde peka på att den ansvariga tillsynsmyndigheten behöver se till att den tid som förflyter mellan att de relevanta och motiverade invändningarna kommer in enligt artikel 60.3 och det reviderade utkastet till beslut överlämnas är så kort som möjligt och lämplig för det aktuella förfarandet med en enda kontaktpunkt. Detta påverkar inte de insatser som görs för att uppnå samförstånd och den ansvariga tillsynsmyndighetens slutliga skyldighet att ombesörja rätten att bli hörd på nytt, enligt nationell rätt, mot bakgrund av planerade ändringar av det reviderade utkastet till beslut som på nytt kan påverka den personuppgiftsansvariges eller personuppgiftsbiträdets rättigheter.

7.1.4 De andra berörda tillsynsmyndigheternas synpunkter

169. Syftet med att den ansvariga tillsynsmyndigheten överlämnar ett reviderat utkast till beslut är att alla involverade tillsynsmyndigheter ska kunna uppnå samförstånd, och att få in deras åsikter om det föreslagna reviderade utkastet till beslut. Här är det viktigt att notera att syftet med artikel 60.5 är att ge de berörda tillsynsmyndigheterna möjlighet att uttrycka en synpunkt på alla eventuella ändringar/revideringar som gjorts av originaltexten i utkastet till beslut som från början delades ut av den ansvariga tillsynsmyndigheten enligt artikel 60.4. Formuleringen ”så att de kan avge ett yttrande” i artikel 60.5 första meningen återspeglar här formuleringen i artikel 60.3 andra meningen (se avsnitt 5.2.1).

170. Detta innebär, precis som för utkastet till beslut, att överlämningen av ett reviderat utkast till beslut bör föregås av utbyten mellan den ansvariga tillsynsmyndigheten och alla de berörda tillsynsmyndigheterna, för att dela de nya slutsatser som den ansvariga tillsynsmyndigheten kommit till med hjälp av de relevanta och motiverade invändningar den avser att följa, tillsammans med den relevanta motiveringen till detta, och samla in synpunkterna från de andra berörda tillsynsmyndigheterna . Detta är särskilt lämpligt om de relevanta och motiverade invändningarna tar upp flera problem i det aktuella ärendet, och hur omfattande och ingående utbytet är kan alltså variera från fall till fall. Den ansvariga tillsynsmyndigheten kan till exempel när så är lämpligt dela ett preliminärt reviderat utkast till beslut innan den utfärdar det formella.

171. Genom detta kommer då också de andra berörda tillsynsmyndigheterna i sin tur att kunna flagga för återstående problem eller frågor som den ansvariga tillsynsmyndigheten kan vilja ta upp på detta stadium, åter igen i en strävan att nå samförstånd, innan den formellt överlämnar ett reviderat utkast till beslut. Framför allt bör de andra berörda tillsynsmyndigheterna tydligt ange de punkter där de anser att den ansvariga tillsynsmyndigheten faktiskt inte har hörsammat de relevanta och motiverade invändningarna. Denna informella samrådsfas är i slutändan avsedd att förhindra att de andra berörda tillsynsmyndigheternas synpunkter förvandlas till relevanta och motiverade invändningar mot det reviderade utkastet till beslut, och därmed utlöser nästa steg i förfarandet som beskrivs i följande avsnitt, med alla aktuella konsekvenser.

Det reviderade utkastet till beslut: bedömningsförfarande 7.2.1 Gemensam tillämpning av artikel 60.5 andra meningen och förfarandet i artikel 60.4

172. I artikel 60.5 andra meningen framläggs det formella förfarande som tillämpas vid de andra berörda tillsynsmyndigheternas utredning av det reviderade utkastet till beslut. Detta förfarande är det som avses i artikel 60.4, med skillnaden att tidslinjen är begränsad till två veckor .

173. Det bör noteras att punkt 5 andra meningen, genom sin hänvisning till artikel 60.4, även reglerar vilket förfarande som den ansvariga tillsynsmyndigheten ska följa om den avvisar eller inte följer någon relevant och motiverad invändning mot det reviderade utkastet till beslut som de andra berörda tillsynsmyndigheterna uttrycker under de två veckorna efter överlämningen. Detta har flera konsekvenser:

174. I båda fallen är det enda resultat som väntas enligt det förfarande som föreskrivs enligt artikel 60.4 att den ansvariga tillsynsmyndigheten överlämnar ärendet till enhetlighetsmekanismen, dvs. till EDPB (vilket beskrivs i avsnitt 6.2.3) i avsikt att få ett bindande beslut som löser tvisten och som den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna sedan är tvungna att lyda (enligt artikel 65.2 och 65.6).

175. Om inga invändningar görs av de andra berörda tillsynsmyndigheterna under den tvåveckorsperiod som nämns i artikel 60.5 andra meningen, gäller artikel 60.6. Därefter blir det reviderade utkastet till beslut bindande för både den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna, eftersom det i artikel 60.6 talas om avsaknad av relevanta och motiverade invändningar inom den period som avses ”i punkterna 4 och 5”.

176. Om relevanta och motiverade invändningar görs under tvåveckorsperioden och den ansvariga tillsynsmyndigheten avser att följa dem, är det enda alternativet att tillämpa artikel 60.5 första meningen igen, för att till slut uppnå en överenskommelse om (det reviderade) utkastet till beslut, enligt artikel 60.6, som då blir bindande för både den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna.

177. Dels skulle detta bli i linje med strävan att uppnå samförstånd, som föreskrivs i artikel 60.1, dels skulle det förhindra att artikel 65.1 a utlöses när det inte finns någon tvist att lösa vid detta tillfälle. I skäl 138 stöds också en sådan strategi, på så vis att alla metoder inom samarbetsmekanismen bör vara uttömda innan enhetlighetsmekanismen aktiveras.

178. Men med tanke på de förstärkta samarbetsrutiner som beskrivs i denna vägledning (till exempel utbyte av relevant information i olika faser och informellt samråd innan ett utkast till beslut läggs fram), bör denna situation vara mycket exceptionell och begränsad till de fall då det trots alla ansträngningar var särskilda omständigheter som gjorde att något samförstånd inte kunde nås tidigare.

179. De andra berörda tillsynsmyndigheterna och den ansvariga tillsynsmyndigheten bör dock ha i åtanke att dataskyddsförordningen föreskriver snabb handling och att tillsynsmyndigheterna utövar sina befogenheter rättvist och inom rimlig tid, som nämns i skäl 129. Det kan faktiskt hävdas att det inte var lagstiftarens avsikt att uppmuntra till ett evigt kretslopp av reviderade utkast till beslut. Därför bör det bara vara i undantagsfall som nya reviderade utkast till beslut lämnas in, efter vad som är nödvändigt i det aktuella fallet för att eftersträva slutligt samförstånd.

180. Med hänsyn till att den strävan att uppnå samförstånd som är satt som övergripande mål för samarbetsförfarandet i artikel 60.1 inte medför någon skyldighet att nå samförstånd till varje pris, bör den ansvariga tillsynsmyndigheten, om den uppmärksamt avser att följa en relevant och motiverad invändning och på så sätt uppnå det målet, kunna göra det genom att överlämna ett (om)reviderat utkast till beslut.

181. När den ansvariga tillsynsmyndigheten drar slutsatsen att samförstånd inte är möjligt, då det inte finns något betydande närmande mellan den ansvariga och de andra berörda tillsynsmyndigheterna, antingen för att det föreligger motstridiga synpunkter från berörda tillsynsmyndigheter eller för att vissa rättsliga frågor fortfarande är olösta, måste den ansvariga tillsynsmyndigheten enligt artikel 60.5 andra meningen inleda det förfarande som föreskrivs i artikel 60.4 och följaktligen hänskjuta ärendet till EDPB för tvistlösningsförfarande enligt artikel 65.1 a.

7.2.2 Hinder för de andra berörda tillsynsmyndigheterna att överlämna relevanta och motiverade invändningar mot det reviderade utkastet till beslut

182. Ett ytterligare problem att ta hänsyn till gäller ”det förfarande som avses i punkt 4” som tillämpas inom ramen för artikel 60.5 andra meningen. Detta syftar i synnerhet på när det finns särskilda rättsliga hinder som antingen gäller de berörda tillsynsmyndigheterna eller omfattningen av en relevant och motiverad invändning mot det reviderade utkast till beslut som den ansvariga tillsynsmyndigheten utfärdat.

183. Det bör påminnas om att den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna är bundna av (det reviderade) utkastet till beslut enligt artikel 60.6 endast om inga invändningar har inkommit mot (det reviderade) utkastet till beslut. Om så inte är fallet, dvs. om det faktiskt har gjorts relevanta och motiverade invändningar mot utkastet till beslut i enlighet med det förfarande som föreskrivs enligt artikel 60.4, är ingen berörd tillsynsmyndighet bunden av utkastet till beslut; det reviderade utkastet till beslut som överlämnats av den ansvariga tillsynsmyndigheten enligt artikel 60.5 första meningen är dessutom ett annat rättsligt instrument än det utkast till beslut som nämns i artikel 60.4. Följaktligen kan en berörd tillsynsmyndighet göra en relevant och motiverad invändning mot det reviderade utkastet till beslut även om den inte gjorde några invändningar mot det första utkastet under den fyraveckorsperiod som nämns i artikel 60.4.

184. De ändringar som införts av den ansvariga tillsynsmyndigheten för att följa de relevanta och motiverade invändningarna kan också väcka nya frågor och problem som en berörd tillsynsmyndighet kanske inte håller med om i det reviderade utkastet till beslut. Enligt vägledningen ovan bör den berörda tillsynsmyndigheten säkerställa att varje relevant och motiverad invändning den lämnar in bör ”innehålla en hänvisning till varje del av utkastet till beslut [här: det reviderade utkastet till beslut] som anses vara bristfällig, felaktig eller saknar vissa nödvändiga delar, antingen genom hänvisning till specifika artiklar/punkter eller genom andra tydliga indikationer” .

185. EDPB uppmuntrar kraftigt den ansvariga tillsynsmyndigheten att i förväg dela sin avsikt att revidera utkastet till beslut med alla berörda tillsynsmyndigheter och inte bara den berörda tillsynsmyndighet som gjorde en invändning. På så sätt kommer det reviderade utkastet till beslut och den motivering som används inte som en överraskning för de andra berörda tillsynsmyndigheterna, vilket bidrar till att förhindra eventuella negativa reaktioner från dem om de föreslagna ändringarna.

186. Syftet med ett reviderat utkast till beslut i den mening som avses i artikel 60.5 är att sträva efter samförstånd i frågor där det inte gick att uppnå detta tidigare. Därav följer att en berörd tillsynsmyndighet inte bör göra en relevant och motiverad invändning mot ett reviderat utkast till beslut om det inte tidigare riktats någon sådan invändning mot just den frågan och den ansvariga tillsynsmyndigheten inte har reviderat utkastet till beslut med avseende på denna fråga.

DEN BINDANDE VERKAN AV ETT (REVIDERAT) UTKAST TILL BESLUT

187. I artikel 60.6 beskrivs det sista steget i beslutsfattandeprocessen i fall då det gick att nå samförstånd mellan den ansvariga tillsynsmyndigheten och andra berörda tillsynsmyndigheter. I detta fall utmärks samförståndet av avsaknaden av invändningar mot (det reviderade) utkastet till beslut, vilket innebär att artikel 60.6 är tillämplig. Detta får två rättsliga konsekvenser, nämligen  att den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna anses samtycka,  att de är bundna av beslutet, i den meningen att det blivit ett slut på bedömningsprocessen efter att utkastet till beslut utfärdades.

Anses samtycka till utkastet till beslut

188. För det första står det i artikel 60.6 att tillsynsmyndigheterna, om de inte gjort invändningar, ska anses samtycka till (det reviderade) utkastet till beslut i dess helhet. Termen ”anses samtycka” klargör att de berörda tillsynsmyndigheterna inte uttryckligen måste godkänna (det reviderade) utkastet till beslut. Dataskyddsförordningen medger en tyst överenskommelse, och där antas att tillsynsmyndigheterna har nått samförstånd i samarbetsförfarandet. Denna tysta överenskommelse syftar på innehållet i (det reviderade) utkastet till beslut.

Bundna av utkastet till beslut

189. Eftersom den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna förutsätts samtycka, ska de vara bundna av innehållet i (det reviderade) utkastet till beslut. Detta får omedelbar bindande verkan för alla medverkande tillsynsmyndigheter. Det innebär att varje gång en åtgärd vidtas enligt nationell rätt, exempelvis att avvisa ett klagomål, måste detta fortsatt ligga strikt i linje med det överenskomna utkastet till beslut.

190. Det går att urskilja två olika aspekter av denna bindande verkan, nämligen beträffande de enheter som är bundna av (det reviderade) utkastet till beslut (den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna), samt omfattningen av detta (reviderade) utkast till beslut.

191. För det första är både den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna bundna av (det reviderade) utkastet till beslut, eftersom inga invändningar gjordes eller upprätthölls. De rättsliga konsekvenserna av den bindande verkan är i detta fall att (det reviderade) utkastet till beslut inte kan ändras vidare eller dras tillbaka i efterhand . Det beslut som ska antas av den ansvariga tillsynsmyndigheten (artikel 60.7) eller av en berörd tillsynsmyndighet (artikel 60.8) eller i delad form av båda tillsynsmyndigheterna (artikel 60.9) ska vara grundat på (det reviderade) utkastet till beslut som det är.

192. Beslutet är bara bindande för den ansvariga tillsynsmyndighet och de andra berörda tillsynsmyndigheter som deltog i samarbetsförfarandet. Endast tillsynsmyndigheter som har deltagit i samarbetsförfarandet (dvs. som formellt har bekräftat sin roll som berörd tillsynsmyndighet inom ramen för detta artikel 60-förfarande) och har haft möjlighet att göra en relevant och motiverad invändning mot utkastet till beslut, kan vara bundna av ett beslut som togs vid det förfarandet. De andra tillsynsmyndigheterna hade varken tillfälle att lägga fram sina synpunkter i samarbetsförfarandet eller att göra en relevant och motiverad invändning mot utkastet till beslut.

193. Om en berörd tillsynsmyndighet, med ett klagomål som skulle kunna behandlas inom ett pågående förfarande, ber den ansvariga tillsynsmyndigheten att inkludera dess ärende i detta förfarande och går med i samarbetsförfarandet innan utkastet till beslut läggs fram, och får möjlighet att göra en relevant och motiverad invändning, kan förfarandet fortsätta och den ”nya” berörda tillsynsmyndigheten blir bunden av utkastet till beslut, förutsatt att kraven i artikel 60.6 är uppfyllda.

194. Om däremot en berörd tillsynsmyndighet med ett klagomål som skulle kunna behandlas i ett pågående samarbetsförfarande skickar sitt fall till den ansvariga tillsynsmyndigheten för att samköra det med de övriga först efter att tidsfristen i artikel 60.4 eller artikel 60.5 har gått ut (till exempel för att tillsynsmyndigheten fått in ett klagomål som gällde samma överträdelse efter att tidsfristerna löpt ut), och därför inte får tillfälle att uttrycka en relevant och motiverad invändning, bör denna berörda tillsynsmyndighet mycket noggrant överväga om det hellre borde igångsättas ett nytt samarbetsförfarande för detta ändamål, i och med att den, genom att begära att den ansvariga tillsynsmyndigheten samkör det nya ärendet i det pågående förfarandet i detta skede, i själva verket frånsäger sig sin möjlighet att invända mot beslutet .

195. EDPB anser att den ansvariga tillsynsmyndigheten i princip inte ständigt måste kontrollera att alla eventuellt relevanta berörda tillsynsmyndigheter, som har ärenden som skulle kunna samköras med de pågående förfaranden som hanteras, blir informerade om det pågående samarbetsförfarandet.

196. Den bindande verkan som ett specifikt beslut får genom artikel 60.6 är alltså strikt begränsad till just det samarbetsförfarandet. Samarbetsförfarandet behandlar en specifik fråga och syftar till att uppnå samförstånd angående just det specifika fallet.

197. Utöver beslutets bindande verkan enligt artikel 60.6 kan därför inte resultatet av ett visst samarbetsförfarande automatiskt förlängas till andra samarbetsförfaranden, även om det kan finnas likheter. Emellertid ska enligt artikel 51.2 varje tillsynsmyndighet bidra till en enhetlig tillämpning av dataskyddsförordningen, och därför kan den ansvariga tillsynsmyndigheten återanvända texten och slutsatserna från ett utkast till beslut som överenskommits vid ett tidigare samarbetsförfarande som involverat samma eller en annan personuppgiftsansvarig och samma överträdelse av dataskyddsförordningen, för att snabba på det aktuella förfarandet om den anser att det kan göra det lättare att nå en överenskommelse även i det ärendet.

198. EDPB anser att den bindande verkan som artikel 60.6 har på ett specifikt beslut inte kan omfatta klarläggande av abstrakta rättsliga frågor, som inte är kopplade till själva ärendet. En tillsynsmyndighet som har för avsikt att be EDPB att klarlägga abstrakta rättsliga frågor bör i stället överväga förfarandet enligt artikel 64.2, om det gäller en fråga med allmän räckvidd eller som får följdverkningar i mer än en medlemsstat.

ARTIKEL 60.7 – DEN ANSVARIGA TILLSYNSMYNDIGHETEN ANTAR OCH MEDDELAR BESLUTET

Allmänt

199. Artikel 60.7-60.9 tar upp de olika scenarierna efter att den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna har blivit bundna av utkastet till beslut. Dessa steg kan nås antingen (i) efter att det förfarande som fastläggs i föregående kapitel har slutförts och samförstånd har uppnåtts, eller (ii) efter att en tvistlösning har slutförts vid styrelsen.

200. I de ovan nämnda punkterna beskrivs (i) vilken tillsynsmyndighet som ska anta ett slutligt beslut efter de föregående stegen, (ii) vilken tillsynsmyndighet som meddelar eller informerar den personuppgiftsansvarige, personuppgiftsbiträdet respektive den enskilde.

201. I artikel 60.7 föreskrivs det förfarande som ska följas i händelse av att ett beslut riktat till den personuppgiftsansvarige eller personuppgiftsbiträdet ska antas av den ansvariga tillsynsmyndigheten. Artikel 60.8 och 60.9 är bara relevanta i klagomålsgrundade ärenden. I artikel 60.8 regleras de fall då beslutet är att avvisa eller avslå klagomålet och det bör antas av den eller de tillsynsmyndigheter som tog emot klagomålet . Slutligen klargörs i artikel 60.9 det förfarande som ska följas när någon del av ett klagomål har avvisats eller avslagits, och beslutet om detta antas mot den enskilde av den tillsynsmyndighet som mottog klagomålet, medan andra delar har behandlats och lett till ett beslut mot en personuppgiftsansvarig eller ett personuppgiftsbiträde från den ansvariga tillsynsmyndigheten.

202. På grund av det sambandet blir många av begreppen och övervägandena i samband med artikel 60.7 analogt tillämpliga för artikel 60.8 och 60.9.

Den ansvariga tillsynsmyndighetens antagande av det slutliga beslutet

203. I artikel 60.7 första meningen föreskrivs att den ansvariga tillsynsmyndigheten måste anta ett beslut. Detta beslutsfattande utgörs antingen av  ett genomförande genom nationellt beslut om det samförstånd som uppnåtts enligt artikel 60.6, och/eller  ett genomförande genom nationellt beslut grundat på det bindande beslut från EDPB som antagits enligt artikel 65, i enlighet med det förfarande som föreskrivs i artikel 65.6.

204. I vilket fall som helst behöver det nationella beslutet ge full verkan till det bindande samförstånd som uppnåtts enligt artikel 60.6, och/eller till de bindande instruktioner som fastställs i EDPB:s beslut enligt artikel 65 .

205. Samtidigt behöver den ansvariga tillsynsmyndigheten justera formatet så att det överensstämmer med dess nationella administrativa regler. Slutligen kommer den att kunna göra rent redaktionella ändringar innan den antar sitt nationella beslut .

206. I artikel 60.7 föreskrivs ingen konkret tidsram då detta antagande måste äga rum. Icke desto mindre bör antagandet ske så skyndsamt som möjligt, i linje med principen om god förvaltning. Om denna punkt däremot nåddes efter ett enhetlighetsförfarande, måste den tidsfrist på en månad som föreskrivs i artikel 65.6 följas.

207. Det kan dock finnas undantagsfall då det, om man antar ett beslut som genomför de slutsatser som tillsynsmyndigheterna är bundna av enligt artikel 60.6, skulle påverka det nationella beslutets laglighet. Detta kan bero på ett avgörande i EU-domstolen med en annan tolkning än den som de andra berörda tillsynsmyndigheterna och den ansvariga tillsynsmyndigheten är bundna av, eller en ändring av lagstiftningen. Under sådana omständigheter bör den berörda tillsynsmyndighet som får kännedom om dessa nya förhållanden genast informera den ansvariga tillsynsmyndigheten, och tvärtom. Efter detta bör den ansvariga tillsynsmyndigheten informera de andra berörda tillsynsmyndigheterna om saken och lägga fram för dem ett nytt utkast till beslut där hänsyn tas till de ändrade omständigheterna. Detta nya utkast till beslut bör anpassas så mycket som möjligt efter det tidigare utkastet, för att utnyttja det samförstånd som redan uppnåtts.

Meddelande och information

208. Så snart beslutet har antagits ska den ansvariga tillsynsmyndigheten meddela beslutet till sina adressater. I klagomålsgrundade ärenden ska den tillsynsmyndighet som mottog klagomålet också informera den/de enskilda om beslutet. Även om termerna ”meddela” och ”informera/underrätta” inte förklaras i dataskyddsförordningen, kan de vara förklarade i nationell rätt. EU-domstolen har emellertid klargjort att ett beslut är delgivet (dvs. meddelat) på ett korrekt sätt när adressaten har haft möjlighet att få kännedom om beslutet och skälen till att institutionen avser att motivera det .

209. I linje med ovanstående verkar artikel 60.7–60.9 ge termen ”meddela” ett mer formellt värde, då det används för kommunikation till den part som kan drabbas av negativa följder av beslutet och därför kan ha för avsikt att bestrida det .

210. När det gäller artikel 60.7–60.9 bör därför tillsynsmyndigheten, när den meddelar beslutet till adressaten, tillhandahålla en fullständig kopia av beslutet på ett språk som överensstämmer med dess nationella rätt. Den medlemsstat där beslutet meddelades blir dessutom den medlemsstat där beslutet kan bestridas, och som beskrivs nedan bör de parter som enbart blivit informerade också uppmärksammas på att rättsliga åtgärder bör sökas i denna medlemsstat.

211. I vilket fall som helst ska den ansvariga tillsynsmyndigheten inom ramen för artikel 60.7, när den har meddelat beslutet till den personuppgiftsansvariges eller personuppgiftsbiträdets huvudsakliga eller enda verksamhetsställe informera de andra berörda tillsynsmyndigheterna och styrelsen om beslutet i fråga och inkludera den information som specificeras i underavsnittet nedan. För detta syfte bör tillsynsmyndigheten använda sig av anmälningsförfarandet för slutligt beslut enligt artikel 60 i EDPB:s informationssystem.

212. Förutom att det säkerställer öppenhet gentemot de berörda tillsynsmyndigheterna är det nödvändigt att lämna denna information till styrelsen för att tillsynsmyndigheterna ska kunna uppfylla sin skyldighet att bidra till en enhetlig tillämpning av dataskyddsförordningen enligt vad som föreskrivs i artikel 51.2. De kan då undvika att tillämpa förordningen inkonsekvent om de skulle behöva hantera ett liknande fall i framtiden.

213. Den/de tillsynsmyndigheter som mottog klagomålet måste sedan informera den enskilde om resultatet av klagomålet, i enlighet med sina nationella lagar och/eller praxis. Dessutom bör de tillsynsmyndigheter som mottog klagomålet informera sin/sina enskilda i enlighet med artikel 77.2 om att de kan söka rättsmedel vid domstol i den ansvariga tillsynsmyndighetens medlemsstat, om de berörs av den ansvariga tillsynsmyndighetens beslut i den mening som avses i artikel 78.1 . Exempel 9: Efter att media rapporterat om att den personuppgiftsbehandling som utförs av HappyCompany kanske inte är laglig, är det flera enskilda personer som lämnar in ett klagomål till sin lokala tillsynsmyndighet. Så snart den ansvariga tillsynsmyndigheten har identifierats beslutar den att behandla klagomålen, då de gäller samma behandling och samma överträdelse, i en och samma akt. Efter att den ansvariga tillsynsmyndigheten har antagit ett beslut och den personuppgiftsansvarige meddelats, informerar var och en av de tillsynsmyndigheter som mottog klagomålet sina respektive enskilda klagande om beslutet. När de gör detta informerar också tillsynsmyndigheterna som mottog klagomålet sina enskilda om att de kan söka effektivt rättsmedel i den ansvariga tillsynsmyndighetens medlemsstat.

214. Vid detta tillfälle bör den ansvariga tillsynsmyndigheten även informera den personuppgiftsansvarige eller personuppgiftsbiträdet om dess skyldigheter enligt artikel 60.10 och de möjliga konsekvenserna av bristande efterlevnad.

En sammanfattning av relevanta fakta och motivering

215. När den ansvariga tillsynsmyndigheten informerar de andra berörda tillsynsmyndigheterna och styrelsen, lämnar den en sammanfattning av relevanta fakta och motiveringen till beslutet i fråga. Denna sammanfattning bör innehålla de formella stegen och grunderna till beslutet, samt vad som bestyrker det.

216. Sammanfattningen bör därför som minst innehålla följande information :  Datum för det slutliga beslutet.  Identifieringen av den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna.  De personuppgiftsansvarigas och/eller personuppgiftsbiträdenas namn.  De relevanta rättsliga slutsatserna i fråga (överträdda bestämmelser/ej beviljade 79 80 rättigheter ), knutna till ärendets faktamässiga grund .  Resultatet av förfarandet och i tillämpliga fall vilka korrigerande åtgärder som vidtagits .

217. Alltefter omständigheterna bör var och en ledamot i styrelsen med hjälp av sammanfattningen kunna förstå ämnesområdet och slutsatsen i det fattade beslutet. Det rekommenderas att den ansvariga tillsynsmyndigheten även tillhandahåller en kopia av beslutet på engelska. Detta bör göras med hjälp av de lämpliga fälten i EDPB:s informationssystem.

ARTIKEL 60.8 –AVVISANDE AV/AVSLAG PÅ KLAGOMÅL

218. Artikel 60.8 gäller en situation där de berörda tillsynsmyndigheterna inklusive den ansvariga tillsynsmyndigheten har kommit överens om att avvisa eller avslå ett klagomål i sin helhet, eller där den slutsatsen drogs av EDPB efter artikel 65. Den tillsynsmyndighet till vilken klagomålet lämnades in kan vara antingen den ansvariga tillsynsmyndigheten eller en annan berörd tillsynsmyndighet. I artikeln införs tre skyldigheter för den tillsynsmyndighet till vilken klagomålet lämnades in:  Att anta beslutet.  Att meddela den enskilde.  Att informera den personuppgiftsansvarige. Detta görs genom undantag från artikel 60.7.

Undantag från punkt 7

219. I och med artikel 60.8 införs ett undantag från situationen då den ansvariga tillsynsmyndigheten antar beslutet och meddelar det till den personuppgiftsansvariges eller personuppgiftsbiträdets huvudsakliga, eller enda verksamhetsställe i EU. Det undantaget gäller enbart i situationen då ett klagomål avvisas eller avslås i sin helhet.

220. Även om det i mekanismen för en enda kontaktpunkt i allmänhet är den ansvariga tillsynsmyndigheten som bör förbli den personuppgiftsansvarige/personuppgiftsbiträdets enda motpart för dess gränsöverskridande behandling, är det i denna specifika situation en berörd tillsynsmyndighet som måste informera den personuppgiftsansvarige/personuppgiftsbiträdet om avvisandet/avslaget i ärendet.

Termen ”avvisande/avslag”

221. Begreppen avvisande och avslag kan ha olika definitioner på nationell nivå, och därmed också olika förfarandemässiga/administrativa följdverkningar. I dataskyddsförordningen hänvisas det emellertid alltid till båda handlingarna, ett avvisande eller avslag .

222. EU-domstolen har konsekvent ansett att ordalydelsen i en unionsbestämmelse som inte innehåller någon uttrycklig hänvisning till medlemsstaternas rättsordningar för fastställandet av bestämmelsens innebörd och tillämpningsområde, i regel ska ges en självständig och enhetlig tolkning inom hela unionen, med beaktande av inte bara ordalydelsen, utan även det sammanhang i vilket bestämmelsen förekommer och det mål som eftersträvas med den aktuella lagstiftningen. Detta är en följd av behovet av enhetlig tillämpning av EU-rätten och av jämlikhetsprincipen .

223. Angående tolkningen av vad avvisande/avslag mer specifikt medför går det att hänvisa till formuleringen i artikel 60.9, där avvisande/avslag ställs mot beslutet att ”vidta åtgärder beträffande” klagomålet. Det ska noteras att artikel 60.9 nämner att den ansvariga tillsynsmyndigheten antar beslutet ”om den del som gäller åtgärder som avser den personuppgiftsansvarige”, och att den ansvariga tillsynsmyndigheten då kommer att meddela beslutet till den personuppgiftsansvarige/personuppgiftsbiträdet, medan det står att den berörda tillsynsmyndigheten antar beslutet ”för den del som gäller avvisande av eller avslag på klagomålet” och att den tillsynsmyndighet som mottagit klagomålet då meddelar beslutet till den enskilde. När artikel 60.9 läses tillsammans med artikel 60.8 kan det alltså tolkas i den meningen att när resultatet av ett artikel 60-förfarande blir avvisande/avslag på ett klagomål, medför det att (en del av) det slutliga beslut som ska antas inte innehåller någon åtgärd att vidta med avseende på den personuppgiftsansvarige.

224. Ur den synvinkeln kan ett sådant beslut anses påverka den enskilde negativt. Detta bekräftas av lagstiftningsprocessen för dataskyddsförordningen, där det gjordes en mer allmän hänvisning till beslut som är ”negativa” för den enskilde . Den uttryckliga hänvisningen till rätten till rättsmedel och närhet till den enskilde (som det erinras om i synnerhet i punkt 213) visar också att negativa beslut för de enskilda bör ligga inom denna kategori. När klagomålet inte följs på någon nivå i det slutliga beslutet och den ansvariga tillsynsmyndigheten inte vidtar någon åtgärd med avseende på den personuppgiftsansvarige/personuppgiftsbiträdet i detta beslut, torde inte den personuppgiftsansvarige/personuppgiftsbiträde ha något intresse för rättsmedel inom den medlemsstat där den har sitt huvudsakliga verksamhetsställe. Den enskilde borde å andra sidan ha ett intresse av att bestrida de beslut som negativt påverkar honom/henne inom den egna medlemsstaten, och på sitt eget språk .

225. Ett beslut om att avvisa eller avslå ett klagomål (eller delar av det) bör uppfattas som en situation där den ansvariga tillsynsmyndigheten vid behandlingen av klagomålet har funnit att det inte finns någon grund för talan sett till den enskildes anspråk, och ingen åtgärd vidtas med avseende på den personuppgiftsansvarige. I sådana fall måste klagomålet avvisas eller avslås genom det beslut som antas av den tillsynsmyndighet som mottog klagomålet, beroende på det enskilda fallet .

226. Den enskilde kan använda ett meddelande som han eller hon tar emot genom tillämpning av artikel 60.8 för att utöva rätten till rättsmedel mot beslutet som tagits av en tillsynsmyndighet. Eftersom detta beslut måste antas av den tillsynsmyndighet som mottog klagomålet, möjliggör detta närhet mellan den enskilde och den behöriga domstolen, enligt artikel 78.3 och enligt artikel 47 i stadgan om de grundläggande rättigheterna (genom att det väljs en domstol i den enskildes medlemsstat, eftersom beslutet antas av den berörda tillsynsmyndigheten i den medlemsstaten) .

227. Detta innebär, när det gäller tillämpningen av artikel 60.8 och 60.9 och den sista meningen i artikel 60.7, att det i det beslut som utgör resultat av samarbetsförfarandet tydligt ska anges om klagomålet avvisas eller avslås, eller vilken åtgärd som ska vidtas av den ansvariga tillsynsmyndigheten med avseende på den personuppgiftsansvarige, så att den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna kan se till att deras respektive nationella beslut blir antagna därefter, i enlighet med artikel 60.8, 60.9 eller 60.7.

228. Om det i nationell rätt finns definitioner av avvisande/avslag bör tillsynsmyndigheterna använda sig av dem, liksom av den nationella administrativa praxisen för att avgöra ett fall av avvisande/avslag av ett klagomål, och i sådana fall förfara i enlighet med detta . I vilket fall som helst bör utkastet till beslut, som delas så som anges i de föregående avsnitten, innehålla tydliga motiveringar till att klagomålet avvisas/avslås enligt de relevanta nationella lagarna.

229. Det är viktigt att notera att ett avvisande eller avslag på detta stadium är något annat än ett eventuellt konstaterande av avvisande eller avslag i granskningsskedet av klagomålsförfarandet. Som betonas i punkt 50 föregår denna granskning varje inlämning av klagomålet till den ansvariga tillsynsmyndigheten, och utförs av den tillsynsmyndighet som mottog klagomålet. I ett sådant fall blir klagomålet avvisat eller avslaget innan det når samarbetsfasen.

230. Det bör också medges att det kan finnas situationer då den registrerades intressen inte påverkas negativt av resultatet av förfarandet med en enda kontaktpunkt, med anledning av de steg som den ansvariga tillsynsmyndigheten tagit under sin handläggning av klagomålet. I sådana fall är den centrala faktorn att grunden för talan kan påvisas ha avlägsnats – det vill säga att den enskilde erhöll försvar av sina rättigheter genom den ansvariga tillsynsmyndighetens ingripande mot den personuppgiftsansvarige, som under tiden uppfyllde villkoren i den enskildes klagomål. Förutsatt att den enskilde har informerats under förfarandets gång om det gynnsamma resultat som uppnåtts, kan den ansvariga tillsynsmyndigheten i sådana fall besluta att inte längre vidta åtgärder med avseende på den personuppgiftsansvarige – dvs. ingen av de faktorer som nämns ovan vad gäller avvisande/avslag kontra att vidta åtgärder är tillämplig.

231. Så är i synnerhet fallet vid förlikningssituationer, alltså när ärendet har lösts så att en registrerad blir nöjd, när den påstådda överträdelsen i klagomålet har identifierats av den ansvariga tillsynsmyndigheten och när den enskilde har godkänt uppgörelse i godo för klagomålet. Den situationen ligger under området för artikel 60.7. Som redan har påpekats drabbar inte heller beslutet negativt den enskilde, som visat sin tillfredsställelse med den föreslagna förlikningen, och ska därför inte antas av den tillsynsmyndighet som mottog klagomålet enligt artikel 60.8 eller 60.9 – då det inte är något avvisande eller avslag inblandat. Det blir upp till den ansvariga tillsynsmyndigheten att anta det slutliga beslutet i ett sådant fall , för att bedöma den uppnådda förlikningen i sin egenskap av den personuppgiftsansvariges/personuppgiftsbiträdets enda motpart enligt artikel 56.6.

232. Detta gäller även fall som inte omfattas av förlikningskonstellationen, då den ansvariga tillsynsmyndigheten inte utförde eller inte kunde försöka utföra en sådan förlikning men dess ingripande under behandlingen av klagomålet ändå gjorde att den personuppgiftsansvarige stoppade överträdelsen och fullt ut tillfredsställde den enskildes anspråk. Mot bakgrund av detta resultat och de särskilda omständigheterna i ärendet kan den ansvariga tillsynsmyndigheten anse att det lämpligaste beslutet för det aktuella klagomålet är att avsluta handläggningen av ärendet och notera den lösning som åstadkommits, utan att vidta några åtgärder mot den personuppgiftsansvarige .

233. Men eftersom en överträdelse onekligen identifierats av den ansvariga tillsynsmyndigheten, måste beslutet att inte vidta någon åtgärd mot den personuppgiftsansvarige bygga på en noggrann bedömning av omständigheterna i klagomålet som helhet, för att hålla samma garantinivåer som beviljas de registrerade.

234. Å andra sidan blir det slutliga beslutet i detta sammanhang inte utfärdat av den tillsynsmyndighet som mottog klagomålet utan i stället av den ansvariga tillsynsmyndigheten, enligt punkt 7, trots att ingen åtgärd ska tas med avseende på den personuppgiftsansvarige genom detta slutliga beslut – det sker som ett erkännande av den ansvariga tillsynsmyndighetens roll som enda motpart till den personuppgiftsansvarige som det aktuella klagomålet är inriktat på och av att en konstaterad överträdelse kan påverka den personuppgiftsansvarige negativt. Genom detta skulle det bli omöjligt för den enskilde att bestrida beslutet i den medlemsstat där klagomålet lämnades in, oavsett om den enskilde fortfarande har eller inte har grund för talan för att söka rättsmedel mot en tillsynsmyndighet. Detta är en fråga för domstolarna att bedöma i det konkreta fallet. Varje gång detta scenario kan inträffa bör den ansvariga tillsynsmyndigheten därför säkerställa via den tillsynsmyndighet som mottog klagomålet att den enskilde blir vederbörligen informerad om den positiva utgången och om det förväntade resultatet av klagomålet, och inte uttrycker någon meningsskiljaktighet.

235. Slutligen bör det påminnas om att också ett beslut att inte vidta någon åtgärd mot den personuppgiftsansvarige, även när en överträdelse ägt rum, måste ha överenskommits av den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna, vilket medför att alla omständigheterna i ärendet vederbörligen ska ha beaktats, inklusive den enskildes garanterade rättigheter och friheter. Exempel 10: En missnöjd kund lämnar in ett klagomål till sin lokala tillsynsmyndighet i medlemsstat A. Tillsynsmyndigheten utför den preliminära granskningen och vidarebefordrar klagomålet till den ansvariga tillsynsmyndigheten. Efter att ha mottagit klagomålet och utrett frågan kan den ansvariga tillsynsmyndigheten inte hitta någon bevisning till stöd för klagomålet. Därför kan inte den ansvariga tillsynsmyndigheten fastställa överträdelsen och drar slutsatsen att klagomålet ska avvisas/avslås, då ingen åtgärd vidtas mot den personuppgiftsansvarige. Den ansvariga tillsynsmyndigheten delar ett utkast till beslut om detta och eftersom inga invändningar görs, ska enligt artikel 60.8 den tillsynsmyndighet som mottog klagomålet anta det slutliga nationella beslutet om att avvisa/avslå klagomålet och meddela det till den enskilde. Exempel 11: En enskild klagande menar att han skickade en begäran till en personuppgiftsansvarig och inte fick något svar. Dataskyddsmyndigheten får inte något svar på sina preliminära granskningsåtgärder. Tillsynsmyndigheten som mottog klagomålet skickar ärendet till den ansvariga tillsynsmyndigheten. Den ansvariga tillsynsmyndigheten noterar att begäran skickades till en felaktig/icke-existerande adress som skiljer sig från vad som angavs på den personuppgiftsansvariges webbplats (den enskilde verkar ha försökt med en contact@XXX.com-adress utan att kontrollera kontaktadresserna på webbplatsen). Den ansvariga tillsynsmyndigheten delar ett utkast till beslut varigenom klagomålet avvisas/avslås, eftersom det hela bara var ett misstag från den enskilde. Eftersom ingen invändning görs antar den tillsynsmyndighet som mottog klagomålet det slutliga beslutet om avvisande/avslag enligt artikel 60.8 och meddelar den enskilde detta. Exempel 12: En missnöjd kund lämnar ett klagomål till sin lokala tillsynsmyndighet i medlemsstat A och hävdar att webbplatsen HappyCompany gör intrång på kundens rättigheter. Efter att den preliminära granskningen utförts överförs klagomålet till den ansvariga tillsynsmyndigheten i medlemsstat B. Den inleder en utredning men kommer inte åt webbplatsen i fråga. Efter vidare efterforskningar konstaterar man att den personuppgiftsansvarige har avvecklats. Utredningen kan därför inte fortsätta och den ansvariga tillsynsmyndigheten kan inte hitta tillräckligt med bevisning till stöd för den enskildes anspråk. Den ansvariga tillsynsmyndigheten delar ett utkast till beslut om att klagomålet bör avvisas eftersom orsaken till klagomålet har upphört. Eftersom ingen invändning görs antar den tillsynsmyndighet som mottog klagomålet det slutliga nationella beslutet om att avvisa/avslå klagomålet enligt artikel 60.8 och meddelar den enskilde detta. Exempel 13: En missnöjd kund lämnar in ett klagomål till sin lokala tillsynsmyndighet och menar att hennes uppgifter innehas och behandlas olagligt av HappyCompany, som begår överträdelser av hennes rättigheter. Efter att den preliminära granskningen utförts överförs klagomålet till den ansvariga tillsynsmyndigheten. Den ansvariga tillsynsmyndigheten inleder en utredning och får av den personuppgiftsansvarige informationen att den enskildes uppgifter verkligen finns kvar i deras filer, på grund av ett fel i deras kundresurshantering som gjorde att informationen inte raderades i tid (inställningar, köphistorik osv.). De raderar emellertid genast informationen efter att ha fått brevet från den ansvariga tillsynsmyndigheten, och detta lämnar de bevis för till myndigheten. Den ansvariga tillsynsmyndigheten delar därför ett utkast till beslut där man konstaterar en överträdelse från den personuppgiftsansvarige, och framställer situationen som åtgärdad efter sitt eget ingripande, utan att föreslå några korrigerande åtgärder med särskilt avseende på den personuppgiftsansvarige, eftersom detta var första gången en sådan överträdelse begicks. Följaktligen föreslår den ansvariga tillsynsmyndigheten att man går på alternativet att själv anta det slutliga beslutet enligt artikel 60.7. Eftersom inga invändningar görs antar den ansvariga tillsynsmyndigheten ett slutligt nationellt beslut enligt nämnda principer och meddelar detta till den personuppgiftsansvarige, samtidigt som den tillsynsmyndighet som mottog klagomålet informerar den enskilde om beslutet.

Antagande av beslutet

236. Den tillsynsmyndighet som måste anta beslutet är den tillsynsmyndighet som mottog klagomålet/klagomålen. Detta kan gälla flera olika tillsynsmyndigheter. Myndigheten bör göra detta på det sätt som krävs enligt dess nationella lagstiftning. Även i fall då den tillsynsmyndighet som mottog klagomålet är den ansvariga tillsynsmyndigheten, behöver dess beslut antas enligt förfarandet i punkt 8 som ett undantag från punkt 7 (lex specialis-regel). Därför kan den tillsynsmyndighet som mottog klagomålet och som antar beslutet vara antingen den ansvariga tillsynsmyndigheten, en annan berörd tillsynsmyndighet eller båda (eller alla), beroende på antalet klagomål och karaktären på dem.

237. När klagomålet är inlämnat hos en eller flera berörda tillsynsmyndigheter ska den ansvariga tillsynsmyndigheten utarbeta utkastet till beslut om att avvisa/avslå klagomålet/klagomålen, och de berörda tillsynsmyndigheterna ska utfärda ett slutligt beslut i EDPB:s informationssystem, där det antas också på nationell nivå och de nödvändiga nationella juridiska bestämmelserna införs.

238. När den berörda tillsynsmyndigheten utfärdar ett beslut måste den ge full verkan till utkastet till beslut, som är bindande för den ansvariga tillsynsmyndigheten och andra berörda tillsynsmyndigheter enligt artikel 60.6 och/eller EDPB:s bindande beslut i enlighet med artikel 65.1 a .

Informera och meddela

239. När beslutet har antagits ska den eller de tillsynsmyndigheter som mottog klagomålet meddela den enskilde och informera den personuppgiftsansvarige/personuppgiftsbiträdet . Detta ska göras av varje tillsynsmyndighet som mottog klagomålet, enligt deras egna nationella lagar och praxis och på det språk som föreskrivs i dessa bestämmelser. För detta syfte kan den/de tillsynsmyndigheter som mottog klagomålet ta hjälp av den ansvariga tillsynsmyndigheten, som kan informera den personuppgiftsansvarige/personuppgiftsbiträdet på deras vägnar. I vilket fall som helst behöver den/de tillsynsmyndigheter som mottog klagomålet informera både den enskilde och den personuppgiftsansvarige om deras möjlighet att söka rättshjälp i sin medlemsstat.

240. Den tillsynsmyndighet som mottog klagomålet bör sedan informera de andra berörda tillsynsmyndigheterna och styrelsen, och inkludera en sammanfattning av relevanta fakta och relevant motivering, enligt vad som förklaras i avsnitt 9.4. Detta grundar sig på syftet med den informationsskyldighet som nämns i artikel 60.7 beträffande det beslut som antas av den ansvariga tillsynsmyndigheten, nämligen att säkerställa enhetlighet genom att informera de andra berörda tillsynsmyndigheterna och styrelsen som helhet. Informationsutbytet om det faktiska beslut som slutligen antas på nationell nivå – oavsett tillsynsmyndighet som antar ett sådant slutligt nationellt beslut – är tänkt att säkerställa ömsesidig kännedom om de nationella besluten, så att det inte uppstår inkonsekvens i genomförandet av EU-rätten. Även om det inte i artikel 60.8 uttryckligen krävs att den berörda tillsynsmyndigheten ger en sammanfattning av relevanta fakta och motivering, verkar det alltså som att detta ett övergripande krav som är avsett att säkerställa att dataskyddsförordningen verkställs enhetligt.

ARTIKEL 60.9 – DELVIS AVVISANDE/AVSLAG

241. Artikel 60.9 är främst ett förfarandesteg i artikel 60-förfarandet, som gäller så snart de involverade tillsynsmyndigheterna har kommit överens om, och är bundna av, ett utkast till beslut som innehåller både delar där åtgärder vidtagits och delar som avvisats/avslagits .

242. I praktiken innebär detta att beslutet om delvis avvisande/avslag på det här stadiet i förfarandet redan har tagits, och att de delar i utkastet till beslut som har med avvisandet/avslaget att göra och de som gäller vidare åtgärder från den ansvariga tillsynsmyndigheten redan har markerats tydligt i utkastet till beslut. Tillsynsmyndigheterna behöver nu bara formalisera det genom de nödvändiga antagningsförfaranden som beskrivs i artikel 60.9. Detta ger upphov till slutliga nationella beslut, som måste ge full verkan till utkastet till beslut, som är bindande för alla berörda tillsynsmyndigheter enligt artikel 60.6 och/eller EDPB:s bindande beslut i enlighet med artikel 65.1 a.

243. Följaktligen delas den tillhörande meddelande-/informationsplikten upp mellan den ansvariga tillsynsmyndigheten och de tillsynsmyndigheter som mottog klagomålet. Den ansvariga tillsynsmyndigheten antar ett beslut för de delar av klagomålet som varken avvisades eller avslogs, i enlighet med vad som fastställs i avsnitt 10.2. Den ansvariga tillsynsmyndigheten meddelar sitt beslut till den personuppgiftsansvarige och informerar den enskilde om det; här anser EDPB att den ansvariga tillsynsmyndigheten kan använda sig av den tillsynsmyndighet som mottog klagomålet för att överföra sådan information till den/de enskilda, för den administrativa effektivitetens skull. Varje tillsynsmyndighet som mottagit klagomål antar ett beslut för de delar som avvisades/avslogs angående det klagomål som lämnades in till den, enligt den metod som beskrivs i föregående avsnitt (se särskilt punkt 239). Exempel 14: En missnöjd kund lämnar in ett klagomål till sin lokala tillsynsmyndighet och menar att hennes uppgifter innehas och behandlas olagligt av HappyCompany, som begår överträdelser av hennes rättigheter. Efter att den preliminära granskningen utförts överförs klagomålet till den ansvariga tillsynsmyndigheten. Den ansvariga tillsynsmyndigheten inleder en utredning och får av den personuppgiftsansvarige informationen att den enskildes uppgifter verkligen finns kvar i deras filer, på grund av ett fel i deras kundresurshantering som gjorde att den onödiga informationen inte raderades i tid (inställningar, köphistorik osv.). Vissa uppgifter om den enskilde måste emellertid sparas längre tid på grund av finans- och taxeringskrav; bevis på detta tillhandahålls till den ansvariga tillsynsmyndigheten. Därför delar den ansvariga tillsynsmyndigheten ett utkast till beslut där den agerar beträffande delar av klagomålet och beordrar den personuppgiftsansvarige att slutgiltigt radera den onödiga informationen, samt ger en reprimand, men erkänner att den personuppgiftsansvarige har rätt att behålla återstående personuppgifter efter lagens krav och att den tillsynsmyndighet som mottog klagomålet behöver avvisa den delen av klagomålet. Eftersom inga invändningar görs, antar den ansvariga tillsynsmyndigheten ett slutligt nationellt beslut där den beordrar den personuppgiftsansvarige att följa den enskildes begäran att få den onödiga informationen raderad, meddelar detta till den personuppgiftsansvarige och informerar den enskilde om saken. Den tillsynsmyndighet som mottog klagomålet antar ett slutligt nationellt beslut om att avslå klagomålet när det gäller begäran att radera den nödvändiga informationen, meddelar detta till den enskilde och informerar den personuppgiftsansvarige om saken. Den ansvariga tillsynsmyndigheten och den berörda tillsynsmyndigheten ger en sammanfattning av relevanta fakta och motivering till de andra tillsynsmyndigheterna och styrelsen via EDPB:s informationssystem, för deras respektive slutliga nationella beslut.

ARTIKEL 60.10 – MEDDELANDE TILL DEN ANSVARIGA TILLSYNSMYNDIGHETEN/DE BERÖRDA TILLSYNSMYNDIGHETERNA OM DE ÅTGÄRDER SOM ANTAGITS AV DEN PERSONUPPGIFTSANSVARIGE/PERSONUPPGIFTSBITRÄDET

244. I punkt 10 behandlas den situation som inträffar inom mekanismen för en enda kontaktpunkt efter att den ansvariga tillsynsmyndigheten meddelat den personuppgiftsansvarige eller personuppgiftsbiträdet om ett antaget beslut mot dem där det krävs att de agerar utifrån klagomålet.

245. Detta beslut meddelas enligt antingen artikel 60.7 eller 60.9, när den ansvariga tillsynsmyndigheten agerar endast beträffande en del av de punkter som ingår i klagomålet mot den personuppgiftsansvarige eller personuppgiftsbiträdet.

246. Den första meningen i artikel 60.10 innehåller en skyldighet för den personuppgiftsansvarige eller personuppgiftsbiträdet att anta de nödvändiga åtgärderna för att garantera att beslutet efterlevs, och där tillämpas de korrigerande befogenheter som beviljas i artikel 58.2.

247. Den personuppgiftsansvarige eller personuppgiftsbiträdet måste säkerställa att dessa åtgärder införs av alla dess verksamhetsställen i EES, där den aktuella behandlingen äger rum.

248. I artikel 60.10 andra meningen finns en andra skyldighet för den personuppgiftsansvarige eller personuppgiftsbiträdet, nämligen att meddela den ansvariga tillsynsmyndigheten om alla åtgärder den har antagit för att följa beslutet, när det senare medförde korrigerande åtgärder. Genom denna skyldighet säkerställs att verkställandet genomförs. Den utgör också grunden för eventuella nödvändiga uppföljningsåtgärder som den ansvariga tillsynsmyndigheten kan inleda, även i samarbete med de andra berörda tillsynsmyndigheterna .

249. I den andra meningen i artikel 60.10 ingår också en skyldighet för den ansvariga tillsynsmyndigheten att informera de andra berörda tillsynsmyndigheterna om de åtgärder som den personuppgiftsansvarige eller personuppgiftsbiträdet vidtagit för att efterleva det beslut som tagits mot dem. Även om det inte finns någon fastställd tidsfrist för när den ansvariga tillsynsmyndigheten ska lämna denna information till de andra berörda tillsynsmyndigheterna, bör sådan information lämnas så snart den ansvariga tillsynsmyndigheten mottar informationen från den personuppgiftsansvarige eller personuppgiftsbiträdet. När den ansvariga tillsynsmyndigheten informerar de andra berörda tillsynsmyndigheterna, bör den överväga att även tillhandahålla sin bedömning om den drar slutsatsen att de vidtagna åtgärderna är otillräckliga, särskilt för att kunna avgöra om det är nödvändigt med vidare åtgärder.

ARTIKEL 60.11 – SKYNDSAMT FÖRFARANDE

250. I artikel 60.11 tas de ”exceptionella omständigheter” upp då en tillsynsmyndighet kan använda sig av det skyndsamma förfarandet i artikel 66 under ett artikel 60-förfarande.

251. I dessa riktlinjer gäller att fokus följaktligen främst ligger på formuleringen i artikel 60.11, dvs. villkoren för att åberopa artikel 66 under ett förfarande med en enda kontaktpunkt, och på de konsekvenser detta har på detta pågående förfarande.

Villkoren för att åberopa artikel 66

252. Följande kumulativa villkor måste vara uppfyllda för att en tillsynsmyndighet i enlighet med artikel 60.11 ska kunna åberopa det skyndsamma förfarandet i artikel 66:  Tillsynsmyndigheten är en berörd tillsynsmyndighet.  Det råder exceptionella omständigheter.  Den berörda tillsynsmyndigheten anser att det finns ett brådskande behov av att agera.  Detta brådskande behov är till för att skydda registrerades intressen. Nedan ges förklaringar av varje villkor.

253. I artikel 60.11 omnämns den berörda tillsynsmyndigheten som en del av ett artikel 60-förfarande, dvs. en berörd tillsynsmyndighet som deltar i ett förfarande med en enda kontaktpunkt . En sådan berörd tillsynsmyndighet kan åberopa artikel 66 om samtliga de tillämpliga villkoren är uppfyllda. Eftersom den ansvariga tillsynsmyndigheten också är en berörd tillsynsmyndighet enligt definitionen i artikel 4.22, kan även en ansvarig tillsynsmyndighet i princip åberopa artikel 60.11 om alla de andra villkoren är uppfyllda.

254. När det gäller begreppet ”exceptionella omständigheter” kan sådana föreligga i situationer där den aktuella situationen är så brådskande att det inte går att använda sig av ”vanligt” samarbete eller enhetlighetsförfaranden inom en tidsram som passar. Det krävs en restriktiv tolkning av om sådana omständigheter är exceptionella till sin karaktär. Det gäller i synnerhet om den berörda tillsynsmyndigheten trots ett pågående artikel 60-förfarande tänker begära att EDPB, i enlighet med artikel 60.11, antar ett brådskande yttrande eller ett brådskande bindande beslut enligt villkoren i artikel 66.3 – dvs. när det anses att en behörig tillsynsmyndighet (troligast den ansvariga tillsynsmyndigheten som sådan) ”inte har vidtagit någon lämplig åtgärd”. Alla försök från en tillsynsmyndighet att informellt erhålla ett ingripande från den behöriga tillsynsmyndigheten bör göras på förhand, vilket också tydligt är i linje med det mål om samförstånd som ligger till grund för hela artikel 60-förfarandet.

255. Angående det ”brådskande behovet av att agera” och de kriterier som den berörda tillsynsmyndigheten ska använda för att bedöma brådska under de specifika omständigheterna, går det att hänvisa till skäl 137, där det står att brådskande behov i synnerhet föreligger ”när fara föreligger att säkerställandet av en registrerad persons rättighet kan komma att försvåras avsevärt”. Enligt rättspraxis inom EU är det ”inte nödvändigt att det med absolut visshet är fastställt att skadan är nära förestående, utan det är tillräckligt att den ifrågavarande skadan […] är förutsägbar med en tillräcklig grad av sannolikhet” .

256. Angående det fjärde villkoret bör det påpekas att artikel 60.11 inte nämner ”registrerades rättigheter och friheter”, till skillnad från artikel 66, utan mer brett deras ”intressen”. Eftersom det förfarande som ska tillämpas är det ”som avses i artikel 66”, anser EDPB att sådana intressen faktiskt sammanfaller med registrerades rättigheter och friheter enligt artikel 66.

257. Som nämns ovan är dessa villkor kumulativa, och det är den berörda tillsynsmyndighetens ansvar att tillhandahålla ”skäl” för vart och ett av dem, oavsett om den avser att vidta brådskande åtgärder enligt artikel 66.1 eller begära ett brådskande yttrande eller brådskande bindande beslut från EDPB enligt artikel 66.2 eller 66.3.

258. Dessutom bör en berörd tillsynsmyndighet överväga åtskilliga ytterligare faktorer utöver de villkor som läggs fram i artikel 60.11 innan den tar ett sådant steg, till exempel  de faktorer som inhämtats från förfarandet med en enda kontaktpunkt,  utbyten med de andra berörda tillsynsmyndigheterna (inklusive den ansvariga tillsynsmyndigheten),  utbyten med den personuppgiftsansvarige/personuppgiftsbiträdet och i tillämpliga fall den enskilde angående den gränsöverskridande behandling det rör sig om,  den fas som nåtts i artikel 60-förfarandet (särskilt hur nära det är till att slutföra förfarandet och därmed vidta verkställighetsåtgärder med avseende på den personuppgiftsansvarige/personuppgiftsbiträdet).

259. Angående det ”brådskande behovet av att agera” bör den berörda tillsynsmyndigheten särskilt ta hänsyn till den sista punkten.

Samverkan med ett pågående samarbetsförfarande enligt artikel 60

260. Det skyndsamma förfarandet enligt artikel 66 avviker från artikel 60-förfarandet genom sin exceptionella karaktär, men det har ingen påverkan på det. Om en berörd tillsynsmyndighet använder sig av ett skyndsamt förfarande i enlighet med artikel 60.11, och alla relevanta villkor är uppfyllda, har det alltså inte den effekten att det avslutar det befintliga förfarandet med en enda kontaktpunkt. Konsekvenserna av att den berörda tillsynsmyndigheten antar provisoriska åtgärder enligt artikel 66.1, och/eller begär ett brådskande yttrande eller bindande beslut från EDPB enligt artikel 66.2 eller 66.3, kommer därför att behöva tas med i beräkningen i det förfarandet med en enda kontaktpunkt i enlighet med detta.

261. Allmänt sett går det att göra en åtskillnad beroende på karaktären på de brådskande åtgärder som eftersträvas:  Den berörda tillsynsmyndigheten antog åtgärder som är provisoriska och begränsade i tid och till det nationella territoriet i enlighet med artikel 66.1, och avser inte att begära slutliga åtgärder av EDPB.  Den berörda tillsynsmyndigheten antog provisoriska åtgärder enligt artikel 66.1 och avser att erhålla slutliga åtgärder genom tillämpningen av artikel 66.2, eller så avser den att direkt erhålla slutliga åtgärder genom tillämpningen av artikel 66.3.

262. I fallet då artikel 66.1 tillämpas kan förfarandet med en enda kontaktpunkt fortsätta mot att anta slutliga åtgärder under ledning av den ansvariga tillsynsmyndigheten, utan att den berörda tillsynsmyndighetens provisoriska åtgärder har några särskilda konsekvenser för förfarandet med en enda kontaktpunkt. I det scenario där artikel 66.2 eller 66.3 tillämpas, är de brådskande åtgärder som den berörda tillsynsmyndigheten begär av EDPB slutliga till sin karaktär. I ett sådant scenario kommer därför det brådskande bindande beslut eller brådskande yttrande som antas av EDPB att påverka det pågående förfarandet med en enda kontaktpunkt, särskilt med tanke på att den ansvariga tillsynsmyndigheten behöver genomföra det utan dröjsmål. Följaktligen kommer den ansvariga tillsynsmyndigheten och andra berörda tillsynsmyndigheter att behöva avbryta handläggningen av ärendet i väntan på att ett sådant brådskande bindande beslut eller yttrande ska utfärdas.

263. Så snart EDPB utfärdar sitt brådskande yttrande eller brådskande bindande beslut, kan förfarandet med en enda kontaktpunkt börja om igen, med hänsyn tagen till det skyndsamma förfarandets konsekvenser. Det bör emellertid beaktas att den ansvariga tillsynsmyndigheten måste anta sitt slutliga beslut i enlighet med det brådskande yttrandet eller brådskande bindande beslutet från EDPB inom en mycket begränsad tid, som sätts av EDPB från fall till fall (till exempel två veckor eller en månad), med exakt hänsyn till hur brådskande frågan är enligt EDPB:s godkännande.

264. Den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna är de som är i bäst position för att fastställa om de frågor som behandlades i det pågående förfarandet med en enda kontaktpunkt har tagits upp helt och hållet i det slutliga beslut som den ansvariga tillsynsmyndigheten antagit på grundval av EDPB:s brådskande bindande beslut eller brådskande yttrande, eller om det finns kvarstående frågor.

265. I det förra fallet kommer förfarandet med en enda kontaktpunkt att komma till en slutsats efter att den ansvariga tillsynsmyndigheten antagit sitt slutliga beslut, vilket följs av de förfarandesteg som regleras i villkoren i artikel 60.7–60.9, beroende på det enskilda fallet. Eftersom ärendet är avslutat kan detta innebära att den ansvariga tillsynsmyndigheten inte kommer att dela något utkast till beslut enligt artikel 60.3 . Om det finns fler frågor som behöver tas upp utöver dem som varit föremål för det brådskande yttrandet eller det brådskande bindande beslutet, måste den ansvariga tillsynsmyndigheten tydligt identifiera vilka frågor i dess utkast till beslut som återstår att ta upp i det aktuella förfarandet med en enda kontaktpunkt, och vilka som lösts genom det brådskande bindande beslutet eller yttrandet som EDPB antagit. I ett sådant fall kommer det aktuella artikel 60-förfarandet att återupptas efter att den ansvariga tillsynsmyndigheten antagit och meddelat sitt slutliga beslut, från och med den fas där man avbröt p.g.a. det skyndsamma förfarandet.

SNABBREFERENSGUIDE

I. INLEDNING

Denna bilaga bygger på dataskyddsförordningen och EDPB:s riktlinjer om artikel 60, och bör läsas ihop med relevanta avsnitt däri vid varje juridisk tolkningsfråga. Avsikten med detta dokument är att ge snabbvägledning om förfarandena för samarbetet mellan den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna vid gränsöverskridande behandling. Dokumentet är följaktligen strukturerat enligt den ordningsföljd som stegen ska utföras i under ett artikel 60-förfarande, och här lyfts fram både rättsliga skyldigheter och gemensam bästa praxis så som den fastställs i nämnda riktlinjer. När det gäller fasen innan ett artikel 60-förfarande inleds, i synnerhet beträffande att fastställa den ansvariga tillsynsmyndigheten och preliminärt granska ärenden, bör man ta hjälp av WP244 rev. 01 och annan relevant vägledning. De huvudsakliga faserna i ett förfarande med en enda kontaktpunkt beskrivs nedan.

FAS 0: fastställa vem som är ANSVARIG FAS I: utbyta relevant information och utreda

Artikel 60.1

Eventuellt artikel 60.2: ömsesidigt bistånd och gemensamma insatser

EDPB:s informationss ystem

FAS II: utarbeta beslut

Artikel 60.12

Artikel 60.3–60.5

FAS III: anta beslut

Artikel 60.6–60.10

II. STEGVIS FÖRFARANDE Fas I: utbyta information och utreda

Rättsliga krav Vem, när och vad Rekommendationer och bästa praxis EDPB:s informationssystem (IMI)

1a Artikel 60.1 – Den Vem: Den ansvariga - Tillsynsmyndigheterna bör anstränga sig ansvariga tillsynsmyndigheten och de berörda beslutsamt och till det yttersta för att uppnå tillsynsmyndigheten ska tillsynsmyndigheterna på lika samförstånd som ett rättsligt mål (39). samarbeta med de andra villkor. - Att agera i samförstånd bör vara regel (41). berörda - Använda alla tänkbara verktyg för att uppnå tillsynsmyndigheterna […] i När: Under hela samförstånd (40,42). en strävan att uppnå samarbetsförfarandet. - Välja de samarbetsmetoder som passar bäst för samförstånd. […] det aktuella ärendet (43). Vad: - Ge varandra möjlighet att uttrycka synpunkter - Obligatoriskt samarbete. (42). - Aktivt samarbete (rättvist - Ta hänsyn till varandras synpunkter (42, 127). och konstruktivt) för att förebygga tvister i en strävan att uppnå samförstånd (42). 1b Artikel 60.1 – […] Den Vem: Den ansvariga - Utbyta all information (fakta och juridisk Artikel 60 – informellt ansvariga tillsynsmyndigheten och de berörda motivering) som är nödvändig för att nå en slutsats samråd tillsynsmyndigheten och de tillsynsmyndigheterna på lika i ärendet (46). berörda villkor. - Informella utbyten mellan tillsynsmyndigheterna i tillsynsmyndigheterna ska tidigare skeden och att lyfta möjliga problem innan utbyta all relevant När: Under hela de formella stegen aktiveras, för att göra det mer information med varandra. samarbetsförfarandet, i god tid. sannolikt att samförstånd uppnås (55–57). - Informationsutbytena bör vara lämpliga och Vad: proportionerliga för att tillsynsmyndigheterna ska kunna utföra sin uppgift (47).

Rättsliga krav Vem, när och vad Rekommendationer och bästa praxis EDPB:s informationssystem (IMI)

- Obligatoriskt utbyte av all - För den ansvariga tillsynsmyndigheten: relevant information som har information i kontakten med den betydelse för sakfrågan. personuppgiftsansvarige/personuppgiftsbiträdet - Utbyte av nödvändiga (resultat, rapporter, utbyten med organisationen) handlingar och synpunkter (48–50). innan utkastet till beslut - För den berörda tillsynsmyndigheten: relevant läggs fram. information om ärendet (klagomål, vidare korrespondens, anmälan av personuppgiftsincident, eventuella vidare konstateranden osv.) (50). - Dela personuppgifter endast om det är nödvändigt för att behandla ärendet (51). - Flagga specifika frågor som konfidentiella för att uppfylla de nationella rättsliga kraven (52).

2 Artikel 60.2 – Den Vem: Den ansvariga - Begäran kan gälla ytterligare info från den enskilde, Artikel 61 – ömsesidigt ansvariga tillsynsmyndigheten. fakta att kontrollera, bevisning att inhämta, bistånd tillsynsmyndigheten får när inspektioner att utföra på den

Artikel 61 – frivilligt

som helst begära att andra personuppgiftsansvariges/personuppgiftsbiträdets När: När som helst innan utkastet ömsesidigt bistånd berörda verksamhetsställe (70–73). till beslut läggs fram.

tillsynsmyndigheter ger ömsesidigt bistånd i

enlighet med artikel 61 […] Vad: i synnerhet för att utföra - Möjlighet att begära utredningar […] ömsesidigt bistånd av en eller flera berörda tillsynsmyndigheter, däribland för att utreda ett

Rättsliga krav Vem, när och vad Rekommendationer och bästa praxis EDPB:s informationssystem (IMI)

pågående gränsöverskridande ärende. - Sådana begäranden följer reglerna i artikel 61 (skälen till begäran; tidsfrist för svaret). - Svar från berörda tillsynsmyndigheter utan onödigt dröjsmål och senast en månad efter mottagen begäran.

3 Artikel 60.2 – Den Vem: Den ansvariga - Den gemensamma insatsen kan ledas av den Artikel 60 – informellt ansvariga tillsynsmyndigheten. ansvariga tillsynsmyndigheten eller organiseras av samråd tillsynsmyndigheten […] får denna och sättas in i en eller flera medlemsstater

Artikel 62 – gemensam

genomföra gemensamma där den När: När som helst innan utkastet insats insatser i enlighet med personuppgiftsansvarige/personuppgiftsbiträdet till beslut läggs fram. artikel 62, i synnerhet för har verksamhetsställen som är relevanta för det att utföra utredningar […] specifika ärendet (79–80). Vad: - Möjlighet att upprätta en OBS: Artikel 60.2 kan också användas efter gemensam insats för att slutfört förfarande med en enda kontaktpunkt för utreda en att utföra kontroller enligt 60.10 (se nedan) (74, personuppgiftsansvarig 80). eller ett personuppgiftsbiträde som är etablerad i en annan medlemsstat.

Rättsliga krav Vem, när och vad Rekommendationer och bästa praxis EDPB:s informationssystem (IMI)

- Reglerna i artikel 62 är tillämpliga på sådan gemensam insats.

Fas II: utarbeta beslut

Rättsliga krav Vem, när och vad Rekommendationer och bästa praxis IMI

1a Artikel 60.3 – Den ansvariga Vem: Den ansvariga tillsynsmyndigheten. - Informationen ska lämnas till de Artikel 60 – informellt tillsynsmyndigheten ska utan berörda tillsynsmyndigheterna samråd dröjsmål meddela de andra När: Utan dröjsmål. skyndsamt, utifrån berörda omständigheterna i det specifika tillsynsmyndigheterna den Vad: ärendet (87–88). relevanta informationen i - Meddela de berörda - Den ansvariga ärendet. tillsynsmyndigheterna den relevanta tillsynsmyndigheten bör informationen i det aktuella ärendet. överväga att proaktivt och snabbt dela en tidtabell med de steg som ska tas tills utkastet till beslut läggs fram (89–90, 102). - Efter slutförd utredning bör den ansvariga tillsynsmyndigheten skicka en sammanfattning av resultaten till de berörda tillsynsmyndigheterna för att få återkoppling inom en kort rimlig tidsfrist. Den ansvariga tillsynsmyndigheten delar sin bedömning av den mottagna återkopplingen (94). - I ”relevant information” ingår alla ytterligare utbyten om kontroversiella frågor eller avvikande synpunkter, i linje med målet om samförstånd (93–95). - Den ansvariga tillsynsmyndigheten kan dela med de andra berörda tillsynsmyndigheterna vad

Rättsliga krav Vem, när och vad Rekommendationer och bästa praxis IMI

utkastet till beslut omfattar och huvudslutsatserna i det innan det formellt läggs fram, så att de berörda tillsynsmyndigheterna kan bidra till förfarandet överlag (57, 93). - När den ansvariga tillsynsmyndigheten utarbetar utkastet till beslut bör den ta hänsyn till de synpunkter som de berörda tillsynsmyndigheterna uttryckt preliminärt (93–94). - I enkla ärenden, när utkastet till beslut förklarar sig självt och/eller mycket lite information behöver utbytas, kan den relevanta informationen bara delas tillsammans med utkastet till beslut (104).

OBS: Se fas 1, steg 1b.

1b Artikel 60.3 – Den ska utan Vem: Den ansvariga tillsynsmyndigheten. - Framläggandet av ett utkast till Artikel 60 – utkast till dröjsmål lägga fram ett beslut gäller för alla förfaranden beslut utkast till beslut för de andra När: Så snart som möjligt efter att alla fakta med en enda kontakt punkt, berörda samlats in och det utbytts information och däribland i situationer där tillsynsmyndigheterna så att synpunkter med de berörda klagomålet dras tillbaka under de kan avge ett yttrande […] tillsynsmyndigheterna, vilket beror på hur ett pågående artikel 60förfarande, det blir förlikning,

Rättsliga krav Vem, när och vad Rekommendationer och bästa praxis IMI

komplicerade ärendena är och på vad de har för överträdelsen har upphört, särdrag. ärendet ska avslutas, ingen åtgärd mot den Vad: personuppgiftsansvarige eller - Obligatorisk framläggning av ett utkast personuppgiftsbiträdet planeras, till beslut för de berörda eller när den ansvariga tillsynsmyndigheterna i samtliga artikel tillsynsmyndigheten inte utfärdar 60-ärenden i samrådssyfte. det slutliga beslutet (97–100). - Utkastet till beslut bör till form och innehåll motsvara beslutet som ska antas i det specifika EXCEPTIONELLT FALL: Om det uppkommer nya ärendet, och innehålla alla faktorer, däribland kommentarer från de formella krav på en rättsligt berörda tillsynsmyndigheterna eller fler inlagor bindande åtgärd (109–110, 114– från den 117). - Utkastet till beslut bör ha en personuppgiftsansvarige/personuppgiftsbiträdet, kan den ansvariga tillsynsmyndigheten dra skriftlig form, tydlig och otvetydig tillbaka sitt utkast till beslut inom den fyra formulering, angivelse av veckors samrådsperiod som emotses enligt 60.4, utfärdande tillsynsmyndighet, och då tydligt uppge sina skäl, och lägga fram ett utfärdandedatum, underskrift av nytt utkast till beslut för de berörda behörig personal på tillsynsmyndigheterna, så snabbt som möjligt, tillsynsmyndigheten och varpå en ny tidsfrist börjar löpa (163). omnämnande av rätten till effektivt rättsmedel (109). - Utkastet till beslut bör också innehålla en beskrivning av relevanta fakta, giltig motivering och en korrekt juridisk bedömning, så att de berörda tillsynsmyndigheterna fullständigt förstår slutsatserna i det (104, 111,113).

Rättsliga krav Vem, när och vad Rekommendationer och bästa praxis IMI

- Det bör fastställas tydligt i utkastet till beslut huruvida ett utfärdande enligt artikel 60.7, 60.8 eller 60.9 eftersträvas. I fråga om artikel 60.9 bör det vara tydligt vad som ska utfärdas av den ansvariga tillsynsmyndigheten resp. av den/de tillsynsmyndigheter som mottog klagomålet (227). - Fyraveckorsperioden börjar löpa efter att utkastet till beslut lagts fram (103,135). - Den ansvariga tillsynsmyndigheten bör säkerställa att arbetsflödet bara utlöses på arbetsdagar och att tidsfristen inte löper ut på en EUhelgdag (138). - Den ansvariga tillsynsmyndigheten bör säkerställa att utkastet till beslut överensstämmer helt med de nationella reglerna om rätten att bli hörd, och att de steg som tas i det avseendet omnämns i utkastet till beslut (105).

1c Artikel 60.3 – [Den ansvariga Vem: Den ansvariga tillsynsmyndigheten. - Den ansvariga tillsynsmyndigheten ska] ta tillsynsmyndigheten bör bemöta vederbörlig hänsyn till deras När: Så snabbt som möjligt. synpunkterna från samtliga synpunkter.

Rättsliga krav Vem, när och vad Rekommendationer och bästa praxis IMI

Vad: berörda tillsynsmyndigheter - Ta hänsyn till de berörda (129). tillsynsmyndigheternas synpunkter på - Den ansvariga utkastet till beslut, för att nå ett resultat tillsynsmyndigheten bör förklara i samförstånd. på vilket sätt den avser att ta vederbörlig hänsyn till dessa synpunkter, vilka som ska följas och vilka inte, bland annat för att de kan motsäga varandra (129). - Den ansvariga tillsynsmyndigheten bör ta yttersta hänsyn till synpunkterna från den berörda tillsynsmyndighet som mottog klagomålet, eftersom den fungerar som kontaktpunkt för den enskilde och den myndigheten kan bli tvungen att anta och försvara ett beslut (130).

OBS: Se fas I, steg 1a, om att uppnå samförstånd och fas II, steg 1a, om att utarbeta utkastet till beslut.

2a Artikel 60.4 – Om någon av Vem: Berörda tillsynsmyndigheter som erkänts - Att uppnå samförstånd bör Artikel 60 – utkast till de andra berörda som deltagande i förfarandet med en enda prioriteras framför att inleda beslut tillsynsmyndigheterna inom kontaktpunkt. tvistlösningsprocessen, så de en period av fyra veckor efter föregående stegen bör följas att de har rådfrågats […] När: Inom en fyraveckorsperiod efter att den noggrant (133). uttrycker en relevant och ansvariga tillsynsmyndigheten lagt fram utkastet - Den berörda tillsynsmyndigheten till beslut. bör lämna sina invändningar i en

Rättsliga krav Vem, när och vad Rekommendationer och bästa praxis IMI

motiverad invändning mot och samma inlaga, även om den utkastet till beslut […] Vad: Möjlighet att lämna en relevant och där skiljer på de olika motiverad invändning mot utkastet till beslut. invändningarna (139). - Om den berörda OBS: Se EDPB:s riktlinjer 9/2020 om begreppet tillsynsmyndigheten vill ändra sin relevant och motiverad invändning. inlaga, kan den fortfarande göra det under fyraveckorsperioden genom att ta bort den tidigare versionen och ladda upp en ny i IMI (139). - Ett godkännande eller en hänvisning till en annan berörd tillsynsmyndighets invändning utgör inte en relevant och motiverad invändning. Varje berörd tillsynsmyndighet bör sedan lämna in sin egen invändning i enlighet med riktlinjerna om relevanta och motiverade invändningar (142– 145).

Rättsliga krav Vem, när och vad Rekommendationer och bästa praxis IMI

2b […] den ansvariga Vem: Den ansvariga tillsynsmyndigheten. - Att uppnå samförstånd bör Artikel 65 – tillsynsmyndigheten ska, om prioriteras framför att inleda tvistlösning från den inte instämmer i den När: Så snart som möjligt efter tvistlösningsprocessen, så de styrelsen relevanta och motiverade fyraveckorsperioden med samråd om utkastet föregående stegen bör följas invändningen eller anser att till beslut. noggrant (133,149). invändningen inte är relevant - Som svar på de relevanta och eller motiverad, överlämna Vad: motiverade invändningarna bör ärendet till den mekanism för - Obligatorisk överlämning av ärendet till den ansvariga enhetlighet som avses i EDPB enligt artikel 65.1 a om den tillsynsmyndigheten överföra sin artikel 63. ansvariga tillsynsmyndigheten inte följer första bedömning och presentera den relevanta och motiverade vilka invändningar den avser att invändningen/inte anser att följa och i hur stor omfattning, invändningen är relevant och motiverad. och i vilka den inte tänker följa, och bättre klarlägga sin ståndpunkt samtidigt som de OBS: Se EDPB:s riktlinjer 9/2020 om begreppet berörda tillsynsmyndigheterna relevant och motiverad invändning. får möjlighet att ytterligare förklara invändningarna (146– 149). - Sådant ytterligare samarbete kan ta sig olika former, däribland att det ordnas möten eller att man använder informella samrådsförfaranden (146, 159). - Efter förklaringarna från den ansvariga tillsynsmyndigheten, och om de motstridiga synpunkterna bara är marginella, kan den/de berörda tillsynsmyndigheterna överväga att dra tillbaka den relevanta och motiverade invändningen. I ett

Rättsliga krav Vem, när och vad Rekommendationer och bästa praxis IMI

sådant läge bör den berörda tillsynsmyndigheten uttryckligen förklara att den drar tillbaka sin relevanta och motiverade invändning (147–149). - Den ansvariga tillsynsmyndigheten bör dokumentera detta tillbakadragande och utan dröjsmål meddela de andra berörda tillsynsmyndigheterna (148). - När samförstånd inte uppnås bör den ansvariga tillsynsmyndigheten hänskjuta ärendet till EDPB så snart som möjligt 151–153, 174, 181).

OBS: Om den ansvariga tillsynsmyndigheten vill följa vissa invändningar, men inte vill följa andra invändningar och/eller inte anser dem vara relevanta och/eller motiverade, bör den lägga fram ett reviderat utkast i förfarandet enligt artikel 60.5, så som beskrivs i följande avsnitt. Den ansvariga tillsynsmyndigheten bör ange tydligt, genom ett informellt utbyte, vilka av invändningarna den avser att följa inom det reviderade utkastet till beslut och hur den avser att göra det. Dessutom

Rättsliga krav Vem, när och vad Rekommendationer och bästa praxis IMI

bör den ange tydligt vilka invändningar som noterats, som ämne för en eventuell senare tvistlösning genom artikel 65.1 a (154).

3a Artikel 60.5 – Om den Vem: Den ansvariga tillsynsmyndigheten. - Den ansvariga Artikel 60 – reviderat ansvariga tillsynsmyndigheten får inte utkast till beslut tillsynsmyndigheten avser att När: Så snart som möjligt (principen om god överlämna ett reviderat utkast till följa den relevanta och förvaltning). beslut enbart utifrån motiverade invändningen ska kommentarer eller andra den till de andra berörda Vad: anmärkningar (162–163 och tillsynsmyndigheterna - Obligatorisk överlämning av ett reviderat EDPB:s riktlinjer 9/2020). överlämna ett reviderat utkast till beslut till den/de berörda - Efter bedömningen av den utkast till beslut så att de kan tillsynsmyndigheterna, endast om den relevanta och motiverade avge ett yttrande. ansvariga tillsynsmyndigheten avser att invändningen bör den ansvariga följa en relevant och motiverad tillsynsmyndigheten tydligt invändning. uppge för alla berörda tillsynsmyndigheter sin avsikt att överlämna ett reviderat utkast till OBS: Se fas II, steg 1b, om framläggandet av beslut (169–170). utkastet till beslut. - Den tid som går mellan den relevanta och motiverade invändningen och det reviderade utkastet till beslut bör vara så kort som möjligt och lämplig för förfarandet med en enda kontaktpunkt (167–168). - Före den formella överlämningen kan den ansvariga tillsynsmyndigheten dela ett preliminärt reviderat utkast till beslut, genom informellt samråd, för att säkerställa att det finns en överenskommelse om de införda ändringarna och samförstånd kan uppnås (170). - Det reviderade utkastet till beslut bör fullständigt behandla

riskerna med det första utkastet sett till registrerades grundläggande rättigheter och friheter, så som dessa risker identifierades i den relevanta och motiverade invändningen (158).

Rättsliga krav Vem, när och vad Rekommendationer och bästa praxis IMI

3b Artikel 60.5 – […] Detta Vem: Ansvarig tillsynsmyndighet och berörda - Det reviderade utkastet till beslut Artikel 60 – reviderat reviderade utkast till beslut tillsynsmyndigheter som erkänts som deltagande bör ses som ett annat rättsligt utkast till beslut ska omfattas av det i förfarandet med en enda kontaktpunkt. instrument än det utkast till förfarande som avses i punkt beslut som lades fram enligt 60.4 4 inom en period av två (183). veckor. När: Se steg 2a/2b i fas II - En berörd tillsynsmyndighet kan göra en relevant och motiverad Vad: Se steg 2a/2b i fas II invändning mot det reviderade utkastet till beslut även om den inte invänt mot det första OBS: Om inga relevanta och motiverade utkastet (183–184). invändningar görs, gäller artikel 60.6. - En berörd tillsynsmyndighet bör inte göra en relevant och motiverad invändning mot ett reviderat utkast till beslut om det inte tidigare riktats någon relevant och motiverad invändning mot just den frågan och den ansvariga tillsynsmyndigheten inte har reviderat utkastet till beslut med avseende på denna fråga (186).

OBS: Se fas II, steg 2a/2b om överlämningen av relevant och motiverad invändning.

EXCEPTIONELLT FALL: Om det råder extraordinära omständigheter, som inte bemötts tidigare, där den ansvariga tillsynsmyndigheten medvetet avser att

Rättsliga krav Vem, när och vad Rekommendationer och bästa praxis IMI

följa en relevant och motiverad invändning som gjorts under denna senaste samrådsperiod som gör det möjligt att nå samförstånd och undvika att ärendet hänskjuts till EDPB när det inte längre finns någon tvist att lösa, kan den ansvariga tillsynsmyndigheten överlämna ett (om)reviderat utkast till beslut (176–180).

Fas III: Antagande av slutligt beslut

Rättsliga krav Vem, när och vad Rekommendationer och bästa praxis IMI

1 Vem: De berörda tillsynsmyndigheter som erkänts som - Inget behov av att agera, överenskommelse är

Artikel 60.6 – Om

deltagande i förfarandet med en enda kontaktpunkt. underförstått genom avsaknaden av relevanta

ingen av de andra

och motiverade invändningar (stillatigande

berörda

När: Efter fyra veckor från att utkastet till beslut lagts fram avtal) (188). tillsynsmyndigheterna - (60.4), eller efter två veckor från att det (senaste) Nationellt slutligt beslut från den ansvariga

har gjort

reviderade utkastet till beslut överlämnats (60.5). tillsynsmyndigheten eller en berörd

invändningar mot det

tillsynsmyndighet (se 2a/2b) bör inte avvika från

utkast till beslut som

Vad: det bindande utkastet/reviderade utkastet till den ansvariga - Överenskommelse mellan den ansvariga beslut (189–191). tillsynsmyndigheten tillsynsmyndigheten och de berörda Den bindande verkan är begränsad till det

har lagt fram inom

tillsynsmyndigheterna om utkast/reviderat utkast specifika, konkreta ärende som behandlas (196). den period som avses i till beslut, i avsaknad av relevant och motiverad En berörd tillsynsmyndighet som avser att

punkterna 4 och 5 ska

invändning. ansluta till förfarandet på detta stadium bör den ansvariga - Att utkastet/det reviderade utkastet till beslut är överväga att inleda ett eget förfarande med en

tillsynsmyndigheten

bindande för den ansvariga tillsynsmyndigheten enda kontaktpunkt (i annat fall blir den och de berörda  och de berörda tillsynsmyndigheterna utkasten automatiskt bunden av utkastet/det reviderade

tillsynsmyndigheterna

får inte längre dras tillbaka eller ändras, utom utkastet till beslut) (192–195). anses samtycka till under exceptionella omständigheter (187, 191). Texter/slutsatser i ett bindande utkast/reviderat

detta utkast till beslut

utkast till beslut kan återanvändas i

och ska vara bundna

efterföljande förfaranden med en enda av det. kontaktpunkt (samma eller annan personuppgiftsansvarig, samma överträdelse) om detta kan påskynda handläggningen av ärendet (197–198). 2a Artikel 60.7 – (första Vem: Den ansvariga tillsynsmyndigheten. - Tillhandahålla fullständig kopia av det slutliga Artikel meningen) Den ansvariga nationella beslutet (enligt nationell rätt) till den 60 – tillsynsmyndigheten ska personuppgiftsansvarige/personuppgiftsbiträdet anta och meddela beslutet (210).

Rättsliga krav Vem, när och vad Rekommendationer och bästa praxis IMI

till den När: Så snart som möjligt från att ha blivit bunden av - Även informera den slutligt personuppgiftsansvariges beslutet enligt 60.6 (principen om god förvaltning) (206). / personuppgiftsansvarige/personuppgiftsbiträdet beslut eller om dess skyldigheter enligt 60.10 (214). OBS: inom en månad från EDPB:s bindande beslut enligt personuppgiftsbiträdets, - Använda fälten ”Slutligt beslut” i IMI för att 65.1 a (206). huvudsakliga eller enda informera andra berörda tillsynsmyndigheter verksamhetsställe, allt och EDPB om det nationella slutliga beslutet efter omständigheterna, EXCEPTIONELLT FALL: Begränsningar som uppkommer (211–212). och underrätta de andra under denna period (t.ex. relevant EU-rättspraxis/EU- - Använda fälten ”Slutligt beslut” i IMI för att ge berörda lagstiftning) kan medföra att den ansvariga en sammanfattning av fakta och motivering till tillsynsmyndigheterna och andra berörda tillsynsmyndigheter och EDPB tillsynsmyndigheten måste avstå från att anta ett styrelsen om beslutet i (215–216). nationellt slutligt beslut och överlämna nytt utkast till fråga, inbegripet en - Det rekommenderas även att en kopia av det beslut till de berörda tillsynsmyndigheterna, efter att ha sammanfattning av nationella slutliga beslutet på engelska lämnas informerat dem (207). relevanta fakta och en till de berörda tillsynsmyndigheterna, via IMI relevant motivering. (217).

Vad:

- Antagande av nationellt slutligt beslut (203–205, 230–235). - Meddelande av nationellt slutligt beslut till den personuppgiftsansvariges/personuppgiftsbiträdets verksamhetsställe (i enlighet med nationell rätt) (208–209). - Information till de andra berörda tillsynsmyndigheterna och styrelsen om det nationella slutliga beslutet. - Sammanfattning av fakta och motivering till beslutet. 2b Artikel 60.7 – (andra Vem: Den berörda tillsynsmyndighet som mottog ett - Information bör lämnas till den enskilde i linje Artikel meningen) Den klagomål som behandlades i det bindande beslutet enligt med nationell rätt och praxis (213). 60 – tillsynsmyndighet till - Den enskilde bör bli informerad om att rätten vilken ett klagomål har till prövning (i förekommande fall) ska utövas i

Rättsliga krav Vem, när och vad Rekommendationer och bästa praxis IMI

lämnats in ska underrätta 60.6 eller 65.1a, där den ansvariga tillsynsmyndigheten den ansvariga tillsynsmyndighetens slutligt den enskilde om beslutet. vidtar åtgärder beträffande klagomålet. medlemsstat (nationell rätt) (213). beslut

När: Så snart som möjligt (principen om god förvaltning) efter att den ansvariga tillsynsmyndigheten informerat om antagande av det nationella slutliga beslutet.

Vad: Information till den enskilde om det nationella slutliga beslutet som den ansvariga tillsynsmyndigheten antagit. 3 Artikel 60.8 – Om ett Vem: Den berörda tillsynsmyndighet som mottog ett - Den berörda tillsynsmyndigheten kan använda Artikel klagomål avvisas eller klagomål som behandlades i det bindande beslutet enligt sig av den ansvariga tillsynsmyndigheten för att 60 – avslås ska den överföra information om det nationella slutliga 60.6 eller 65.1a, om klagomålet avvisas eller avslås (218– slutligt tillsynsmyndighet till beslutet till den 219, 236–238). beslut vilken klagomålet personuppgiftsansvarige/personuppgiftsbiträdet lämnades in, genom (239). När: Så snart som möjligt (principen om god förvaltning) undantag från punkt 7, Använda fälten ”Slutligt beslut” i IMI för att anta beslutet och meddela efter att beslutet blivit bindande enligt informera andra berörda tillsynsmyndigheter den enskilde samt 60.6/inom en månad efter att det blivit bindande enligt och EDPB om det nationella slutliga beslutet informera den 65.1a. (240). personuppgiftsansvarige. - Använda fälten ”Slutligt beslut” i IMI för att ge en sammanfattning av fakta och motivering till

Vad:

andra berörda tillsynsmyndigheter och EDPB - Antagande av det nationella slutliga beslutet om (240). att avvisa/avslå klagomålet (nationell rätt) (221– - Den 225, 228–229). personuppgiftsansvarige/personuppgiftsbiträdet - Meddelande av nationellt slutligt beslut till den bör bli informerad om att rätten till prövning (i enskilde (nationell rätt) (219, 226). förekommande fall) ska utövas i den berörda - Information till den personuppgiftsansvarige om ett nationellt slutligt beslut (nationell rätt) (220).

Rättsliga krav Vem, när och vad Rekommendationer och bästa praxis IMI

- Information till de andra berörda tillsynsmyndighetens medlemsstat (nationell tillsynsmyndigheterna och styrelsen om det rätt) (239). nationella slutliga beslutet. - En kopia av det nationella slutliga beslutet på - Sammanfattning av fakta och motivering till engelska kan också lämnas till de berörda beslutet. tillsynsmyndigheterna via IMI (240).

4a Artikel 60.9 – (första Vem: Ansvarig tillsynsmyndighet och berörd meningen) Om den tillsynsmyndighet bundna genom samtycke (enligt artikel

ansvariga

60.6) / bundna av beslut (enligt 65.1 a) att delvis

tillsynsmyndigheten och

avvisa/avslå och delvis vidta åtgärder med anledning av

de berörda

ett klagomål (241–242).

tillsynsmyndigheterna är överens om att avvisa

eller avslå delar av ett När: Så snart som möjligt (principen om god förvaltning) klagomål och att vidta efter att beslutet blivit bindande enligt

åtgärder beträffande

60.6/inom en månad efter att det blivit bindande enligt

andra delar av klagomålet

65.1a.

ska ett separat beslut antas för var och en av

dessa delar av frågan.

Vad:

- Antagande av separata nationella slutliga beslut från den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna angående olika resultat av samma klagomål (242).

4b Artikel 60.9 – (andra Vem: Den ansvariga tillsynsmyndighet som vidtar åtgärder se steg 2a för ansvarig tillsynsmyndighet Artikel meningen) Den ansvariga för en del av ett klagomål med avseende på den 60 – tillsynsmyndigheten ska personuppgiftsansvarige. OBS: Den ansvariga tillsynsmyndigheten kan

anta beslutet om den del använda sig av den berörda

Rättsliga krav Vem, när och vad Rekommendationer och bästa praxis IMI

som gäller åtgärder som När / Vad: se steg 2a för ansvarig tillsynsmyndighet tillsynsmyndigheten för att överföra slutligt

avser den information om det nationella slutliga beslut

personuppgiftsansvarige OBS: Den ansvariga tillsynsmyndigheten måste informera beslutet till den enskilde (243).

och meddela det till den den enskilde om det nationella slutliga beslut den har personuppgiftsansvariges

antagit (243).

eller personuppgiftsbiträdets huvudsakliga eller enda verksamhetsställe på medlemsstatens territorium och underrätta den enskilde om detta […]

4c Artikel 60.9 – (tredje Vem: den berörda tillsynsmyndighet som avvisar eller se steg 3 för berörd tillsynsmyndighet Artikel meningen […] den avslår en del av ett klagomål 60 – enskildes När / Vad: se steg 3 för berörd tillsynsmyndighet

slutligt

tillsynsmyndighet ska

beslut

anta beslutet för den del som gäller avvisande av eller avslag på klagomålet och meddela det till den enskilde och underrätta den personuppgiftsansvarige eller personuppgiftsbiträdet

om detta. 5a Artikel 60.10 – (första Vem: Den meningen) Efter att den personuppgiftsansvarige/personuppgiftsbiträdet.

personuppgiftsansvarige eller personuppgiftsbiträdet

Rättsliga krav Vem, när och vad Rekommendationer och bästa praxis IMI

har meddelats om den När: Efter att den ansvariga tillsynsmyndigheten meddelat ansvariga myndighetens det nationella slutliga beslutet enligt 60.7 eller 60.9 (244–

beslut i enlighet med

245).

punkterna 7 och 9 ska den personuppgiftsansvarige

Vad: Vidtagande av åtgärder för att säkerställa

eller

personuppgiftsbiträdet efterlevnad av den ansvariga tillsynsmyndighetens vidta nödvändiga åtgärder nationella slutliga beslut, och meddelande om detta (243, för att se till att beslutet 246–248).

efterlevs vad gäller behandling med koppling till alla deras verksamhetsställen i

unionen.

5b Artikel 60.10 – (andra

meningen) Den personuppgiftsansvarige eller personuppgiftsbiträdet ska meddela den ansvariga tillsynsmyndigheten vilka åtgärder som har vidtagits för att efterleva beslutet […]

5c Artikel 60.10 – (andra Vem: Den ansvariga tillsynsmyndigheten. - Den ansvariga tillsynsmyndigheten bör överväga meningen forts.) den att ge de berörda tillsynsmyndigheterna en ansvariga bedömning av de åtgärder som den När: Så snart som möjligt efter meddelande från den tillsynsmyndigheten ska personuppgiftsansvarige/personuppgiftsbiträdet personuppgiftsansvarige/personuppgiftsbiträdet (249). informera de andra vidtagit (249).

Rättsliga krav Vem, när och vad Rekommendationer och bästa praxis IMI

berörda Vad: Information till berörda tillsynsmyndigheter om - Den ansvariga tillsynsmyndigheten kan begära tillsynsmyndigheterna. åtgärder som den ömsesidigt bistånd från de berörda tillsynsmyndigheterna enligt 60.2 för att personuppgiftsansvarige/personuppgiftsbiträdet vidtagit. verifiera efterlevnad från den personuppgiftsansvarige/personuppgiftsbiträdet på de relevanta verksamhetsställena (62, 69, 74, 80).

ARTIKEL 60.11 – SKYNDSAMT FÖRFARANDE

Krav Vem, när och vad Rekommendationer och bästa praxis IMI

U Artikel 11 – Om en berörd Vem: Berörda tillsynsmyndigheter - Tillsynsmyndigheterna bör ta Artikel 66 – antagna provisoriska tillsynsmyndighet under och den ansvariga hänsyn till olika faktorer, i åtgärder exceptionella tillsynsmyndigheten. synnerhet vilket skede som nåtts i Artikel 66 – brådskande omständigheter har skäl att förfarandet med en enda yttrande/beslut från EDPB anse att det finns ett När: När som helst under ett kontaktpunkt, innan den brådskande behov av att förfarande med en enda åberopar ett brådskande behov agera för att skydda kontaktpunkt, om exceptionella av att agera (252–259). registrerades intressen ska omständigheter gäller. - Berörda tillsynsmyndigheter och det skyndsamma förfarande ansvariga tillsynsmyndigheter bör som avses i artikel 66 Vad: Tillämpning av skyndsamt gemensamt överväga hur man tillämpas. förfarande enligt artikel 66. bäst räknar med utgången av artikel 66-förfarandet i det OBS: Bindande beslut från EDPB vid pågående förfarandet med en ett skyndsamt förfarande enligt enda kontaktpunkt (260–265). 66.3 kan medföra att nationellt slutligt beslut antas utan utkast till beslut/reviderat utkast till beslut (265).