Riktlinjer 06/2022 om det praktiska genomförandet av uppgörelser i godo

Europeiska dataskyddsstyrelsen har antagit följande riktlinjer

med beaktande av artikel 70.1 e i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (den allmänna dataskyddsförordningen), med beaktande av EES-avtalet, särskilt bilaga XI och protokoll 37, ändrat genom gemensamma EESkommitténs beslut nr 154/2018 av den 6 juli 2018 , och

med beaktande av artiklarna 12 och 22 i arbetsordningen.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

1 TILLÄMPNINGSOMRÅDE OCH SYFTE

1. Praxis har visat att många tillsynsmyndigheter tillämpar uppgörelse i godo vid hantering av klagomål. Det är också tydligt att det finns olika variationer av uppgörelser i godo och att de därför hanteras olika av tillsynsmyndigheterna på grund av skillnader i nationell lagstiftning. I den allmänna dataskyddsförordningen används begreppet uppgörelse i godo endast i skäl 131 med hänvisning till behandlingen av lokala fall enligt artikel 56.2 i samma förordning, men möjligheterna att underlätta sådana lokala fall är inte uttryckligen begränsade. Den resulterande luckan i regleringen av uppgörelser i godo i andra fall än lokala fall har fyllts på olika sätt: i vissa fall genom nationell lagstiftning, i andra genom tolkning. Med tanke på dessa olika tolkningar och eftersom den nationella lagstiftningen om behandling av klagomål och uppgörelser i godo varierar (om det ens finns någon lagstiftning) skiljer sig det praktiska genomförandet av uppgörelser i godo avsevärt mellan medlemsstaterna.

2. Tillsynsmyndigheternas befogenheter bör utövas i enlighet med de särskilda kraven i deras medlemsstaters processrätt. Detta gäller även handläggningen av ärenden. Den nationella processrätten måste dock följa principerna om likvärdighet och effektivitet och får därför inte göra det alltför svårt eller praktiskt omöjligt att utöva de rättigheter som följer av EU-lagstiftningen (dvs. den allmänna dataskyddsförordningen). Genom dessa riktlinjer strävar Europeiska dataskyddsstyrelsen därmed efter att tillhandahålla bästa praxis för en konsekvent tillämpning av den allmänna dataskyddsförordningen på nationell nivå och på EU-nivå, i den utsträckning det är lämpligt för tillämpningen av instrumentet uppgörelser i godo, med hänsyn till de olika nationella processlagarna (i den mån ett sådant instrument uttryckligen har införts), förfarandet med mekanismen för en enda kontaktpunkt enligt den allmänna dataskyddsförordningen och den tekniska miljön (IMI).

3. Tillsynsmyndigheterna kan behandla andra fall än klagomål, till exempel fall som grundar sig på medieuppgifter eller undersökningar på eget initiativ. Denna vägledning kommer däremot endast att beröra det praktiska genomförandet av uppgörelser i godo i fall som inletts i samband med ett klagomål från en registrerad, eftersom möjligheten till en uppgörelse förutsätter en tvist mellan två enheter, i detta fall det klagomål som en registrerad har lämnat in mot en personuppgiftsansvarig (se även punkt 2.1 nedan). Sådana klagomål kan sedan delas in i i) nationella fall som inte är gränsöverskridande, ii) fall där mekanismen för en enda kontaktpunkt är tillämplig på grund av att fallet är gränsöverskridande och iii) gränsöverskridande fall som behandlas lokalt i enlighet med artikel 56.2 i den allmänna dataskyddsförordningen. Även om praxis visar att uppgörelser i godo är möjliga i alla situationer berör denna vägledning främst de klagomål som är gränsöverskridande till sin natur.

2 DEFINITION AV BEGREPPET UPPGÖRELSE I GODO

2.1 Allmän bakgrund

4. I den allmänna dataskyddsförordningen definieras inte begreppet uppgörelse i godo, och det hänvisas endast till i skäl 131 . Den mest relevanta betydelsen av uppgörelse är en överenskommelse eller ett officiellt avtal som avser att lösa en tvist eller konflikt. I Oxford English Dictionary beskrivs adjektivet amicable (i godo) som ”characterised by friendliness and absence of discord” (kännetecknas av vänlighet och avsaknad av oenighet).

5. Den mer allmänna definitionen av uppgörelse i godo inom juristkåren och i andra internationella dokument ger viss preliminär vägledning för att fastställa definitionen av begreppet. Till exempel tillhandahåller Internationella handelskammaren en rad tvistlösningsförfaranden som kan betraktas som uppgörelser i godo . Internationella handelskammarens förfarande för uppgörelse i godo förefaller bestå av medling, vilket beskrivs som en flexibel och samförståndsbaserad metod där en neutral aktör hjälper parterna att nå en förhandlingslösning på sina tvister. Enligt Internationella handelskammaren är uppgörelser som nås genom medling avtalsmässigt bindande och allmänt verkställbara. Världshandelsorganisationen (WTO) använder uppgörelser i godo som ömsesidigt godtagbara lösningar, dvs. en förhandlingslösning mellan de berörda parterna som möjliggör en snabb och skräddarsydd lösning av en tvist. Vidare hänvisar Europeiska unionens immaterialrättsmyndighet (EUIPO) till uppgörelser i godo som en process utanför domstol som leder till en lösning som förhandlas fram mellan parterna genom medling . Det europeiska konsumentcentrumet hänvisar även till uppgörelser i godo som en form av alternativ tvistlösning, i enlighet med direktivet om alternativ tvistlösning vid konsumenttvister , som ”erbjuds av neutrala organ som förlikningsmän, medlare, skiljemän, ombudsmän och reklamationsnämnder” , och där konsumenter och företag försöker lösa en tvist gemensamt genom att höra båda parter, undersöka den rättsliga situationen, diskutera möjliga lösningar och slutligen lämna ett förslag till skiljedomsförfarande .

6. Sammantaget verkar det som om uppgörelser i godo i allmänhet avser alternativa tvistlösningar genom förfaranden som leder till att ett fall avslutas i samförstånd. Även om en uppgörelse mellan parterna är resultatet bygger själva förfarandet på en tillmötesgående inställning. Förfarandena kan omfatta allt från förhandlingar mellan parter till formell medling och till och med underlättande av förlikning.

2.2 Samband med den allmänna dataskyddsförordningen

7. När det gäller dataskyddsmyndigheternas behandling av klagomål ser de flesta medlemsstater uppgörelser i godo som en process för alternativ tvistlösning. I de flesta fall underlättas uppgörelsen i godo när ett klagomål inges till tillsynsmyndigheten rörande en påstådd överträdelse av den allmänna dataskyddsförordningen, särskilt rörande registrerades rättigheter, för att lösa ärendet till förmån för de registrerade. I sådana fall ska uppgörelsen nås mellan den personuppgiftsansvarige och den registrerade under överinseende av tillsynsmyndigheten, som modererar händelseförloppet. Tillsynsmyndigheten underlättar således processen i syfte att reda ut klagomålet. Till skillnad från en faktisk medlare deltar tillsynsmyndigheten aktivt i förfarandet eftersom den fortfarande måste fullgöra sina skyldigheter i egenskap av tillsynsmyndighet och därför måste behandla klagomålet, undersöka den sakfråga som klagomålet gäller och dess särdrag i lämplig utsträckning samt informera den registrerade om hur klagomålet fortskrider eller om resultatet av det.

8. Med tanke på att uppgörelser i godo i princip inte nämns i den allmänna dataskyddsförordningen avgörs den alternativa tvistlösningsprocess som följs samt kraven och villkoren för denna process till stor del av lagstiftningen och politiken i varje enskild medlemsstat. En analys av rådande praxis visar att majoriteten av de nationella rättssystemen, när det gäller hantering av uppgörelser i godo, inkluderar den mottagande tillsynsmyndigheten, den personuppgiftsansvarige (eller personuppgiftsbiträdet) och den registrerade i förfarandet samt, i tillämpliga fall, även den ansvariga tillsynsmyndigheten.

9. Det bör noteras att den registrerade i vissa medlemsstater inte är part i det administrativa förfarandet mot den personuppgiftsansvarige. I sådana medlemsstater får tillsynsmyndigheten använda ett liknande tvistlösningsförfarande som det som beskrivs i dessa riktlinjer och avsluta ett fall om den anser att den personuppgiftsansvarige har uppfyllt kraven, men utan att höra den registrerade. Sådana tvistlösningsförfaranden kommer dock inte att beröras i dessa riktlinjer.

10. Uppgörelser i godo anses i regel vara möjliga under hela förfarandet, även om vissa tillsynsmyndigheter uppger att de endast är möjliga i ett tidigt skede av prövningen, innan några andra åtgärder har vidtagits. I vissa medlemsstater är uppgörelser i godo endast tillämpliga i lokala fall, eftersom detta begrepp endast nämns i skäl 131 i den allmänna dataskyddsförordningen som ett sätt för berörda tillsynsmyndigheter att hantera lokala fall. Majoriteten av tillsynsmyndigheterna menar dock att en uppgörelse i godo är tillåten i alla slags fall, oavsett om de är gränsöverskridande eller lokala.

11. Mot bakgrund av skäl 131 är sådana överenskommelser begränsade till fall där den berörda tillsynsmyndighet som mottar klagomålet konstaterar att sakfrågan eller den möjliga överträdelsen endast rör den personuppgiftsansvariges eller personuppgiftsbiträdets behandling i den medlemsstat där klagomålet har ingetts eller (sannolikt) inte i väsentlig grad påverkar registrerade i andra medlemsstater. Valet att försöka få till stånd en uppgörelse i godo bör då, såsom anges i skälet, omfatta i) den särskilda behandling som utförs inom medlemsstatens territorium eller med avseende på registrerade inom denna medlemsstats territorium, ii) behandling som utförs inom ramen för ett erbjudande om varor eller tjänster som särskilt riktar sig till registrerade inom medlemsstatens territorium eller iii) behandling som måste bedömas med beaktande av relevanta rättsliga skyldigheter enligt medlemsstaternas nationella rätt. Lagstiftning som uttryckligen tillåter uppgörelser i godo får däremot inte begränsas till dessa krav.

12. I princip beror valet av huruvida en uppgörelse i godo får tillämpas eller inte på medlemsstatens lagstiftning och/eller den berörda tillsynsmyndighetens gottfinnande. Kriterier utifrån vilka ett fall kan anses lämpligt för en uppgörelse i godo skulle till exempel kunna inbegripa det sätt på vilket tillsynsmyndigheten fått kännedom om fallet. Förfarandet för uppgörelse i godo skulle därför kunna vara tillämpligt endast i fall där ett klagomål har ingetts.

13. Uppgörelser i godo bör i allmänhet endast anses vara möjliga i fall som rör registrerades rättigheter enligt artikel 12 och följande i den allmänna dataskyddsförordningen eftersom det endast är då som den registrerade kan utöva sina egna rättigheter som part i uppgörelsen. Med vederbörlig hänsyn till de enskilda medlemsstaternas nationella lagstiftning är det dock upp till tillsynsmyndigheten att fatta ett sådant beslut, eftersom den måste bedöma det enskilda fallet ur ett bredare perspektiv.

14. Å andra sidan kan de faktiska omständigheterna i fallet vara avgörande. Sådana särskilda omständigheter under vilka det fastställs om en uppgörelse i godo får tillämpas eller inte kan, i och med att den allmänna dataskyddsförordningen saknar bestämmelser i frågan (bortsett från skäl 131), regleras av nationella bestämmelser. I praktiken skulle tillsynsmyndigheten, när den beslutar att inleda ett förfarande för uppgörelse i godo, kunna utgå från följande allmänna kriterier: Det är över huvud taget sannolikt att fallet kan lösas i godo; endast ett begränsat antal registrerade berörs och huruvida det kan röra sig om ett systemfel ; dataskyddsöverträdelsen är oavsiktlig (dvs. den sker på grund av oaktsamhet); fallet rör behandling av ett begränsat antal personuppgifter; följderna av överträdelsen är varken långvariga eller allvarliga (dvs. det föreligger inga allvarliga konsekvenser eller kränkningar mot fri- och rättigheter). Dessutom kan sannolikheten för ytterligare överträdelser i framtiden vara en avgörande faktor. Något som också kan vara avgörande är den bredare samhälleliga betydelsen och allmänintresset av tillsynsmyndighetens verkställighetsåtgärder, även mot bakgrund av eventuella identifierade områden där det krävs särskild vaksamhet, samt den utsträckning i vilken en tillsynsmyndighet kan vidta effektiva och ändamålsenliga åtgärder. Exempel 1: En personuppgiftsansvarig eller ett personuppgiftsbiträde går med på att tillhandahålla all information som begärs av en tillsynsmyndighet för att lösa ett klagomål, såsom tydliga bevis för att vederbörande har följt artiklarna 33 och 34 i den allmänna dataskyddsförordningen vid en personuppgiftsincident. Att begäran inte tillmötesgicks omedelbart (i enlighet med artikel 12 i den allmänna dataskyddsförordningen) berodde på en brist i den interna kommunikationen.

15. Det är dock viktigt att notera att tillsynsmyndigheten har rätt att undersöka frågan ytterligare, även efter det att en uppgörelse i godo har nåtts, om än i ett annat eller en annan sorts förfarande på eget bevåg. Myndigheten får fortsätta förfarandet på eget initiativ om den till exempel anser att böter bör åläggas eller om den mottar andra liknande klagomål mot samma personuppgiftsansvarige, vilket leder till slutsatsen att den personuppgiftsansvarige inte har fullgjort sitt åtagande att åtgärda dataskyddsöverträdelserna, eller om det i klagomålet och/eller undersökningarna avslöjas andra, potentiellt systematiska överträdelser som kan få mer omfattande konsekvenser för andra registrerade. Detsamma gäller om uppgörelsen i godo endast avser delar av ett klagomål, samtidigt som andra eller ytterligare frågor i fallet behandlas på annat sätt. En uppgörelse i godo hindrar inte heller den registrerade från att återkomma till tillsynsmyndigheten om det (senare) visar sig att den personuppgiftsansvarige inte följde den överenskomna lösningen. Dessa omständigheter bör meddelas den personuppgiftsansvarige och den enskilde på ett tydligt och öppet sätt innan en uppgörelse i godo nås. Exempel 2: Den registrerade lämnar in ett klagomål om att en personuppgiftsansvarig ber om ett pass som identifieringssätt för att radera ett konto som den registrerade innehar på den personuppgiftsansvariges plattform. Tillsynsmyndigheten anser att det enskilda klagomålet lämpar sig för en uppgörelse i godo eftersom den registrerade kan nöja sig om begäran om passet återkallas och kontot raderas. Tillsynsmyndigheten inleder emellertid en egen undersökning av den personuppgiftsansvariges policy för databehandling avseende konton på plattformen för att säkerställa att den personuppgiftsansvarige ser till att dennes policyer överensstämmer med bestämmelserna i den allmänna dataskyddsförordningen.

2.3 Det allmänna syftet med uppgörelser i godo

16. Utöver att nå ett resultat som är tillfredsställande för den registrerade är uppgörelser i godo verktyg för att se till att den personuppgiftsansvarige följer den allmänna dataskyddsförordningen. Om ett klagomål inges på grund av att en personuppgiftsansvarig inte har uppfyllt skyldigheterna beträffande registrerades rättigheter enligt artiklarna 12–22 i den allmänna dataskyddsförordningen kan verkställigheten av de registrerades rättigheter påskyndas genom en uppgörelse i godo mellan aktörerna. Den måttstock mot vilken en lyckad uppgörelse i godo av klagomålet mäts bör innefatta två delar: å ena sidan, den registrerades tillfredsställelse i det specifika fallet i förhållande till de särskilda frågor som tas upp i klagomålet och, å andra sidan – i tillämpliga fall och enligt kraven i den nationella lagstiftningen – de bevis som den personuppgiftsansvarige lämnat till tillsynsmyndigheten på att denne har tillmötesgått den registrerades begäran och följt de tillämpliga dataskyddskraven. Tillsynsmyndigheten bör dock i praktiken, samt med beaktande av omständigheterna i fallet och det eventuella samarbetet med andra berörda tillsynsmyndigheter, avgöra om uppgörelsen i godo är tillräcklig för att uppnå full överensstämmelse med den allmänna dataskyddsförordningen mot bakgrund av de rättsliga frågor som omger eller uppstår till följd av det enskilda klagomålet mot den enskilda personuppgiftsansvarige.

17. Uppgörelser i godo bör därför i stort uppfattas som ett av flera alternativ som en tillsynsmyndighet har att tillgå för att behandla registrerades klagomål och säkerställa skyddet av registrerades rättigheter. Samtidigt måste man inse att en uppgörelse i godo inte alltid är en lämplig lösning. Även om det är upp till tillsynsmyndigheterna själva att avgöra om en uppgörelse i godo får tillämpas i ett visst fall måste en sådan bedömning göras på grundval av strukturerade, enhetliga, transparenta och begripliga kriterier, såsom de som nämns i punkt 12 och följande, och med beaktande av eventuella bestämmelser i nationell lagstiftning.

18. Tillsynsmyndighetens korrigerande befogenheter är av största vikt för att verkställa och upprätthålla den höga skyddsnivå som den allmänna dataskyddsförordningen syftar till att skapa för alla registrerade, som ofta befinner sig i en utsatt ställning eller till och med beroendeställning gentemot den personuppgiftsansvarige. Att lösa en tvist genom ett förfarande för uppgörelse i godo med en tillsynsmyndighet som handläggare och medlare kan då vara ett sätt att hantera en sådan obalans och hitta en lösning som är godtagbar för alla parter, särskilt när det gäller uppfyllandet av den registrerades rättigheter.

3 ALLMÄN RÄTTSLIG ANALYS

3.1 Uppgörelse i godo som en av tillsynsmyndighetens befogenheter

19. Förfarandet för uppgörelse i godo har sin rättsliga grund i de uppdrag som tillsynsmyndigheterna direkt tilldelats genom den allmänna dataskyddsförordningen (artikel 57.1 a och f) och även i de befogenheter som tillsynsmyndigheterna i tillämpliga fall ges genom nationell lagstiftning inom ramen för artikel 58.6 i samma förordning.

20. I det första fallet är artikel 57.1 a och f i den allmänna dataskyddsförordningen allmänt tillämplig, varigenom tillsynsmyndigheten tillhandahålls en fast grund för att hitta alla möjliga sätt att behandla klagomål (se artikel 57.1 f) och verkställa (se artikel 57.1 a) tillämpningen av förordningen, beroende på vad som är lämpligt. Artikel 57.1 f, jämförd med artiklarna 77 och 78, innebär en rätt för den enskilde att få ett klagomål (om det är tillåtligt) behandlat och undersökt i den utsträckning som är nödvändig för att nå ett lämpligt resultat med hänsyn till klagomålets art och omständigheter. Det är dock upp till varje behörig tillsynsmyndighet att avgöra i vilken utsträckning ett klagomål bör undersökas. Ett resultat skulle t.ex. kunna bli att parterna i klagomålet genom tillsynsmyndighetens ingripande gör upp i godo.

21. I det andra scenariot kan medlemsstaterna ge tillsynsmyndigheterna ytterligare befogenheter genom nationell lagstiftning, i enlighet med artikel 58.6 i den allmänna dataskyddsförordningen. De specifika förutsättningarna för att en tillsynsmyndighet (inklusive en ansvarig tillsynsmyndighet) vid handläggningen av operativa fall ska kunna nå en uppgörelse i godo återfinns i dessa nationella bestämmelser.

3.2 Uppgörelse i godo vid förfaranden med en enda kontaktpunkt

22. För att bedöma vilken roll uppgörelser i godo spelar inom ramen för ett förfarande med en enda kontaktpunkt kan man i första hand hänvisa till motiveringen till ett sådant förfarande i enlighet med artikel 60.1 i den allmänna dataskyddsförordningen. Såsom klargörs i Europeiska dataskyddsstyrelsens riktlinjer 02/2022 om tillämpningen av artikel 60 i den allmänna dataskyddsförordningen fastställs i artikel 60.1 ”grundläggande och övergripande principer, som gäller i hela samarbetet mellan tillsynsmyndigheterna”. Enligt formuleringen i denna artikel utgörs de centrala begreppen i samarbetsförfarandet av ”en strävan att uppnå samförstånd” och skyldigheten att ”utbyta all relevant information med varandra”. Dessutom ska dessa skyldigheter ”uppfyllas av den ansvariga tillsynsmyndigheten och alla andra berörda tillsynsmyndigheter (ömsesidig skyldighet)”.

3.2.1 Uppgörelse i godo som uppnås av den mottagande tillsynsmyndigheten under den inledande kontrollfasen

23. Europeiska dataskyddsstyrelsen vill påpeka att även om uppgörelser i godo endast nämns i skäl 131 kan det även vara god praxis att försöka få till stånd en uppgörelse i godo när en tillsynsmyndighet behandlar ett fall som inte uppfyller villkoren i artikel 56.2 i den allmänna dataskyddsförordningen, beroende på den nationella processrätten.

24. Skäl 131 hindrar inte i sig en tillsynsmyndighet som mottar ett klagomål från att, som en del av den inledande kontrollen, försöka få till stånd en sådan uppgörelse utöver att fastställa att klagomålet är helt och hållet gränsöverskridande. Det specifika tillvägagångssättet kan emellertid bero på huruvida den personuppgiftsansvarige har ett verksamhetsställe på den mottagande tillsynsmyndighetens territorium. Såsom redan klargjorts i avsnitt 2 är en väsentlig aspekt vid uppgörelser i godo ömsesidig tillfredsställelse mellan de berörda parterna, framför allt den enskilde. Om så är fallet och den berörda tillsynsmyndigheten kan konkretisera en sådan tillfredsställelse på förhand, vid den inledande kontrollen av klagomålet, t.ex. efter det att den personuppgiftsansvarige har tillmötesgått den registrerades begäran om att utöva sina rättigheter på ett sätt som är tillfredsställande för både den registrerade och den mottagande tillsynsmyndigheten, bör den sistnämnda inte längre informera den ansvariga tillsynsmyndigheten om fallet genom ett IMI-meddelande enligt artikel 56, eftersom de förhållanden som klagomålet avser inte längre föreligger. Det finns därför inget behov av att inleda ett förfarande med en enda kontaktpunkt genom att registrera fallet i IMI.

25. Enligt skäl 125 har den ansvariga tillsynsmyndigheten i allmänhet behörighet att anta rättsligt bindande beslut i förhållande till den berörda personuppgiftsansvarige eller det berörda personuppgiftsbiträdet vid ett förfarande med en enda kontaktpunkt. Enligt artikel 56.6 i den allmänna dataskyddsförordningen är den ansvariga tillsynsmyndigheten dessutom den personuppgiftsansvariges/personuppgiftsbiträdets ”enda motpart” i fall som rör gränsöverskridande behandling. Den mottagande tillsynsmyndigheten bör därför informera den ansvariga tillsynsmyndigheten om fallet och resultatet vid lämplig tidpunkt, till exempel kvartalsvis (dvs. genom det frivilliga ömsesidiga biståndet), i linje med det krav på samarbete som är centralt i hela mekanismen för en enda kontaktpunkt, för att den ansvariga tillsynsmyndigheten ska kunna vidta alla åtgärder som den anser lämpliga med avseende på den berörda personuppgiftsansvarige.

26. Detta innebär att den ansvariga tillsynsmyndigheten bör hållas informerad om de uppgörelser i godo som den berörda tillsynsmyndigheten har uppnått i en sådan inledande fas, även i aggregerad form. Mer specifik vägledning i detta avseende ges i avsnitt 4 nedan (”Rekommendationer”).

27. Det finns givetvis fall där den uppgörelse som den berörda tillsynsmyndigheten nått med den personuppgiftsansvarige/personuppgiftsbiträdet endast avser vissa delar, dvs. inte alla begäranden har beviljats, och att det därför blir nödvändigt att involvera den ansvariga tillsynsmyndigheten för att den registrerade ska få tillgång till alla de rättsmedel som föreskrivs i den allmänna dataskyddsförordningen.

28. RÄTTSLIGA FÖLJDER: En uppgörelse i godo som en berörd tillsynsmyndighet har befogenhet att tillämpa som en del av den inledande kontrollen av det mottagna klagomålet kan göra att ett förfarande enligt artikel 60 inte behöver inledas, under förutsättning att de berörda parterna är nöjda med uppgörelsen. Om så inte är fallet, och på grund av principen om rätten till god förvaltning i artikel 41 i EU-stadgan om de grundläggande rättigheterna, som även är tillämplig på fall med en enda kontaktpunkt, bör den ansvariga tillsynsmyndigheten överväga skälen till att den berörda tillsynsmyndigheten inte kunde få till stånd en uppgörelse i godo i den inledande fasen och besluta om ett nytt försök skulle kunna leda till att klagomålet avslutas inom rimlig tid.

3.2.2 Försök till uppgörelse i godo från den ansvariga tillsynsmyndighetens sida

29. Om den ansvariga tillsynsmyndigheten beslutar att försöka få till stånd en uppgörelse i godo efter att ha fått fallet på sitt bord hör ett centralt krav som måste uppfyllas återigen samman med motiveringen till samarbetsförfarandet med en enda kontaktpunkt, dvs. behovet av att de berörda tillsynsmyndigheterna och den ansvariga tillsynsmyndigheten samarbetar för att nå samförstånd.

30. Det bör nämnas att Europeiska dataskyddsstyrelsen medger att den ansvariga tillsynsmyndigheten i alla steg av förfarandet har rätt att formellt höra den registrerade (den tillsynsmyndighet som mottog klagomålet fungerar då som motpart) och, med samtycke från alla berörda parter (t.ex. den registrerade, den personuppgiftsansvarige, en eller flera berörda tillsynsmyndigheter och eventuella tredje parter), avsluta ett ärende efter det att den påstådda överträdelsen har åtgärdats, även om det saknas särskilda nationella bestämmelser. Den ansvariga tillsynsmyndigheten får göra detta om den anser att den information som samlats in under undersökningarna är tillräcklig för att avsluta ärendet. Denna form av uppgörelse kan förstås som en strategi för tillbörlig aktsamhet på grund av utrymmet för skönsmässig bedömning när det gäller fastställandet av villkoren och kraven för ärendehandläggning, eftersom den ger tillsynsmyndigheterna möjlighet att upprätthålla den höga skyddsnivå som den allmänna dataskyddsförordningen syftar till att skapa genom att erkänna att vissa fall kan lösas effektivt genom underlättande av samverkan mellan parterna. En uppgörelse av den här typen kan medföra fördelar för den enskilde, vars rättigheter enligt den allmänna dataskyddsförordningen försvaras snabbt, samt för den personuppgiftsansvarige, som ges möjlighet att anpassa sitt agerande till kraven i den allmänna dataskyddsförordningen.

31. Den ansvariga tillsynsmyndigheten bör därför vara medveten om behovet av att hålla de berörda tillsynsmyndigheterna informerade i alla steg av förfarandet. Även om den ansvariga tillsynsmyndigheten obestridligen är den personuppgiftsansvariges enda motpart (se även artikel 56.6 i den allmänna dataskyddsförordningen) har den enskilde sin enda kontaktpunkt i den behöriga tillsynsmyndighet som mottog klagomålet.

32. Detta ömsesidiga informationsutbyte är också ett sätt att säkerställa rättssäkerheten och den enskildes rätt att höras i det förfarande som den ansvariga tillsynsmyndigheten har försökt genomföra, delvis i syfte att lämna in sina synpunkter utöver den information som den berörda tillsynsmyndigheten redan har lämnat. Det är här den ansvariga tillsynsmyndighetens roll är central för att underlätta hela processen genom att utbyta information och dokument med den berörda tillsynsmyndigheten. Det bör också erinras om att den ansvariga tillsynsmyndighetens beslut att behandla klagomålet genom att försöka få till stånd en uppgörelse i godo mellan den registrerade och den personuppgiftsansvarige kommer att påverkas av den information och de dokument som utbyts i enlighet med artikel 60.1 i den allmänna dataskyddsförordningen, särskilt om den berörda tillsynsmyndigheten redan har misslyckats med att få till stånd en sådan uppgörelse i godo under kontrollfasen.

33. En ansvarig tillsynsmyndighet som väljer uppgörelse i godo som ett sätt att lösa tvisten med den personuppgiftsansvarige bör vara medveten om sannolikheten för att ett sådant tillvägagångssätt leder till ett framgångsrikt resultat, dvs. till att den registrerades rättigheter försvaras, mot bakgrund av alla relevanta omständigheter, däribland förväntningarna hos den berörda tillsynsmyndighet som har hänskjutit klagomålet till den enligt kraven i artikel 56.1 i den allmänna dataskyddsförordningen. Om en berörd tillsynsmyndighet meddelar i enlighet med artikel 60.1, i synnerhet, att ett sådant försök redan har gjorts utan framgång under kontrollfasen, oavsett om det är på grund av den registrerades vägran att godta uppgörelsen med den personuppgiftsansvarige eller på grund av den personuppgiftsansvariges underlåtenhet att besvara den berörda tillsynsmyndighetens uppmaning att tillmötesgå den registrerades begäran, bör den ansvariga tillsynsmyndigheten mycket noggrant överväga om ett nytt försök att göra upp i godo gynnar de registrerades intressen, samt dataskyddslagstiftningen i allmänhet. Ett mer formaliserat tillvägagångssätt där den ansvariga tillsynsmyndigheten utövar alla sina befogenheter gentemot den personuppgiftsansvarige, även enligt artikel 58 i den allmänna dataskyddsförordningen, kan vara att föredra. Detsamma gäller om den berörda tillsynsmyndigheten inte har gjort något sådant försök innan klagomålet hänsköts till den ansvariga tillsynsmyndigheten, oavsett skäl, och därför inte har meddelat den ansvariga tillsynsmyndigheten något i detta avseende. I båda fallen kommer den uppmärksamhet som den ansvariga tillsynsmyndigheten fäster vid sannolikheten för att en uppgörelse i godo ska lyckas att göra det möjligt för den ansvariga tillsynsmyndigheten att välja det lämpligaste sättet att hantera det aktuella fallet, minska onödiga administrativa bördor och undvika risken för resursintensiva förfaranden med en enda kontaktpunkt för att hantera oron och tvivlen, eller till och med de motiverade och relevanta invändningarna, från den eller de berörda tillsynsmyndigheterna.

34. Om den ansvariga tillsynsmyndigheten kommer fram till att en uppgörelse i godo är lämplig i det aktuella fallet måste den komma ihåg att uppgörelsen är en del av ett förfarande med en enda kontaktpunkt och agera i enlighet därmed. Europeiska dataskyddsstyrelsen har i riktlinjerna om tillämpningen av artikel 60 redan klargjort att man, ”[f]ör att göra det lättare att uppnå samförstånd [bör dela] informationen vid ett tillfälle då det fortfarande är möjligt för den ansvariga tillsynsmyndigheten att ta till sig synpunkterna från de berörda tillsynsmyndigheterna. Detta bör [...] förhindra att de berörda tillsynsmyndigheterna ställs inför fullbordat faktum då till exempel vissa skeden i förfarandena kan bli uteslutna enligt nationell rätt” .

35. Vid ett förfarande för uppgörelse i godo innebär detta att den ansvariga tillsynsmyndigheten förväntas dela den föreslagna uppgörelsen med de berörda tillsynsmyndigheterna innan den slutförs, i enlighet med artikel 60.3 första meningen i den allmänna dataskyddsförordningen. Såsom Europeiska dataskyddsstyrelsen påpekat i riktlinjerna om tillämpningen av artikel 60 är ”de andra berörda tillsynsmyndigheternas iblandning i samarbetsförfarandet inte begränsad till rätten att uttrycka en relevant och motiverad invändning enligt artikel 60.4. I synnerhet innan utkastet till beslut har tagits fram bör de berörda tillsynsmyndigheterna kunna bidra till hela förfarandet och uttrycka sina synpunkter” .

36. Det är naturligtvis upp till den ansvariga tillsynsmyndigheten att, mot bakgrund av alla de faktorer som nämns i ovanstående punkter, avgöra om ett informellt samråd med de berörda tillsynsmyndigheterna verkligen är nödvändigt i det aktuella fallet. Såsom nämnts ovan i punkt 12 och följande kan egenskaperna hos det klagomål som eventuellt ska göras upp i godo ha lett till att den ansvariga tillsynsmyndigheten och den berörda tillsynsmyndigheten, även på grundval av den information som utbytts på förhand enligt artikel 60.1 vid den tidpunkt då klagomålet hänskjuts till den ansvariga tillsynsmyndigheten, redan har bildat sig en uppfattning om möjligheten att lösa klagomålet till den enskildes fulla belåtenhet genom att avlägsna grundorsaken till tvisten. I sådana fall kan den ansvariga tillsynsmyndigheten mycket väl fastställa att lösningen av klagomålet direkt kan omsättas i ett sådant utkast till beslut som ska läggas fram enligt artikel 60.3 i den allmänna dataskyddsförordningen. Om den berörda tillsynsmyndigheten meddelade att den inte hade lyckats nå någon uppgörelse under kontrollfasen eller att den helt enkelt inte försökte nå en uppgörelse innan ärendet hänsköts till den ansvariga tillsynsmyndigheten, bör den ansvariga tillsynsmyndigheten omvänt vara medveten om samförståndsmålet vid ett förfarande med en enda kontaktpunkt och försöka få till stånd ett sådant informellt samråd med den berörda tillsynsmyndigheten i förväg för att bedöma om ett (nytt) försök skulle kunna leda till att klagomålet avslutas på ett rimligt sätt.

37. I slutändan är den ansvariga tillsynsmyndigheten skyldig att för de berörda tillsynsmyndigheterna lägga fram ett utkast till beslut med villkoren för uppgörelsen (inklusive de åtgärder som bevisligen har vidtagits av den personuppgiftsansvarige/personuppgiftsbiträdet för att tillmötesgå den enskildes begäran till dennes fulla belåtenhet) i enlighet med artikel 60.3 i den allmänna dataskyddsförordningen. Såsom klargörs i riktlinjerna om tillämpningen av artikel 60 måste den ansvariga tillsynsmyndigheten lägga fram ett utkast till beslut för de berörda tillsynsmyndigheterna i samtliga fall, även om den enskilde drar tillbaka sitt klagomål efter det att artikel 60-förfarandet har inletts eller om inget avgörande (slutligt) beslut utfärdas enligt nationell rätt . Detsamma gäller när ärenden (endast) anses ha dragits tillbaka, t.ex. i enlighet med nationell rätt. I sådana fall fungerar utkastet till beslut som en slutlig samordning mellan alla tillsynsmyndigheter som deltar i förfarandet med en enda kontaktpunkt .

38. Såsom anges ovan kommer utkastet till beslut att konsolidera den uppgörelse som nåtts av den ansvariga tillsynsmyndigheten med de berörda tillsynsmyndigheternas samtycke. Det kommer att vara ett sui generis-beslut om att klagomålet har lösts av den ansvariga tillsynsmyndigheten på ett sätt som tillfredsställer alla berörda parter (framför allt den registrerade och den personuppgiftsansvarige), varigenom sådan tillfredsställelse måste signaleras i enlighet med kraven i den ansvariga tillsynsmyndighetens nationella lagstiftning, och om att behandlingen av fallet kommer att avslutas i enlighet med detta. Klagomålet varken avvisas eller beviljas av den ansvariga tillsynsmyndigheten; uppgörelsen i godo utgör ur denna synvinkel ett annat resultat för att avsluta behandlingen av klagomålet inom förfarandet med en enda kontaktpunkt via en överenskommelse mellan parterna som undanröjer orsaken till tvisten genom de åtgärder som vidtagits av den ansvariga tillsynsmyndigheten.

39. I och med det formella inlämnandet av ett sådant instrument som av rättssäkerhets- och öppenhetsskäl krävs vid förfaranden med en enda kontaktpunkt kommer den period av fyra veckor som de berörda tillsynsmyndigheterna har på sig att svara, i enlighet med artikel 60.4 i den allmänna dataskyddsförordningen, att inledas. I detta avseende bör det betonas att om ett korrekt informationsutbyte ägde rum innan utkastet till beslut lades fram, såsom förklaras i föregående punkter, och de berörda tillsynsmyndigheterna aldrig uttryckte några tvivel om att klagomålet kunde lösas i godo, även i samarbetsanda, bör de noga överväga om de avser att invända mot resultatet av den uppnådda uppgörelsen.

40. Detta innebär inte att de berörda tillsynsmyndigheterna inte får göra motiverade och relevanta invändningar i dessa situationer; hela syftet med en uppgörelse i godo är dock att säkerställa den registrerades (och den personuppgiftsansvariges) tillfredsställelse, i god tid och på grundval av en ömsesidig överenskommelse vars utsikter till framgång vid ett förfarande med en enda kontaktpunkt bedöms av den ansvariga tillsynsmyndigheten mot bakgrund av flera faktorer som nämnts ovan. Totalt sett bör motiverade och relevanta invändningar göras i undantagsfall vid uppgörelser i godo, förutsatt att den ansvariga tillsynsmyndigheten har tagit vederbörlig hänsyn till samförståndsmålet vid handläggningen av förfarandet. På så sätt kan (och bör) upprepade omgångar av reviderade utkast till beslut och/eller tvistlösningar undvikas.

41. Om det inte (längre) finns några motiverade och relevanta invändningar leder förfarandet till den situation som beskrivs i artikel 60.6 i den allmänna dataskyddsförordningen, dvs. utkastet till beslut blir bindande för den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna. Den ansvariga tillsynsmyndigheten ska sedan, i enlighet med artikel 60.7 i den allmänna dataskyddsförordningen, anta och meddela beslutet till den personuppgiftsansvariges eller personuppgiftsbiträdets huvudsakliga eller enda verksamhetsställe, allt efter omständigheterna, med en sammanfattning av relevanta fakta och en relevant motivering. Den tillsynsmyndighet till vilken ett klagomål har lämnats in ska underrätta den enskilde om beslutet.

42. Det förklarades i punkt 15 att avsikten med uppgörelsen i godo inte nödvändigtvis är att omfatta hela den sakfråga som klagomålet gäller, dvs. det kan finnas delar av ett klagomål som den ansvariga tillsynsmyndigheten inte anser lämpa sig för en uppgörelse i godo. Såsom redan påpekats i skäl 33 och följande skulle detta förmodligen kräva att den ansvariga tillsynsmyndigheten noga överväger om en uppgörelse i godo över huvud taget är lämplig ens för de övriga delarna. Om den ansvariga tillsynsmyndigheten ändå anser att det är lämpligt att göra upp vissa delar av ett klagomål, medan de andra behandlas genom en standardmetod (dvs. inte i godo), kommer detta tydligt att påverka hela förfarandet och dess resultat.

43. De olika alternativen i en sådan tudelad situation måste läggas fram för de berörda tillsynsmyndigheterna innan utkastet till beslut laddas upp, vilket sedan måste innehålla en motivering till vilka aspekter av klagomålet som i slutändan gjordes upp i godo och vilka aspekter som ledde till att den ansvariga tillsynsmyndigheten avvisade (om den inte beviljade) den registrerades begäran. När det gäller de sistnämnda aspekterna (dvs. partiellt avvisande) kommer de efterföljande stegen i förfarandet med en enda kontaktpunkt att regleras av artikel 60.9 i den allmänna dataskyddsförordningen. Den ansvariga tillsynsmyndigheten kan även besluta att de återstående delarna av klagomålet behöver undersökas ytterligare, och kan därför föreslå andra lösningar för de berörda tillsynsmyndigheterna, inbegripet inledandet av ett separat förfarande på eget bevåg för dessa delar. Detta måste i så fall tydligt anges i den information som åtföljer utkastet till beslut. Exempel 3: I ett klagomål som mottas och kontrolleras av den berörda tillsynsmyndigheten hävdar den registrerade att den personuppgiftsansvarige inte besvarat hans begäran om att utöva sin rätt till tillgång till sina personuppgifter enligt artikel 15 i den allmänna dataskyddsförordningen och därmed inte gjort det möjligt för honom att begära rättelse enligt artikel 16 i samma förordning av vad han anser vara felaktiga uppgifter om honom. Den berörda tillsynsmyndigheten försöker inte göra upp klagomålet i godo. Den ansvariga tillsynsmyndighet som mottar klagomålet från den berörda tillsynsmyndigheten anser att en uppgörelse i godo skulle kunna vara möjlig mot bakgrund av de relevanta omständigheterna. Den informerar därefter den berörda tillsynsmyndigheten om sin avsikt att göra detta och får samtycke från den berörda tillsynsmyndigheten (som kommer att ha kontaktat den enskilde i detta avseende). Den ansvariga tillsynsmyndigheten kontaktar den personuppgiftsansvarige och uppmanar denne att tillmötesgå begäran. Den personuppgiftsansvarige tillmötesgår begäran om tillgång, men har inte för avsikt att rätta uppgifterna om den enskilde eftersom det finns en betalningsansökan kopplad till den enskilde på grundval av dessa uppgifter. Den ansvariga tillsynsmyndigheten lägger fram ett utkast till beslut för den berörda tillsynsmyndigheten med en kort beskrivning av ärendet, den föreslagna uppgörelsen av begäran om tillgång och de relevanta villkoren. Samtidigt informerar den ansvariga tillsynsmyndigheten den berörda tillsynsmyndigheten om att ett separat ärende kommer att inledas för att undersöka den personuppgiftsansvariges avvisande av den enskildes begäran om rättelse. Eftersom inga motiverade och relevanta invändningar inkommer från den berörda tillsynsmyndigheten antar den ansvariga tillsynsmyndigheten beslutet om uppgörelse i godo av begäran om tillgång och meddelar den personuppgiftsansvarige detta. Samtidigt underrättar den berörda tillsynsmyndigheten den enskilde om beslutet, i enlighet med artikel 60.7 andra meningen i den allmänna dataskyddsförordningen.

3.2.3 Fall enligt artikel 56.2

44. Ett undantag från regeln om en enda kontaktpunkt är vid så kallade lokala fall enligt artikel 56.2 i den allmänna dataskyddsförordningen. I detta avseende kan det, såsom redan påpekats , hänvisas till skäl 131, där ”uppgörelse i godo” nämns i samband med gränsöverskridande ”behandling” som har lokal inverkan.

45. Skäl 131 måste också beaktas om det konstateras att fallet har behandlats lokalt, dvs. av den berörda tillsynsmyndighet som mottagit klagomålet, i enlighet med artikel 56.2 i den allmänna dataskyddsförordningen. Vid behandlingen av sådana fall fungerar skäl 131 som tolkningsstöd för de alternativ som tillsynsmyndigheterna har att tillgå. De berörda tillsynsmyndigheterna uppmanas uttryckligen att försöka få till stånd en uppgörelse i godo med den personuppgiftsansvarige i fall med endast lokal eller mindre påverkan. I skäl 131 föreslås att en berörd tillsynsmyndighet helst bör försöka få till stånd en uppgörelse i godo i ”lokala fall” (om det över huvud taget är möjligt, återigen mot bakgrund av de villkor som anges i punkterna 11 och 12).

46. Såsom redan påpekats syftar samarbetet vid ett förfarande med en enda kontaktpunkt till att uppnå ”samförstånd”, vilket kräver att ”all relevant information” utbyts mellan den berörda tillsynsmyndigheten och den ansvariga tillsynsmyndigheten. Eftersom det endast är den ansvariga tillsynsmyndigheten som kan bedöma systemiska inslag i den överträdelse eller bristande efterlevnad som ligger till grund för klagomålet måste denna underrättas om eventuella uppgörelser.

47. Europeiska dataskyddsstyrelsen erinrar om att även om den enskilde är nöjd med en uppgörelse som nåtts av en berörd tillsynsmyndighet, till exempel på grund av att fullständig tillgång beviljades eller att personuppgifterna rättades eller raderades enligt begäran, är den uppgörelsen inte det enda rättsmedel som den ansvariga tillsynsmyndigheten har att tillgå. Oavsett om en uppgörelse i godo har nåtts eller inte kan den ansvariga tillsynsmyndigheten i detta fall välja att inleda en officiell undersökning (på eget initiativ), varefter hela förfarandet med en enda kontaktpunkt aktiveras i enlighet med artikel 60 i den allmänna dataskyddsförordningen. Den ansvariga tillsynsmyndigheten får i samtliga fall besluta att undersöka och vidta korrigerande åtgärder, inklusive böter, mot den personuppgiftsansvariges huvudsakliga verksamhetsställe i fall av upprepade överträdelser eller bristande efterlevnad i förhållande till registrerades begäranden som bland annat meddelats av andra berörda tillsynsmyndigheter under liknande omständigheter.

48. Inom ramen för ett förfarande enligt artikel 56.2 bör den berörda tillsynsmyndigheten tillhandahålla den ansvariga tillsynsmyndigheten relevant information samt överväga ömsesidigt bistånd. Den bör också införa åtgärder för ett effektivt samarbete, inbegripet information om resultatet av uppgörelsen och/eller om resultaten av utövandet av dess fulla befogenheter enligt artikel 56.5 i den allmänna dataskyddsförordningen.

4 RÄTTSLIGA FÖLJDER OCH PRAKTISKA REKOMMENDATIONER

4.1 Tillämpning av principen om god förvaltningssed på förfaranden för uppgörelse i godo med en enda kontaktpunkt

49. Förfarandet för uppgörelse i godo med en enda kontaktpunkt enligt ovanstående beskrivning bör ses mot bakgrund av den allmänna principen om rätten till god förvaltning – och i linje med den allmänna rättssäkerhetsprincipen enligt vad som avses i skäl 129 och artikel 58.4 i den allmänna dataskyddsförordningen. Detta innebär att förfarandet för uppgörelse i godo, tillämpat av en tillsynsmyndighet som har befogenhet att använda denna typ av administrativa rättsmedel, bör vara förenligt med principen om god förvaltningssed och rättssäkerhet i samtliga fall .

50. När den berörda tillsynsmyndigheten mottar ett klagomål måste den som ett första steg klargöra sin specifika roll enligt artiklarna 55 och 56 i den allmänna dataskyddsförordningen. Betydelsen av kontrollfasen när ett klagomål har lämnats in till en tillsynsmyndighet bör framhållas i detta avseende , oavsett vilken väg som det särskilda fallet tar efteråt, eftersom de relevanta delarna ska ingå i akten från ett tidigt skede.

51. I ett andra steg måste de berörda parterna, nämligen den registrerade som lämnade in klagomålet, den eller de personuppgiftsansvariga och eventuella personuppgiftsbiträden, få sin synvinkel beaktad. Förhållandet mellan dessa parter samt klagomålets art kommer att avgöra om en uppgörelse i godo kan leda till en lösning, nämligen den personuppgiftsansvariges efterlevnad av den allmänna dataskyddsförordningen och den registrerades tillfredsställelse. Sist men inte minst måste resultatet av sådana förfaranden för varje tillsynsmyndighet och de rättsliga följderna för de berörda parterna undersökas mer i detalj för att man ska kunna bedöma om ett fall i slutändan lämpar sig för en uppgörelse i godo.

52. Om en uppgörelse i godo nås och alla berörda parter är nöjda (på det sätt som rekommenderas i föregående avsnitt) under det inledande kontrollförfarandet (som även syftar till att bedöma tillämpligheten av artikel 56.2 i den allmänna dataskyddsförordningen) bör den berörda tillsynsmyndighet till vilken klagomålet ingavs inte hänskjuta klagomålet till en ansvarig tillsynsmyndighet (t.ex. genom ett IMI-meddelande enligt artikel 56), eftersom de förhållanden som klagomålet avser inte längre föreligger (se punkt 24).

53. Den mottagande tillsynsmyndigheten bör emellertid informera den ansvariga tillsynsmyndigheten om fallet och resultatet vid lämplig tidpunkt, till exempel kvartalsvis (genom exempelvis förfarandet för frivilligt ömsesidigt bistånd). Detta är avsett att göra det möjligt för den ansvariga tillsynsmyndigheten att till fullo utöva sin roll som den personuppgiftsansvariges/personuppgiftsbiträdets ”enda motpart” (se artikel 56.6 i den allmänna dataskyddsförordningen). Om den berörda tillsynsmyndigheten under den inledande kontrollfasen inte lyckas nå en uppgörelse i godo eller endast gör upp om delar av det klagomål som inlämnats till den och meddelats den ansvariga tillsynsmyndigheten, bör informationen om den misslyckade uppgörelsen under alla omständigheter vidarebefordras till den ansvariga tillsynsmyndigheten eftersom det otvivelaktigt rör sig om ”relevant information” i den mening som avses i artikel 60.1 i den allmänna dataskyddsförordningen.

4.2 Samarbetsförfarandet efter en uppgörelse i godo som nåtts av den ansvariga tillsynsmyndigheten

54. Förfarandet för uppgörelse i godo bör ske i enlighet med villkoren i framför allt den allmänna dataskyddsförordningen (artikel 60 samt skälen 129 och 143) eftersom det måste leda till ett beslut av den behöriga tillsynsmyndigheten (den ansvariga tillsynsmyndigheten om det rör sig om en enda kontaktpunkt), efter det att detta beslut har nåtts inom samarbetsförfarandet. I detta avseende bör det hänvisas till analysen av motiveringen till och innehållet i det utkast till beslut som den ansvariga tillsynsmyndigheten ska lägga fram, i enlighet med riktlinjerna om tillämpningen av artikel 60 (se särskilt punkterna 109–111).

55. En uppgörelse i godo som nås vid ett förfarande med en enda kontaktpunkt i samband med ett klagomål kräver därför ett beslut av den ansvariga tillsynsmyndigheten i enlighet med artikel 60.3 i den allmänna dataskyddsförordningen eftersom detta är en skyldighet som den ansvariga tillsynsmyndigheten har i alla fall som rör gränsöverskridande behandling. Det kommer att utgöra ett sui generis-beslut om att klagomålet har lösts av den ansvariga tillsynsmyndigheten på ett sätt som tillfredsställer alla berörda parter (framför allt den registrerade och den personuppgiftsansvarige).

56. En uppgörelse i godo kan betraktas som att tillsynsmyndigheten använder vissa av sina befogenheter, vilket dock inte innebär de korrigerande befogenheter som avses i artikel 58.2. Såsom anges ovan (se punkterna 15 och 43) kan det emellertid hända att den ansvariga tillsynsmyndigheten, beroende på nationell lagstiftning, inte hindras från att använda sådana befogenheter även i fall som görs upp i godo.

57. Utkastet till beslut bör därför innehålla följande information: o Att klagomålet helt eller delvis har gjorts upp i godo. o Skälen till beslutet att försöka få till stånd en uppgörelse i godo i det specifika fallet. o Omfattningen av uppgörelsen i godo mot bakgrund av de övergripande frågor som togs upp i klagomålet. o Att behandlingen av det specifika klagomålet kommer att avslutas.

58. Utkastet till beslut kan också innehålla uppgift om att den påstådda överträdelsen har åtgärdats och på vilket sätt den har åtgärdats.

59. I tillämpliga fall kan utkastet till beslut och/eller den relevanta information som lämnas till den eller de berörda tillsynsmyndigheterna innehålla uppgift om planerade korrigerande åtgärder, vilket särskilt är fallet om uppgörelsen i godo endast omfattade delar av klagomålet.

60. I samtliga fall bör den ansvariga tillsynsmyndigheten på ett övergripande sätt underrätta den registrerade om konsekvenserna av uppgörelsen i godo, och särskilt om att uppgörelsen kommer att leda till att behandlingen av klagomålet avslutas. Denna information om omfattningen av uppgörelsen i godo och dess konsekvenser måste förmedlas via den berörda tillsynsmyndigheten, som är den registrerades huvudsakliga motpart under hela processen. För detta ändamål kan de informella förfaranden som utvecklats som en del av IMI-mekanismerna användas; i synnerhet kan den ansvariga tillsynsmyndigheten inleda ett informellt samrådsförfarande enligt artikel 60 eller ett förfarande för frivilligt ömsesidigt bistånd enligt artikel 61 för att förmedla det föreslagna resultatet av fallet och inhämta synpunkter från de berörda tillsynsmyndigheterna innan den går vidare till den formella spridningen av utkastet till beslut.

61. Eftersom en uppgörelse i godo i de flesta av medlemsstaterna endast är tillämplig på parterna i klagomålet (den registrerade, den personuppgiftsansvarige/personuppgiftsbiträdet och, i tillämpliga fall, även tillsynsmyndigheten), och den personuppgiftsansvarige eller personuppgiftsbiträdet åtar sig att avhjälpa överträdelsen och vidta åtgärder för att säkerställa efterlevnaden av den allmänna dataskyddsförordningen, får uppgörelsen i godo endast omfatta delar av klagomålet. I detta fall ska den ansvariga tillsynsmyndigheten fortsätta att undersöka de återstående delarna och besluta om dessa.

4.3 Uppgörelse i godo i fall enligt artikel 56.2

62. När det gäller uppgörelser i godo i fall där en berörd tillsynsmyndighet behandlar ett klagomål enligt artikel 56.2 (dvs. som ett lokalt fall) bör tillsynsmyndigheten vara medveten om det behov av öppenhet och konsekvens som ligger till grund för hela systemet med en enda kontaktpunkt. Den bör därför tillhandahålla regelbunden (om det rör sig om aggregerad) information till andra tillsynsmyndigheter om sådana fall.

63. Den berörda tillsynsmyndigheten bör framför allt informera den ansvariga tillsynsmyndigheten om uppgörelsen (i förekommande fall) av det lokala fallet genom IMI-systemet. Eftersom uppgörelsen endast får omfatta en del av det klagomål som den berörda tillsynsmyndigheten behandlar lokalt kan myndigheten vidta ytterligare (inklusive korrigerande) åtgärder med avseende på sådana återstående delar som inte har gjorts upp på ett för parterna tillfredsställande sätt enligt den metod som beskrivs ovan. Den berörda tillsynsmyndigheten måste enligt artikel 77.2 underrätta den enskilde om att de övriga delarna av klagomålet kommer att behandlas.

BILAGA 1: RELEVANTA STEG VID BEHANDLING AV ETT FALL VIA UPPGÖRELSE I GODO

64. I följande checklista beskrivs de konkreta stegen vid behandling av fall som kan lämpa sig för en uppgörelse i godo. Checklistan ska därför inte tolkas som en ”ja/nej”-modell som visar olika konsekvenser, utan snarare som en översikt över de konkreta stegen i förfarandet samt de relevanta åtgärder som ska vidtas enligt bästa praxis. Del 1 går ut på att redogöra för de grundläggande omständigheterna i ärendet, men om myndigheten inte kryssar i någon av rutorna i delarna 2–5 kan det innebära att den måste vidta ytterligare åtgärder. Checklista: steg vid behandling av ett fall via uppgörelse i godo 1) Bakgrund  Hur har förfarandet inletts? - Klagomål □ - Medieuppgifter, undersökningar på eget initiativ osv. □ - Tips från berörda tredje parter □  Vilken typ av fall rör det sig om? - Lokalt fall (artikel 56.2 och skäl 131 i den allmänna dataskyddsförordningen) □ - Fall som rör gränsöverskridande behandling □  Fall som lämpar sig för uppgörelse i godo eftersom (se punkt 14) o ett begränsat antal registrerade berörs □ o det inte verkar röra sig om ett systemfel □ o dataskyddsöverträdelsen är oavsiktlig □ o det berör ett begränsat antal personuppgifter □ o följderna av överträdelsen inte är långvariga/allvarliga □ o det är osannolikt att ytterligare överträdelser begås i framtiden □ o det inte har någon, eller har liten, betydelse för samhället/allmänintresset □ o … 2) Tidigt samarbete med andra tillsynsmyndigheter (i tillämpliga fall)  Följderna av eventuella åtgärder som redan vidtagits i förfarandet (t.ex. för den ansvariga tillsynsmyndigheten, i tillämpliga fall: Har den berörda tillsynsmyndigheten redan försökt få till stånd en uppgörelse i godo vid den inledande kontrollen?) ……………………………………………………………………………………………………………………  Samråd med den ansvariga tillsynsmyndigheten (i tillämpliga fall) □ - Översatt version av klagomålet □ - Tidigare kommunikation mellan den registrerade och den personuppgiftsansvarige □ - Annan viktig information □  Samråd med andra berörda tillsynsmyndigheter □ - Översatt version av klagomålet □ - Annan viktig information □ 3) Samråd med alla berörda parter i ett tidigt skede  Den registrerade □ - Allmän information enligt artikel 77.2 i den allmänna dataskyddsförordningen □ - Det allmänna intresset för en uppgörelse i godo □ - Inga andra skäl till att fallet bör särbehandlas □ - Denna information har delats med den berörda tillsynsmyndigheten och, i tillämpliga fall, den ansvariga tillsynsmyndigheten □  Den personuppgiftsansvarige/personuppgiftsbiträdet □ - En officiell utfrågning har ägt rum □ - Den personuppgiftsansvarige/personuppgiftsbiträdet är villig att anpassa sig till de rättsliga kraven □ - Det finns en möjlighet att uppnå efterlevnad inom en lämplig tidsram □ - Denna information har delats med den berörda tillsynsmyndigheten och, i tillämpliga fall, den ansvariga tillsynsmyndigheten (t.ex. via informella samråd) □  Tredje part (i förekommande fall) □ - Inga rättigheter hos en tredje part berörs □ - Inga rättigheter hos tredje parter utgör hinder för en överenskommelse (t.ex. på grund av att beviljandet av den enskildes begäran om tillgång påverkar en tredje parts dataskyddsrättigheter) □ 4) Har en uppgörelse i godo nåtts?  Tillfredsställelse hos den registrerade □ - Den överträdelse som du har underrättats om har åtgärdats □ - Inga invändningar från den registrerade □ - Den registrerade återkom till dig inom en lämplig tidsram □  Den personuppgiftsansvarige/personuppgiftsbiträdet lämnade bevis på att kraven har uppfyllts □  I tillämpliga fall: Den ansvariga tillsynsmyndigheten/den berörda tillsynsmyndigheten tillhandahölls denna information. □ 5) Är det slutliga beslutet förenligt med artikel 60 i den allmänna dataskyddsförordningen (i fall med en enda kontaktpunkt)?  Beslutet innehåller all relevant information (se punkt 57 och följande) □  (Det, i tillämpliga fall, reviderade) utkastet till beslut har spridits via IMI □ - Utkastet till beslut har skickats □ - Inga motiverade och relevanta invändningar har inkommit □ - Motiverade och relevanta invändningar har inkommit, men de kan alla bemötas □  Det slutliga beslutet har spridits via IMI - Den personuppgiftsansvarige/personuppgiftsbiträdet har meddelats beslutet □ - Den registrerade har underrättats om beslutet □

BILAGA 2: LÄNDER DÄR UPPGÖRELSER I GODO INTE ÄR MÖJLIGA I ENLIGHET MED NATIONELL LAGSTIFTNING

65. Följande länder har angett att uppgörelser i godo inte är möjliga i enlighet med deras nationella lagstiftning: - Cypern - Tjeckien - Danmark - Estland - Finland - Frankrike - Grekland - Malta - Polen - Portugal - Slovakien - Slovenien - Spanien - Sverige