Riktlinjer 03/2021 om tillämpningen av artikel 65.1 a i den allmänna dataskyddsförordningen

Sammanfattning

Artikel 65.1 a i den allmänna dataskyddsförordningen är en tvistlösningsmekanism som ska säkerställa att dataskyddsförordningen tillämpas korrekt och konsekvent i fall med gränsöverskridande behandling av personuppgifter. Syftet är att lösa motstridiga åsikter bland den eller de ansvariga tillsynsmyndigheterna och berörda tillsynsmyndigheterna om sakförhållandena i ärendet, särskilt huruvida det föreligger en överträdelse av dataskyddsförordningen eller inte, för att säkerställa att dataskyddsförordningen tillämpas korrekt och konsekvent i enskilda fall. I dessa riktlinjer klargörs tillämpningen av tvistlösningsförfarandet enligt artikel 65.1 a i dataskyddsförordningen.

Enligt artikel 65.1 a i dataskyddsförordningen måste Europeiska dataskyddsstyrelsen (EDPB) utfärda ett bindande beslut varje gång en ansvarig tillsynsmyndighet utfärdar ett utkast till beslut och mottar invändningar från berörda tillsynsmyndigheter som den antingen inte instämmer i eller inte anser vara relevanta eller motiverade.

I dessa riktlinjer klargörs den tillämpliga rättsliga ramen och huvudskedena i förfarandet, i enlighet med de relevanta bestämmelserna i Europeiska unionens stadga om de grundläggande rättigheterna, dataskyddsförordningen och EDPB:s arbetsordning. I riktlinjerna klargörs även EDPB:s behörighet när man antar ett rättsligt bindande beslut på grundval av artikel 65.1 a i dataskyddsförordningen. I enlighet med artikel 65.1 a i dataskyddsförordningen ska EDPB:s bindande beslut gälla alla frågor som är föremål för den relevanta och motiverade invändningen. Följaktligen kommer EDPB först att bedöma om den eller de invändningar som framförts uppfyller den standard om att vara ”relevanta och motiverade” som fastställs i artikel 4.24 i dataskyddsförordningen. Det är bara för de invändningar som uppfyller det kravet som EDPB tar ställning till sakförhållandena i de väsentliga frågor som tas upp. I riktlinjerna analyseras exempel på invändningar som signalerar meningsskiljaktigheter mellan den ansvariga tillsynsmyndigheten och den eller de berörda tillsynsmyndigheterna i specifika frågor, och EDPB:s behörighet förtydligas i varje enskilt fall.

I riktlinjerna klargörs även de tillämpliga rättssäkerhetsgarantierna och rättsmedlen, i enlighet med de relevanta bestämmelserna i Europeiska unionens stadga om de grundläggande rättigheterna, dataskyddsförordningen och EDPB:s arbetsordning. I dessa riktlinjer behandlas särskilt rätten att bli hörd, rätten till tillgång till ärendets akt, EDPB:s skyldighet att motivera sina beslut samt en beskrivning av tillgängliga rättsmedel.

Dessa riktlinjer gäller inte tvistlösning från EDPB i fall där (1) det finns motstridiga åsikter om vilken av de berörda tillsynsmyndigheterna som är behörig för det huvudsakliga verksamhetsstället (artikel 65.1 b i dataskyddsförordningen), eller (2) en behörig tillsynsmyndighet inte begär ett yttrande från styrelsen i de fall som avses i artikel 64.1, eller inte instämmer i ett yttrande som styrelsen avger enligt artikel 64 (artikel 65.1 c i dataskyddsförordningen).

1 INLEDNING OCH OMFATTNING

1. Enligt artikel 65.1 a i dataskyddsförordningen ska EDPB utfärda ett rättsligt bindande beslut varje gång en ansvarig tillsynsmyndighet utfärdar ett utkast till beslut i den mening som avses i artikel 60.3 i dataskyddsförordningen och beslutar att inte följa en relevant och motiverad invändning från en berörd tillsynsmyndighet eller anser att invändningen inte är relevant eller motiverad .

2. Artikel 65.1 a i den allmänna dataskyddsförordningen är en tvistlösningsmekanism som ska säkerställa att dataskyddsförordningen tillämpas korrekt och konsekvent i fall med gränsöverskridande behandling av personuppgifter . Syftet är att lösa motstridiga åsikter bland den eller de ansvariga tillsynsmyndigheterna och berörda tillsynsmyndigheterna om sakförhållandena i ärendet, särskilt huruvida det föreligger en överträdelse av dataskyddsförordningen eller inte, för att säkerställa att dataskyddsförordningen tillämpas korrekt och konsekvent i enskilda fall .

3. Inom ramen för den så kallade mekanismen för en enda kontaktpunkt, som gäller gränsöverskridande behandling av personuppgifter, fungerar den ansvariga tillsynsmyndigheten som den personuppgiftsansvariges eller personuppgiftsbiträdets enda motpart för behandlingen i fråga . Den ansvariga tillsynsmyndigheten är ansvarig för att genomföra de nödvändiga utredningarna, förmedla relevant information till alla berörda tillsynsmyndigheter och utarbeta ett utkast till beslut . Innan utkastet till beslut antas måste den ansvariga tillsynsmyndigheten samarbeta med de berörda tillsynsmyndigheterna i en strävan att nå samförstånd, och den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna måste utbyta all relevant information .

4. När ett utkast till beslut har utarbetats ska den ansvariga tillsynsmyndigheten lägga fram detta utkast för alla berörda tillsynsmyndigheter så att de kan avge ett yttrande, och ta vederbörlig hänsyn till deras synpunkter . Inom fyra veckor efter att ha rådfrågats kan en berörd tillsynsmyndighet uttrycka en ”relevant och motiverad invändning” mot utkastet till beslut . Om ingen berörd tillsynsmyndighet invänder kan den ansvariga tillsynsmyndigheten gå vidare och anta beslutet. Om en berörd tillsynsmyndighet har gjort en invändning, måste den ansvariga tillsynsmyndigheten besluta om den instämmer i den relevanta och motiverade invändningen eller om den anser att invändningen inte är relevant eller motiverad. Om den ansvariga tillsynsmyndigheten inte avser att instämma i invändningen eller anser att den inte är relevant och motiverad, är den skyldig att hänskjuta ärendet till EDPB för tvistlösning .

5. EDPB kommer sedan att agera som tvistlösningsorgan och anta ett rättsligt bindande beslut. Den ansvariga tillsynsmyndigheten, och i vissa situationer den berörda tillsynsmyndighet som klagomålet lämnades in till , måste anta sitt slutliga beslut på grundval av EDPB:s beslut. Den behöriga tillsynsmyndighetens slutliga beslut kommer att riktas till den personuppgiftsansvarige eller personuppgiftsbiträdet och, i relevanta fall, till den enskilde.

6. I dessa riktlinjer klargörs tillämpningen av artikel 65.1 a i dataskyddsförordningen. Framför allt klargör riktlinjerna tillämpningen av de relevanta bestämmelserna i dataskyddsförordningen och arbetsordningen, de beskriver förfarandets huvudskeden och klargör EDPB:s behörighet när den antar ett rättsligt bindande beslut på grundval av artikel 65.1 a i dataskyddsförordningen. Riktlinjerna innehåller även en beskrivning av de tillämpliga rättssäkerhetsgarantierna och rättsmedlen.

7. Föreliggande riktlinjer gäller inte tvistlösning från EDPB i fall där • det finns motstridiga åsikter om vilken av de berörda tillsynsmyndigheterna som är behörig för det huvudsakliga verksamhetsstället (artikel 65.1 b i dataskyddsförordningen), • en behörig tillsynsmyndighet inte begär ett yttrande från styrelsen i de fall som avses i artikel 64.1, eller inte instämmer i ett yttrande som styrelsen avger enligt artikel 64 (artikel 65.1 c i dataskyddsförordningen).

2 RÄTTSLIG RAM OCH ARBETSORDNING

2.1 Rätten till god förvaltning

8. EDPB omfattas av EU:s stadga om de grundläggande rättigheterna (EU-stadgan), särskilt dess artikel 41 (rätt till god förvaltning). Detta återspeglas också i artikel 11.1 i EDPB:s arbetsordning , som bekräftar att EDPB måste respektera rätten till god förvaltning så som den fastställs i artikel 41 i EUstadgan.

9. Enligt artikel 41 i EU-stadgan har var och en rätt att få sina angelägenheter behandlade opartiskt, rättvist och inom skälig tid av unionens institutioner, organ och byråer. Detta innebär att var och en har rätt • att bli hörd innan en enskild åtgärd som skulle beröra honom eller henne negativt vidtas mot honom eller henne, och • att ha tillgång till de akter som berör honom eller henne, med förbehåll för berättigade intressen vad avser sekretess, tystnadsplikt och affärshemlighet. Rätten till god förvaltning inbegriper också att förvaltningen är skyldig att motivera sina beslut.

2.2 Den allmänna dataskyddsförordningen

10. I artikel 65.1 i dataskyddsförordningen identifieras tre olika situationer där EDPB fungerar som tvistlösningsorgan. De huvudregler som gäller för tvistlösningsförfarandena fastställs i artikel 65.2– 65.6 i dataskyddsförordningen.

11. I händelse av en tvistlösning på grundval av artikel 65.1 a i dataskyddsförordningen måste hänsyn också tas till artikel 60 i dataskyddsförordningen, som gäller samarbetet mellan den ansvariga tillsynsmyndigheten och den berörda tillsynsmyndigheten i enskilda fall som inbegriper gränsöverskridande behandling, och där det förklaras i vilka fall den ansvariga tillsynsmyndigheten ska lämna ärendet till EDPB för tvistlösning. Dessa riktlinjer är främst inriktade på tillämpningen av artikel 65.1 a i dataskyddsförordningen, men det kommer också att hänvisas till bestämmelserna i artikel 60 i den mån de är relevanta för att klargöra de viktigaste stegen i EDPB:s förfarande och behörighet enligt artikel 65.1 a i dataskyddsförordningen .

2.3 EDPB:s arbetsordning

12. I artikel 11 i arbetsordningen klargörs ytterligare vilka regler som gäller i fall där EDPB uppmanas att fatta ett bindande beslut, däribland inom ramen för tvistlösningsförfarandet. Artikel 11.2 i arbetsordningen innehåller regler som specifikt gäller för tvistlösningsförfarandet i artikel 65.1 a i dataskyddsförordningen.

13. Även om dessa riktlinjer inte är inriktade på artikel 22 (Omröstningsförfaranden), artikel 32 (Tillgång till handlingar), artikel 33 (Sekretess kring diskussioner) och artikel 40 (Bestämning av tidsfrister) i arbetsordningen, kommer de också att beaktas, när så är lämpligt.

3 HUVUDSKEDEN I FÖRFARANDET (ÖVERSIKT)

3.1 Villkor för att anta ett bindande beslut

14. De allmänna villkoren för att EDPB ska anta ett bindande beslut fastställs i artikel 60.4–60.5 och artikel 65.1 a i dataskyddsförordningen.

15. EDPB ska vara behörig att utfärda bindande beslut på grundval av artikel 65.1 a i dataskyddsförordningen när följande villkor är uppfyllda: • Den ansvariga tillsynsmyndigheten har för de berörda tillsynsmyndigheterna lagt fram ett utkast till beslut i den mening som avses i artikel 60.3. • Minst en berörd tillsynsmyndighet har lyft (en eller flera) invändningar mot den ansvariga tillsynsmyndighetens (reviderade) utkast till beslut inom den tidsfrist som föreskrivs i artikel 60.4– 60.5 i dataskyddsförordningen. • Den ansvariga tillsynsmyndigheten har beslutat att inte följa invändningen/invändningarna mot utkastet till beslut eller avvisat dem eftersom de inte är relevanta eller motiverade.

16. När dessa villkor är uppfyllda ska EDPB vara behörig att anta ett bindande beslut på grundval av artikel 65.1 a i dataskyddsförordningen, som ska gälla alla frågor som är föremål för den eller de relevanta och motiverade invändningarna, särskilt huruvida det föreligger en överträdelse av dataskyddsförordningen .

17. En ren ”kommentar” som en berörd tillsynsmyndighet uttrycker till ett utkast till beslut räknas inte som en invändning i den mening som avses i artikel 4.24 i dataskyddsförordningen. Att det finns kommentarer ska därför inte medföra någon skyldighet att utlösa förfarandet i artikel 65.1 a om den ansvariga tillsynsmyndigheten beslutar att inte låta kommentaren få någon verkan. En eventuell kommentar som utrycks utgör inte heller i sig en sådan fråga om EDPB ska besluta om som en del av sitt bindande beslut. Den ansvariga tillsynsmyndigheten är dock skyldig att ta vederbörlig hänsyn till de synpunkter som alla berörda tillsynsmyndigheter uttrycker och, i de fall där villkoren i artikel 56.2 är uppfyllda, ta största möjliga hänsyn till de synpunkter som framförts av den berörda tillsynsmyndighet som klagomålet har lämnats in till, vid utarbetandet av utkastet till beslut, och att ta vederbörlig hänsyn till de synpunkter som alla berörda tillsynsmyndigheter framfört .

3.2 Bedömning av aktens fullständighet

18. Enligt artikel 11.2 i arbetsordningen ansvarar ordföranden och den ansvariga tillsynsmyndigheten för att besluta om huruvida ärendets akt är fullständig . Bedömningen av aktens fullständighet är ett viktigt steg i förfarandet, utformat för att säkerställa att alla villkor för att anta ett bindande beslut är uppfyllda och att EDPB har all den information som krävs för att göra detta . Bedömningen av aktens fullständighet fungerar också som utgångspunkt för de rättsliga tidsfrister som nämns i artikel 65.2– 65.3 i dataskyddsförordningen . Slutligen syftar bedömningen av aktens fullständighet också till att säkerställa efterlevnad av rätten att bli hörd i artikel 41 i EU-stadgan.

19. När frågan lämnas till EDPB för tvistlösning ska den ansvariga tillsynsmyndigheten inkludera a) utkastet till beslut eller det reviderade utkastet till beslut som är föremål för invändningar, b) en sammanfattning av relevanta fakta och en relevant motivering, c) den eller de invändningar som tillsynsmyndigheten/tillsynsmyndigheterna gjort i enlighet med artikel 60.4 (och i tillämpliga fall artikel 60.5) i dataskyddsförordningen, d) en uppgift om huruvida den ansvariga tillsynsmyndigheten inte följer den relevanta och motiverade invändningen eller anser att invändningen inte är relevant eller motiverad, e) handlingar som styrker tidpunkten och formatet för inlämningen av (det reviderade) utkastet till beslut och den eller de berörda tillsynsmyndigheternas invändning(ar) , och f) i enlighet med artikel 41 i Europeiska unionens stadga om de grundläggande rättigheterna, de skriftliga synpunkter som den ansvariga tillsynsmyndigheten inhämtat från personerna som kan komma att påverkas negativt av styrelsens beslut, tillsammans med bekräftelse och bevis på vilka till styrelsen inlämnade handlingar som de fick tillgång till när de uppmanades att utöva sin rätt att höras, eller ett tydligt fastställande av när så inte var fallet .

20. Ordalydelsen i artikel 60.4 i dataskyddsförordningen och artikel 11.2 i arbetsordningen klargör att den ansvariga tillsynsmyndigheten ansvarar för att säkerställa att akten är fullständig och lämna in all relevant information till EDPB. Vid behov kan sekretariatet dock begära ytterligare information från den ansvariga tillsynsmyndigheten och/eller de berörda tillsynsmyndigheterna inom en viss tidsram . Möjligheten att begära ytterligare information bör tolkas mot bakgrund av målet att säkerställa att EDPB får all information som krävs för att fatta ett bindande beslut om alla frågor som är föremål för den eller de relevanta och motiverade invändningarna, särskilt huruvida det föreligger en överträdelse av dataskyddsförordningen. Exempel 1: Ett utkast till beslut innehåller flera hänvisningar till den personuppgiftsansvariges interna dokumentation. I sitt utkast till beslut använder den ansvariga tillsynsmyndigheten innehållet i denna dokumentation för att bevisa sitt (bestridda) konstaterande av en överträdelse, men tillsynsmyndigheten inkluderar ändå inte någon kopia av denna när den lämnar in ärendet till EDPB för tvistlösning. Sekretariatet får begära att den ansvariga tillsynsmyndigheten tillhandahåller en kopia av den dokumentation som det hänvisas till, vid behov inom en särskild tidsram, så att det kan avgöra sakfrågan för den eller de relevanta och motiverade invändningarna. Möjligheten att begära ytterligare information i ett senare skede minskar inte den ansvariga tillsynsmyndighetens ansvar att tillhandahålla all relevant information från början när den lämnar in ärendet till EDPB. Eftersom ansvaret för att säkerställa att akten är fullständig ligger hos den ansvariga tillsynsmyndigheten, bör begäran om ytterligare information från den ansvariga tillsynsmyndigheten och/eller den berörda tillsynsmyndigheten i princip endast vara nödvändig i undantagsfall. Eftersom den ansvariga tillsynsmyndigheten och den berörda tillsynsmyndigheten dessutom är skyldiga att utbyta all relevant information under samarbetsförfarandet, bör den relevanta informationen dessutom redan ha lämnats till de berörda tillsynsmyndigheterna innan tvistlösningsförfarandet inleddes. Om alla uppgifter som är nödvändiga för att fatta ett bindande beslut om de invändningar som gjorts också översänds av den ansvariga tillsynsmyndigheten när sakfrågan hänskjuts till EDPB, är det inte nödvändigt för sekretariatet att begära ytterligare information innan akten förklaras fullständig.

21. Det bör noteras att en begäran om ytterligare uppgifter endast syftar till att säkerställa att akten är fullständig. Den innebär inte något omdöme om de framförda invändningarnas värde, och ändrar inte på något sätt den sakfråga som hänskjutits till EDPB. När akten väl har bedömts vara fullständig och sakfrågan hänskjuts till EDPB kan ytterligare information i undantagsfall också begäras i ett senare skede av förfarandet (det vill säga när ämnet har hänskjutits till styrelsen) om det är nödvändigt för att åtgärda eventuella utelämnanden. Detta blir föremål för ett beslut från EDPB .

22. Vid behov kommer handlingar som lämnas in av den ansvariga tillsynsmyndigheten och/eller den berörda tillsynsmyndigheten att översättas till engelska av sekretariatet . Översättningen kan också begränsas till de specifika delar som sannolikt är relevanta för att avgöra sakfrågan för den eller de relevanta och motiverade invändningarna. Den ansvariga tillsynsmyndigheten och/eller den berörda tillsynsmyndigheten måste godkänna översättningen . Exempel 2: I sitt utkast till beslut drar den ansvariga tillsynsmyndigheten slutsatsen att endast en av de överträdelser av dataskyddsförordningen som den enskilde hävdar har visat sig. Den berörda tillsynsmyndigheten anser i sin relevanta och motiverade invändning att de andra överträdelser som den enskilde hävdade också begicks, samtidigt som utkastet till beslut inte till fullo förklarar de fakta som behövs för att dra slutsatsen att överträdelserna inte skedde. Sekretariatet uppmanar därför den ansvariga tillsynsmyndigheten att tillhandahålla en kopia av de nödvändiga delarna av utredningsrapporten inom en viss tidsram . Om det är nödvändigt att översätta dessa delar, kommer sekretariatet att översätta den till engelska och den ansvariga tillsynsmyndigheten måste godkänna översättningen.

23. Så snart ordföranden och den ansvariga tillsynsmyndigheten har beslutat att akten är fullständig (och den behöriga tillsynsmyndigheten godkänt eventuella nödvändiga engelska översättningar) kommer sekretariatet på ordförandens vägnar utan onödigt dröjsmål att hänskjuta ärendet till EDPB:s ledamöter .

24. Om den ansvariga tillsynsmyndigheten inte tillhandahåller den information som anges ovan inom den fastställda tidsramen kommer ordföranden att be sekretariatet att hänskjuta ärendet till EDPB. Därefter kommer EDPB, från fall till fall, att bedöma om den kan gå vidare och anta sitt beslut på grundval av den information som redan lämnats, eller om det är nödvändigt att först erhålla den begärda informationen (t.ex. bekräftelse och bevis på vilka till styrelsen inlämnade handlingar som de fick tillgång till när de uppmanades att utöva sin rätt att höras, eller ett tydligt fastställande av när så inte var fallet) innan det antas ett beslut. Koppling till rätten att bli hörd

25. Bedömningen av aktens fullständighet syftar också till att säkerställa efterlevnad av rätten att bli hörd i artikel 41 i EU-stadgan. Enligt artikel 11.2 i arbetsordningen ska EDPB endast beakta de handlingar som inlämnats av den ansvariga tillsynsmyndigheten och den eller de andra berörda tillsynsmyndigheterna innan ärendet överlämnas till styrelsen. Varje person som kan komma att påverkas negativt bör därför i princip redan ha uppmanats att utöva sin rätt att bli hörd . Vid behov kommer styrelsen att vidta ytterligare åtgärder för att säkerställa de berörda personernas rätt att höras när det gäller de delar av handlingarna i akten som EDPB kommer att beakta när den fattar sitt beslut .

26. Så snart akten har förklarats fullständig kan den ansvariga tillsynsmyndigheten och den eller de berörda tillsynsmyndigheterna i princip inte lämna in någon ytterligare information om sakfrågan för tvisten (om inte sekretariatet begär detta för att åtgärda ett utelämnande i enlighet med artikel 11.2 i arbetsordningen ). Endast i undantagsfall kan styrelsen besluta att ta hänsyn till ytterligare handlingar som den anser vara nödvändiga. Den ansvariga tillsynsmyndigheten kan t.ex. inte introducera nya fakta som stöder dess beslut att inte följa en eller flera invändningar, när dessa fakta inte tidigare meddelats innan ärendet hänsköts till EDPB . Dessutom borde all information som är relevant för bedömningen av de gjorda invändningarna redan ha utbytts mellan den ansvariga tillsynsmyndigheten och den berörda tillsynsmyndigheten innan förfarandet enligt artikel 65.1 a inleds, i syfte att nå samförstånd (vilket även kan göra att man undviker att behöva utlösa tvistlösningsmekanismen).

27. Så snart akten har förklarats fullständig och sakfrågan har hänskjutits till EDPB måste EDPB utfärda ett bindande beslut för varje invändning som görs, såvida inte den berörda tillsynsmyndighet som gjorde en viss invändning beslutar att dra tillbaka den. Eftersom tillbakadragandet av invändningen innebär att tvisten mellan den ansvariga tillsynsmyndigheten och den berörda tillsynsmyndigheten upphör, är det inte längre nödvändigt för EDPB att lösa frågan . På samma sätt kan det vara möjligt för den ansvariga tillsynsmyndigheten att dra tillbaka ett hänskjutande till EDPB på grundval av artikel 60.4 i dataskyddsförordningen i fall där den senare beslutar att den vill följa var och en av de invändningar som gjorts. Tillbakadragande av antingen en invändning eller ett hänskjutande bör dock endast ske i mycket exceptionella fall, eftersom den ansvariga tillsynsmyndighetens och de berörda tillsynsmyndigheternas skyldighet att eftersträva samförstånd enligt artikel 60 i dataskyddsförordningen kräver att tvistlösningsmekanismen endast utlöses i fall av ihållande oenighet där det inte gick att nå samförstånd.

3.3 Fastställande av tidsfrister

28. Den rättsliga standardfristen för EDPB att anta ett bindande beslut är en månad efter det att ordföranden och den behöriga tillsynsmyndigheten har beslutat att akten är fullständig . Tidsfristen får förlängas med ytterligare en månad med hänsyn till sakfrågans komplexitet Om EDPB inte har kunnat anta ett beslut när en sådan förlängning har löpt ut, ska detta ske inom två veckor efter det att förlängningen har löpt ut .

3.3.1 Beräkning

29. Beräkningen av tidsfristen för att anta det bindande beslutet ska göras på grundval av förordning 1182/71 . I enlighet med artikel 3.2 c i förordning 1182/71. ”En tidsfrist uttryckt i veckor, månader eller år skall inledas vid början av första dagens första timme inom tidsfristen och upphöra vid utgången av den sista timmen under den dag i den sista veckan, månaden eller året som infaller på samma veckodag respektive samma datum som den dag som inleder tidsfristen.” Domstolen har bekräftat att om t.ex. en händelse som inleder en enveckasfrist äger rum en måndag upphör fristen följaktligen följande måndag, som blir fristens sista dag (dies ad quem) . Om tidsgränsen uttrycks i månader och den utlösande händelsen inträffar den 20 mars, löper perioden på samma sätt ut den 20 april.

30. Startdatumet (dies a quo) vid tillämpningen av artikel 65.1 a i dataskyddsförordningen utgörs av den dag då ordföranden och den behöriga tillsynsmyndigheten har beslutat att akten är fullständig och sakfrågan hänskjuts till EDPB av sekretariatet via det informations- och kommunikationssystem som nämns i artikel 17 i EDPB:s arbetsordning.

31. Eftersom perioder inte uttrycks i arbetsdagar i dataskyddsförordningen omfattar tidsfristerna allmänna helgdagar, söndagar och lördagar . När den sista dagen i en period är en allmän helgdag, söndag eller lördag, ska dock perioden upphöra när den sista timmen på närmast följande arbetsdag går ut ; tidsfristen löper alltså ut (dies ad quem) följande arbetsdag.

3.3.2 Beslut om förlängning med en månad

32. Enligt artikel 65.2 i dataskyddsförordningen får den första tidsfristen på en månad förlängas med ytterligare en månad, med hänsyn till sakfrågans komplexitet. Förlängningen måste beslutas av EDPB:s ordförande, antingen på eget initiativ eller på begäran av minst en tredjedel av EDPB:s ledamöter . Beslutet om förlängning måste tas innan tidsfristen på en månad löper ut.

3.3.3 Förlängning med två veckor

33. Det bindande beslutet måste i princip antas med två tredjedelars majoritet senast två månader efter det att akten har bedömts vara fullständig och sakfrågan har hänskjutits till EDPB. Om EDPB emellertid inte har kunnat anta ett beslut inom den förlängda tidsfristen på grund av att den majoritet som krävs inte har uppnåtts, ska EDPB anta beslutet inom två veckor efter utgången av den andra månaden på grundval av enkel majoritet bland sina ledamöter .

34. Under de två extra veckorna kan ändringar göras i utkastet till EDPB:s bindande beslut som tidigare lämnats in för antagande med två tredjedels majoritet, om det är nödvändigt för att uppnå enkel majoritet. Med andra ord kan utkastet till bindande beslut från EDPB anpassas och justeras om två tredjedels majoritet inte uppnås.

3.4 Utarbetande av utkastet till EDPB:s bindande beslut

35. Enligt artikel 11.5 i arbetsordningen ska de bindande besluten ”förberedas och upprättas av sekretariatet, alternativt av sekretariatet i samarbete med föredragande och medlemmar av expertundergrupper, om så beslutas av ordföranden” . Därför bör EDPB:s sekretariat fungera som huvudföredragande och ordföranden bör besluta huruvida en expertundergrupp och medföredragande ska involveras.

36. Så snart den ansvariga tillsynsmyndigheten har lämnat in ärendet till EDPB för tvistlösning bör sekretariatet inleda bedömningen av aktens fullständighet. Under denna bedömning uppmanas ordföranden att besluta om eventuell involvering av medföredragande och kommer att uppmana EDPB:s ledamöter att uttrycka sitt intresse för att bli medföredragande (om inte ordföranden beslutar att inte involvera medföredragande i detta fall) . För att säkerställa rättvisa och opartiskhet bör (gruppen av) medföredragande inte inkludera delegationer från vare sig den ansvariga tillsynsmyndigheten eller de berörda tillsynsmyndigheter som gjorde invändningar mot utkastet till beslut .

37. Slutligen bör det noteras att ordföranden också kan besluta att involvera ledamöter i en eller flera andra expertundergrupper, beroende på behoven i ärendet.

38. Som angetts tidigare står det i artikel 11.2 i arbetsordningen att EDPB endast ska beakta de handlingar som inlämnats av den ansvariga tillsynsmyndigheten och den eller de andra berörda tillsynsmyndigheterna innan ärendet överlämnas till EDPB. Detta innebär att den ansvariga tillsynsmyndigheten eller den eller de berörda tillsynsmyndigheterna under utarbetandefasen inte kan introducera nya fakta som stöder deras respektive ståndpunkter.

39. I enlighet med artikel 76.1 i dataskyddsförordningen ska överläggningar i styrelsen och expertundergrupper vara konfidentiella när de gäller mekanismen för enhetlighet . Dessutom åläggs personalen vid alla nationella tillsynsmyndigheter i EES , Europeiska datatillsynsmannen och EDPB:s sekretariat en yrkesmässig tystnadsplikt. Detta innebär att sekretessen och tystnadsplikten, som är av yttersta vikt, ska respekteras av EDPB och dess ledamöter även i samband med tvistlösningsärenden enligt artikel 65.1 a. Det gäller både överläggningarna och de handlingar som utbyts.

3.5 Antagande av EDPB:s bindande beslut

40. Alla majoriteter som avses i dataskyddsförordningen (eller i arbetsordningen) avser det totala antalet röstberättigade ledamöter i EDPB, oavsett om de är närvarande eller inte .

41. Tillsynsmyndigheterna i Efta och EES (dvs. Island, Liechtenstein och Norge) har inte rösträtt, men har ändå rätt att uttrycka sina ståndpunkter i alla frågor som diskuteras och/eller röstas igenom .

42. I enlighet med artikel 68.6 i dataskyddsförordningen ska Europeiska datatillsynsmannen endast ha rösträtt i fråga om beslut som rör principer och regler som är tillämpliga på unionens institutioner, organ och byråer, och som i allt väsentligt motsvarar dem i dataskyddsförordningen. När så är fallet har datatillsynsmannen rätt att rösta om beslutet som helhet.

43. Varje ledamot av EDPB som har rösträtt och som inte företräds vid ett plenarsammanträde kan delegera sin rösträtt till en annan styrelseledamot som innehar rösträtt och som närvarar vid plenarsammanträdet .

44. Den majoritet som krävs för att anta ett bindande beslut enligt artikel 65.1 a i dataskyddsförordningen är två tredjedelar av EDPB:s röstberättigade ledamöter . Om EDPB inte har kunnat anta ett beslut med två tredjedels majoritet ska EDPB anta sitt beslut inom de följande två veckorna med enkel majoritet. Om styrelsens ledamöter är delade i frågan ska beslutet antas i enlighet med ordförandens röst .

3.6 Meddelande till de berörda tillsynsmyndigheterna

45. När EDPB har antagit sitt bindande beslut ska EDPB:s ordförande utan onödigt dröjsmål meddela beslutet till alla berörda tillsynsmyndigheter . Samtliga berörda tillsynsmyndigheter i ärendet måste alltså meddelas om det bindande beslutet.

46. Anmälan kommer att göras av sekretariatet på ordförandens vägnar via det informations- och kommunikationssystem som nämns i artikel 17 i arbetsordningen . Meddelandet om det bindande beslutet sker genom att beslutet meddelas på engelska, som är det enda giltiga språket i beslutet . De berörda tillsynsmyndigheterna kommer att anses vara fullt bekanta med det meddelade beslutet .

3.7 Tillsynsmyndighetens/tillsynsmyndigheternas slutliga beslut

47. Inom en månad efter det att EDPB:s beslut meddelats tillsynsmyndigheterna måste den ansvariga tillsynsmyndigheten och/eller den berörda tillsynsmyndigheten (i förekommande fall ) anta ett slutgiltigt beslut . Varje slutligt beslut måste antas ”på grundval av” EDPB:s beslut. Dessutom måste det eller de slutliga besluten hänvisa till EDPB:s beslut och närmare ange att detta beslut kommer att offentliggöras på EDPB:s webbplats. Den ansvariga tillsynsmyndighetens och/eller berörda tillsynsmyndighetens slutliga beslut ska även fogas till EDPB:s beslut .

3.7.1 ”På grundval av”

48. Kravet att anta ett slutligt beslut ”på grundval av” EDPB:s beslut återspeglar att EDPB:s beslut är rättsligt bindande för den ansvariga tillsynsmyndigheten (och/eller i slutändan den eller de berörda tillsynsmyndigheterna, om det är nödvändigt att anta ett slutgiltigt beslut mot de registrerade ) som adressater för beslutet .

49. Syftet med det bindande beslutet är att lösa motstridiga åsikter bland den eller de ansvariga tillsynsmyndigheterna och berörda tillsynsmyndigheterna om sakförhållandena i ärendet, särskilt huruvida det föreligger en överträdelse av dataskyddsförordningen, för att säkerställa att dataskyddsförordningen tillämpas korrekt och konsekvent i enskilda fall .

50. Det slutliga beslutet måste antas på grundval av EDPB:s beslut och måste därför ge full verkan åt den eller de bindande riktlinjer som anges i EDPB:s beslut. Om EDPB t.ex. har avgjort att det faktiskt har förekommit en överträdelse av dataskyddsförordningen, kan inte den ansvariga tillsynsmyndigheten eller den berörda tillsynsmyndigheten fastställa något annat. På samma sätt måste den ansvariga tillsynsmyndigheten eller den berörda tillsynsmyndigheten, om EDPB har fastställt att den planerade åtgärden med avseende på den personuppgiftsansvarige eller personuppgiftsbiträdet inte är förenlig med dataskyddsförordningen, anpassa sina åtgärder i enlighet därmed .

3.7.2 Beslut från den ansvariga tillsynsmyndigheten och/eller den berörda tillsynsmyndigheten

51. Det slutliga beslutet från den ansvariga tillsynsmyndigheten och, i förekommande fall, den berörda tillsynsmyndighet som klagomålet lämnats in till, ska antas i enlighet med artikel 60.7, 60.8 och 60.9 i dataskyddsförordningen .

52. Utgångspunkten är att den ansvariga tillsynsmyndigheten blir skyldig att anta och meddela sitt slutliga beslut till den personuppgiftsansvariges eller personuppgiftsbiträdets huvudsakliga eller enda verksamhetsställe och underrätta de övriga berörda tillsynsmyndigheterna samt EDPB om sitt slutliga beslut (inklusive en sammanfattning av relevanta fakta och motivering) . Ett viktigt undantag från detta krav gäller situationer där ett klagomål har avvisats eller avslagits.

53. Om ett klagomål har avvisats eller avslagits ska den tillsynsmyndighet till vilken klagomålet lämnades in anta beslutet och meddela den enskilde samt informera den personuppgiftsansvarige .

54. Om det behöver tas ett beslut om att bara delvis avvisa ett klagomål, ska den ansvariga tillsynsmyndigheten anta beslutet för den del som gäller åtgärder som avser den personuppgiftsansvarige eller personuppgiftsbiträdet, meddela det till den personuppgiftsansvariges eller personuppgiftsbiträdets huvudsakliga eller enda verksamhetsställe på medlemsstatens territorium och underrätta den enskilde om detta, medan den enskildes tillsynsmyndighet ska anta beslutet för den del som gäller avvisande av eller avslag på klagomålet och meddela det till den enskilde och underrätta den personuppgiftsansvarige eller personuppgiftsbiträdet om detta .

55. Varje fysisk eller juridisk person har rätt till ett effektivt rättsmedel vid behörig nationell domstol mot en tillsynsmyndighets beslut som har rättsliga följder för denna person, i enlighet med artikel 78 i dataskyddsförordningen .

3.7.3 Information till EDPB

56. Den ansvariga tillsynsmyndigheten eller, allt efter omständigheterna, den berörda tillsynsmyndighet till vilken klagomålet har lämnats in, måste underrätta EDPB om vilken dag dess slutliga beslut meddelas till den personuppgiftsansvarige respektive personuppgiftsbiträdet och den registrerade .

3.8 Offentliggörande av EDPB:s bindande beslut

57. I enlighet med artikel 65.5 i dataskyddsförordningen ska offentliggörandet av EDPB:s bindande beslut på styrelsens webbplats ske ”utan onödigt dröjsmål” efter att den ansvariga tillsynsmyndigheten har meddelat det slutliga nationella beslutet till den personuppgiftsansvarige/personuppgiftsbiträdet och/eller den berörda tillsynsmyndigheten har meddelat den registrerade (om ett klagomål avvisas). När så är möjligt bör ”utan onödigt dröjsmål” tolkas som att offentliggörandet av EDPB:s bindande beslut bör ske samma dag som det slutliga nationella beslutet meddelas den personuppgiftsansvarige/personuppgiftsbiträdet/den enskilde.

58. För att EDPB ska kunna offentliggöra sitt bindande beslut ”utan onödigt dröjsmål” efter att det slutliga nationella beslutet meddelats, ska den behöriga tillsynsmyndigheten enligt artikel 65.6 i dataskyddsförordningen informera styrelsen om vilken dag dess slutliga beslut meddelas till den personuppgiftsansvarige eller personuppgiftsbiträdet respektive den registrerade. För att undvika onödiga dröjsmål bör varje behörig tillsynsmyndighet informera sekretariatet om den dag då meddelande av det nationella beslutet förväntas äga rum, helst minst en dag i förväg.

59. Enligt artikel 339 i EUF-fördraget är EU-institutionernas medlemmar och personal förpliktigade att inte lämna ut upplysningar som omfattas av tystnadsplikt, särskilt uppgifter om företag, deras affärsförbindelser eller deras kostnadsförhållanden . Till följd av detta kan vissa delar av EDPB:s bindande beslut behöva redigeras så att man undviker att lämna ut upplysningar som omfattas av tystnadsplikt. Sekretariatet kommer att utvärdera behovet av att redigera sådana delar på grundval av EU-lagstiftningen och EU-domstolens rättspraxis .

60. EDPB kommer också att offentliggöra de slutliga nationella besluten i sitt register , med beaktande av eventuella begränsningar enligt den behöriga tillsynsmyndighetens nationella lagstiftning när det gäller offentliggörandet av dess beslut. Om sådana begränsningar är tillämpliga bör tillsynsmyndigheterna informera sekretariatet om alla dessa begränsningar.

4 EDPB:S BEHÖRIGHET

61. Syftet med mekanismen för enhetlighet, inklusive artikel 65.1 a i dataskyddsförordningen, är att bidra till en konsekvent tillämpning av dataskyddsförordningen i hela unionen. I skäl 136 anges tydligt att EDPB:s behörighet att utfärda ett bindande beslut, då den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna har olika uppfattningar inom ramen för samarbetsmekanismen, är kopplad till sakförhållandena, i synnerhet angående huruvida dataskyddsförordningen har överträtts .

62. I enlighet med artikel 65.1 a i dataskyddsförordningen ska EDPB:s bindande beslut gälla alla ärenden som är föremål för den relevanta och motiverade invändningen. Därför kommer EDPB endast att bedöma de frågor som ingår i de invändningar som gjorts i fråga om den ansvariga tillsynsmyndighetens utkast till eller reviderade utkast till beslut. EDPB kommer inte att ompröva hela ärendet och kommer inte heller att behandla sådana frågor som kan tas upp under förfarandet enligt artikel 65 men som inte var föremål för de motiverade och relevanta invändningar som lämnades in innan tvisten hänsköts till EDPB.

63. Tvisten mellan den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna kan gälla antingen att den ansvariga tillsynsmyndigheten inte följer en eller flera relevanta och motiverade invändningar, eller att den ansvariga tillsynsmyndigheten anser att en eller flera invändningar inte är relevanta eller motiverade. EDPB kommer för varje invändning som framförts att göra en bedömning huruvida invändningen uppfyller kraven i artikel 4.24 i dataskyddsförordningen och, om så är fallet, behandla invändningen i sak i det bindande beslutet.

4.1 Bedömning av huruvida invändningarna är relevanta och motiverade

64. I sina riktlinjer om relevanta och motiverade invändningar har EDPB förtydligat de villkor som måste vara uppfyllda för att en invändning ska anses vara ”relevant och motiverad” i den mening som avses i artikel 4.24 i dataskyddsförordningen .

65. När en ansvarig tillsynsmyndighet hänskjuter en tvist till EDPB för lösning i enlighet med artikel 60.4 och 63 i dataskyddsförordningen, måste EDPB först bedöma om de invändningar som gjorts faktiskt uppfyller villkoren för att vara relevanta och motiverade .

66. EDPB påminner om att det för att invändningen ska anses vara ”relevant” måste finnas ett direkt samband mellan invändningen och innehållet i det aktuella utkastet till beslut. Mer specifikt krävs det att invändningen antingen avser huruvida det föreligger en överträdelse av dataskyddsförordningen eller huruvida den planerade åtgärden i förhållande till den personuppgiftsansvarige eller personuppgiftsbiträdet är förenlig med dataskyddsförordningen .

67. För att en invändning ska vara ”motiverad” bör den vara sammanhängande, tydlig, precis och detaljerad vad gäller redogörelsen för skälen till invändningen. Det bör klart och tydligt anges vilka väsentliga delar som ligger till grund för den berörda tillsynsmyndighetens bedömning och kopplingen mellan de följder som utkastet till beslut (om det skulle utfärdas som det är) förutses få och hur stora risker det förväntas medföra för de registrerades grundläggande rättigheter och friheter och, i tillämpliga fall, för det fria flödet av personuppgifter inom unionen .

68. Vid bedömningen av huruvida invändningarna faktiskt uppfyller villkoren för att vara relevanta och motiverade kommer EDPB:s bedömning att vara både väsentlig och formell. Med andra ord kommer EDPB att beakta den specifika formulering som används av den berörda tillsynsmyndigheten inom var och en av de invändningar som görs, och huruvida varje del av artikel 4.24 i dataskyddsförordningen uttryckligen nämns med avseende på varje specifik invändning; detta kräver alltså en uttrycklig hänvisning till de risker som utkastet till beslut medför när det gäller de registrerades grundläggande rättigheter och friheter .

69. I sitt bindande beslut kommer EDPB inte att ta ställning till sakförhållandena i några väsentliga frågor som tas upp i invändningar som inte uppfyller villkoren i artikel 4.24 i dataskyddsförordningen. Om en invändning inte uppfyller villkoren i artikel 4.24 i dataskyddsförordningen, kommer EDPB:s bindande beslut fortfarande inte att påverka eventuella bedömningar som EDPB kan komma att uppmanas att göra i andra fall, även med samma parter, med hänsyn till innehållet i det relevanta utkastet till beslut och de invändningar som framförts av de berörda tillsynsmyndigheterna.

4.2 Sakfrågor i den relevanta och motiverade invändningen

70. I sina riktlinjer om relevanta och motiverade invändningar har EDPB också klargjort den möjliga sakfrågan i en relevant och motiverad invändning (invändningen i sak) . I dessa riktlinjer beskrivs ett antal exempel på invändningar som kan uppfylla kraven i artikel 4.24 i dataskyddsförordningen. Dessa exempel gäller eventuella oenigheter mellan den ansvariga tillsynsmyndigheten och den berörda tillsynsmyndigheten i följande frågor:

1. Huruvida det föreligger en viss överträdelse av dataskyddsförordningen. 2. Huruvida det föreligger ytterligare eller alternativa överträdelser av dataskyddsförordningen. 3. Luckor i utkastet till beslut som motiverar vidare utredning. 4. Otillräckliga faktauppgifter eller otillräcklig motivering. 5. Förfarandefrågor. and 6. Den särskilda åtgärd som planeras i utkastet till beslut.

4.2.1 Huruvida det föreligger en viss överträdelse av dataskyddsförordningen

71. Ett första exempel på en möjlig relevant och motiverad invändning är oenighet mellan den ansvariga tillsynsmyndigheten och den berörda tillsynsmyndigheten om huruvida en viss bestämmelse i dataskyddsförordningen har överträtts eller inte . Sådan oenighet kan uppstå när något av följande bekräftas i utkastet till beslut som antagits av den ansvariga tillsynsmyndigheten: • Att det förekommit en överträdelse av en särskild artikel i dataskyddsförordningen, men den berörda tillsynsmyndigheten anser att denna artikel i dataskyddsförordningen inte har överträtts . • Att en viss artikel i dataskyddsförordningen inte har överträtts, samtidigt som den berörda tillsynsmyndigheten anser att artikeln i fråga har överträtts.

72. Enligt artikel 65.1 a i dataskyddsförordningen ska EDPB fatta ett bindande beslut som avser alla ärenden som är föremål för den relevanta och motiverade invändningen, ”särskilt frågan om huruvida det föreligger en överträdelse av den allmänna dataskyddsförordningen”. EDPB måste fatta ett bindande beslut som när så är möjligt, med beaktande av aspekterna i ärendets akt och rätten att bli hörd, ska ge en lämplig slutsats om hur dataskyddsförordningen tillämpas med avseende på det aktuella ärendet. Med andra ord ska EDPB bedöma sakförhållandena i de argument som den berörda tillsynsmyndigheten lyfter fram i invändningen gentemot argumenten från den ansvariga tillsynsmyndigheten, och slutgiltigt avgöra om den aktuella överträdelsen av dataskyddsförordningen ägde rum eller inte. EDPB kommer att instruera den ansvariga tillsynsmyndigheten att ändra ett konstaterande av en överträdelse eller att inkludera ett sådant vid behov. I sådana fall blir den ansvariga tillsynsmyndigheten sedan skyldig att genomföra ändringen i sitt slutliga beslut, med beaktande av EDPB:s bindande beslut avseende den gjorda invändningen.

4.2.2 Ytterligare eller alternativa överträdelser av dataskyddsförordningen

73. Ett andra exempel på en möjlig relevant och motiverad invändning handlar om oenighet mellan den ansvariga tillsynsmyndigheten och den berörda tillsynsmyndigheten om de slutsatser som ska dras av utredningsresultaten. Invändningen kan exempelvis gälla att slutsatserna leder till en överträdelse av en annan bestämmelse i dataskyddsförordningen än (och/eller utöver) de som redan analyserats i utkastet till beslut .

74. Som tidigare angetts måste EDPB fatta ett bindande beslut som när så är möjligt, med beaktande av aspekterna i ärendets akt och svarandens rätt att bli hörd, ska ge en lämplig slutsats om hur dataskyddsförordningen tillämpas med avseende på det aktuella ärendet. Detta kan eventuellt inbegripa ett fastställande av förekomsten av ytterligare (eller alternativa) överträdelser, förutsatt att ärendets akt innehåller tillräckliga fakta för att styrka den påstådda överträdelsen och att de personer som skulle påverkas negativt har hörts eller kan höras med avseende på de invändningar där det påstås finnas ytterligare en alternativ överträdelse . Exempel 3: I utkastet till beslut från den ansvariga tillsynsmyndigheten anges att den personuppgiftsansvarige inte har fullgjort sin skyldighet att informera enligt artikel 14 i dataskyddsförordningen (information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade). I utkastet till beslut anges att den personuppgiftsansvarige bör ha lämnat informationen i punkterna 14.1 och 14.2 a och e i dataskyddsförordningen och inte finner några andra överträdelser av artikel 14. En av de berörda tillsynsmyndigheterna anser att den personuppgiftsansvarige borde ha tillhandahållit all den information som avses i artikel 14.2 b och f i dataskyddsförordningen, eftersom det normala utgångsläget är att all sådan information som anges i den underartikeln bör lämnas till den registrerade, såvida inte en eller flera kategorier av informationen inte finns eller inte är tillämplig . Under förutsättning att den invändning som framförts av den berörda tillsynsmyndigheten uppfyller kraven i artikel 4.24, och med beaktande av aspekterna i akten och rätten att bli hörd, kommer EDPB att avgöra huruvida den personuppgiftsansvarige dessutom har åsidosatt artikel 14.2 b och f i dataskyddsförordningen, utöver artiklarna 14.1 och 14.2 a och e i dataskyddsförordningen.

75. Om EDPB, efter en relevant och motiverad invändning om saken, fastställer att ytterligare och/eller alternativa bestämmelser i dataskyddsförordningen har överträtts, blir den ansvariga tillsynsmyndigheten skyldig att återspegla detta i sitt slutliga beslut, med beaktande av EDPB:s bindande beslut med avseende på den invändning som gjorts.

76. I undantagsfall kan det vara möjligt att den akt som lämnats in till EDPB inte innehåller tillräckliga fakta för att EDPB ska kunna dra en slutgiltig slutsats huruvida den överträdelse föreligger som identifierats i den relevanta och motiverade invändningen. I de flesta fall bör dock den information som utbyts under samarbetsförfarandet vara tillräcklig för att den berörda tillsynsmyndigheten ska kunna styrka sin invändning på ett sådant sätt att EDPB slutgiltigt ska kunna avgöra om det har förekommit en överträdelse av dataskyddsförordningen eller inte . När den ansvariga tillsynsmyndigheten överlämnar ärendet till sekretariatet för att erhålla ett bindande beslut på grundval av artikel 65.1 a i dataskyddsförordningen, får sekretariatet dessutom begära att den ansvariga tillsynsmyndigheten och/eller den berörda tillsynsmyndigheten tillhandahåller ytterligare information som är nödvändig för att säkerställa att akten är fullständig .

4.2.3 Luckor i utkastet till beslut som motiverar vidare utredning från den ansvariga tillsynsmyndigheten

77. Ett tredje exempel på en möjlig relevant och motiverad invändning handlar om oenighet mellan den ansvariga tillsynsmyndigheten och den berörda tillsynsmyndigheten om de relevanta överträdelserna av dataskyddsförordningen har utretts tillräckligt i utkastet till beslut . Exempel 4: Efter att ha mottagit ett klagomål anser den ansvariga tillsynsmyndigheten att inte alla påståenden om överträdelser i klagomålet förtjänar en utredning. I sitt utkast till beslut tar den ansvariga tillsynsmyndigheten endast upp de aspekter av klagomålet som den beslutade att utreda, utan något uttalande om de andra påstådda överträdelserna av dataskyddsförordningen. Den berörda tillsynsmyndigheten anser då att den ansvariga tillsynsmyndigheten i sin utredning omotiverat lät bli att ta itu med ett antal påstådda överträdelser som klaganden tagit upp, och lämnar in en relevant och motiverad invändning på grundval av den ansvariga tillsynsmyndighetens underlåtenhet att korrekt hantera klagomålet så att den registrerades rättigheter skyddades.

78. I artikel 57.1 f i dataskyddsförordningen åläggs tillsynsmyndigheterna att behandla varje klagomål som lämnas in till dem och att undersöka sakfrågan som klagomålet gäller ”där så är lämpligt”. Begreppet ”där så är lämpligt” ger den behöriga tillsynsmyndigheten ett visst utrymme för eget omdöme när det gäller hur omfattande eller djupgående undersökningen behöver vara. Denna befogenhet för eget omdöme måste dock utövas med all tillbörlig aktsamhet och i enlighet med de relevanta bestämmelserna i dataskyddsförordningen, vilket innebär ömsesidigt samarbete.

79. Om EDPB, på grundval av en relevant och motiverad invändning, fastställer att den ansvariga tillsynsmyndigheten felaktigt har underlåtit att utreda eller på något annat sätt hantera vissa av de frågor som togs upp i klagomålet, kan EDPB utfärda ett bindande beslut som specificerar den ansvariga tillsynsmyndighetens behov av att hantera frågan ytterligare och – i den mån det är lämpligt – undersöka den återstående sakfrågan i klagomålet. I den mån utkastet till beslut tillåter det bör den ansvariga tillsynsmyndigheten i princip först försöka slutföra sitt utkast till beslut när det gäller de frågor som inte kräver ytterligare utredning inom den tidsfrist som anges i artikel 65.6.

80. För de frågor som kräver ytterligare utredning kan det vara nödvändigt att den ansvariga tillsynsmyndigheten öppnar en ny ärendeakt. Om en ny ärendeakt öppnas för att behandla de återstående frågorna, måste den ansvariga tillsynsmyndigheten följa alla bestämmelser om samarbete i dataskyddsförordningen. Detta kan leda till att det lämnas in ett nytt utkast till beslut i enlighet med artikel 60.3 i dataskyddsförordningen, som tar upp den utestående påstådda överträdelsen. I situationer där det inte är möjligt för den ansvariga tillsynsmyndigheten att följa detta tillvägagångssätt (t.ex. när det finns en oupplöslig koppling mellan den fråga som kräver ytterligare utredning och de andra delar av den ansvariga tillsynsmyndighetens utkast till beslut som ska slutföras) kan det vara nödvändigt att den ansvariga tillsynsmyndigheten först utreder frågan ytterligare och utarbetar ett uppdaterat utkast till beslut.

81. Under alla omständigheter ska den ansvariga tillsynsmyndigheten vara skyldig att behandla frågan ytterligare och hålla EDPB:s ledamöter underrättade om de åtgärder som vidtagits. Dessutom kan de berörda tillsynsmyndigheterna sträva efter att använda de samarbets- och enhetlighetsmekanismer som föreskrivs i dataskyddsförordningen om den ansvariga tillsynsmyndigheten inte fullgör sina skyldigheter enligt beslutet enligt artikel 65 (dvs. tar itu med de återstående frågor som ska lösas) .

4.2.4 Otillräckliga faktauppgifter eller otillräcklig motivering

82. Ett fjärde exempel på en möjlig relevant och motiverad invändning är oenighet mellan den ansvariga tillsynsmyndigheten och den berörda tillsynsmyndigheten om huruvida tillräckliga faktauppgifter och/eller motiveringar har inkluderats i utkastet till beslut . En berörd tillsynsmyndighet kan t.ex. anse att den ansvariga tillsynsmyndighetens slutsats som ingick i utkastet till beslut inte stöds tillräckligt av den genomförda bedömningen och de bevis som lagts fram . I ett sådant fall ska EDPB också vara behörig att utfärda ett bindande beslut, förutsatt att den invändning som görs uppfyller hela tröskelvärdet i artikel 4.24 i dataskyddsförordningen, inklusive en koppling mellan den påstått otillräckliga analysen och förekomsten av en överträdelse eller den planerade åtgärden .

83. I en situation där den ansvariga tillsynsmyndighetens utkast till beslut innehåller otillräckliga fakta eller motiveringar finns det i huvudsak två möjliga scenarier.

84. I det första scenariot innehåller den akt som EDPB ska ha som grundval för sitt beslut redan tillräcklig information som skulle göra det möjligt att avhjälpa bristen på tillräckliga fakta eller motivering i utkastet till beslut. I sådana fall ska EDPB, inom ramen för den relevanta och motiverade invändningen, avgöra i vilken utsträckning den ansvariga tillsynsmyndigheten bör ändra sitt utkast till beslut så att den otillräckliga motiveringen avhjälps, genom att hänvisa till relevanta delar i ärendeakten. Exempel 5: I den ansvariga tillsynsmyndighetens utkast till beslut fastställs en överträdelse av dataskyddsförordningen på grundval av fakta som stöds av dokumentation som lämnades till EDPB i akten. Ett antal berörda tillsynsmyndigheter lämnar in relevanta och motiverade invändningar där de beskriver att det inte finns tillräckligt starkt resonemang bakom kopplingen mellan dokumentationen och konstaterandet av överträdelsen i utkastet till beslut. EDPB finner i sitt beslut att invändningen/invändningarna är relevanta och motiverade och anger den korrekta rättsliga tolkning och motivering som den ansvariga tillsynsmyndigheten bör införliva i sitt slutliga beslut.

85. I det andra scenariot innehåller den akt som EDPB ska ha som grund för sitt beslut inte tillräckliga faktauppgifter för att avhjälpa bristen på fakta eller motivering. Exempel 6: Den ansvariga tillsynsmyndigheten konstaterar i sitt utkast till beslut att det inte föreligger någon överträdelse av artikel 6.1 a i dataskyddsförordningen och att behandlingen i fråga är laglig på grundval av den registrerades samtycke. Emellertid innehåller varken utkastet till beslut eller något annat dokument i akten något ytterligare material eller någon analys av huruvida villkoren i artikel 7 i dataskyddsförordningen har uppfyllts. Det står bara i utkastet till beslut att behandlingen lagligen har grundat sig på samtycke, utan att ytterligare motivering eller bevis anges. En berörd tillsynsmyndighet gör en invändning mot denna brist på motivering, och hävdar att avsaknaden av denna analys ger upphov till osäkerhet kring konstaterandet att ingen överträdelse skett i detta fall. Om EDPB fastställer att den akt som ska ligga till grund för EDPB:s beslut inte innehåller tillräckliga faktauppgifter som skulle göra det möjligt att avhjälpa den otillräckliga motiveringen, kan EDPB utfärda ett bindande beslut som specificerar att den ansvariga tillsynsmyndigheten behöver utreda eller behandla frågan ytterligare i syfte att erhålla tillräcklig faktainformation, i enlighet med vad som anges i punkterna 79–81 ovan.

4.2.5 Förfarandefrågor

86. Ett femte exempel på en möjlig relevant och motiverad invändning är en oenighet mellan den ansvariga tillsynsmyndigheten och den berörda tillsynsmyndigheten om huruvida de förfarandekrav som föreskrivs i dataskyddsförordningen har respekterats korrekt och om detta påverkar den slutsats som dragits i utkastet till beslut .

87. EDPB erinrar om att syftet med tvistlösningsmekanismen i artikel 65.1 a i dataskyddsförordningen är att lösa motstridiga åsikter i sakförhållandena . Den är inte avsedd att lösa eventuella tvister om förfarandekrav eller samarbetsskyldigheter .

88. En invändning som inbegriper oenighet om förfarandekrav kommer endast att anses vara relevant och motiverad om den också lägger fram argument som klargör den annorlunda slutsats som den ansvariga tillsynsmyndigheten borde ha kommit fram till i sitt utkast till beslut. I sitt beslut kommer EDPB att lösa tvisten kring de slutsatser som nåddes i utkastet till beslut.

89. Om de förfarandemässiga bristerna gör att EDPB inte kan lösa tvisten kring slutsatserna i utkastet till beslut (t.ex. på grund av otillräckliga faktauppgifter) kommer EDPB att påminna om samarbetsplikten och utfärda ett bindande beslut som specificerar att den ansvariga tillsynsmyndigheten behöver utreda eller behandla frågan ytterligare, i enlighet med vad som anges i punkterna 79–81 ovan, och då säkerställa full överensstämmelse med de förfarandekrav i dataskyddsförordningen som inte uppfyllts.

4.2.6 Planerad åtgärd

90. Ett sjätte exempel på en möjlig relevant och motiverad invändning handlar om oenighet mellan den ansvariga tillsynsmyndigheten och den berörda tillsynsmyndigheten om huruvida den planerade åtgärden i förhållande till den personuppgiftsansvarige eller personuppgiftsbiträdet är förenlig med dataskyddsförordningen .

91. EDPB erinrar om att skäl 150 femte meningen i dataskyddsförordningen anges att mekanismen för enhetlighet också kan tillämpas för att främja en enhetlig tillämpning av administrativa sanktionsavgifter. Om EDPB vid sin bedömning i detta sammanhang konstaterar att det resonemang som leder fram till åläggandet av de aktuella böterna är bristfälligt, kommer följaktligen den ansvariga tillsynsmyndigheten att uppmanas att ompröva böterna och åtgärda de konstaterade bristerna .

92. Sanktionsavgifter är inte på något sätt den enda åtgärd som en tillsynsmyndighet kan planera. En relevant och motiverad invändning kan därför också ha att göra med andra planerade åtgärder, med beaktande av de befogenheter som förtecknas i artikel 58.2 i dataskyddsförordningen. Varje planerad åtgärd bör vara lämplig, nödvändig och proportionell för att säkerställa efterlevnad av denna förordning, med beaktande av omständigheterna i varje enskilt fall . I detta sammanhang bör det erinras om att beslutet att helt eller delvis avslå eller avvisa ett klagomål också utgör en planerad åtgärd som kan bli föremål för en relevant och motiverad invändning. Om EDPB, på grundval av en relevant och motiverad invändning, fastställer att den planerade åtgärden i utkastet till beslut inte är förenlig med dataskyddsförordningen ska EDPB ålägga den ansvariga tillsynsmyndigheten att ompröva den planerade åtgärden och ändra utkastet till beslut i enlighet med EDPB:s bindande beslut.

5 RÄTTEN ATT BLI HÖRD

5.1 Tillämplighet

93. Rätten att bli hörd innan en förvaltning vidtar en åtgärd som skulle påverka en person negativt är fastställd i artikel 41 i EU-stadgan och har länge erkänts som en allmän princip i EU-rätten . Rätten att bli hörd finns också med i artikel 16 i den europeiska kodexen för god förvaltningssed, och återspeglas i artikel 11 i arbetsordningen.

94. Artikel 41 i EU-stadgan är inte riktad till medlemsstaterna utan enbart till Europeiska unionens institutioner, organ och byråer . Rätten att bli hörd har dock också erkänts som ”en oskiljaktig del av rätten till försvar, som är en allmän princip i EU-rätten ”, och gäller därför även när medlemsstaterna antar beslut som faller inom EU-rättens tillämpningsområde .

95. Rätten att bli hörd gäller administrativa förfaranden där utgången sannolikt kommer att påverka (den juridiska eller fysiska) personens intressen. Den gäller även i situationer där förvaltningen av EU-rätten är delad mellan EU och medlemsstaterna (så kallade sammansatta förfaranden ). Artikel 41.2 a i EUstadgan har en inramning i termer av enskilda åtgärder som skulle beröra en person negativt, utan något särskilt krav på att den bestridda åtgärden ska vara inledd mot den personen .

96. I artikel 65.2 i dataskyddsförordningen föreskrivs att EDPB:s beslut ”ska vara motiverat och riktat till den ansvariga tillsynsmyndigheten och alla berörda tillsynsmyndigheter och ska vara bindande för dem”. Artikel 65.2 i dataskyddsförordningen återspeglar det faktum att EDPB:s bindande beslut syftar till att lösa en tvist som har uppstått mellan två eller flera nationella tillsynsmyndigheter. I enlighet med förfarandet i artikel 60 i dataskyddsförordningen kommer den ansvariga tillsynsmyndigheten att ha delat sin rättsliga analys i utkastet till beslut och med avseende på de invändningar som framförts under samarbetsförfarandet. De berörda tillsynsmyndigheterna kommer på samma sätt att ha delat med sig av sin/sina invändningar mot utkastet till beslut, däribland med eventuella underlag som underbygger deras invändningar. Dessutom kan både den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna dela med sig av sina synpunkter under utarbetandet och antagandet av EDPB:s beslut .

97. I artikel 65.2 i dataskyddsförordningen bekräftas också att EDPB:s beslut inte riktar sig direkt till någon annan part än den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna. Det beslut som antas av EDPB på EU-nivå ska dock vara bindande för den ansvariga tillsynsmyndigheten eller, i förekommande fall, den berörda tillsynsmyndighet till vilken klagomålet har lämnats in, och är därför avgörande för utgången av förfarandet på nationell nivå. Det kan därför även påverka intressena hos personer som ingick i förfarandet som gav upphov till utkastet till beslut.

98. Till följd av detta måste alla dessa personer som skulle påverkas negativt av beslutet, särskilt den eller de personuppgiftsansvariga och/eller den eller de personuppgiftsbiträden som behandlas i utkastet till den ansvariga tillsynsmyndighetens beslut, samt alla andra personer som skulle påverkas negativt av beslutet, ges rätt att bli hörda i den fråga som hänskjuts till EDPB i enlighet med artiklarna 60.4, 63 och 65.1 a i dataskyddsförordningen.

5.2 Mål

99. Rätten att bli hörd beskrivs av domstolen som att ”var och en garanteras en möjlighet att på ett meningsfullt och effektivt sätt framföra sin ståndpunkt under det administrativa förfarandet och innan ett beslut fattas som kan påverka hans eller hennes intressen på ett ogynnsamt sätt” . Som EUdomstolen klargör är syftet med regeln att den person till vilken ett negativt beslut är riktat ska ges möjlighet att yttra sig innan beslutet fattas att bereda den behöriga myndigheten tillfälle att på ett meningsfullt sätt beakta samtliga relevanta uppgifter. För att säkerställa att den berörda personen faktiskt är skyddad är syftet med den regeln bland annat att personen ska kunna rätta till fel eller göra gällande uppgifter avseende sin personliga situation som ger stöd för att beslutet ska fattas, att det inte ska fattas eller att det ska ges ett visst innehåll .

100. Även rätten att svara ingår i rätten att bli hörd, eftersom ett ”administrativt förfarande förutsätter att den berörda parten har möjlighet att [...] ta ställning till och uttala sig om relevansen av de faktiska omständigheterna och i förekommande fall de handlingar som gemenskapsinstitutionen har tillgång till” . Utom i de fall där det i lagstiftningen uttryckligen föreskrivs en möjlighet till muntligt hörande, t.ex. i konkurrensförfaranden, kräver rätten att bli hörd inte nödvändigtvis ett muntligt hörande .

5.3 Tidpunkter 5.3.1 På nationell nivå och före hänskjutandet till EDPB

101. Innan EDPB får i uppdrag att utfärda ett bindande beslut är varje tillsynsmyndighet skyldig att respektera rätten att bli hörd inom ramen för sitt nationella förfarande, som en allmän princip i EUrätten . Varje tillsynsmyndighet behöver också onekligen ”respektera varje persons rätt att bli hörd innan några enskilda åtgärder som påverkar honom eller henne negativt vidtas” . Rätten att bli hörd gäller oavsett om ärendet är gränsöverskridande till sin karaktär eller inte.

102. Även när det inte finns några särskilda bestämmelser i nationell lagstiftning bör den ansvariga tillsynsmyndigheten, innan den åberopar artikel 65.1 a i dataskyddsförordningen, se till att det förfarande som genomförs på nationell nivå tar hänsyn till kraven på rätten att bli hörd som en allmän unionsrättslig princip.

5.3.2 Under bedömningen av aktens fullständighet

103. När den ansvariga tillsynsmyndigheten lägger fram ärendet för sekretariatet i syfte att erhålla ett bindande beslut från EDPB enligt artikel 65.1 a i dataskyddsförordningen, bör sekretariatet bedöma vilka personer som eventuellt skulle påverkas negativt av EDPB:s beslut i den mening som avses i artikel 41 i stadgan. Det bör också bedöma huruvida var och en av dessa personer erbjöds möjligheten att utöva sin rätt att bli hörd.

104. Det räcker inte att den ansvariga tillsynsmyndigheten har hört de personer som kan påverkas negativt under det nationella förfarandet innan utkastet till beslut i den mening som avses i artikel 60.3 i dataskyddsförordningen antas. Innan EDPB kommer att kunna lösa tvisten måste rätten att bli hörd också ges i samband med eventuella invändningar mot utkastet till beslut, särskilt om den ansvariga tillsynsmyndigheten väljer att inte följa invändningen (eller anser att den inte är relevant och/eller motiverad).

105. När den ansvariga tillsynsmyndigheten lägger fram ärendet för sekretariatet förväntas den påvisa personer som åtnjuter rätten att bli hörd har fått den rätten under det nationella förfarande som ledde fram till utkastet till beslut. När det gäller de handlingar som delades när ärendet lämnades in till sekretariatet bör den ansvariga tillsynsmyndigheten särskilt ange huruvida dessa handlingar (eller det relevanta innehållet i dem ) omfattades av rätten att bli hörd och med avseende på vilka personer . Även svar eller sammanfattningar av hörandena bör lämnas.

106. Att tillgodose rätten att bli hörd är en väsentlig del av förfarandet, och utan det kan EDPB inte lösa sakfrågan i tvisten. Till följd av detta samlas den relevanta informationen in och kontrolleras i samband med kontrollen av att akten är fullständig, innan sakfrågan hänskjuts till EDPB. Först efter det att sekretariatet har gjort alla relevanta kontroller ska ordföranden kunna förklara akten fullständig .

107. Om det finns relevanta handlingar eller information som inte har varit föremål för rätten att bli hörd kan ordföranden instruera sekretariatet att be tillsynsmyndigheterna (de ansvariga/berörda) att vidta nödvändiga åtgärder så att alla parter som kan påverkas kan bli hörda. Vid behov får ordföranden instruera sekretariatet att vidta åtgärder för att direkt säkerställa rätten att bli hörd på EDPB-nivå. I båda fallen ska de personer som skulle påverkas negativt uppmanas att utöva rätten att bli hörd om relevanta handlingar eller information inom en viss tidsram, med beaktande av sakfrågans komplexitet (och möjliga översättningsbehov).

6 TILLGÅNG TILL AKTEN

108. I rätten till god förvaltning ingår att var och en ska ha tillgång till de akter som berör honom eller henne, med förbehåll för berättigade intressen vad avser sekretess, tystnadsplikt och affärshemlighet .

109. Tillgång till de handlingar och den information som ligger till grund för ett administrativt beslut har ett nära samband med rätten att bli hörd . I enlighet med denna princip gäller att ”när ett beslut påtagligt påverkar adressatens intressen ska denna beredas tillfälle att på ett ändamålsenligt sätt framföra sin ståndpunkt angående de omständigheter på vilka myndigheten avser att grunda sitt beslut” .

110. Rätten till tillgång till EDPB:s ärendeakt som en del av rätten till god förvaltning skiljer sig från den allmänna rätten till tillgång till handlingar som finns hos EU:s institutioner, organ och byråer i enlighet 118 119 med förordning (EG) nr 1049/2001 , artikel 15.3 i EUF-fördraget eller artikel 42 i stadgan . Rätten till tillgång till akten och rätten till tillgång till handlingar är underställda olika kriterier och undantag och tjänar olika syften.

111. Rätten till tillgång till akten sträcker sig till de handlingar som delas med EDPB för att lösa tvisten i enlighet med förfarandet enligt artikel 65.1 a, utom när de inbegriper andra företags affärshemligheter och konfidentiell information, enligt EDPB:s bedömning från fall till fall.

112. Rätten till tillgång till akten ska inte sträcka sig till konfidentiell information och EDPB:s eller tillsynsmyndigheternas interna handlingar (t.ex. e-postkorrespondens eller förberedande handlingar). Rätten till tillgång ska inte omfatta utbyten mellan EDPB och dess ledamöter när förfarandet väl har inletts .

7 SKYLDIGHETEN ATT MOTIVERA

113. Rätten till god förvaltning i artikel 41 i EU-stadgan omfattar även förvaltningens skyldighet att motivera sina beslut .

114. Skyldigheten att motivera innebär att informera beslutets adressat om de faktiska och rättsliga grunder som det bygger på, så att personen kan bestämma sig för att söka rättslig prövning och domstolarna lättare kan utöva sådan kontroll .

115. EDPB måste på ett tydligt och otvetydigt sätt redogöra för motiveringen bakom sitt beslut så att de berörda personerna kan förvissa sig om skälen till beslutet. EDPB behöver inte uppge samtliga rättsliga och faktiska motiv till sitt beslut, men man måste förklara dem som var av avgörande betydelse . På samma sätt måste inte heller EDPB inta en uttrycklig ståndpunkt om alla argument som framförts. Det räcker att i beslutet på ett tydligt och otvetydigt sätt fastställa de huvudsakliga rättsliga och faktiska aspekter som beslutet grundas på och som är nödvändiga för att kunna förstå det resonemang som motiverat EDPB:s beslut. Det som i slutändan spelar roll är att EDPB när man anger motiven gör det möjligt för alla personer som berörs av beslutet att förvissa sig om att de relevanta bestämmelserna har tillämpats korrekt.

116. EDPB måste i sitt angivande av motiv fastställa samtliga relevanta grunder och motiv till att man antagit sitt beslut – inklusive dem som härrör från den nationella nivån. Detta innebär att så länge de fakta som fastställs i utkastet till beslut eller tillhörande handlingar är avgörande för EDPB:s beslut, bör EDPB också ta med dem i sitt angivande av motiv .

117. När det gäller invändningar där EDPB helt enkelt instämmer i motiven i utkastet till den ansvariga tillsynsmyndighetens beslut eller den ansvariga tillsynsmyndighetens beslut att inte följa den relevanta och motiverade invändningen (eller att anse att de inte är relevanta eller motiverade), får EDPB fullgöra sin skyldighet att ange skäl genom att helt enkelt hänvisa tillbaka till den ansvariga tillsynsmyndighetens ståndpunkt, förutsatt att de berörda personerna informerades om dessa ståndpunkter från den ansvariga tillsynsmyndigheten och fick tillfälle att bli hörda om dessa ståndpunkter .

118. Med tanke på ovanstående överväganden bör det bindande beslut som antagits av EDPB på grundval av artikel 65.1 a i dataskyddsförordningen i princip innehålla en sammanfattning av tvisten samt en bedömning av huruvida villkoren för att anta ett bindande beslut är uppfyllda. För varje invändning som görs kommer sedan EDPB i princip att • sammanfatta de huvuddrag i utkastet till beslut som gäller sakfrågan i invändningen, • sammanfatta huvuddragen i den invändning som gjorts, • sammanfatta den ansvariga tillsynsmyndighetens eller den berörda tillsynsmyndighetens ståndpunkt med avseende på den invändning som gjorts, och • sammanfatta ståndpunkterna från de personer som kan påverkas negativt med avseende på invändningen. Så snart de relevanta dragen har fastställts kommer EDPB för varje invändning som framförts att göra en bedömning av huruvida den uppfyller kraven i artikel 4.24 i dataskyddsförordningen och, om så är fallet, behandla invändningen i sak i det bindande beslutet .

119. Beslutets operativa delar bör tydligt identifieras som sådana och inkluderas i slutet av beslutet, och där återge uttryckligen i hur hög grad den behöriga myndigheten måste eller inte måste ändra sitt utkast till beslut innan det slutförs.

8 RÄTTSMEDEL

120. Artikel 47 i stadgan garanterar rätten till ett effektivt rättsmedel och till en opartisk domstol. Detta är kopplat till behovet av att säkerställa att EU-institutionernas rättsakter är förenliga med EU:s rättsordning, vilket är en uppgift som i allmänhet anförtros EU-domstolen och domstolarna i EU.

121. God förvaltningssed innebär att personer som påverkas av åtgärden informeras om den tillgängliga överklagandemekanismen . EDPB:s beslut kommer att hänvisa till möjligheterna att överklaga det (dvs. att söka ogiltigförklaring), medan den behöriga tillsynsmyndigheten kommer att hänvisa till de överklagandemekanismer som finns tillgängliga på nationell nivå. Den behöriga tillsynsmyndigheten kan i sitt slutliga beslut också välja att hänvisa till möjligheterna att ogiltigförklara det beslut från EDPB som ligger till grund för det slutliga beslutet, vilket klargörs i skäl 143 i dataskyddsförordningen (utöver att tillhandahålla information om eventuella överklagandemekanismer på nationell nivå med avseende på dess slutliga beslut).

122. I skäl 143 hänvisas till möjligheten för personer som direkt och individuellt berörs av ett beslut från EDPB att väcka ogiltighetstalan vid EU-domstolen, men EU-domstolen kommer i slutändan att bedöma ställningstagandet mot bakgrund av villkoren i artikel 263 i EUF-fördraget .

123. En ogiltighetstalan vid domstolen upphäver inte verkningarna av EDPB:s beslut . De behöriga tillsynsmyndigheterna måste därför fortfarande följa EDPB:s beslut som antagits på grundval av artikel 65.1 a i dataskyddsförordningen, trots överklagandet. Detta påverkar inte den personuppgiftsansvariges eller personuppgiftsbiträdets rätt till ett effektivt rättsmedel på nationell nivå i enlighet med artikel 78 i dataskyddsförordningen.

8.1 Tillsynsmyndigheter

124. I artikel 65.2 i dataskyddsförordningen klargörs att beslut som antas av EDPB på grundval av artikel 65.1 a i dataskyddsförordningen är bindande för den ansvariga tillsynsmyndigheten och alla de berörda tillsynsmyndigheterna. De nationella tillsynsmyndigheterna måste anta sitt slutliga beslut på grundval av EDPB:s beslut. Artikel 65.2 visar också tydligt att beslutet är en rättsakt som är ”riktat till” den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna – det riktar sig inte direkt till några tredje parter .

125. Enligt skäl 143 till dataskyddsförordningen måste de berörda tillsynsmyndigheter som önskar överklaga sådana beslut, i sin egenskap av adressater för dem, i enlighet med artikel 263 i EUFfördraget väcka talan inom två månader efter det att beslutet meddelats dem. Detta innebär bl.a. att de tillsynsmyndigheter som väcker talan vid domstolen mot ett bindande beslut från EDPB skulle behöva göra detta på något av de angivna skäl till ogiltigförklaring som står i artikel 263 i EUFfördraget.

126. Även om endast den ansvariga tillsynsmyndigheten och vissa berörda tillsynsmyndigheter (enligt artikel 60.8 och 60.9 i dataskyddsförordningen) ska anta sitt nationella beslut på grundval av EDPB:s bindande beslut, riktas beslutet till alla berörda tillsynsmyndigheter som är involverade i det gränsöverskridande fallet. I artikel 65.2 i dataskyddsförordningen nämns alla berörda tillsynsmyndigheter som mottagare av beslutet, och det slutliga nationella beslutet är resultatet av ett medbeslutandeförfarande som i hög grad påverkas av EDPB:s beslut. Följaktligen är alla tillsynsmyndigheter som berörs i ett visst gränsöverskridande fall (se artikel 4.22 i dataskyddsförordningen) ”adressater” för beslutet och har därför rätt att väcka ogiltighetstalan mot EDPB:s beslut.

127. Även om de berörda tillsynsmyndigheterna, i egenskap av ledamöter i EDPB, får kännedom om innehållet i EDPB:s bindande beslut när det antas i enlighet med artikel 65.2 i dataskyddsförordningen, kommer tidsfristen för dem att väcka talan att börja löpa när beslutet meddelas dem av EDPB:s sekretariat, som agerar på ordförandens vägnar och använder det interna informations- och kommunikationssystemet .

8.2 Personuppgiftsansvarig, personuppgiftsbiträde, den enskilde eller annan enhet

128. Andra enheter än adressaterna kan ha rätt att väcka talan vid domstolen för ogiltigförklaring av EDPB:s bindande beslut om beslutet direkt och personligen berör dem, på de villkor som anges i artikel 263 i EUF-fördraget .

129. I skäl 143 nämns det uttryckligen att personuppgiftsansvariga, personuppgiftsbiträden eller enskilda kan vara direkt och personligen berörda av ett bindande beslut från EDPB. Dessa krav tolkas dock restriktivt av domstolen, och därför är det nödvändigt med en analys från fall till fall .

130. Utan att det påverkar rätten inom ramen för artikel 263 i EUF-fördraget har varje fysisk eller juridisk person också rätt till ett effektivt rättsmedel vid den behöriga nationella domstolen mot de beslut av tillsynsmyndigheter som har rättsliga följder för denna person . Denna rätt måste utövas i enlighet med den tillämpliga nationella lagstiftningen. I artikel 78.4 i dataskyddsförordningen anges att om talan väcks mot ett beslut som fattats av en tillsynsmyndighet och som föregicks av ett yttrande från eller beslut av styrelsen inom ramen för mekanismen för enhetlighet ska tillsynsmyndigheten vidarebefordra detta yttrande eller beslut till domstolen.

131. Om ett beslut av en tillsynsmyndighet som genomför EDPB:s beslut enligt artikel 65 i dataskyddsförordningen överklagas till en nationell domstol och giltigheten av EDPB:s beslut står på spel, har den nationella domstolen inte befogenhet att ogiltigförklara EDPB:s beslut enligt artikel 65 i dataskyddsförordningen. Om den anser att beslutet är ogiltigt ska den hänskjuta frågan om beslutets giltighet till domstolen i enlighet med artikel 267 i EUF-fördraget .

132. En nationell domstol får dock inte hänskjuta en fråga om giltigheten av EDPB:s beslut när den fysiska eller juridiska person som begärde detta hade juridiska möjligheter att väcka ogiltighetstalan mot beslutet vid EU-domstolen (i synnerhet om personen direkt och personligen berördes av beslutet) men inte gjorde detta inom den period på två månader som anges i artikel 263 i EUF-fördraget. När de direkt och personligen berörda personerna beslutar att inte väcka ogiltighetstalan mot EDPB:s bindande beslut, kommer detta därför att hindra dem från att bestrida giltigheten av EDPB:s bindande beslut inför nationella domstolar.