Riktlinjer 09/2020 om relevanta och motiverade invändningar enligt förordning 2016/679

Versionstabell Innehållsförteckning Europeiska dataskyddsstyrelsen har antagit följande riktlinjer

med beaktande av artikel 70.1 e i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (dataskyddsförordningen),

med beaktande av EES-avtalet, särskilt bilaga XI och protokoll 37, ändrat genom gemensamma EESkommitténs beslut nr 154/2018 av den 6 juli 2018 , och

med beaktande av artiklarna 12 och 22 i arbetsordningen.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

1 ALLMÄNT

1. Inom ramen för den samarbetsmekanism som fastställs i dataskyddsförordningen är tillsynsmyndigheterna skyldiga att ”utbyta all relevant information med varandra” och samarbeta ”i en strävan att uppnå samförstånd” . Denna skyldighet att samarbeta är tillämplig i alla skeden av förfarandet, från det att ärendet inleds, och den sträcker sig över hela beslutsprocessen. Det slutliga målet med hela det förfarande som fastställs i artikel 60 i dataskyddsförordningen är således att nå en överenskommelse om utgången i ärendet. I de situationer där tillsynsmyndigheterna inte kommer överens ges EDPB enligt artikel 65 i dataskyddsförordningen befogenhet att anta bindande beslut. Det är emellertid ofta möjligt att nå en överenskommelse i ett tidigt skede av ärendet genom informationsutbytet och samrådet mellan den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna.

2. Enligt artikel 60.3 och 60.4 i dataskyddsförordningen ska den ansvariga tillsynsmyndigheten lägga fram ett utkast till beslut för de berörda tillsynsmyndigheterna som sedan kan göra en relevant och motiverad invändning inom en viss tidsram (fyra veckor) . Efter att ha mottagit en relevant och motiverad invändning har den ansvariga tillsynsmyndigheten två olika alternativ. Om myndigheten inte instämmer i den relevanta och motiverade invändningen eller anser att invändningen inte är motiverad eller relevant, ska myndigheten hänskjuta ärendet till styrelsen inom ramen för mekanismen för enhetlighet. Om den ansvariga tillsynsmyndigheten däremot följer invändningen och utfärdar ett reviderat utkast till beslut får de berörda tillsynsmyndigheterna framföra en relevant och motiverad invändning mot det reviderade utkastet till beslut inom två veckor.

3. Om den ansvariga tillsynsmyndigheten inte följer en invändning eller har avslagit den med motiveringen att den inte var relevant eller motiverad och därför hänskjuter ärendet till dataskyddsstyrelsen i enlighet med artikel 65.1 a i dataskyddsförordningen, åligger det styrelsen att anta ett bindande beslut om huruvida invändningen är ”relevant och motiverad” och, om så är fallet, avseende alla ärenden som är föremål för invändningen.

4. Följaktligen utgör begreppet ”relevant och motiverad invändning” en av de viktigaste aspekterna när det gäller avsaknaden av samförstånd mellan den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna. Syftet med detta dokument är att ge vägledning om detta begrepp samt att fastställa en gemensam tolkning av begreppet ”relevant och motiverad”, inbegripet vad som bör beaktas vid bedömningen av huruvida det av en invändning ”tydligt framgår hur stora risker utkastet till beslut medför” (artikel 4.24 i dataskyddsförordningen).

5. I artikel 4.24 i dataskyddsförordningen definieras ”relevant och motiverad invändning” som en ”invändning mot ett förslag till beslut avseende frågan huruvida det föreligger en överträdelse av denna förordning eller huruvida den planerade åtgärden i förhållande till den personuppgiftsansvarige eller personuppgiftsbiträdet är förenlig med denna förordning, av vilken invändning det tydligt framgår hur stora risker utkastet till beslut medför när det gäller registrerades grundläggande rättigheter och friheter samt i tillämpliga fall det fria flödet av personuppgifter inom unionen”.

6. Detta begrepp fungerar som en tröskel i situationer där de berörda tillsynsmyndigheterna vill invända mot ett (reviderat) utkast till beslut som den ansvariga tillsynsmyndigheten ska anta i enlighet med artikel 60 i dataskyddsförordningen. Eftersom osäkerheten kring ”vad som utgör en relevant och motiverad invändning” kan skapa missförstånd och inkonsekvent tillämpning från tillsynsmyndigheternas sida föreslog EU-lagstiftaren att EDPB skulle utfärda riktlinjer om detta begrepp (se slutet av skäl 124 i dataskyddsförordningen).

7. För att nå upp till den tröskel som fastställs i artikel 4.24 i dataskyddsförordningen bör en berörd tillsynsmyndighet i princip uttryckligen hänvisa till varje del av definitionen i samband med varje specifik invändning. Syftet med invändningen är därför först och främst att påpeka hur och varför utkastet till beslut, enligt den berörda tillsynsmyndigheten, inte behandlar överträdelsen av dataskyddsförordningen på ett lämpligt sätt och/eller inte föreskriver lämpliga åtgärder gentemot den personuppgiftsansvarige eller personuppgiftsbiträdet mot bakgrund av de risker som ett sådant utkast till beslut, om det inte ändras, i tillämpliga fall skulle medföra för de registrerades rättigheter och friheter och för det fria flödet av personuppgifter inom unionen. En invändning som lämnas in av en berörd tillsynsmyndighet bör innehålla en hänvisning till varje del av utkastet till beslut som anses vara bristfällig, felaktig eller saknar vissa nödvändiga delar, antingen genom hänvisning till specifika artiklar/punkter eller genom andra tydliga indikationer, och visa varför sådana frågor ska anses vara ”relevanta”, såsom förklaras närmare nedan. De ändringsförslag som framförs i invändningen bör har i syfte att avhjälpa dessa eventuella fel.

8. Hur detaljerad invändningen är och hur ingående analysen är kan nämligen påverkas av detaljnivån i utkastet till beslut och i vilken utsträckning den berörda tillsynsmyndigheten medverkar i det förfarande som leder fram till det utkast till beslut som den ansvariga tillsynsmyndigheten har utfärdat. Till grund för standarden för ”relevant och motiverad invändning” ligger därför antagandet att den ansvariga tillsynsmyndigheten har uppfyllt sin skyldighet att utbyta all relevant information , vilket gör det möjligt för de berörda tillsynsmyndigheterna att sätta sig in ordentligt i ärendet och därför lämna in en solid och välmotiverad invändning. Mot denna bakgrund ska även kravet att varje rättsligt bindande åtgärd som vidtas av tillsynsmyndigheten ska innehålla ”en motivering till åtgärden” (se skäl 129 i dataskyddsförordningen) beaktas. I vilken utsträckning den ansvariga tillsynsmyndigheten involverar den berörda tillsynsmyndigheten i det förfarande som leder fram till utkastet till beslut, om den medför bristande kunskaper om ärendets samtliga aspekter, kan därför betraktas som en faktor för att fastställa den relevanta och motiverade invändningens detaljnivå på ett mer flexibelt sätt.

9. EDPB vill inledningsvis framhålla att alla delaktiga tillsynsmyndigheter (ansvariga tillsynsmyndigheter och berörda tillsynsmyndigheter) bör fokusera på att avhjälpa eventuella brister i förfarandet för att nå samstämmighet så att det leder fram till ett gemensamt utkast till beslut. Samtidigt som EDPB medger att en invändning inte är det lämpligaste verktyget för att avhjälpa bristande samarbete under tidigare skeden av förfarandet med en enda kontaktpunkt, erkänner myndigheten emellertid att det är ett tillgängligt alternativ för de berörda tillsynsmyndigheterna. Detta är även sista utvägen för att avhjälpa (påstådda) brister vad gäller den ansvariga tillsynsmyndighetens involverande av de berörda tillsynsmyndigheterna i det förfarande som borde ha lett fram till ett gemensamt utkast till beslut, bl.a. vad gäller det rättsliga resonemanget och omfattningen av de undersökningar som den ansvariga tillsynsmyndigheten har genomfört i det aktuella ärendet.

10. Enligt dataskyddsförordningen ska den berörda tillsynsmyndigheten motivera sin ståndpunkt vad gäller den ansvariga tillsynsmyndighetens utkast till beslut genom att lämna in en invändning som är ”relevant” och ”motiverad”. Det är viktigt att erinra om att de två kraven, ”motiverad” och ”relevant”, ska anses vara kumulativa, dvs. båda måste vara uppfyllda . Enligt artikel 60.4 krävs det följaktligen att den ansvariga tillsynsmyndigheten ska överlämna ärendet till EDPB:s mekanism för enhetlighet om den anser att invändningen inte uppfyller någondera av dessa två krav .

11. EDPB rekommenderar starkt tillsynsmyndigheterna att göra invändningar och utbyta information genom det informations- och kommunikationssystem som inrättats för informationsutbyte mellan tillsynsmyndigheter . Det bör tydligt framgå att det är frågan om invändningar med hjälp av särskilda funktioner och verktyg.

2 VILLKOR FÖR EN ”RELEVANT OCH MOTIVERAD” INVÄNDNING

2.1 ”Relevant”

12. För att invändningen ska anses vara ”relevant” måste det finnas ett direkt samband mellan invändningen och innehållet i det aktuella utkastet till beslut . Mer specifikt krävs det att invändningen antingen avser frågan huruvida det föreligger en överträdelse av dataskyddsförordningen eller huruvida den planerade åtgärden i förhållande till den personuppgiftsansvarige eller personuppgiftsbiträdet är förenlig med dataskyddsförordningen.

13. Följaktligen är en invändning ”relevant” när den, om den följs, medför en ändring som leder till en annan slutsats om huruvida det föreligger en överträdelse av dataskyddsförordningen eller huruvida den planerade åtgärden, såsom den föreslagits av den ansvariga tillsynsmyndigheten, i förhållande till den personuppgiftsansvarige eller personuppgiftsbiträdet är förenlig med dataskyddsförordningen. Det måste alltid finnas en koppling mellan innehållet i invändningen och en sådan eventuell annan slutsats, vilket förklaras närmare nedan. Invändningen kan visserligen signalera att parterna är oeniga om bägge aspekterna, men för att villkoren för en relevant invändning ska vara uppfyllda är det tillräckligt att endast en av dem föreligger.

14. En invändning bör endast anses vara relevant om den rör ett specifikt rättsligt och faktiskt innehåll i den ansvariga tillsynsmyndighetens utkast till beslut. Att ta upp abstrakta eller allmänna farhågor eller anmärkningar kan inte anses vara relevant i detta sammanhang. Inte heller bör mindre meningsskiljaktigheter om ordalydelsen eller det rättsliga resonemanget som inte avser frågan huruvida det föreligger en överträdelse eller huruvida den planerade åtgärden överensstämmer med dataskyddsförordningen i förhållande till den personuppgiftsansvarige eller personuppgiftsbiträdet anses vara relevanta.

15. Det resonemang som ligger till grund för den ansvariga tillsynsmyndighetens slutsatser i utkastet till beslut kan bli föremål för en invändning. För detta krävs emellertid att resonemanget är kopplat till slutsatsen huruvida det föreligger en överträdelse, huruvida överträdelsen av dataskyddsförordningen har blivit korrekt identifierad eller är kopplad till den planerade åtgärdens förenlighet med dataskyddsförordningen och i vilken utsträckning den tröskel som föreskrivs i artikel 4.24, såsom den beskrivs i detta dokument, har uppnåtts i sin helhet.

2.2 ”Motiverad”

16. För att invändningen ska vara ”motiverad” , måste den innehålla förtydliganden och argument om varför en ändring av beslutet föreslås (dvs. de rättsliga/sakliga felen i den ansvariga tillsynsmyndighetens utkast till beslut). Den måste också visa hur ändringen skulle leda till en annan slutsats om huruvida det föreligger en överträdelse av dataskyddsförordningen eller huruvida den planerade åtgärden i förhållande till den personuppgiftsansvarige eller personuppgiftsbiträdet är förenlig med dataskyddsförordningen.

17. Den berörda tillsynsmyndigheten bör tillhandahålla välgrundade och underbyggda skäl för sin invändning, i synnerhet genom att vidareutveckla rättsliga argument (med åberopande av EUlagstiftning och/eller relevant nationell lagstiftning, bl.a. lagbestämmelser, rättspraxis, riktlinjer) eller faktiska omständigheter, i tillämpliga fall. Den berörda tillsynsmyndigheten bör lägga fram de omständigheter som påstås leda till en annan slutsats om den personuppgiftsansvariges/personuppgiftsbiträdets överträdelse av dataskyddsförordningen eller den del av utkastet till beslut som enligt deras uppfattning är bristfällig/felaktig.

18. Dessutom är en invändning ”motiverad” om det ”tydligt framgår” hur stora risker utkastet till beslut medför såsom beskrivs i avsnitt 3.2 nedan. I detta syfte måste invändningen innehålla argument eller motiveringar som hänför sig till vilka följder det skulle få om beslutet utfärdas utan de föreslagna ändringarna i invändningen, och hur sådana följder skulle medföra stora risker för de registrerades grundläggande rättigheter och friheter och, i tillämpliga fall, för det fria flödet av personuppgifter inom unionen.

19. För att en invändning ska vara tillräckligt motiverad bör den vara sammanhängande, tydlig, precis och detaljerad vad gäller redogörelsen för skälen till invändningen. Det bör klart och tydligt anges vilka väsentliga delar som ligger till grund för den berörda tillsynsmyndighetens bedömning och kopplingen mellan de följder som utkastet till beslut (om det skulle utfärdas som det är) förutses få och hur stora risker det förväntas medföra för de registrerades grundläggande rättigheter och friheter och, i tillämpliga fall, för det fria flödet av personuppgifter inom unionen. Dessutom bör den berörda tillsynsmyndigheten tydligt ange vilka delar av utkastet till beslut den motsätter sig. I situationer där invändningen grundas på att den ansvariga tillsynsmyndigheten inte anses ha undersökt en viktig omständighet i ärendet fullt ut, eller på en ytterligare en överträdelse av dataskyddsförordningen, kan det anses tillräckligt att den berörda tillsynsmyndigheten lägger fram sådana argument på ett övertygande och underbyggt sätt.

20. Berörda tillsynsmyndigheter måste tillhandahålla all information (faktiska omständigheter, handlingar, rättsliga argument) som de åberopar för att lägga fram sina argument på ett effektivt sätt. Detta är avgörande för avgränsningen av (den potentiella) tvistens räckvidd. Detta innebär att berörda tillsynsmyndigheter i princip bör sträva efter att lämna en relevant och motiverad invändning i ett enda yttrande grundat på alla sakliga och rättsliga argument som beskrivs ovan. Inom den tidsfrist som anges i artikel 60.4 i dataskyddsförordningen kan den berörda tillsynsmyndigheten emellertid tillhandahålla ytterligare information som har samband med och stöder invändningen, med beaktande av att kravet på att invändningen är ”relevant och motiverad” behöver vara uppfyllt. Exempel 1: Den berörda tillsynsmyndigheten överlämnar en formell invändning, men tillhandahåller några dagar senare den ansvariga tillsynsmyndigheten ytterligare information som rör omständigheterna i ärendet via informations- och kommunikationssystemet. Den ansvariga tillsynsmyndigheten får endast beakta sådan information om den lämnas inom den tidsfrist som anges i artikel 60.4 i dataskyddsförordningen.

21. Enligt god praxis bör invändningen om möjligt innehålla ett förslag till ny formulering som den ansvariga tillsynsmyndigheten ska överväga, vilket den berörda tillsynsmyndigheten anser möjliggör ett avhjälpande av de påstådda bristerna i utkastet till beslut. Detta kan bidra till att invändningen förtydligas bättre i det aktuella sammanhanget.

3 INVÄNDNINGEN I SAK

22. I sak kan invändningen avse huruvida det föreligger en överträdelse av dataskyddsförordningen och/eller huruvida den planerade åtgärden i förhållande till den personuppgiftsansvarige eller personuppgiftsbiträdet är förenlig med dataskyddsförordningen. Vilken typ av innehåll det är frågan om beror på den ansvariga tillsynsmyndighetens utkast till beslut och omständigheterna i ärendet.

23. Vidare måste det tydligt framgå av den berörda tillsynsmyndighetens invändning hur stora risker utkastet till beslut medför när det gäller registrerades grundläggande rättigheter och friheter samt i tillämpliga fall det fria flödet av personuppgifter inom unionen. Huruvida det föreligger en överträdelse och/eller den planerade åtgärdens bristande överensstämmelse med dataskyddsförordningen bör bedömas mot bakgrund av hur stora risker utkastet till beslut, om det inte ändras, medför när det gäller registrerades rättigheter och friheter samt i tillämpliga fall det fria flödet av personuppgifter.

3.1 Huruvida det föreligger en överträdelse av dataskyddsförordningen och/eller den planerade åtgärdens förenlighet med dataskyddsförordningen 3.1.1 Huruvida det föreligger en överträdelse av dataskyddsförordningen

24. I det första fallet grundas invändningen i sak på att den berörda tillsynsmyndigheten och den ansvariga tillsynsmyndigheten är oense om huruvida den personuppgiftsansvariges eller personuppgiftsbiträdets verksamhet och behandling under de aktuella omständigheterna i ärendet har medfört en eller flera överträdelser av dataskyddsförordningen eller inte, och vilken eller vilka överträdelser i så fall.

25. I detta sammanhang bör begreppet ”överträdelse” tolkas som ”en överträdelse av en viss bestämmelse i dataskyddsförordningen”. Därför måste den berörda tillsynsmyndighetens invändningar mot utkastet till beslut rättfärdigas och motiveras genom hänvisning till bevis och sakförhållanden som utväxlats mellan den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna (”relevant information” i den mening som avses i artikel 60 i dataskyddsförordningen). Dessa krav bör gälla för varje enskild överträdelse och för varje enskild bestämmelse i fråga. Exempel 2: I utkastet till beslut anges att den personuppgiftsansvarige har åsidosatt artiklarna 6, 7 och 14 i dataskyddsförordningen. Den berörda tillsynsmyndigheten anser inte att det föreligger en överträdelse av artikel 7 och 14 utan anser i stället att det föreligger en ytterligare överträdelse av artikel 13 i dataskyddsförordningen. Exempel 3: Den berörda tillsynsmyndigheten hävdar att den ansvariga tillsynsmyndigheten inte har beaktat att undantaget för hushåll inte är tillämpligt på viss behandling som utförs av en personuppgiftsansvarig och som omfattar användning av övervakningskameror, och att det därför inte föreligger någon överträdelse av dataskyddsförordningen. För att motivera sin invändning hänvisar den berörda tillsynsmyndigheten till artikel 2.2 c i dataskyddsförordningen, EDPS:s riktlinjer 3/2019 för behandling av personuppgifter genom videoenheter och EU-domstolens dom i mål C-212/13, Ryneš.

26. En invändning avseende frågan huruvida det föreligger en överträdelse av dataskyddsförordningen kan också innebära att parterna är oeniga när det gäller vilka slutsatser som ska dras av resultaten av utredningen. Invändningen kan exempelvis gälla att slutsatserna leder till en överträdelse av en annan bestämmelse i dataskyddsförordningen än (och/eller utöver) de som redan analyserats i den ansvariga tillsynsmyndighetens utkast till beslut. Detta är emellertid mindre sannolikt om den ansvariga tillsynsmyndigheten vederbörligen har uppfyllt sin skyldighet att samarbeta med de berörda tillsynsmyndigheterna och utbyta all relevant information i enlighet med artikel 60.1 i dataskyddsförordningen innan utkastet till beslut utfärdades.

27. Under vissa omständigheter kan en invändning vara så långtgående att den identifierar brister i utkastet till beslut som motiverar ett behov av ytterligare utredning från den ansvariga tillsynsmyndigheten. Om den ansvariga tillsynsmyndigheten i sin undersökning till exempel felaktigt har underlåtit att behandla några av de frågor som klaganden tagit upp eller som följer av en överträdelse som rapporterats av en berörd tillsynsmyndighet, kan en relevant och motiverad invändning göras på grundval av den ansvariga tillsynsmyndighetens underlåtenhet att behandla klagomålet på ett korrekt sätt och skydda den registrerades rättigheter. I detta hänseende krävs det en åtskillnad mellan utredningar på eget initiativ och utredningar som utlöses av klagomål eller av rapporter om potentiella överträdelser som delas av de berörda tillsynsmyndigheterna. I förfaranden som grundas på ett klagomål eller en överträdelse som rapporterats av en berörd tillsynsmyndighet bör förfarandets tillämpningsområde (dvs. de delar av uppgiftsbehandlingen som eventuellt är föremål för en överträdelse) fastställas genom innehållet i klagomålet eller i den rapport som överlämnats av den berörda tillsynsmyndigheten. Innehållet bör med andra ord definieras mot bakgrund av de aspekter som tas upp i klagomålet eller rapporten. Vid utredningar på eget initiativ bör den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna försöka enas om förfarandets omfattning (dvs. de delar av uppgiftsbehandling som är föremål för granskning) innan ett formellt förfarande inleds. Detsamma gäller i situationer där en tillsynsmyndighet som handlägger ett klagomål eller en rapport från en annan tillsynsmyndighet anser att det även krävs en undersökning på eget initiativ för att hantera systematiska efterlevnadsproblem som ligger utanför det specifika klagomålet eller den specifika rapporten.

28. Såsom angetts ovan bör en invändning endast utgöra en sista utväg för att avhjälpa situationer där de berörda tillsynsmyndigheterna inte påstås ha involverats tillräckligt i de föregående skedena av förfarandet. Det system som lagstiftaren har utformat talar för att de berörda tillsynsmyndigheterna bör komma överens om undersökningens omfattning i ett tidigare skede.

29. En invändning kopplad till förekomsten av en överträdelse kan även avse otillräckliga faktauppgifter eller en otillräcklig beskrivning av det aktuella ärendet, eller avsaknaden av bedömning eller motivering eller bristande sådana (vilket innebär att den bedömning som gjorts och de bevis som läggs fram inte utgör tillräcklig grund för den ansvariga tillsynsmyndighetens slutsats i utkastet till beslut, såsom krävs enligt artikel 58 i dataskyddsförordningen). Detta förutsätter att den tröskel som fastställs i artikel 4.24 i dataskyddsförordningen uppnås fullt ut och det kan finnas ett möjligt samband mellan en sådan påstått otillräcklig analys och fastställandet av en överträdelse/den planerade åtgärden.

30. Genom en relevant och motiverad invändning är det möjligt att ta upp förfarandefrågor i den mån det är frågan om situationer där den ansvariga tillsynsmyndigheten påstås ha åsidosatt formföreskrifter i dataskyddsförordningen och detta påverkar slutsatsen i utkastet till beslut. Exempel 4: Tillsynsmyndigheten i medlemsstat YY är behörig att agera som ansvarig tillsynsmyndighet vad gäller den gränsöverskridande behandling som utförs av den personuppgiftsansvarige CC som har sitt huvudsakliga verksamhetsställe i YY. Den behöriga tillsynsmyndigheten i medlemsstat XX informerar den ansvariga tillsynsmyndigheten i YY om ett klagomål som lämnats in till förstnämnda tillsynsmyndigheten och som huvudsakligen enbart påverkar registrerade i XX, i enlighet med artikel 56.2 och 56.3 i dataskyddsförordningen. Den ansvariga tillsynsmyndigheten beslutar att behandla ärendet. Tillsynsmyndigheten i XX beslutar att lämna ett utkast till beslut till den ansvariga tillsynsmyndigheten i enlighet med artikel 56.4 i dataskyddsförordningen. Den ansvariga tillsynsmyndigheten utarbetar ett utkast till beslut i enlighet med artikel 60.3 i dataskyddsförordningen och lägger fram det för den berörda tillsynsmyndigheten. Tillsynsmyndigheten i XX anser att den ansvariga tillsynsmyndigheten inte har fullgjort sin skyldighet enligt artikel 56.4 i dataskyddsförordningen att ta största möjliga hänsyn till det utkast som förstnämnda tillsynsmyndighet har lämnat in när den har utarbetat sitt utkast till beslut, eftersom den inte har motiverat varför den har avvikit från utkastet till beslut från tillsynsmyndigheten i XX. Därefter gör tillsynsmyndigheten i XX en relevant och motiverad invändning i vilken den framför argument som preciserar den avvikande slutsatsen som skulle ha nåtts i utkastet till beslut om den ansvariga tillsynsmyndigheten hade följt dess utkast till beslut, i syfte att fastställa en överträdelse eller fastställa vilka åtgärder som planeras gentemot den personuppgiftsansvarige, och i syfte att undvika de risker som detta medför för registrerades grundläggande rättigheter och friheter samt i tillämpliga fall för det fria flödet av personuppgifter inom unionen.

31. En invändning enligt artiklarna 60.4 och 65.1 a i dataskyddsförordningen påverkar inte tillämpningen av artikel 65.1 b i dataskyddsförordningen. Därför bör en oenighet som avser huruvida den tillsynsmyndighet som fungerar som ansvarig tillsynsmyndighet är behörig att anta ett beslut i ett specifikt ärende inte framföras genom en invändning enligt artikel 60.4 i dataskyddsförordningen och omfattas inte av tillämpningsområdet för artikel 4.24 i dataskyddsförordningen. Till skillnad från en invändning enligt artikel 60.4 i dataskyddsförordningen anser EDPB att förfarandet enligt artikel 65.1 b i dataskyddsförordningen är tillämpligt i vilket skede som helst.

3.1.2 Huruvida den planerade åtgärden i förhållande till den personuppgiftsansvarige eller personuppgiftsbiträdet i utkastet till beslut är förenlig med dataskyddsförordningen

32. I detta andra scenario utgörs bakgrunden till den relevanta och motiverade invändningen av att tillsynsmyndigheterna är oense om den särskilda korrigerande åtgärd som den ansvariga tillsynsmyndigheten har föreslagit eller andra planerade åtgärder i utkastet till beslut.

33. Mer specifikt bör den berörda tillsynsmyndigheten förklara i den relevanta och motiverade invändningen varför de åtgärder som föreskrivs i utkastet till beslut inte är förenliga med dataskyddsförordningen. I detta syfte måste nämnda tillsynsmyndighet tydligt åberopa vilka faktiska omständigheter och/eller rättsliga argument som den avvikande bedömningen av situationen grundas på, genom att ange vilka åtgärder den ansvariga tillsynsmyndigheten lämpligen borde vidta och inkludera i det slutliga beslutet. Exempel 5: Den personuppgiftsansvarige har utan rättslig grund lämnat ut känsliga medicinska uppgifter om klaganden till en tredje part. I sitt utkast till beslut föreslog den ansvariga tillsynsmyndigheten att en reprimand skulle utfärdas, medan den berörda tillsynsmyndigheten tillhandahåller faktauppgifter som visar att den personuppgiftsansvarige har omfattande och systemrelaterade problem med sin efterlevnad av dataskyddsförordningen (t.ex. lämnas kundernas uppgifter regelbundet ut till tredje parter utan rättslig grund). Därför föreslår den berörda tillsynsmyndigheten ett föreläggande för att se till att uppgiftsbehandlingen uppfyller kraven, ett tillfälligt förbud mot uppgiftsbehandling eller ett åläggande av böter. Exempel 6: På grund av ett misstag från en av sina anställda har den personuppgiftsansvarige offentliggjort namn, efternamn och telefonnummer från alla sina 100 000 kunder på sin webbplats. Dessa personuppgifter var tillgängliga för allmänheten i två dagar. Eftersom den personuppgiftsansvarige reagerade så snart som möjligt, misstaget rapporterades och alla kunder informerades enskilt, planerade den ansvariga tillsynsmyndigheten att enbart utfärda en reprimand. En berörd tillsynsmyndighet anser dock att böter måste åläggas på grund av att det är frågan om en omfattande personuppgiftsincident och dess möjliga inverkan på eller risker för kundernas privatliv.

34. I enlighet med artikel 65.1 a sista meningen i dataskyddsförordningen ska EDPB:s bindande beslut avse alla ärenden som är föremål för invändningen, särskilt vid en överträdelse. I skäl 150 femte meningen i dataskyddsförordningen anges att mekanismen för enhetlighet också kan tillämpas för att främja en enhetlig tillämpning av administrativa sanktionsavgifter. Det är således möjligt att invändningen gäller de omständigheter som åberopats för att beräkna bötesbeloppet. Om EDPB vid sin bedömning i detta sammanhang konstaterar att det resonemang som leder fram till åläggandet av de aktuella böterna är bristfälligt, kommer den ansvariga tillsynsmyndigheten att uppmanas att ompröva böterna och åtgärda de konstaterade bristerna. EDPB:s bedömning i denna fråga bör baseras på styrelsens gemensamma standarder enligt artikel 83.1 och 83.2 i dataskyddsförordningen och riktlinjerna för beräkning av administrativa böter. Exempel 7: Mot bakgrund av de faktiska omständigheterna i ärendet anser den berörda tillsynsmyndigheten att den ansvariga tillsynsmyndighetens planerade bötesbelopp i utkastet till beslut inte är effektivt, proportionerligt eller avskräckande, vilket krävs enligt artikel 83.1 i dataskyddsförordningen

3.2 Hur stora risker utkastet till beslut medför när det gäller registrerades grundläggande rättigheter och friheter samt i tillämpliga fall det fria flödet av personuppgifter inom unionen 3.2.1 Innebörden av rekvisitet ”hur stora risker”

35. Det är viktigt att komma ihåg att tillsynsmyndigheternas arbete syftar till att skydda de registrerades grundläggande rättigheter och friheter och att underlätta det fria flödet av personuppgifter inom unionen (artiklarna 4.24 och 51 samt skäl 123 i dataskyddsförordningen).

36. Skyldigheten att visa hur stora risker utkastet till beslut medför (t.ex. genom de åtgärder som föreskrivs eller avsaknaden av korrigerande åtgärder osv.) för registrerades rättigheter och friheter samt i tillämpliga fall det fria flödet av personuppgifter inom unionen ankommer på den berörda tillsynsmyndigheten. De berörda tillsynsmyndigheternas möjlighet att visa detta beror även på detaljnivån i själva utkastet till beslut och på den ansvariga tillsynsmyndighetens inledande tillhandahållande av information, vilket framhålls ovan i punkt 8.

37. ”Risk” nämns i flera avsnitt av dataskyddsförordningen, och i tidigare riktlinjer från EDPB definieras en ”risk” som ”ett scenario som beskriver en händelse och dess uppskattade konsekvenser vad gäller allvar och sannolikhet”. I artikel 4.24 i dataskyddsförordningen anges att det ska framgå hur stora risker utkastet till beslut medför, dvs. att den berörda tillsynsmyndigheten visar vilka konsekvenser utkastet till beslut skulle få för de värden som skyddas. Det krävs att den berörda tillsynsmyndigheten lägger fram tillräckliga argument för att uttryckligen visa att sådana risker är väsentliga och rimliga för de registrerades grundläggande rättigheter och friheter samt i tillämpliga fall det fria flödet av personuppgifter inom unionen. Det kan inte underförstått anses framgå av de rättsliga och/eller faktiska argument som den berörda tillsynsmyndigheten lägger fram att det är frågan om stora risker, utan detta måste uttryckligen identifieras och utvecklas i invändningen.

38. Det bör framhållas att även om det tydligt måste framgå av en relevant och motiverad invändning hur stora risker utkastet till beslut medför när det gäller registrerades grundläggande rättigheter och friheter (se avsnitt 3.2.2 nedan), krävs det endast att riskerna för det fria flödet av personuppgifter inom Europeiska unionen framgår ”i tillämpliga fall” (se avsnitt 3.2.3 nedan).

3.2.2 Risker för registrerades grundläggande rättigheter och friheter

39. Den aktuella frågan gäller vilka konsekvenser utkastet till beslut i dess helhet skulle få på registrerades grundläggande rättigheter och friheter. Detta kan gälla de slutsatser från den ansvariga tillsynsmyndigheten om huruvida den personuppgiftsansvarige eller personuppgiftsbiträdet har överträtt dataskyddsförordningen och/eller åläggandet av korrigerande åtgärder.

40. Den metod som ska användas vid bedömningen av den risk utkastet till beslut medför är inte densamma som den som tillämpas när en personuppgiftsansvarig genomför en konsekvensbedömning avseende dataskydd för att fastställa vilken risk en planerad behandling medför. Det är istället fråga om en bedömning av effekterna av den ansvariga tillsynsmyndighetens slutsatser i dess utkast till beslut om huruvida en överträdelse har begåtts eller inte. Den ansvariga tillsynsmyndighetens slutsatser kan innebära att vissa åtgärder vidtas (”den planerade åtgärden”). Såsom redan angetts ska den berörda tillsynsmyndigheten påvisa sådana risker med beaktande av utkastet till beslut i dess helhet.

41. I skäl 129 i dataskyddsförordningen klargörs att ”[t]illsynsmyndigheternas befogenheter bör utövas opartiskt, rättvist och inom rimlig tid i överensstämmelse med lämpliga rättssäkerhetsgarantier i unionsrätten och i medlemsstaternas nationella rätt” och att ”varje åtgärd [bör] vara lämplig, nödvändig och proportionell för att säkerställa efterlevnad av denna förordning, med beaktande av omständigheterna i varje enskilt fall, samt respektera varje persons rätt att bli hörd innan några enskilda åtgärder som påverkar honom eller henne negativt vidtas och vara utformad så att onödiga kostnader och alltför stora olägenheter för de berörda personerna undviks”.

42. Utvärderingen av de risker utkastet till beslut medför för registrerades grundläggande rättigheter och friheter kan därför bland annat baseras på huruvida de åtgärder som planeras (eller inte planeras) i utkastet är lämpliga, nödvändiga och proportionerliga, på grundval av slutsatserna beträffande förekomsten av en överträdelse och eventuella korrigerande åtgärder som den personuppgiftsansvarige eller personuppgiftsbiträdet har fastställt.

43. Dessutom kan de aktuella riskerna hänföra sig till de konsekvenser som utkastet till beslut får för de grundläggande rättigheterna och friheterna från registrerade vars personuppgifter behandlas av den personuppgiftsansvarige eller personuppgiftsbiträdet, men även till konsekvenserna med avseende på rättigheter och friheter från registrerade vars personuppgifter kan komma att behandlas i framtiden och till en eventuell minskning av framtida överträdelser av dataskyddsförordningen, om sakförhållandena i ärendet talar för detta. Exempel 8: Den ansvariga tillsynsmyndigheten har i sitt utkast till beslut dragit slutsatsen att den personuppgiftsansvarige inte har åsidosatt principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen. Den berörda tillsynsmyndigheten lägger fram faktauppgifter och rättsliga argument i sin invändning som visar att den personuppgiftsansvariges behandling faktiskt har medfört ett åsidosättande av artikel 5.1 c i dataskyddsförordningen och förespråkar att en reprimand bör utfärdas mot den personuppgiftsansvarige. För att visa hur stora risker utkastet till beslut medför för registrerades grundläggande rättigheter och friheter gör den berörda tillsynsmyndigheten gällande att det skulle utgöra ett farligt prejudikat om ingen reprimand utfärdas för överträdelse av en grundläggande princip, vilket signalera att det inte föreligger något behov av att korrigera organisationens behandling av personuppgifter. Detta skulle medföra fara för registrerade vars personuppgifter behandlas och kommer att behandlas av den personuppgiftsansvarige.

3.2.3 Risker för det fria flödet av personuppgifter inom unionen

44. Om invändningen även hänför sig till dessa särskilda risker behöver den berörda tillsynsmyndigheten klargöra varför detta anses ”tillämpligt”. En invändning som visar att det föreligger risker för det fria flödet av personuppgifter, men inte för de registrerades rättigheter och friheter, kan inte anses nå upp till den tröskel som fastställs i artikel 4.24 i dataskyddsförordningen.

45. Behovet av att undvika att begränsa eller förbjuda det fria flödet av personuppgifter av skäl som rör skyddet för fysiska personer med avseende på behandlingen av personuppgifter framhålls uttryckligen i dataskyddsförordningen , vilken syftar till att införa harmoniserade dataskyddsregler i hela EU och möjliggöra det fria flödet av personuppgifter inom unionen, samtidigt som en hög skyddsnivå säkerställs för fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av sina personuppgifter.

46. Samtliga åtgärder kan medföra risker för det fria flödet av personuppgifter inom unionen, inbegripet beslut från nationella tillsynsmyndigheter som inför omotiverade begränsningar av datalagring (t.ex. bestämmelser som ålägger en personuppgiftsansvarig att lagra viss information i en viss medlemsstat) och/eller av det fria flödet av personuppgifter mellan medlemsstaterna (t.ex. genom att avbryta dataflöden eller införa tillfälliga eller definitiva begränsningar, inbegripet ett förbud mot behandling).

47. På samma sätt kan det fria flödet av personuppgifter inom unionen äventyras när det föreligger förväntningar (eller ställs krav) på hur registeransvariga ska fullgöra sina skyldigheter enligt dataskyddsförordningen, dvs. på ett sådant sätt att de åtgärder som förväntas av personuppgiftsansvariga blir kopplade till en viss region i EU (t.ex. genom särskilda kvalifikationskrav).

48. Dessutom kan det fria flödet av personuppgifter inom unionen också hindras om tillsynsmyndigheterna utan godtagbara skäl fattar olika beslut i situationer som är identiska eller likartade (t.ex. vad gäller sektor eller typ av behandling), eftersom bristande enhetlighet skulle äventyra lika villkor och skapa motstridiga situationer inom EU samt medföra en risk för forumshopping. I detta avseende bör nationella särdrag beaktas i den mån det är tillåtet enligt dataskyddsförordningen med avseende på vissa sektorer såsom hälso- och sjukvård, journalistik eller arkiv.