Riktlinjer om fastställande av ansvarig tillsynsmyndighet för personuppgiftsansvariga eller personuppgiftsbiträden

Europeiska dataskyddsstyrelsen har antagit följande riktlinjer

med beaktande av artikel 70.1 e och 70.1 l i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (den allmänna dataskyddsförordningen eller dataskyddsförordningen), med beaktande av EES-avtalet, särskilt bilaga XI och protokoll 37, ändrat genom gemensamma EESkommitténs beslut nr 154/2018 av den 6 juli 2018 ,

med beaktande av artiklarna 12 och 22 i arbetsordningen.

Med beaktande av artikel 29-gruppens riktlinjer för fastställande av ansvarig tillsynsmyndighet för en personuppgiftsansvarig eller ett personuppgiftsbiträde, WP244 rev.01,

Med beaktande av EDPB:s riktlinjer 07/2020 angående begreppen personuppgiftsansvarig och personuppgiftsbiträde i den allmänna dataskyddsförordningen.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

0 FÖRORD

1. Den 5 april 2017 antog artikel 29-gruppen sina riktlinjer om fastställande av ansvarig tillsynsmyndighet för personuppgiftsansvariga eller personuppgiftsbiträden (WP244 rev.01) , som godkändes av Europeiska dataskyddsstyrelsen (EDPB) vid dess första plenarmöte . Detta dokument är en något uppdaterad version av dessa riktlinjer. Alla hänvisningar till artikel 29-gruppens riktlinjer om fastställande av ansvarig tillsynsmyndighet för personuppgiftsansvariga eller personuppgiftsbiträden (WP244 rev.01) bör från och med nu tolkas som en hänvisning till dessa riktlinjer från EDPB. 2. EDPB har noterat att det fanns ett behov av ytterligare förtydliganden, särskilt när det gäller begreppet huvudsakligt verksamhetsställe i samband med gemensamt personuppgiftsansvar och med beaktande av EDPB:s riktlinjer 07/2020 angående begreppen personuppgiftsansvarig och personuppgiftsbiträde i GDPR .

3. Stycket om denna fråga har reviderats och uppdaterats men resten av dokumentet är oförändrat utöver redaktionella ändringar. Översynen gäller närmare bestämt avsnitt 2.1.3 om gemensamt personuppgiftsansvariga.

1 ATT FASTSTÄLLA ANSVARIG TILLSYNSMYNDIGHET: VIKTIGA BEGREPP.

1.1 ”Gränsöverskridande behandling av personuppgifter”

4. Det är relevant att fastställa en ansvarig tillsynsmyndighet endast i sådana fall där den personuppgiftsansvarige eller personuppgiftsbiträdet genomför gränsöverskridande behandling av personuppgifter. Enligt definitionen i artikel 4.23 i den allmänna dataskyddsförordningen utgör ”gränsöverskridande behandling” antingen

- ”behandling av personuppgifter som äger rum inom ramen för verksamhet vid verksamhetsställen i mer än en medlemsstat tillhörande en personuppgiftsansvarig eller ett personuppgiftsbiträde i unionen, när den personuppgiftsansvarige eller personuppgiftsbiträdet är etablerad i mer än en medlemsstat, eller

- behandling av personuppgifter som äger rum inom ramen för verksamhet vid ett enda verksamhetsställe tillhörande en personuppgiftsansvarig eller ett personuppgiftsbiträde i unionen men som i väsentlig grad påverkar eller sannolikt i väsentlig grad kommer att påverka registrerade i mer än en medlemsstat”.

5. Detta innebär att om en organisation till exempel har verksamhetsställen i Frankrike och Rumänien och behandlar personuppgifter inom ramen för sin verksamhet, utgör detta gränsöverskridande behandling.

6. Alternativt kanske organisationen endast behandlar personuppgifter inom sitt verksamhetsställe i Frankrike. Om verksamheten i väsentlig grad påverkar – eller sannolikt i väsentlig grad kommer att påverka – de registrerade i både Frankrike och Rumänien, utgör dock även detta gränsöverskridande behandling.

1.1.1 ”I väsentlig grad påverkar”

7. ”Påverkar” eller ”i väsentlig grad” definieras inte i förordningen. Syftet med ordalydelsen var att säkerställa att definitionen av gränsöverskridande behandling inte ska omfatta all behandling om den bara har någon som helst påverkan och om den bara sker inom ett enda verksamhetsställe.

8. De mest relevanta och vanligaste betydelserna av det engelska ordet substantial (väsentlig) är bland annat (i översättning) ”stor mängd eller avsevärd storlek”, ”ansenlig”, ”av betydande storlek”, ”av gediget värde”, ”av verklig vikt”, ”stabil”, ”betydelsefull”, ”viktig” .

9. De mest relevanta betydelserna av det engelska verbet affect (påverka) är (i översättning) ”att ha inflytande över” eller ”göra ett stort intryck på”. Det engelska substantivet effect (påverkan) betyder i sin tur bland annat (i översättning) ”ett resultat” eller ”en konsekvens” . Av detta kan man dra slutsatsen att för att behandling av personuppgifter ska påverka någon måste den ha någon form av påverkan på dem. Behandling som inte i väsentlig grad påverkar enskilda personer omfattas inte av den andra delen av definitionen av gränsöverskridande behandling. Sådan behandling skulle dock omfattas av den första delen av definitionen om behandlingen av personuppgifter sker vid personuppgiftsansvarigas eller personuppgiftsbiträdenas verksamhetsställen i mer än en medlemsstat, i det fall där den personuppgiftsansvarige eller personuppgiftsbiträdet är etablerade i mer än en medlemsstat.

10. Behandling kan omfattas av den andra delen av definitionen om det är sannolikt att den kan ha en påverkan i väsentlig grad, inte bara om den faktisk har en påverkan i väsentlig grad. Notera att ”sannolikt” inte innebär att det finns en avlägsen möjlighet till påverkan i väsentlig grad. Det måste vara mer sannolikt än inte sannolikt att behandlingen har en påverkan i väsentlig grad. Detta innebär å andra sidan att enskilda personer inte behöver påverkas rent konkret: det är tillräckligt att det är sannolikt att påverkan i väsentlig grad uppstår för att behandlingen ska omfattas av definitionen av gränsöverskridande behandling.

11. Det faktum att verksamheten i fråga kan omfatta behandling av ett antal, även ett stort antal, enskilda personers personuppgifter i flera medlemsstater, innebär inte nödvändigtvis att behandlingen har, eller sannolikt kan ha, en påverkan i väsentlig grad. Behandling som inte har påverkan i väsentlig grad utgör inte gränsöverskridande behandling enligt den andra delen av definitionen, oavsett hur många enskilda personer som påverkas.

12. Tillsynsmyndigheterna tolkar begreppet ”i väsentlig grad påverkar” från fall till fall. De faktorer som övervägs inom ramen för behandlingen är typen av uppgifter, ändamålet med behandlingen och om behandlingen o orsakar eller sannolikt kan orsaka skada, förlust eller känslomässigt lidande för enskilda personer, o har, eller sannolikt kan ha, en faktisk påverkan genom att den enskilda personens rättigheter begränsas eller han/hon förlorar en möjlighet, o påverkar, eller sannolikt kan påverka, den enskilda personens hälsa, välbefinnande eller trygghet, o påverkar, eller sannolikt kan påverka, den enskilda personens finansiella eller ekonomiska ställning eller situation, o utsätter den enskilda personen för diskriminering eller orättvis behandling, o omfattar analys av särskilda kategorier av personuppgifter eller andra inkräktande uppgifter, särskilt barns personuppgifter, o leder till, eller sannolikt kan leda till att den enskilda personen ändrar sitt beteende på ett väsentligt sätt, o leder till osannolika, oväntade eller oönskade konsekvenser för den enskilda personen, o ger upphov till pinsamma situationer eller andra negativa resultat, även skadat anseende, eller o innebär behandling av en stor mängd personuppgifter.

13. Syftet med testet av ”i väsentlig grad påverkar” är sammanfattningsvis att se till att tillsynsmyndigheterna endast behöver samarbeta formellt med varandra via den allmänna dataskyddsförordningens mekanism för enhetlighet ”när en tillsynsmyndighet avser att anta en åtgärd som är avsedd att ha rättsverkan gällande behandlingar som i väsentlig grad påverkar ett betydande antal registrerade i flera medlemsstater” .

1.2 Ansvarig tillsynsmyndighet

14. Enkelt uttryckt är en ansvarig tillsynsmyndighet den myndighet som har det främsta ansvaret för att handlägga ärenden som rör gränsöverskridande behandling, till exempel om en registrerad inger ett klagomål om behandlingen av sina personuppgifter.

15. Den ansvariga tillsynsmyndigheten samordnar eventuella utredningar som omfattar andra ”berörda” tillsynsmyndigheter.

16. För att kunna fastställa ansvarig tillsynsmyndighet måste man avgöra var den personuppgiftsansvariges ”huvudsakliga” eller ”enda” verksamhetsställe i EU finns. Enligt artikel 56 i den allmänna dataskyddsförordningen ska - ”tillsynsmyndigheten för den personuppgiftsansvariges eller personuppgiftsbiträdets huvudsakliga verksamhetsställe eller enda verksamhetsställe vara behörig att agera som ansvarig tillsynsmyndighet för den personuppgiftsansvariges eller personuppgiftsbiträdets gränsöverskridande behandling i enlighet med det förfarande [för samarbete] som föreskrivs i artikel 60”.

1.3 Huvudsakligt verksamhetsställe

17. ”Huvudsakligt verksamhetsställe” definieras på följande sätt i artikel 4.16 i den allmänna dataskyddsförordningen:

- ”[N]är det gäller en personuppgiftsansvarig med verksamhetsställen i mer än en medlemsstat, den plats i unionen där vederbörande har sin centrala förvaltning, om inte besluten om ändamålen och medlen för behandlingen av personuppgifter fattas vid ett annat av den personuppgiftsansvariges verksamhetsställen i unionen och det sistnämnda verksamhetsstället har befogenhet att få sådana beslut genomförda, i vilket fall det verksamhetsställe som har fattat sådana beslut ska betraktas som det huvudsakliga verksamhetsstället, - när det gäller ett personuppgiftsbiträde med verksamhetsställen i mer än en medlemsstat, den plats i unionen där vederbörande har sin centrala förvaltning eller, om personuppgiftsbiträdet inte har någon central förvaltning i unionen, det av personuppgiftsbiträdets verksamhetsställen i unionen där den huvudsakliga behandlingen inom ramen för verksamheten vid ett av personuppgiftsbiträdets verksamhetsställen sker, i den utsträckning som personuppgiftsbiträdet omfattas av särskilda skyldigheter enligt denna förordning”.

2 STEG I FASTSTÄLLANDET AV ANSVARIG TILLSYNSMYNDIGHET

2.1 Att fastställa ”huvudsakligt verksamhetsställe” för personuppgiftsansvariga

18. För att fastställa var det huvudsakliga verksamhetsstället är beläget måste man först identifiera var den personuppgiftsansvariges centrala förvaltning i EES finns (i förekommande fall). Tillvägagångssättet enligt den allmänna dataskyddsförordningen är att den centrala förvaltningen i EU är den plats där besluten om ändamålen och medlen för behandlingen av personuppgifter fattas, och att detta verksamhetsställe har befogenhet att genomföra sådana beslut.

19. Kärnan i den allmänna dataskyddsförordningens princip om ansvarig tillsynsmyndighet är att tillsynen av gränsöverskridande behandling bör ledas av endast en tillsynsmyndighet i EU. I ärenden där beslut som rör gränsöverskridande behandlingsverksamhet fattas inom EU:s centrala förvaltning, utses endast en ansvarig tillsynsmyndighet för de olika typerna databehandling som genomförs av det multinationella företaget. Det kan dock hända att ett annat verksamhetsställe än den centrala förvaltningen fattar självständiga beslut om ändamålen och medlen för en viss typ av behandling. Detta innebär att det kan uppstå situationer där fler än en ansvarig tillsynsmyndighet kan identifieras, dvs. i sådana fall där ett multinationellt företag beslutar att ha verksamhetsställen med beslutsbefogenhet i flera olika länder för olika typer av behandlingsverksamhet.

20. Det är värt att påminna om att när ett multinationellt företag centraliserar alla beslut om ändamålen och medlen för behandling till ett av sina verksamhetsställen i EES (och detta verksamhetsställe har befogenheten att genomföra sådana beslut) fastställs endast en ansvarig tillsynsmyndighet för det multinationella företaget.

21. I sådana situationer är det viktigt att företagen exakt fastställer var besluten om ändamålen och medlen för behandlingen fattas. Det ligger i de personuppgiftsansvarigas och personuppgiftsbiträdenas intresse att rätt ansvarig tillsynsmyndighet fastställs, eftersom de då vet vilken tillsynsmyndighet de ska vända sig till med avseende på deras olika efterlevnadsskyldigheter enligt den allmänna dataskyddsförordningen. Dessa skyldigheter omfattar i förekommande fall att utnämna ett dataskyddsombud eller samråda om behandling som medför sådana risker som den personuppgiftsansvarige inte kan begränsa med rimliga medel. Syftet med de relevanta bestämmelserna i den allmänna dataskyddsförordningen är att dessa efterlevnadsuppgifter ska vara hanterliga.

22. Exemplen nedan åskådliggör detta: Exempel 1: Ett livsmedelsföretag har sitt huvudkontor (dvs. centrala förvaltning) i Rotterdam i Nederländerna. Det har verksamhetsställen i flera andra EES-länder, som står i kontakt med enskilda personer där. Alla verksamhetsställen använder samma programvara för att behandla konsumenters personuppgifter för marknadsföringsändamål. Alla beslut om ändamålen och medlen för behandlingen av konsumenternas personuppgifter för marknadsföringsändamål fattas vid huvudkontoret i Rotterdam. Detta innebär att företagets ansvariga tillsynsmyndighet för denna gränsöverskridande behandling är Nederländernas tillsynsmyndighet. Exempel 2: En bank har sitt huvudkontor i Frankfurt och all behandling i samband med bankverksamheten organiseras därifrån, men försäkringsavdelningen är förlagd till Wien. Om verksamhetsstället i Wien har befogenhet att besluta om all behandling som rör försäkringsuppgifter och genomföra dessa beslut i hela EES är det enligt artikel 4.16 i den allmänna dataskyddsförordningen den österrikiska tillsynsmyndigheten som är ansvarig tillsynsmyndighet för den gränsöverskridande behandlingen av personuppgifter för försäkringsändamål, och den behöriga tyska tillsynsmyndigheten (dvs. tillsynsmyndigheten i Hessen) skulle övervaka behandlingen av personuppgifter för bankändamål, oavsett var kunderna befinner sig .

2.1.1 Kriterier för att avgöra en personuppgiftsansvarigs huvudsakliga verksamhetsställe när denna plats inte är den plats där den personuppgiftsansvarige har sin centrala förvaltning i EES

23. Skäl 36 i den allmänna dataskyddsförordningen är användbart för att klargöra vilken den viktigaste faktorn ska vara vid fastställandet av den personuppgiftsansvariges huvudsakliga verksamhetsställe, om inte kriteriet för central förvaltning är tillämpligt. Det handlar bland annat om att fastställa var den faktiska och reella ledningen finns, dvs. den ledning som fattar de huvudsakliga besluten vad avser ändamål och medel för behandlingen med hjälp av en stabil struktur. I skäl 36 klargörs också följande: ”Att tekniska medel och teknik för behandling av personuppgifter eller behandlingsverksamhet finns och används visar i sig inte att det rör sig om ett huvudsakligt verksamhetsställe och utgör därför inte avgörande kriterier för ett huvudsakligt verksamhetsställe”.

24. Det är den personuppgiftsansvarige som själv fastställer var det huvudsakliga verksamhetsstället finns och följaktligen vilken tillsynsmyndighet som är ansvarig tillsynsmyndighet. Detta kan dock bestridas av respektive berörda tillsynsmyndigheter i efterhand.

25. Nedanstående faktorer är till hjälp för att avgöra platsen för en personuppgiftsansvarigs huvudsakliga verksamhetsställe enligt villkoren i den allmänna dataskyddsförordningen när denna plats inte är platsen för den personuppgiftsansvariges centrala förvaltning i EES. o Var ges det slutliga godkännandet av beslut om ändamål och medel för behandlingen? o Var fattas beslut om affärsverksamhet som omfattar behandling av personuppgifter? o Var finns den faktiska befogenheten att genomföra beslut? o Var finns direktören (eller direktörerna) som har det huvudsakliga ansvaret för den gränsöverskridande behandlingen? o Var är den personuppgiftsansvarige eller personuppgiftsbiträdet registrerad som ett företag, om behandlingen sker inom ett enda territorium?

26. Observera att denna lista inte är uttömmande. Andra faktorer kan vara relevanta beroende på den personuppgiftsansvarige eller behandlingen i fråga. Om en tillsynsmyndighet har skäl att tvivla på att det verksamhetsställe som fastställts av den personuppgiftsansvarige verkligen är det huvudsakliga verksamhetsstället enligt den allmänna dataskyddsförordningen, kan den naturligtvis begära att den personuppgiftsansvarige lämnar nödvändiga kompletterande uppgifter för att visa var det huvudsakliga verksamhetsstället är beläget.

2.1.2 Företagskoncerner

27. När behandling genomförs av en företagskoncern som har sitt huvudkontor i EES förutsätts verksamhetsstället för det företag som har den övergripande kontrollen vara den plats där besluten om behandling av personuppgifter fattas. Detta verksamhetsställe anses därför vara koncernens huvudsakliga verksamhetsställe, utom om besluten om ändamålen och medlen för behandlingen fattas av ett annat verksamhetsställe. Moderföretaget eller koncernens operativa huvudkontor i EES är sannolikt det huvudsakliga verksamhetsstället, eftersom det är den plats där den centrala förvaltningen finns.

28. Definitionen innehåller en hänvisning till platsen för en personuppgiftsansvarigs centrala förvaltning, och den fungerar väl för organisationer som har ett centraliserat huvudkontor för beslutsfattande och en filialstruktur. I sådana fall står det klart att det är företagets huvudkontor som har befogenheten att fatta beslut om gränsöverskridande behandling av personuppgifter och att genomföra dessa beslut. Här kan det avgöras direkt vilken plats som är det huvudsakliga verksamhetsstället, och därmed vilken tillsynsmyndighet som är ansvarig tillsynsmyndighet. En koncerns beslutssystem kan dock vara mer invecklat, där olika verksamhetsställen ges oberoende beslutsbefogenheter för gränsöverskridande behandling. De kriterier som anges ovan bör vara till hjälp för koncerner för att fastställa deras huvudsakliga verksamhetsställe.

2.1.3 Gemensamt personuppgiftsansvariga

29. Frågan om vilken tillsynsmyndighet som ska vara ansvarig när två eller flera personuppgiftsansvariga som är etablerade i EES gemensamt avgör ändamålen och medlen för behandlingen, dvs. när det finns gemensamma personuppgiftsansvariga, behandlas inte uttryckligen i den allmänna dataskyddsförordningen. I artikel 26.1 och skäl 79 klargörs att i situationer där personuppgiftsansvariga har ett gemensamt personuppgiftsansvar ska de under öppna former fastställa sitt respektive ansvar för att fullgöra skyldigheterna enligt den allmänna dataskyddsförordningen.

30. Såsom EDPB erinrar om i sina riktlinjer om begreppet personuppgiftsansvarig och personuppgiftsbiträde måste de gemensamt personuppgiftsansvariga fastställa vem som gör vad genom att sinsemellan besluta vem som ska utföra vilka uppgifter, för att säkerställa att behandlingen uppfyller de tillämpliga skyldigheterna enligt den allmänna dataskyddsförordningen när det gäller den gemensamma behandlingen i fråga.

31. De efterlevnadsåtgärder och därmed sammanhängande skyldigheter som de gemensamt personuppgiftsansvariga bör beakta när de fastställer sina respektive ansvarsområden, utöver dem som specifikt avses i artikel 26.1 i den allmänna dataskyddsförordningen, bör bland annat omfatta organisationen av kontakter med registrerade och tillsynsmyndigheter.

32. Det bör erinras om att tillsynsmyndigheterna inte är bundna av villkoren i ett sådant arrangemang, varken när det gäller frågan om huruvida parterna ska betraktas som gemensamt personuppgiftsansvariga eller om den utsedda kontaktpunkten .

33. De gemensamt personuppgiftsansvarigas beslutsbefogenheter omfattar inte heller fastställandet av behörig tillsynsmyndighet i enlighet med artiklarna 55 och 56 i dataskyddsförordningen, eller dessa tillsynsmyndigheters möjlighet att genomföra sina uppgifter och utöva sina befogenheter enligt artiklarna 57 och 58 i dataskyddsförordningen.

34. Begreppet huvudsakligt verksamhetsställe är enligt den allmänna dataskyddsförordningen kopplat till en enda personuppgiftsansvarig och kan inte utvidgas till att omfatta en situation med gemensamt personuppgiftsansvar. Detta påverkar inte möjligheten för varje gemensamt personuppgiftsansvarig att ha sitt eget huvudsakliga verksamhetsställe. Med andra ord kan en personuppgiftsansvarigs huvudsakliga verksamhetsställe inte betraktas som de gemensamt personuppgiftsansvarigas huvudsakliga verksamhetsställe för den behandling som utförs under deras gemensamma kontroll. Därför kan gemensamt personuppgiftsansvariga (bland de verksamhetsställen där beslut om ändamålen och medlen för behandlingen fattas) inte utse ett gemensamt huvudsakligt verksamhetsställe för båda de gemensamt personuppgiftsansvariga.

2.2 Gränsfall

35. Det kommer att uppstå gränsfall och komplexa situationer, där det är svårt att fastställa det huvudsakliga verksamhetsstället eller avgöra var besluten om behandling fattas. Så kan vara fallet när behandlingen är gränsöverskridande och den personuppgiftsansvarige är etablerad i flera medlemsstater men inte har sin centrala förvaltning i EES, och när inget av verksamhetsställena i EES fattar beslut om behandling (dvs. besluten fattas endast utanför EES).

36. I ovanstående fall kan ett företag som genomför gränsöverskridande behandling helst vilja regleras av en ansvarig tillsynsmyndighet för att kunna utnyttja principen om en enda kontaktpunkt. Den allmänna dataskyddsförordningen ger dock ingen lösning för sådana situationer. Det verksamhetsställe som har befogenhet att genomföra beslut om behandlingen och tar ansvaret för denna samt har tillräckliga tillgångar bör under dessa omständigheter utses till huvudsakligt verksamhetsställe av företaget. Om företaget inte utser ett huvudsakligt verksamhetsställe på detta sätt är det inte heller möjligt att utse en ansvarig tillsynsmyndighet. Tillsynsmyndigheterna kan alltid utreda ärenden närmare om det behövs.

37. ”Forum shopping” är inte tillåtet enligt den allmänna dataskyddsförordningen. Om ett företag hävdar att det har sitt huvudsakliga verksamhetsställe i en medlemsstat, men den faktiska och reella ledningen eller beslutsfattandet om behandling av personuppgifter inte sker där, beslutar de relevanta tillsynsmyndigheterna (eller i sista hand Europeiska dataskyddsstyrelsen ) vilken tillsynsmyndighet som är ansvarig, med hjälp av objektiva kriterier och med hänsyn till tillgängliga belägg. Processen för att avgöra var det huvudsakliga verksamhetsstället finns kan kräva aktiva efterforskningar av och aktivt samarbete mellan tillsynsmyndigheterna. Slutsatserna kan inte bara grundas på den granskade organisationens redogörelser. Bevisbördan ligger ytterst hos de personuppgiftsansvariga och personuppgiftsbiträdena, eftersom det är deras ansvar att visa de relevanta tillsynsmyndigheterna var de berörda besluten om behandling fattas och vilken plats som har befogenhet att genomföra sådana beslut. Noggrann registrering av behandlingen hjälper både organisationerna och tillsynsmyndigheterna att fastställa den ansvariga tillsynsmyndigheten. Den ansvariga tillsynsmyndigheten eller berörda tillsynsmyndigheter kan avvisa den personuppgiftsansvariges analys baserat på en objektiv granskning av relevanta fakta, och kan begära ytterligare uppgifter om så behövs.

38. I vissa fall ber de relevanta tillsynsmyndigheterna den personuppgiftsansvarige att lämna tydliga belägg enligt riktlinjerna från Europeiska dataskyddsstyrelsen om var det huvudsakliga verksamhetsstället finns eller var besluten om en viss typ av behandling fattas. Dessa belägg beaktas vederbörligen och de berörda tillsynsmyndigheterna samarbetar för att besluta vilken av dem som tar ansvaret för utredningen. Sådana ärenden hänskjuts till Europeiska dataskyddsstyrelsen för beslut enligt artikel 65.1 b i den allmänna dataskyddsförordningen endast om tillsynsmyndigheterna har motstridiga åsikter om fastställandet av ansvarig tillsynsmyndighet. Oftast förväntar sig dock EDPB att de relevanta tillsynsmyndigheterna kan enas om ett ömsesidigt tillfredsställande handlingssätt.

2.3 Personuppgiftsbiträde

39. Enligt den allmänna dataskyddsförordningen får även personuppgiftsbiträden som omfattas av förordningen och har verksamhetsställen i mer än en medlemsstat utnyttja systemet med en enda kontaktpunkt.

40. Enligt artikel 4.16 b i förordningen ska personuppgiftsbiträdets verksamhetsställe vara den plats i EU där personuppgiftsbiträdet har sin centrala förvaltning eller, om personuppgiftsbiträdet inte har någon central förvaltning i EU, det av personuppgiftsbiträdets verksamhetsställen i EU där den huvudsakliga behandlingen sker.

41. Enligt skäl 36 bör dock den personuppgiftsansvariges tillsynsmyndighet vara ansvarig tillsynsmyndighet i sådana fall som omfattar både en personuppgiftsansvarig och ett personuppgiftsbiträde. I denna situation blir personuppgiftsbiträdets tillsynsmyndighet en ”berörd tillsynsmyndighet”, och bör delta i samarbetsförfarandet. Denna regel gäller endast om den personuppgiftsansvarige är etablerad i EES. I sådana fall där personuppgiftsansvariga omfattas av den allmänna dataskyddsförordningen enligt artikel 3.2 kan de inte utnyttja mekanismen för en enda kontaktpunkt. Ett personuppgiftsbiträde – till exempel en stor molntjänstleverantör – kan tillhandahålla tjänster till flera personuppgiftsansvariga i olika medlemsstater. I ett sådant fall är den ansvariga tillsynsmyndigheten den tillsynsmyndighet som är behörig att agera som ansvarig tillsynsmyndighet för den personuppgiftsansvarige. I praktiken innebär detta att personuppgiftsbiträden kan behöva ha kontakt med flera tillsynsmyndigheter.

3 ANDRA RELEVANTA FRÅGOR

3.1 Den ”berörda tillsynsmyndighetens” roll

42. Följande anges i artikel 4.22 i den allmänna dataskyddsförordningen:

”[B]erörd tillsynsmyndighet: en tillsynsmyndighet som berörs av behandlingen av personuppgifter på grund av att a) den personuppgiftsansvarige eller personuppgiftsbiträdet är etablerad på tillsynsmyndighetens medlemsstats territorium, b) registrerade som är bosatta i den tillsynsmyndighetens medlemsstat i väsentlig grad påverkas eller sannolikt i väsentlig grad kommer att påverkas av behandlingen, eller c) ett klagomål har lämnats in till denna tillsynsmyndighet.”

43. Syftet med begreppet ”berörd tillsynsmyndighet” är att säkerställa att modellen med en ansvarig tillsynsmyndighet inte hindrar andra tillsynsmyndigheter som berörs från att vara med och besluta om hur ett ärende behandlas när till exempel enskilda personer som är bosatta utanför den ansvariga tillsynsmyndighetens behörighetsområde i väsentlig grad påverkas av en behandling. När det gäller led a) ovan gäller samma överväganden som vid fastställandet av ansvarig tillsynsmyndighet. Observera att i fråga om led b) måste de registrerade endast vara bosatta i den berörda medlemsstaten, dvs. han eller hon behöver inte vara medborgare i den medlemsstaten. När det gäller led c) är det vanligen enkelt att i sak fastställa huruvida en viss tillsynsmyndighet har mottagit ett klagomål.

44. Enligt artikel 56.2 och 56.5 i den allmänna dataskyddsförordningen får en berörd tillsynsmyndighet delta i behandlingen av ett ärende utan att vara ansvarig tillsynsmyndighet. Om den ansvariga tillsynsmyndigheten beslutar att inte behandla ett ärende ska den tillsynsmyndighet som underrättade den ansvariga tillsynsmyndigheten behandla ärendet. Detta överensstämmer med förfarandena enligt artikel 61 (Ömsesidigt bistånd) och artikel 62 (Tillsynsmyndigheters gemensamma insatser) i den allmänna dataskyddsförordningen. Så kan till exempel vara fallet om ett marknadsföringsföretag som har sitt huvudsakliga verksamhetsställe i Paris lanserar en produkt som endast påverkar registrerade som är bosatta i Portugal. I detta fall kan de franska och portugisiska tillsynsmyndigheterna enas om att den portugisiska tillsynsmyndigheten bör ansvara för behandlingen av ärendet. Tillsynsmyndigheterna kan begära att de personuppgiftsansvariga lämnar uppgifter som klargör deras företagsarrangemang. Med tanke på att behandlingen endast har en lokal påverkan – dvs. på enskilda personer i Portugal – kan de franska och portugisiska tillsynsmyndigheterna efter eget gottfinnande fatta beslut om vilken tillsynsmyndighet som bör behandla ärendet, enligt skäl 127 i dataskyddsförordningen.

45. Enligt dataskyddsförordningen ska ansvariga tillsynsmyndigheter och berörda tillsynsmyndigheter, med vederbörlig respekt för varandras åsikter, samarbeta för att se till att ärenden utreds och löses på ett sätt som varje myndighet finner tillfredsställande, med effektiva rättsmedel för de registrerade. Tillsynsmyndigheterna bör sträva efter att enas om ett ömsesidigt godtagbart handlingssätt. Den formella mekanismen för enhetlighet bör endast åberopas om samarbetet inte leder till ett ömsesidigt godtagbart resultat.

46. Ömsesidigt godtagande av beslut kan gälla för väsentliga slutsatser, men även för de åtgärder som beslutat som, inklusive tillsyn (t.ex. fullständig utredning eller begränsad utredning). Det kan även gälla för beslut om att inte behandla ett ärende enligt den allmänna dataskyddsförordningen, till exempel på grund av att det finns en formell prioriteringspolicy, eller på grund av att det finns andra berörda tillsynsmyndigheter enligt beskrivningen ovan.

47. Samförstånd och god vilja i tillsynsmyndigheternas förbindelser med varandra är avgörande för att den allmänna dataskyddsförordningens förfaranden för samarbete och enhetlighet ska fungera.

3.2 Lokal behandling

48. Lokal behandling av personuppgifter omfattas inte av den allmänna dataskyddsförordningens bestämmelser om samarbete och enhetlighet. Tillsynsmyndigheterna ska respektera varandras respektive befogenheter att hantera lokal behandling på lokal nivå. Behandling som genomförs av offentliga myndigheter hanteras alltid också på lokal nivå.

3.3 Företag som inte är etablerade i EES

49. Den allmänna dataskyddsförordningens mekanismer för samarbete och enhetlighet tillämpas endast på personuppgiftsansvariga som har ett eller flera verksamhetsställen inom EES. Om ett företag inte har något verksamhetsställe i EES, men har ett ombud i någon av medlemsstaterna, innebär detta inte att systemet med en enda kontaktpunkt tillämpas. Det innebär i sin tur att personuppgiftsansvariga som inte har ett verksamhetsställe i EES måste ha kontakt med lokala tillsynsmyndigheter i varje medlemsstat där de är aktiva, via sitt lokala ombud. För Europeiska dataskyddsstyrelsen Ordförande (Andrea Jelinek)

BILAGA – FRÅGOR TILL HJÄLP FÖR FASTSTÄLLANDET AV ANSVARIG TILLSYNSMYNDIGHET

1. Genomför den personuppgiftsansvarige eller personuppgiftsbiträdet gränsöverskridande behandling av personuppgifter?

a. Ja, om • den personuppgiftsansvarige eller personuppgiftsbiträdet är etablerad i mer än en medlemsstat, och • behandlingen av personuppgifter sker inom ramen för verksamhetsställen i mer än en medlemsstat.  I detta fall, gå till avsnitt 2. b. Ja, om • behandlingen av personuppgifter sker inom ramen för verksamheten vid den personuppgiftsansvariges eller personuppgiftsbiträdets enda verksamhetsställe i EES, men • behandlingen i väsentlig grad påverkar eller sannolikt i väsentlig grad kommer att påverka de registrerade i mer än en medlemsstat.  I detta fall är den ansvariga tillsynsmyndigheten den myndighet som ansvarar för den personuppgiftsansvariges eller personuppgiftsbiträdets enda verksamhetsställe i en enda medlemsstat. Detta måste logiskt sett vara den personuppgiftsansvariges eller personuppgiftsbiträdets huvudsakliga verksamhetsställe, eftersom det är det enda verksamhetsstället.

2. Hur fastställer man den ansvariga tillsynsmyndigheten?

a. Om endast personuppgiftsansvariga berörs: i. Fastställ den plats i EES där den personuppgiftsansvarige har sin centrala förvaltning. ii. Tillsynsmyndigheten i det land där den centrala förvaltningen finns är då den personuppgiftsansvariges ansvariga tillsynsmyndighet. Emellertid gäller följande: iii. Om besluten om ändamålen och medlen för behandlingen fattas vid ett annat verksamhetsställe i EES och det verksamhetsstället har befogenhet att genomföra besluten, är det tillsynsmyndigheten i det land där detta verksamhetsställe finns som är ansvarig tillsynsmyndighet. b. Om både personuppgiftsansvariga och personuppgiftsbiträden berörs: i. Kontrollera om den personuppgiftsansvarige är etablerad i EES och omfattas av systemet med en enda kontaktpunkt. ii. Fastställ den personuppgiftsansvariges ansvariga tillsynsmyndighet. Denna myndighet är också ansvarig tillsynsmyndighet för personuppgiftsbiträdet.

iii. Den tillsynsmyndighet (ej ansvarig) som är behörig för personuppgiftsbiträdet blir då en ”berörd myndighet” – se punkt 3. c. Om endast personuppgiftsbiträden berörs: i. Fastställ den plats i EES där personuppgiftsbiträdet har sin centrala förvaltning. ii. Om personuppgiftsbiträdet inte har sin centrala förvaltning i EES ska det fastställas vid vilket verksamhetsställe i EES personuppgiftsbiträdet huvudsakligen genomför behandlingen. d. Om gemensamt personuppgiftsansvariga berörs: i. Kontrollera om de gemensamt personuppgiftsansvariga är etablerade i EES. ii. Identifiera platsen för den centrala förvaltningen i EES för varje gemensam personuppgiftsansvarig (i tillämpliga fall). iii. Tillsynsmyndigheten i det land där den centrala förvaltningen finns är då ansvarig tillsynsmyndighet för respektive gemensamt personuppgiftsansvarige.

3. Finns det några ”berörda tillsynsmyndigheter”?

En myndighet är en ”berörd myndighet” • när den personuppgiftsansvarige eller personuppgiftsbiträdet har ett verksamhetsställe på myndighetens territorium, eller • när de registrerade på myndighetens territorium i väsentlig grad påverkas eller sannolikt i väsentlig grad kommer att påverkas av behandlingen, eller • när en viss myndighet mottar ett klagomål.