Europa-Parlamentets og Rådets forordning (EU) 2025/2518 af 26. november 2025 om supplerende procedureregler for håndhævelse af forordning (EU) 2016/679 (EØS-relevant tekst)

Den Europæiske Unions
Tidende

DA

L-udgaven

2025/2518

12.12.2025

EUROPA-PARLAMENTETS OG RÅDETS FORORDNING (EU) 2025/2518

af 26. november 2025

om supplerende procedureregler for håndhævelse af forordning (EU) 2016/679

(EØS-relevant tekst)

EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR —

under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 16,

under henvisning til forslag fra Europa-Kommissionen,

efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter,

under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg (1),

efter høring af Regionsudvalget,

efter den almindelige lovgivningsprocedure (2), og

ud fra følgende betragtninger:

(1)

Med Europa-Parlamentets og Rådets forordning (EU) 2016/679 (3) blev der indført et decentraliseret håndhævelsessystem, der har til formål at sikre en konsekvent fortolkning og anvendelse af nævnte forordning i sager vedrørende grænseoverskridende behandling. I sådanne sager kræves der i medfør af det decentraliserede håndhævelsessystem et samarbejde mellem tilsynsmyndighederne, med henblik på at nå til enighed. Hvis tilsynsmyndighederne ikke kan nå til enighed, skal tvisten i henhold til forordning (EU) 2016/679 bilægges af Det Europæiske Databeskyttelsesråd (»Databeskyttelsesrådet«).

(2)

For at sørge for, at den samarbejdsmekanisme og den tvistbilæggelsesmekanisme, der fremgår af henholdsvis artikel 60 og 65 i forordning (EU) 2016/679, fungerer gnidningsfrit og effektivt, er det nødvendigt at fastsætte regler for tilsynsmyndighedernes gennemførelse af processkridt i sager vedrørende grænseoverskridende behandling og for Databeskyttelsesrådet ved tvistbilæggelse, herunder behandling af klager. Af den grund er det også nødvendigt at fastsætte regler for udøvelsen af retten til at blive hørt, inden tilsynsmyndighederne og, alt efter omstændighederne, Databeskyttelsesrådet træffer afgørelse.

(3)

Hvis der ikke findes EU-regler gældende for spørgsmålet, tilkommer det i medfør af princippet om medlemsstaternes procesautonomi hver enkelt medlemsstat at fastsætte de nærmere regler for de administrative og retslige procedurer, der skal sikre et højt niveau for beskyttelsen af de rettigheder, som EU-retten medfører for borgerne. Hver medlemsstats procedureregler bør derfor finde anvendelse på tilsynsmyndighederne, for så vidt som denne forordning ikke harmoniserer et spørgsmål, og så længe sådanne nationale procedureregler ikke er til hinder for principperne om EU-rettens effektivitet og ækvivalens.

(4)

Denne forordning har til hensigt at sikre, at undersøgelser i sager vedrørende grænseoverskridende behandling foretages i overensstemmelse med princippet om god forvaltning, og navnlig at de foretages uvildigt, rimeligt og inden for en rimelig frist. Denne forordning fastsætter derfor nogle horisontale principper vedrørende procedurerne for håndhævelse af forordning (EU) 2016/679 i sådanne sager.

(5)

Klager udgør en vigtig informationskilde, når det drejer sig om at opdage overtrædelser af databeskyttelsesreglerne. Oplysninger, der gives af en klager som led i den indgivne klage, eller når vedkommende tilkendegiver sine synspunkter, kan omfatte argumenter og beviser, der kan bidrage til at fremme undersøgelsen. Det er nødvendigt at fastlægge klare og effektive procedurer for behandling af klager i sager vedrørende grænseoverskridende behandling, eftersom det er muligt, at klagen bliver behandlet af en anden tilsynsmyndighed end den, klagen er indgivet til.

(6)

En klage bør forstås som en begæring indgivet af en registreret til en tilsynsmyndighed i overensstemmelse med artikel 77, stk. 1, eller artikel 80 i forordning (EU) 2016/679. Den blotte indberetning af påståede overtrædelser, som ikke vedrører behandlingen af personoplysninger angående den registrerede, dataansvarliges eller databehandleres anmodninger om rådgivning fra eller generelle anmodninger vedrørende anvendelsen af forordning (EU) 2016/679, enten fra dataansvarlige, databehandlere eller fysiske personer, skal ikke betragtes som en klage.

(7)

For at en klage vedrørende grænseoverskridende behandling kan antages til behandling, bør den indeholde nærmere angivne oplysninger. Der bør ikke kræves nogen oplysninger ud over dem, der er angivet i denne forordning, for at en sådan klage kan antages til behandling. Administrative nærmere regler for og krav til, at klager kan antages til behandling, i henhold til den nationale ret for den tilsynsmyndighed, der er indgivet en klage til, såsom sprog, forældelsesfrister, identifikationsmidler, elektronisk format, særlig model eller underskrift, finder fortsat anvendelse.

(8)

Kontaktoplysningerne for den person, der indgiver klagen, kunne omfatte en postadresse, bopæl og, hvis en sådan findes, en e-mailadresse. Det er nødvendigt på det tidspunkt, hvor klagen indgives, klart at identificere den omstændighed, at klageren er en fysisk person, der ikke er i stand til at udøve sin ret til at indgive en klage uden bistand fra en juridisk repræsentant, f.eks. fordi vedkommende er et barn, eller fordi vedkommende har et handicap eller en sårbarhed, og derfor udøver sine rettigheder gennem en anden person såsom en forælder, en værge eller et familiemedlem, forudsat at en sådan repræsentation er tilladt i henhold til national ret.

(9)

Hvor klagen indgives af et organ, en organisation eller en sammenslutning, som ikke arbejder med gevinst for øje, der er omhandlet i artikel 80 i forordning (EU) 2016/679, bør der gives bevis for, at organet, organisationen eller sammenslutningen er etableret i overensstemmelse med retten i en medlemsstat, sammen med organets, organisationens eller sammenslutningens navn og kontaktoplysninger samt bevis for, at organet, organisationen eller sammenslutningen handler på grundlag af bemyndigelse fra den registrerede. De nærmere regler og procedurerne for sådant bevis bestemmes i overensstemmelse med retten i den medlemsstat, som tilsynsmyndigheden, som klagen er indgivet til, henhører under.

(10)

Klageren bør ikke være forpligtet til at kontakte den part, der er genstand for en undersøgelse, før indgivelsen af en klage, for at denne klage kan antages til behandling. Hvor klagen vedrører den registreredes udøvelse af en rettighed, som beror på, at den berørte registrerede fremsætter en anmodning til den dataansvarlige, bør denne anmodning rettes til den dataansvarlige før indgivelsen af klagen.

(11)

Den tilsynsmyndighed, som klagen er indgivet til, bør som en foreløbig konklusion fastslå, hvorvidt klagen vedrører grænseoverskridende behandling, hvilken tilsynsmyndighed der formodes at have kompetence til at fungere som ledende tilsynsmyndighed i overensstemmelse med artikel 56, stk. 1, i forordning (EU) 2016/679, og hvorvidt nævnte forordnings artikel 56, stk. 2, finder anvendelse. Hvor der ikke er indledt en procedure for tidlig løsning, bør den tilsynsmyndighed, som klagen er indgivet til, fremsende klager, der kan antages til behandling, til den ledende tilsynsmyndighed, der formodes at have kompetence til at handle som ledende tilsynsmyndighed, og underrette klageren herom. Bestemmelsen af om klagen kan antages til behandling, der er foretaget af den tilsynsmyndighed, som klagen er indgivet til, bør være bindende for den ledende tilsynsmyndighed.

(12)

Det er vigtigt, at tilsynsmyndighederne gør det let for klageren at indgive alle de påkrævede oplysninger, f.eks. ved at stille skabeloner eller elektroniske formularer til rådighed, idet der tages hensyn til relevant vejledning fra Databeskyttelsesrådet. Tilsynsmyndighederne kan lette indgivelsen af klager i et brugervenligt elektronisk format og under hensyntagen til behovene hos personer med handicap, så længe de oplysninger, der kræves af klageren, svarer til de nærmere angivne påkrævede oplysninger. Der bør ikke kræves yderligere oplysninger for at klagen kan antages til behandling.

(13)

For at lette behandlingen af en klage bør tilsynsmyndighederne kunne anmode klageren om supplerende oplysninger. Hvor nogle af de oplysninger, der er nødvendige for, at en klage kan antages til behandling, mangler, kan den tilsynsmyndighed, som klagen er indgivet til, kontakte klageren med henblik på at indhente de manglende oplysninger, hvor det er muligt. Hvor en klage ikke kan antages til behandling, bør tilsynsmyndigheden erklære, at den ikke kan antages til behandling, og underrette klageren om de manglende oplysninger inden for den frist, der er fastsat i denne forordning, for at give klageren mulighed for at indgive en klage, der kan antages til behandling.

(14)

Hvis den ledende tilsynsmyndighed efter at have modtaget en klage, der kan antages til behandling, vedrørende grænseoverskridende behandling fra en tilsynsmulighed har brug for yderligere oplysninger fra klageren for at muliggøre en fuldstændig undersøgelse af klagen, bør den tilsynsmyndighed, som klagen er indgivet til, bistå den ledende tilsynsmyndighed, herunder ved at kontakte klageren for at indhente de påkrævede oplysninger, hvis det er nødvendigt.

(15)

Hvor den ledende tilsynsmyndighed indleder en undersøgelse på grundlag af en klage, bør de parter, der er genstand for en undersøgelse, straks underrettes om indgivelsen af klagen og om dens vigtigste elementer. Den ledende tilsynsmyndigheds tilvejebringelse af sådanne oplysninger vil imidlertid kunne udsættes, så længe det er nødvendigt for at beskytte undersøgelsens integritet og muliggøre en effektiv gennemførelse af undersøgelsesforanstaltningerne.

(16)

For at sikre, at samarbejds- og sammenhængsmekanismerne i kapitel VII i forordning (EU) 2016/679 fungerer effektivt, er det vigtigt, at sager vedrørende grænseoverskridende behandling afgøres rettidigt og i overensstemmelse med den ånd af loyalt og effektivt samarbejde, der ligger til grund for artikel 60 i forordning (EU) 2016/679. Den ledende tilsynsmyndighed bør udøve sin kompetence i tæt samarbejde med de øvrige berørte tilsynsmyndigheder. På samme måde bør de berørte tilsynsmyndigheder aktivt deltage i en undersøgelse på et tidligt tidspunkt med henblik på at nå til enighed, idet de gør fuld brug af de værktøjer, der er fastsat i forordning (EU) 2016/679. Det er vigtigt, at samarbejdet mellem tilsynsmyndighederne er baseret på en åben dialog, der giver de berørte tilsynsmyndigheder mulighed for på meningsfuld vis at påvirke undersøgelsens forløb ved at dele deres erfaringer og synspunkter med den ledende tilsynsmyndighed under behørig hensyntagen til den enkelte tilsynsmyndigheds skønsmargen. Tilsynsmyndighederne bør gennemføre procedurer på en hensigtsmæssig og effektiv måde og bør samarbejde med hinanden på en loyal og effektiv måde, herunder ved at yde støtte, hvor det er nødvendigt, og ved straks at besvare anmodninger.

(17)

Tilsynsmyndighederne bør træffe afgørelse om klager inden for et rimeligt tidsrum. Af denne grund fastsættes der i denne forordning tidsfrister. Hvad der er et rimeligt tidsrum, afhænger af omstændighederne i hver enkelt tilfælde og navnlig af konteksten, den ledende tilsynsmyndigheds forskellige proceduremæssige skridt, den adfærd, som de parter, der er genstand for en undersøgelse, og klageren udviser under proceduren, og sagens kompleksitet. For effektivt at beskytte de registreredes grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandlingen af personoplysninger er det vigtigt, at klager behandles effektivt og hensigtsmæssig. Afhængigt af omstændighederne i en sag kan den tid, der er nødvendig for at behandle en klage, være kortere end den frist, der er fastsat i denne forordning. Effektivt samarbejde mellem den ledende tilsynsmyndighed og de andre berørte tilsynsmyndigheder kan også have en positiv indvirken på den hensigtsmæssige behandling af sager.

(18)

En klager bør have mulighed for udelukkende at kommunikere med den tilsynsmyndighed, som vedkommende har indgivet sin klage til. Denne mulighed forhindrer ikke klageren i at kommunikere direkte med en anden tilsynsmyndighed, herunder med den ledende tilsynsmyndighed.

(19)

Det er vigtigt at tage hensyn til de personoplysninger, der behandles, og den registreredes situation, f.eks. hvor en klage vedrører behandling af børns personoplysninger.

(20)

Den ledende tilsynsmyndighed bør give den tilsynsmyndighed, som klagen er indgivet til, de nødvendige oplysninger om, hvordan undersøgelsen skrider frem, med henblik på at give klageren opdateringer.

(21)

For at tilsynsmyndighederne hurtigt kan bringe overtrædelser af forordning (EU) 2016/679 til ophør og sikre en hurtig løsning for klagere, bør tilsynsmyndighederne, hvor det er relevant, bestræbe sig på at opnå en løsning af klager gennem en procedure for tidlig løsning i overensstemmelse med nærværende forordning. Med henblik herpå bør tilsynsmyndigheden fastslå, hvorvidt den overtrædelse, der påstås i klagen, er bragt til ophør på en sådan måde, at klagen ikke længere har nogen genstand. Medlemsstater er ikke forpligtet til at indføre nye procedurer i national ret for at give deres tilsynsmyndigheder mulighed for at løse en klage gennem en procedure for tidlig løsning.

(22)

En klage bør kun løses gennem en procedure for tidlig løsning, hvis klageren ikke rettidigt har gjort indsigelse mod konstateringen af, at den påståede overtrædelse er bragt til ophør, og at klagen derfor ikke længere har nogen genstand. Tidlig løsning af en klage bør derfor finde anvendelse på sager, hvor klageren er i stand til behørigt at vurdere det foreslåede resultat.

(23)

Tidlig løsning af en klage kan være særlig nyttig til hurtigt at løse klager vedrørende krænkelser af den registreredes rettigheder i henhold til kapitel III i forordning (EU) 2016/679 til klagerens tilfredshed. Denne tidlige løsning bør gøre det muligt for den tilsynsmyndighed, som klagen er indgivet til, eller for den ledende tilsynsmyndighed på grundlag af en foreløbig dialog med den dataansvarlige, og forudsat at der er indhentet bevis herfor, at fastslå, at klagen ikke længere har nogen genstand.

(24)

Tidlig løsning af en klage gennem en procedure for tidlig løsning bør ikke berøre den ledende tilsynsmyndigheds udøvelse af sine beføjelser i overensstemmelse med forordning (EU) 2016/679 vedrørende samme genstand, f.eks. i tilfælde af systemiske eller gentagne overtrædelser af nævnte forordning.

(25)

Hvis den ledende tilsynsmyndighed, der har fået fremsendt klagen, finder, at en klage kan løses gennem en procedure for tidlig løsning, bør der forelægges et udkast til afgørelse i henhold til artikel 60, stk. 3, i forordning (EU) 2016/679 for de øvrige berørte tilsynsmyndigheder med henblik på vedtagelse af en endelig afgørelse i overensstemmelse med artikel 60, stk. 7, i forordning (EU) 2016/679, hvori det fastslås, at den påståede overtrædelse er bragt til ophør, og at klagen eller en del af klagen er blevet løst af den ledende tilsynsmyndighed. Det forelagte udkast til afgørelse vil derfor kunne forenkles og begrænses til at oplyse om, at klagen helt eller delvist er blevet løst ved en procedure for tidlig løsning, med angivelse af begrundelsen for afgørelsen og løsningens omfang samt bekræftelse af, at klagen derfor ikke længere har nogen genstand. I sådanne tilfælde bør den ledende tilsynsmyndighed direkte forelægge sit udkast til afgørelse for de andre berørte tilsynsmyndigheder uden at være nødt til at udarbejde og rundsende et resumé af centrale spørgsmål eller foreløbige konklusioner.

(26)

Hvor den ledende tilsynsmyndighed har dannet sig foreløbige synspunkter om en undersøgelses hovedspørgsmål, bør det være muligt for den ledende tilsynsmyndighed at samarbejde med de andre berørte tilsynsmyndigheder gennem en simpel samarbejdsprocedure. Den simple samarbejdsprocedure bør anvendes fra sag til sag, forudsat at den ledende tilsynsmyndighed finder, at der ikke er nogen rimelig tvivl med hensyn til undersøgelsens omfang, og at de retlige og faktuelle spørgsmål, der er udpeget, ikke kræver yderligere samarbejde, som ville være nødvendigt med henblik på en kompleks undersøgelse, navnlig hvis disse spørgsmål kan behandles på grundlag af sagens karakteristika og tidligere afgørelser i lignende sager. Det er desuden vigtigt, at den ledende tilsynsmyndighed i sin vurdering af, at der sandsynligvis vil blive nået til enighed om de vigtigste elementer i en sag, også tager hensyn til eksisterende retspraksis og de retningslinjer, som Databeskyttelsesrådet har vedtaget om de påståede overtrædelser af forordning (EU) 2016/679, som skal undersøges. I princippet finder den simple samarbejdsprocedure ikke anvendelse, hvor sagen giver anledning til systemiske eller tilbagevendende problemer i flere medlemsstater, vedrører et generelt retligt spørgsmål med hensyn til fortolkningen, anvendelsen eller håndhævelsen af forordning (EU) 2016/679, vedrører skæringspunktet mellem databeskyttelse og andre retsområder, berører et stort antal registrerede i flere medlemsstater eller vedrører et stort antal klager i flere medlemsstater, eller hvor der kan være en høj risiko for registreredes rettigheder og frihedsrettigheder.

(27)

Hvor den ledende tilsynsmyndighed agter at anvende den simple samarbejdsprocedure, bør den underrette de andre berørte tilsynsmyndigheder om sin hensigt og give alle relevante oplysninger om sagens og klagens karakteristika, herunder de vigtigste faktiske omstændigheder og den påståede overtrædelse, der skal undersøges. Hvor den simple samarbejdsprocedure anvendes, bør den ledende tilsynsmyndighed fortsætte samarbejdet med de andre berørte tilsynsmyndigheder og forelægge et udkast til afgørelse inden for de frister, der er fastsat i denne forordning.

(28)

Hvor en tilsynsmyndighed er forpligtet til at tage visse proceduremæssige skridt inden for bestemte frister, er formålet med disse frister at sikre, at proceduren skrider fremad og afsluttes inden for en rimelig frist. Disse frister er ikke til hinder for, at tilsynsmyndighederne tager de nødvendige proceduremæssige skridt efter fristernes udløb. Det er derfor nødvendigt at sikre, at den omstændighed, at sådanne proceduremæssige skridt tages efter udløbet af de dertil hørende frister, ikke kan betragtes som begrundelse for det pågældende proceduremæssige skridts eller den endelige afgørelses ulovlighed eller ugyldighed.

(29)

Den ledende tilsynsmyndighed bør kunne forlænge fristen for forelæggelse af et udkast til afgørelse. Sådanne forlængelser bør kun anvendes undtagelsesvist på grund af sagens kompleksitet. De andre berørte tilsynsmyndigheder bør underrettes og have mulighed for at gøre indsigelse mod forlængelsen, hvilket den ledende tilsynsmyndighed bør tage hensyn til, når den bestemmer, hvorvidt fristen skal forlænges, og, i givet fald, om varigheden af denne forlængelse.

(30)

Hvor den ledende tilsynsmyndighed forlænger fristen for forelæggelse af et udkast til afgørelse, bør de andre berørte tilsynsmyndigheder kunne underrette den ledende tilsynsmyndighed om deres vurdering af, at det er nødvendigt at handle for at beskytte de registreredes rettigheder og frihedsrettigheder. Hvor den ledende tilsynsmyndighed er blevet underrettet om en sådan vurdering og ikke forelægger et udkast til afgørelse inden for den forlængede frist, bør nødvendigheden af at handle omgående som omhandlet i artikel 66, stk. 1, i forordning (EU) 2016/679, formodes at være til stede. Uanset denne mulighed står hasteproceduren fortsat til rådighed for tilsynsmyndighederne på de betingelser, der er fastsat i artikel 66 i forordning (EU) 2016/679.

(31)

For at sikre, at sager gennemføres effektivt, uden at dette berører medlemsstaternes procesautonomi, er det at foretrække, at retsmidler mod proceduremæssige skridt, der træffes af tilsynsmyndighederne, kun er tilgængelige sammen med et retsmiddel mod en endelig afgørelse, medmindre det proceduremæssige skridt i sig selv uigenkaldeligt påvirker rettighederne for den part, der er genstand for en undersøgelse, eller klageren, uanset den endelige afgørelse.

(32)

Det er navnlig vigtigt, at tilsynsmyndighederne når til enighed om centrale aspekter af sagen så tidligt som muligt og forud for vedtagelsen af det udkast til afgørelse, der er omhandlet i artikel 60 i forordning (EU) 2016/679.

(33)

Udveksling af relevante oplysninger mellem den ledende tilsynsmyndighed og de andre berørte tilsynsmyndigheder er et vigtigt element til støtte for ånden af effektivt og loyalt samarbejde. Denne udveksling og den ledende tilsynsmyndigheds rettidige tilvejebringelse af specifikke oplysninger er en kontinuerlig proces under en undersøgelses forløb, og de nødvendige dokumenter og detaljer kan variere afhængigt af sagens kompleksitet. Afhængigt af undersøgelsens fase og omstændighederne i en sag kunne relevante oplysninger bl.a. omfatte udvekslingen af korrespondance med den dataansvarlige eller den registrerede i forbindelse med en klage eller undersøgelse, de forberedende dokumenter til en revision eller inspektion eller en foreløbig teknisk eller juridisk vurdering foretaget af den ledende tilsynsmyndighed som følge af et specifikt skridt i dens undersøgelse.

(34)

Selv om den ledende tilsynsmyndighed straks bør give de andre berørte tilsynsmyndigheder alle relevante oplysninger, så snart oplysningerne foreligger, bør de andre berørte tilsynsmyndigheder også proaktivt stille alle relevante oplysninger, der anses for nyttige med henblik på at vurdere de retlige og faktuelle elementer i en sag, til rådighed. Udvekslingen af relevante oplysninger bør støtte et hurtigt og effektivt samarbejde mellem tilsynsmyndighederne og kan i visse tilfælde understøttes af resuméer, uddrag eller kopier af dokumenter for at lette en hurtig forståelse af en sag, samtidig med at der er mulighed for at give supplerende oplysninger, hvor det er nødvendigt. For at lette en effektiv og hensigtsmæssig udveksling af relevante oplysninger mellem tilsynsmyndighederne bør Databeskyttelsesrådet kunne præcisere de nærmere regler for og kravene til udveksling af sådanne oplysninger.

(35)

Som en del af de relevante oplysninger om en specifik sag bør den ledende tilsynsmyndighed give de andre berørte tilsynsmyndigheder et resumé af centrale spørgsmål med sine foreløbige synspunkter om undersøgelsens hovedspørgsmål. Dette resumé bør gives på et så tidligt tidspunkt, at det er muligt effektivt at inddrage de synspunkter, som de andre berørte tilsynsmyndigheder har fremsat, men samtidig på et tidspunkt, hvor den ledende tilsynsmyndighed har tilstrækkelige elementer til at danne sig sine synspunkter om sagen, om nødvendigt som en foreløbig analyse og mulige indledende undersøgelsesforanstaltninger. Resuméet af centrale spørgsmål bør i givet fald også omfatte en foreløbig udpegelse af potentielle korrigerende foranstaltninger, hvis den ledende tilsynsmyndighed har tilstrækkelige elementer til at danne sig foreløbige synspunkter om disse foranstaltninger, navnlig når de bestemmelser i forordning (EU) 2016/679, som er berørt af den påståede overtrædelse, let kan udpeges på et tidligt tidspunkt.

(36)

De berørte tilsynsmyndigheder bør have mulighed for at fremsætte deres bemærkninger til resuméet af centrale spørgsmål, herunder til en bred vifte af spørgsmål såsom undersøgelsens omfang, udpegelsen af de påståede overtrædelser og udpegelsen af faktuelle og retlige spørgsmål, der er relevante for undersøgelsen. Eftersom undersøgelsens omfang bestemmer, hvilke spørgsmål den ledende tilsynsmyndighed skal undersøge, bør tilsynsmyndighederne bestræbe sig på at nå til enighed om undersøgelsens omfang så tidligt som muligt.

(37)

For at sikre et effektivt og inkluderende samarbejde mellem den ledende tilsynsmyndighed og alle de andre berørte tilsynsmyndigheder, er det vigtigt, at resuméet af centrale spørgsmål og bemærkningerne fra de berørte tilsynsmyndigheder er kortfattede og formuleret tilstrækkelig klart og præcist til, at de er let forståelige for alle tilsynsmyndigheder. De retlige argumenter bør grupperes med henvisning til den del af resuméet af de centrale spørgsmål, som de vedrører. De berørte tilsynsmyndigheders resumé af centrale spørgsmål og bemærkninger kan suppleres med yderligere dokumenter. Det kan imidlertid ikke kompensere for det forhold, at bemærkningerne ikke indeholder de krævede væsentlige retlige eller faktiske argumenter, at en berørt tilsynsmyndighed i sine bemærkninger blot henviser til supplerende dokumenter. Det er nødvendigt, at de grundlæggende faktuelle og retlige omstændigheder, der lægges til grund i sådanne dokumenter, fremgår, i det mindste kortfattet, af selve bemærkningerne på en sammenhængende og forståelig måde.

(38)

Tilsynsmyndighederne bør kunne benytte alle de midler, der er nødvendige for at nå til enighed i en ånd af loyalt og effektivt samarbejde. Hvor der er holdningsforskelle mellem den ledende tilsynsmyndighed og de andre berørte tilsynsmyndigheder om omfanget af en klagebaseret undersøgelse, herunder hvilke bestemmelser i forordning (EU) 2016/679 der er berørt af den påståede overtrædelse, som skal undersøges, eller hvor bemærkningerne fra de berørte tilsynsmyndigheder vedrører en vigtig ændring i den komplekse juridiske eller faktuelle vurdering eller vedrører den foreløbige udpegelse af potentielle korrigerende foranstaltninger, kan de berørte myndigheder anvende de værktøjer, der er fastsat i artikel 61 og 62 i forordning (EU) 2016/679.

(39)

I henhold til forordning (EU) 2016/679 kan tilsynsmyndigheden anmode om en hurtig bindende afgørelse fra Databeskyttelsesrådet, hvis en kompetent tilsynsmyndighed ikke har truffet de fornødne foranstaltninger i en situation, hvor det er nødvendigt at handle omgående for at beskytte registreredes rettigheder og frihedsrettigheder. Hvis tilsynsmyndighederne efter anvendelsen af de midler, der er fastsat i nærværende forordning, ikke når til enighed om omfanget af en klagebaseret undersøgelse, bør de i artikel 66, stk. 3, i forordning (EU) 2016/679 omhandlede betingelser for at anmode om en hurtig bindende afgørelse formodes at være til stede, og den ledende tilsynsmyndighed bør anmode om en hurtig bindende afgørelse fra Databeskyttelsesrådet. Databeskyttelsesrådets hurtige bindende afgørelse om omfanget af en klagebaseret undersøgelse kan ikke foregribe resultatet af den ledende tilsynsmyndigheds undersøgelse eller påvirke overholdelsen af retten til at blive hørt for de parter, der er genstand for en undersøgelse.

(40)

En klager bør tillægges proceduremæssige rettigheder, i det omfang vedkommendes rettigheder og frihedsrettigheder som registreret er berørt. Proceduremæssige skridt, der er fastsat i denne forordning og som vedrører samarbejdet mellem tilsynsmyndighederne, tillægger ikke en klager eller parter, der er genstand for en undersøgelse, rettigheder. Derfor præciseres det i denne forordning, hvilke bestemmelser om proceduremæssige skridt der ikke tillægger rettigheder for enkeltpersoner eller parter, som er genstand for en undersøgelse, eller ikke begrænser disse rettigheder.

(41)

Klagere bør have mulighed for at fremsætte deres synspunkter, inden der træffes en afgørelse, der påvirker dem negativt. Ved hel eller delvis afvisning af eller afslag på en klage i en sag vedrørende grænseoverskridende behandling bør klageren derfor have mulighed for at fremsætte sine synspunkter forud for forelæggelsen af et udkast til afgørelse i henhold til artikel 60, stk. 3, i forordning (EU) 2016/679, et revideret udkast til afgørelse i henhold til nævnte forordnings artikel 60, stk. 5, eller en bindende afgørelse fra Databeskyttelsesrådet i henhold til nævnte forordnings artikel 65, stk. 1, litra a).

(42)

Det er nødvendigt at præcisere ansvarsfordelingen mellem den ledende tilsynsmyndighed og den tilsynsmyndighed, som klagen er blevet indgivet til, i tilfælde af at en klage i en sag vedrørende grænseoverskridende behandling helt eller delvist afvises eller afslås. Som kontaktpunkt for klageren under undersøgelsen bør den tilsynsmyndighed, som klagen er indgivet til, give klageren mulighed for at fremsætte sine synspunkter om forslaget om helt eller delvist at afvise eller afslå klagen, og denne myndighed bør være ansvarlig for al kommunikation med klageren. Al sådan kommunikation bør fremsendes til den ledende tilsynsmyndighed. Eftersom den tilsynsmyndighed, som klagen er indgivet til, i henhold til artikel 60, stk. 8 og 9, i forordning (EU) 2016/679, har ansvaret for at træffe den endelige afgørelse om helt eller delvist at afvise eller afslå klagen, bør den ledende tilsynsmyndighed udarbejde udkastet til afgørelse i henhold til artikel 60, stk. 3, i forordning (EU) 2016/679 i samarbejde med den tilsynsmyndighed, som klagen er indgivet til. Dette samarbejde omfatter muligheden for at anmode om bistand fra den tilsynsmyndighed, som klagen er indgivet til, i forbindelse med udarbejdelsen af et sådant udkast.

(43)

Effektiv håndhævelse af Unionens databeskyttelsesregler bør være kompatibel med fuld respekt for retten til et forsvar for de parter, der er genstand for en undersøgelse, hvilket er et af EU-rettens grundprincipper, som under alle omstændigheder skal overholdes, og denne ret er i særdeleshed vigtig i procedurer, der kunne give anledning til sanktioner.

(44)

For effektivt at sikre retten til god forvaltning og retten til et forsvar som nedfældet i Den Europæiske Unions charter om grundlæggende rettigheder (»chartret«), er det vigtigt at fastsætte klare regler for retten for enhver til at blive hørt, inden der træffes en individuel foranstaltning over for den pågældende, som ville påvirke vedkommende negativt.

(45)

Reglerne vedrørende den administrative procedure, som tilsynsmyndighederne anvender i forbindelse med håndhævelsen af forordning (EU) 2016/679, bør sikre, at de parter, der er genstand for en undersøgelse, reelt har mulighed for at fremsætte deres synspunkter med hensyn til, om de påståede faktiske forhold og omstændigheder samt de indsigelser, som tilsynsmyndigheden har fremført under hele proceduren, faktisk foreligger, og hvilken betydning de har, og dermed sætte dem i stand til at udøve deres ret til et forsvar. De foreløbige konklusioner indeholder den foreløbige holdning til den påståede overtrædelse af forordning (EU) 2016/679 efter en undersøgelse. De udgør dermed en meget vigtig proceduremæssig garanti, der sikrer, at retten til at blive hørt respekteres. De parter, der er genstand for en undersøgelse, bør modtage de dokumenter, der er nødvendige for at forsvare sig effektivt og fremsætte bemærkninger til de påstande, der gøres gældende mod dem, ved at få aktindsigt i de administrative sagsakter.

(46)

Disse regler bør ikke berøre tilsynsmyndighedernes mulighed for at give yderligere aktindsigt i de administrative sagsakter med henblik på at høre synspunkterne hos de parter, der er genstand for en undersøgelse, eller klageren under sagen i overensstemmelse med den nationale ret for den ledende tilsynsmyndighed.

(47)

I de foreløbige konklusioner fastlægges undersøgelsens omfang og dermed omfanget af enhver fremtidig endelig afgørelse, som alt efter omstændighederne træffes på grundlag af en bindende afgørelse truffet af Databeskyttelsesrådet i henhold til artikel 65, stk. 1, litra a), i forordning (EU) 2016/679, der kan rettes til de dataansvarlige eller databehandlerne. De foreløbige konklusioner bør formuleres således, at de, selv om de er kortfattede, er tilstrækkeligt klare til, at de parter, der er genstand for en undersøgelse, på korrekt vis kan udpege arten af den påståede overtrædelse af forordning (EU) 2016/679. Forpligtelsen til at give de parter, der er genstand for en undersøgelse, alle de oplysninger, der er nødvendige for, at de kan forsvare sig på passende vis, er opfyldt, hvis det i den endelige afgørelse ikke gøres gældende, at de parter, der er genstand for en undersøgelse, har begået andre overtrædelser end dem, der er nævnt i de foreløbige konklusioner, og der kun tages hensyn til de faktiske omstændigheder, som de parter, der er genstand for en undersøgelse, har haft lejlighed til at fremsætte deres synspunkter om. Den ledende tilsynsmyndigheds endelige afgørelse behøver imidlertid ikke være en kopi af de foreløbige konklusioner. Det børe være tilladt for den ledende tilsynsmyndighed i sin endelige afgørelse at tage hensyn til de svar, som parterne, der er genstand for en undersøgelse, har givet på de foreløbige konklusioner og, i givet fald, på det reviderede udkast til afgørelse i henhold til artikel 60, stk. 5, i forordning (EU) 2016/679. Den ledende tilsynsmyndighed bør kunne foretage sin egen vurdering af de faktiske omstændigheder og de retlige argumenter, som de parter, der er genstand for en undersøgelse, har fremført, enten for at afvise argumenterne, når den ledende tilsynsmyndighed finder dem ubegrundede, eller for at supplere og omformulere sine konklusioner, både de jure eller de facto, til støtte for de argumenter, den fastholder. Eksempelvis kan den omstændighed, at der tages hensyn til et argument fremført af en part, der er genstand for en undersøgelse, under den administrative procedure, uden at denne part har haft mulighed for at udtale sig om spørgsmålet inden vedtagelsen af den endelige afgørelse, ikke som sådan udgøre en tilsidesættelse af retten til et forsvar.

(48)

Denne forordning fastsætter regler for situationer, hvor den ledende tilsynsmyndighed i henhold til national ret er forpligtet til at deltage yderligere i efterfølgende nationale processkridt vedrørende samme sag såsom administrative klagesager.

(49)

De parter, der er genstand for en undersøgelse, bør gives ret til at blive hørt forud for forelæggelsen af et revideret udkast til afgørelse i henhold til artikel 60, stk. 5, i forordning (EU) 2016/679, eller Databeskyttelsesrådets vedtagelse af en bindende afgørelse i henhold til nævnte forordnings artikel 65, stk. 1, litra a). Nye retlige elementer omfatter relevante og begrundede indsigelser, hvor disse indsigelser indeholder andre retlige vurderinger end dem, som den ledende tilsynsmyndighed har foreslået i det udkast til afgørelse, der er forelagt i henhold til artikel 60, stk. 4, i forordning (EU) 2016/679.

(50)

Klagere bør have mulighed for at blive inddraget i de sager, der indledes af en tilsynsmyndighed med henblik på at udpege eller afklare spørgsmål vedrørende en potentiel overtrædelse af forordning (EU) 2016/679. Det forhold, at en tilsynsmyndighed allerede har indledt en undersøgelse vedrørende klagens genstand eller vil behandle klagen i en ex officio-undersøgelse på efter modtagelsen af klagen, udelukker ikke, at en registreret kan betragtes som klager. En tilsynsmyndigheds undersøgelse af en dataansvarligs eller databehandlers eventuelle overtrædelse af forordning (EU) 2016/679 er en procedure, der indledes af en tilsynsmyndighed på eget initiativ eller på grundlag af en klage som led i udførelsen af dens opgaver i henhold til nævnte forordnings artikel 57, stk. 1. De parter, der er genstand for en undersøgelse, og klageren befinder sig ikke i samme proceduremæssige situation, og det er afgørende at sikre retten til et forsvar for den part, der er genstand for en undersøgelse. De parter, der er genstand for en undersøgelse, og klageren kan påberåbe sig den grundlæggende ret til at blive hørt, når afgørelsen påvirker deres retsstilling negativt.

(51)

Klagere bør gives mulighed for at fremsætte deres synspunkter vedrørende de foreløbige konklusioner skriftligt, i det omfang disse synspunkter angår deres klage vedrørende behandlingen af deres personoplysninger. De bør imidlertid ikke have adgang til forretningshemmeligheder eller andre fortrolige oplysninger, der tilhører de andre parter, der er genstand for en undersøgelse, eller tredjeparter.

(52)

Når tilsynsmyndighederne fastsætter frister for parter, der er genstand for en undersøgelse, og klagere til at fremsætte deres synspunkter vedrørende de foreløbige konklusioner, er det vigtigt, at tilsynsmyndighederne tager hensyn til kompleksiteten af de spørgsmål, der rejses i de foreløbige konklusioner, for at sikre, at de parter, der er genstand for en undersøgelse, og klagerne har tilstrækkelig mulighed for på meningsfuld vis at fremsætte deres synspunkter vedrørende de rejste spørgsmål.

(53)

Tilsynsmyndighedernes udveksling af synspunkter forud for forelæggelsen af et udkast til afgørelse omfatter en åben dialog og en omfattende udveksling af synspunkter, hvor tilsynsmyndighederne bør gøre deres yderste for at nå til enighed om vejen frem i en undersøgelse. Omvendt bør uenighed, der er givet udtryk for i relevante og begrundede indsigelser i henhold til artikel 60, stk. 4, i forordning (EU) 2016/679, og som øger muligheden for tvistbilæggelse mellem tilsynsmyndighederne i henhold til nævnte forordnings artikel 65 og forsinker den kompetente tilsynsmyndigheds vedtagelse af en endelig afgørelse, kun opstå i tilfælde af, at tilsynsmyndighederne fejler i at nå til enighed, og hvor det er nødvendigt for at sikre en konsekvent fortolkning af forordning (EU) 2016/679. Sådanne indsigelser bør kun anvendes, når det drejer sig om at sikre en konsekvent håndhævelse af forordning (EU) 2016/679.

(54)

For at sikre en effektiv og inkluderende afslutning på tvistbilæggelsesproceduren, hvor alle tilsynsmyndigheder bør være i stand til at bidrage med deres synspunkter, og under hensyntagen til tidspresset i forbindelse med tvistbilæggelse, bør relevante og begrundede indsigelsers form og struktur opfylde visse krav.

(55)

Aktindsigt i de administrative sagsakter er fastsat som en del af retten til et forsvar og retten til god forvaltning, der er nedfældet i chartret. De parter, der er genstand for en undersøgelse, bør gives aktindsigt i de administrative sagsakter, når de underrettes om de foreløbige konklusioner, og der bør fastsættes en frist for indgivelsen af deres skriftlige svar på de foreløbige konklusioner.

(56)

Når tilsynsmyndighederne giver de parter, der er genstand for en undersøgelse, og klageren aktindsigt i de administrative sagsakter, bør de sikre, at forretningshemmeligheder og andre fortrolige oplysninger beskyttes. Kategorien »andre fortrolige oplysninger« omfatter andre oplysninger end forretningshemmeligheder, der kunne betragtes som fortrolige i overensstemmelse med EU-retten og national ret, for så vidt som det ville være til betydelig skade for en dataansvarlig, en databehandler, en fysisk person eller en juridisk person, hvis de videregives. Fortrolige oplysninger bør navnlig omfatte oplysninger, der kun er kendt af et begrænset antal personer, og hvis udbredelse vil kunne påføre den person, som har afgivet dem, eller tredjeparter alvorlig skade, og i forbindelse med hvilke de interesser, som vil kunne skades ved offentliggørelsen af de pågældende oplysninger, objektivt set er beskyttelsesværdige. Tilsynsmyndighederne bør kunne anmode de parter, der er genstand for en undersøgelse, og som fremlægger eller har fremlagt dokumenter eller erklæringer, om at udpege de fortrolige oplysninger.

(57)

Hvor forretningshemmeligheder eller andre fortrolige oplysninger er nødvendige for at bevise en overtrædelse, bør tilsynsmyndighederne for hvert enkelt dokument på en forholdsmæssig måde vurdere, om behovet for at videregive oplysningerne vejer tungere end hensynet til den skade, som videregivelsen kunne forvolde.

(58)

Aktindsigt i dokumenter, som indgår i de administrative sagsakter, på grundlag af aktindsigt i offentlige dokumenter skal gives i overensstemmelse med medlemsstaternes nationale ret. I den forbindelse er det vigtigt, at beslutningsprocessens integritet beskyttes, indtil den endelige afgørelse vedtages af den kompetente tilsynsmyndighed.

(59)

Det er vigtigt, at Databeskyttelsesrådet letter adgangen til afgørelser, der vedtages i overensstemmelse med samarbejds- og sammenhængsmekanismerne, ved at gøre teksten til de endelige afgørelser, der vedtages af de nationale tilsynsmyndigheder, tilgængelig online gennem lettilgængelige registre. Tilsynsmyndighederne kan i overensstemmelse med gældende national ret redigere navne, andre oplysninger, som muliggør identificering af parterne, der er genstand for en undersøgelse, og klageren samt andre oplysninger, som er beskyttet i henhold til gældende EU-ret og national ret.

(60)

Det er vigtigt, at tilvejebringelsen af en version af den endelige afgørelse til klageren i overensstemmelse med denne forordning ikke berører en tilsynsmyndigheds mulighed for at beslutte, hvorvidt afgørelsen skal offentliggøres som led i dens korrigerende beføjelser.

(61)

Når et spørgsmål henvises til tvistbilæggelse i henhold til artikel 65 i forordning (EU) 2016/679, bør den ledende tilsynsmyndighed give Databeskyttelsesrådet alle de dokumenter og oplysninger, der er nødvendige for, at det kan vurdere, om de relevante og begrundede indsigelser kan antages til behandling, og træffe afgørelse i henhold til nævnte forordnings artikel 65, stk. 1, litra a). Når Databeskyttelsesrådet er i besiddelse af alle de nødvendige dokumenter og oplysninger, bør formanden for Databeskyttelsesrådet registrere forelæggelsen af spørgsmålet, i overensstemmelse med artikel 65, stk. 2, i forordning (EU) 2016/679.

(62)

Databeskyttelsesrådets bindende afgørelse i henhold til artikel 65, stk. 1, litra a), i forordning (EU) 2016/679 bør udelukkende vedrøre de spørgsmål, der førte til indledning af tvistbilæggelsesproceduren, og være udformet på en måde, der gør det muligt for den ledende tilsynsmyndighed at vedtage sin endelige afgørelse på grundlag af Databeskyttelsesrådets afgørelse.

(63)

For at strømline bilæggelsen af tvister mellem tilsynsmyndigheder, der forelægges Databeskyttelsesrådet i henhold til artikel 65, stk. 1, litra b) og c), i forordning (EU) 2016/679, er det nødvendigt at præcisere procedurereglerne for, dokumenter og oplysninger der skal forelægges Databeskyttelsesrådet, og som Databeskyttelsesrådet bør basere sin afgørelse på. Det er også nødvendigt at præcisere, hvornår Databeskyttelsesrådet bør registrere forelæggelsen af sagen til tvistbilæggelse.

(64)

For at strømline proceduren for Databeskyttelsesrådets vedtagelse af hasteudtalelser og hurtige bindende afgørelser i henhold til artikel 66, stk. 2, i forordning (EU) 2016/679, er det nødvendigt at fastsætte procedureregler vedrørende timingen for anmodninger om en hasteudtalelse eller en hurtig bindende afgørelse, og de dokumenter og oplysninger, der skal forelægges Databeskyttelsesrådet, og som Databeskyttelsesrådet bør basere sin afgørelse på.

(65)

Det fastsættes i forordning (EU) 2016/679, at den registrerede har ret til effektive retsmidler, hvis en kompetent tilsynsmyndighed ikke behandler en klage. Nærværende forordning skaber ikke nye retsmidler i tillæg til dem, der allerede er fastsat ved forordning (EU) 2016/679, og den begrænser heller ikke anvendelsen af de retsmidler, der er fastsat deri. Visse bestemmelser i nærværende forordning har særlig betydning for tilsynsmyndighedernes rettidige levering af den endelige afgørelse i forbindelse med behandlingen af klager. Når det fastslås, hvorvidt en tilsynsmyndighed har behandlet en klage, bør der tages hensyn til, hvorvidt tilsynsmyndigheden har overholdt visse tidsfrister, der er fastsat i nærværende forordning og i forordning (EU) 2016/679. Ved foretagelsen af denne fastslåelse er det afgørende at sikre klagerens ret til at få sin klage behandlet inden for en rimelig frist. Bestemmelserne i nærværende forordning berører ikke muligheden for i national ret at fastsætte retsmidler for den part, der er genstand for en undersøgelse, i betragtning af dennes ret til at få sine forhold behandlet inden for en rimelig frist.

(66)

Gennemførelsen af denne forordning kræver passende digitale værktøjer, der støtter hurtig og sikker udveksling af oplysninger. Det er vigtigt, at et passende, sikkert og fælles elektronisk værktøj er tilgængeligt for alle databeskyttelsesmyndigheder under hensyntagen til de erfaringer, der er gjort med anvendelsen af eksisterende værktøjer. Det er også vigtigt, at der stilles de nødvendige ressourcer til rådighed til gennemførelsen af et sådant elektronisk værktøj, og at et sådant værktøj letter Databeskyttelsesrådets indsamling og konsolidering af håndhævelsesstatistikker om sager vedrørende grænseoverskridende behandling.

(67)

Denne forordnings kapitel III og IV vedrører samarbejde mellem tilsynsmyndigheder, proceduremæssige rettigheder for de parter, der er genstand for en undersøgelse, og inddragelse af klagere. Af hensyn til retssikkerheden bør disse bestemmelser ikke finde anvendelse på undersøgelser, der allerede er i gang på tidspunktet for denne forordnings ikrafttræden. De bør finde anvendelse på ex officio-undersøgelser, der indledes 15 måneder efter datoen for denne forordnings ikrafttræden, og på klagebaserede undersøgelser, hvor klagen blev indgivet 15 måneder efter datoen for denne forordnings ikrafttræden. Denne forordnings kapitel V og VI indeholder procedureregler for sager, der forelægges til tvistbilæggelse i henhold til artikel 65 i forordning (EU) 2016/679, og for anmodninger om en hasteudtalelse eller en hurtig bindende afgørelse i henhold til artikel 66 i forordning (EU) 2016/679. Af hensyn til retssikkerheden bør disse kapitler ikke finde anvendelse på sager, der har været forelagt til tvistbilæggelse inden nærværende forordnings ikrafttræden. De bør finde anvendelse på alle sager, der forelægges til tvistbilæggelse 15 måneder efter datoen for nærværende forordnings ikrafttræden.

(68)

Den Europæiske Tilsynsførende for Databeskyttelse og Databeskyttelsesrådet er blevet hørt i overensstemmelse med artikel 42, stk. 1 og 2, i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (4) og afgav en fælles udtalelse den 19. september 2023 —

VEDTAGET DENNE FORORDNING:

KAPITEL I

ALMINDELIGE BESTEMMELSER

Artikel 1

Genstand og anvendelsesområde

I denne forordning fastsættes procedurereglerne for tilsynsmyndighedernes behandling af klager og gennemførelse af undersøgelser i sager indledt på baggrund af klager og ex officio i forbindelse med håndhævelse af forordning (EU) 2016/679, når sådanne sager vedrører grænseoverskridende behandling. Behandling af klager og gennemførelse af undersøgelser i sager vedrørende grænseoverskridende behandling omfatter at fastslå, hvorvidt om en sag vedrører grænseoverskridende behandling.

Artikel 2

Definitioner

Med henblik på denne forordning finder definitionerne i artikel 4 i forordning (EU) 2016/679 anvendelse.

Derudover forstås ved:

»part, der er genstand for en undersøgelse«: dataansvarlig eller databehandler, der undersøges for en påstået overtrædelse af forordning (EU) 2016/679, der vedrører grænseoverskridende behandling.

Artikel 3

Principper vedrørende håndhævelsen af forordning (EU) 2016/679 i forbindelse med sager vedrørende grænseoverskridende behandling

1.   Tilsynsmyndighederne gennemfører sager inden for denne forordnings anvendelsesområde på en hensigtsmæssig og effektiv måde. De samarbejder med hinanden på en loyal og effektiv måde, herunder ved at yde støtte, hvor det er nødvendigt, og ved straks at besvare hinandens anmodninger.

2.   En tilsynsmyndighed kan samle eller adskille sager i overensstemmelse med de nationale procedureregler, for så vidt som samlingen eller adskillelsen af disse sager ikke undergraver rettighederne for de parter, der er genstand for en undersøgelse, eller for klageren.

3.   En klager har mulighed for udelukkende at kommunikere med den tilsynsmyndighed, som klageren i henhold til artikel 77 i forordning (EU) 2016/679 har indgivet sin klage til.

4.   Behandlingen af en klage skal altid føre til en afgørelse, der er genstand for effektive retsmidler som omhandlet i artikel 78 i forordning (EU) 2016/679.

5.   Af hensyn til sagens effektivitet kan tilsynsmyndighederne begrænse længden på indlæggene fra den part, der er genstand for en undersøgelse, og fra klageren under hensyntagen til sagens kompleksitet og de dokumenter, der allerede er indgivet.

KAPITEL II

INDGIVELSE AF KLAGER OG TIDLIG LØSNING

Artikel 4

Klager vedrørende grænseoverskridende behandling

1.   En klage på baggrund af forordning (EU) 2016/679 vedrørende grænseoverskridende behandling kan antages til behandling, forudsat at den indeholder følgende oplysninger:

a)

navn og kontaktoplysninger på den person, som indgiver klagen

b)

hvis klagen indgives af et organ, en organisation eller en sammenslutning, som ikke arbejder med gevinst for øje, der er omhandlet i artikel 80 i forordning (EU) 2016/679, bevis for, at dette organ, denne organisation eller denne sammenslutning er etableret i overensstemmelse med en medlemsstats nationale ret

c)

hvis klagen er indgivet på grundlag af artikel 80, stk. 1, i forordning (EU) 2016/679, navn og kontaktoplysninger på organet, organisationen eller sammenslutningen, som ikke arbejder med gevinst for øje, og bevis for, at dette organ, denne organisation eller denne sammenslutning handler på baggrund af en bemyndigelse fra en registreret

d)

oplysninger, der letter identifikationen af den dataansvarlige eller databehandleren, der er genstand for klagen

e)

en beskrivelse af den påståede overtrædelse af forordning (EU) 2016/679.

Der kræves ingen oplysninger ud over dem, der er omhandlet i første afsnit, for at en klage vedrørende grænseoverskridende behandling kan antages til behandling.

Administrative nærmere regler og krav i henhold til de nationale procedureregler for den tilsynsmyndighed, som klagen er indgivet til, finder fortsat anvendelse.

2.   Hvis den tilsynsmyndighed, som en klage er indgivet til, fastslår, at klagen ikke indeholder de oplysninger, der er omhandlet i stk. 1, første afsnit, skal tilsynsmyndigheden senest to uger efter modtagelsen af denne klage erklære, at denne klage ikke kan antages til behandling, og underrette klageren om årsagerne hertil.

3.   Klageren er ikke forpligtet til at have kontaktet den part, der er genstand for en undersøgelse, før indgivelsen af en klage, for at denne klage kan antages til behandling.

Hvis en klage vedrører den registreredes udøvelse af en ret, som beror på, at den registrerede fremsætter en anmodning til den dataansvarlige, skal denne anmodning rettes til den dataansvarlige, før denne klage indgives, jf. dog første afsnit.

4.   Den tilsynsmyndighed, som klagen er indgivet til, fastslår som en foreløbig konklusion følgende:

a)

hvorvidt klagen vedrører grænseoverskridende behandling

b)

hvilken tilsynsmyndighed, den formoder er kompetent til at fungere som ledende tilsynsmyndighed i overensstemmelse med artikel 56, stk. 1, i forordning (EU) 2016/679, og

c)

hvorvidt artikel 56, stk. 2, i forordning (EU) 2016/679 finder anvendelse.

5.   Hvis en klage, der vedrører grænseoverskridende behandling, kan antages til behandling, og der ikke findes en tidlig løsning i henhold til artikel 5, fremsender den tilsynsmyndighed, til hvilken klagen er indgivet, denne klage til den ledende tilsynsmyndighed, som den formoder er kompetent til at fungere som ledende tilsynsmyndighed, senest seks uger efter modtagelsen af denne klage og underretter klageren om denne videregivelse.

Bestemmelsen af, om en klage kan antages til behandling, fra den tilsynsmyndighed, som klagen er indgivet til, er bindende for den ledende tilsynsmyndighed.

6.   Senest seks uger efter modtagelsen af en klage bekræfter den tilsynsmyndighed, der formodes at være kompetent til at fungere som ledende tilsynsmyndighed, enten sin kompetence eller forelægger, hvis der er uenighed om, hvilken af de andre berørte tilsynsmyndigheder der er kompetent med hensyn til hovedvirksomheden, spørgsmålet for Det Europæiske Databeskyttelsesråd (»Databeskyttelsesrådet«) med henblik på tvistbilæggelse i henhold til artikel 65, stk. 1, litra b), i forordning (EU) 2016/679.

Hvor den tilsynsmyndighed, der formodes at være kompetent til at fungere som ledende tilsynsmyndighed, ikke bekræfter sin kompetence eller forelægger sagen for Databeskyttelsesrådet inden for den frist, der er omhandlet i første afsnit, forelægger den tilsynsmyndighed, som klagen er indgivet til, spørgsmålet for Databeskyttelsesrådet med henblik på tvistbilæggelse i henhold til artikel 65, stk. 1, litra b), i forordning (EU) 2016/679.

7.   Uden at det berør, om en klage kan antages til behandling, kan den tilsynsmyndighed, som en klage er indgivet til, eller den ledende tilsynsmyndighed anmode klageren om at fremlægge supplerende oplysninger for at lette behandlingen af denne klage og muliggøre en fuldstændig undersøgelse heraf.

8.   Den ledende tilsynsmyndighed underretter straks den part, der er genstand for en undersøgelse, om indgivelsen af en klage og om dens vigtigste elementer.

Artikel 5

Tidlig løsning

1.   En klage vedrørende grænseoverskridende behandling, der omhandler udøvelsen af den registreredes rettigheder i henhold til kapitel III i forordning (EU) 2016/679, kan, hvor det er relevant, løses ved hjælp af en procedure for tidlig løsning, der gennemføres af:

a)

den tilsynsmyndighed, som klagen er indgivet til, efter at den som en foreløbig konklusion har fastslået, at klagen vedrører grænseoverskridende behandling, og inden en eventuel videregivelse af klagen til den tilsynsmyndighed, der formodes at være kompetent til at fungere som ledende tilsynsmyndighed, eller

b)

den ledende tilsynsmyndighed, der har fået fremsendt en klage, på et hvilket som helst tidspunkt før forelæggelsen af de foreløbige konklusioner for de andre berørte tilsynsmyndigheder i henhold til nærværende forordnings artikel 19, eller, hvis den i nærværende forordnings artikel 6 omhandlede simple samarbejdsprocedure finder anvendelse, inden forelæggelsen af udkastet til afgørelse.

Tilsynsmyndighederne kan tilskynde til og lette tidlig løsning af klager og kommunikere med den part, der er genstand for en undersøgelse, eller klageren med henblik herpå, alt efter hvad der er relevant.

2.   Hvor den tilsynsmyndighed, der er omhandlet i stk. 1, første afsnit, litra a) eller b), på grundlag af bevis herfor fastslår, at den påståede overtrædelse er bragt til ophør, anser nævnte tilsynsmyndighed med henblik på tidlig løsning klagen for ikke længere at have nogen genstand.

Hvis en klage ikke længere har nogen genstand, underretter den tilsynsmyndighed, der er omhandlet i stk. 1, første afsnit, litra a) eller b), klageren i et klart og enkelt sprog om:

a)

at den påståede overtrædelse er bragt til ophør, og at den finder, at klagen ikke længere har nogen genstand

b)

konsekvenserne af den tidlige løsning, og

c)

klagerens mulighed for at gøre indsigelse mod den tidlige løsning inden for fire uger efter modtagelsen af en sådan underretning.

3.   I en procedure ved den tilsynsmyndighed, som en klage er indgivet til, hvor klageren ikke gør indsigelse inden for den frist, der er fastsat i stk. 2, andet afsnit, litra c), fastslår denne tilsynsmyndighed inden for to uger efter udløbet af denne frist, at klagen er blevet løst, og underretter klageren, den part, der er genstand for en undersøgelse, og, hvor det er relevant, den ledende tilsynsmyndighed om denne løsning.

4.   I en procedure ved den ledende tilsynsmyndighed, hvortil klagen er fremsendt, og hvor klageren ikke gør indsigelse inden for den frist, der er fastsat i denne artikels stk. 2, andet afsnit, litra c), forelægger denne ledende tilsynsmyndighed et udkast til afgørelse i overensstemmelse med artikel 60, stk. 3, i forordning (EU) 2016/679 inden for fire uger efter udløbet af denne frist med henblik på at vedtage en endelig afgørelse i overensstemmelse med artikel 60, stk. 7, i forordning (EU) 2016/679, hvori det fastslås, at klagen er blevet løst.

5.   Tidlig løsning af en klage berører ikke den ledende tilsynsmyndigheds udøvelse af de beføjelser, der er fastsat i artikel 58 i forordning (EU) 2016/679, med hensyn til samme genstand.

6.   Artikel 10-20 finder ikke anvendelse på klager, der løses i henhold til nærværende artikel.

KAPITEL III

SAMARBEJDE I HENHOLD TIL ARTIKEL 60 I FORORDNING (EU) 2016/679

AFDELING 1

SIMPELT SAMARBEJDE

Artikel 6

Simpel samarbejdsprocedure

1.   Så snart den ledende tilsynsmyndighed har dannet sig foreløbige synspunkter om undersøgelsens hovedspørgsmål, kan den samarbejde med de andre berørte tilsynsmyndigheder gennem en simpel samarbejdsprocedure i overensstemmelse med denne artikel, hvis:

a)

den mener, at der ikke er nogen rimelig tvivl med hensyn til undersøgelsens omfang, navnlig hvad angår de bestemmelser i forordning (EU) 2016/679, som er berørt af den påståede overtrædelse, som skal undersøges, og

b)

de retlige og faktuelle spørgsmål, som den ledende tilsynsmyndighed har udpeget, ikke kræver det yderligere samarbejde med de andre berørte tilsynsmyndigheder, som ville være nødvendigt med henblik på en kompleks undersøgelse, navnlig hvis disse spørgsmål kan behandles på grundlag af tidligere afgørelser i lignende sager.

Hvor den ledende tilsynsmyndighed anvender den i første afsnit omhandlede simple samarbejdsprocedure, finder denne forordnings artikel 10, 11, 16, 19 og 20, artikel 23, stk. 1, litra a) og b), og artikel 23, stk. 2, ikke anvendelse. Den ledende tilsynsmyndighed forelægger et udkast til afgørelse i overensstemmelse med artikel 60, stk. 3, i forordning (EU) 2016/679 inden for den frist, der er omhandlet i nærværende forordnings artikel 12, stk. 6.

2.   Den ledende tilsynsmyndighed underretter de andre berørte tilsynsmyndigheder om sin hensigt om at anvende den simple samarbejdsprocedure og giver oplysninger om de karakteristika ved sagen, der er relevante for at fastslå, hvorvidt betingelserne i denne artikels stk. 1 er opfyldt, senest seks uger efter at den ledende tilsynsmyndighed har bekræftet sin kompetence i henhold til denne forordnings artikel 4, stk. 6, eller Databeskyttelsesrådet har truffet en bindende afgørelse i henhold til artikel 65, stk. 1, litra b), i forordning (EU) 2016/679.

3.   Hvor en af de andre berørte tilsynsmyndigheder gør indsigelse mod anvendelsen af den simple samarbejdsprocedure senest to uger efter at være blevet underrettet herom, finder denne procedure ikke anvendelse, og den ledende tilsynsmyndighed udarbejder et resumé af centrale spørgsmål i overensstemmelse med artikel 10 og samarbejder med de andre berørte tilsynsmyndigheder i henhold til procedurerne i kapitel III.

4.   Ved anvendelsen af den simple samarbejdsprocedure sikrer den ledende tilsynsmyndighed forud for forelæggelsen af et udkast til afgørelse, at de parter, der er genstand for en undersøgelse, i givet fald gives retten til at blive hørt, og at klageren får mulighed for at fremsætte sine synspunkter. Med henblik på dette stykke finder administrative nærmere regler og krav i henhold til de nationale procedureregler for den ledende tilsynsmyndighed eller, i givet fald, for den tilsynsmyndighed, som klagen er indgivet til, fortsat anvendelse.

5.   Kapitel III finder ikke anvendelse på sager, der behandles af den berørte tilsynsmyndighed i henhold til artikel 56, stk. 2, i forordning (EU) 2016/679.

AFDELING 2

OPNÅELSE AF ENIGHED SOM OMHANDLET I ARTIKEL 60, STK. 1, I FORORDNING (EU) 2016/679

Artikel 7

Tillæggelse eller begrænsning af rettigheder

Bestemmelserne i denne afdeling vedrører samarbejdet mellem tilsynsmyndigheder og tillægger ikke fysiske personer eller parter, der er genstand for en undersøgelse, rettigheder eller begrænser deres rettigheder.

Artikel 8

Samarbejde mellem tilsynsmyndigheder

Når tilsynsmyndighederne samarbejder med henblik på at nå til enighed, som det fremgår af artikel 60, stk. 1, i forordning (EU) 2016/679, kan de anvende alle de midler, der fremgår af nævnte forordning, herunder gensidig bistand i henhold til nævnte forordnings artikel 61 og fælles aktiviteter i henhold til nævnte forordnings artikel 62.

Artikel 9

Relevante oplysninger, som skal udveksles mellem den ledende tilsynsmyndighed og de andre berørte tilsynsmyndigheder

1.   Den ledende tilsynsmyndighed og de andre berørte tilsynsmyndigheder udveksler de relevante oplysninger, der er omhandlet i artikel 60, stk. 1 og 3, i forordning (EU) 2016/679. Disse oplysninger omfatter i givet fald:

a)

oplysninger om indledning af en undersøgelse af en påstået overtrædelse af forordning (EU) 2016/679

b)

anmodninger om oplysninger i henhold til artikel 58, stk. 1, litra e), i forordning (EU) 2016/679 og relaterede dokumenter, der følger af disse anmodninger

c)

oplysninger om anvendelse af andre undersøgelsesbeføjelser, der er omhandlet i artikel 58, stk. 1, i forordning (EU) 2016/679, og relaterede dokumenter, der følger af udøvelsen af disse undersøgelsesbeføjelser

d)

i fald det påtænkes helt eller delvis at afvise eller afslå en klage, den ledende tilsynsmyndigheds begrundelse for afvisningen af eller afslaget på klagen

e)

oplysninger om en tidlig løsning af klagen i henhold til nærværende forordnings artikel 5

f)

det i nærværende forordnings artikel 10 omhandlede resumé af centrale spørgsmål og bemærkninger til dette resumé

g)

oplysninger om undersøgelsens omfang

h)

oplysninger om udviklinger eller konklusioner, der kunne føre til ændring af undersøgelsens omfang eller indledning af en ny undersøgelse

i)

oplysninger om skridt, som er taget, og analyser, som er gennemført, med henblik på at fastslå, hvorvidt der har været en overtrædelse af forordning (EU) 2016/679, forud for udarbejdelsen af de foreløbige konklusioner og forud for udarbejdelsen af udkastet til afgørelse

j)

foreløbige konklusioner

k)

svar fra de parter, der er genstand for en undersøgelse, på de foreløbige konklusioner

l)

klagerens synspunkter om den ikkefortrolige udgave af de foreløbige konklusioner og, hvis det er relevant, om andre aspekter af undersøgelsen, som klageren kunne have indgivet formelle skriftlige indlæg til

m)

klagerens formelle skriftlige indlæg i tilfælde af hel eller delvis afvisning af eller afslag på en klage

n)

oplysninger om alle de relevante skridt, som den ledende tilsynsmyndighed har taget efter at have modtaget svarene fra de parter, der er genstand for en undersøgelse, på de foreløbige konklusioner og forud for den i artikel 60, stk. 3, i forordning (EU) 2016/679 omhandlede forelæggelse af et udkast til afgørelse

o)

synspunkterne hos de parter, der er genstand for en undersøgelse, på et revideret udkast til afgørelse

p)

eventuelle andre oplysninger, som vurderes at være nyttige og relevante for undersøgelsen.

2.   Under undersøgelsen udveksler den ledende tilsynsmyndighed og de andre berørte tilsynsmyndigheder de oplysninger, der er omhandlet i denne artikels stk. 1, snarest muligt og senest en uge efter, at sådanne oplysninger bliver tilgængelige, medmindre andet er fastsat i denne forordning eller i forordning (EU) 2016/679.

3.   Databeskyttelsesrådet kan fastsætte de nærmere regler og kravene for udveksling af relevante oplysninger mellem tilsynsmyndigheder.

Artikel 10

Resumé af centrale spørgsmål

1.   Så snart den ledende tilsynsmyndighed har dannet sig foreløbige synspunkter om undersøgelsens hovedspørgsmål, udarbejder den et resumé af centrale spørgsmål med henblik på samarbejde i henhold til artikel 60, stk. 1, i forordning (EU) 2016/679.

2.   Resuméet af centrale spørgsmål skal omfatte følgende:

a)

de primære relevante faktiske omstændigheder

b)

en foreløbig udpegelse af undersøgelsens omfang, navnlig af de bestemmelser i forordning (EU) 2016/679, som er berørt af den påståede overtrædelse, der skal undersøges

c)

retlige og faktuelle spørgsmål, der er udpeget

d)

en analyse af de relevante synspunkter, som den part, der er genstand for en undersøgelse, eller klageren har givet udtryk for, hvor disse synspunkter foreligger på tidspunktet for udarbejdelsen af resuméet af centrale spørgsmål

e)

i givet fald foreløbig udpegelse af potentielle korrigerende foranstaltninger.

3.   Den ledende tilsynsmyndighed giver straks resuméet af centrale spørgsmål til de andre berørte tilsynsmyndigheder og senest tre måneder efter, at den ledende tilsynsmyndighed har bekræftet sin kompetence i henhold til denne forordnings artikel 4, stk. 6, eller Databeskyttelsesrådet har truffet en bindende afgørelse i henhold til artikel 65, stk. 1, litra b), i forordning (EU) 2016/679.

4.   De berørte tilsynsmyndigheder kan fremsætte bemærkninger til resuméet af de centrale spørgsmål senest fire uger efter modtagelsen af dette resumé. Den ledende tilsynsmyndighed kan forlænge denne frist med to uger grundet sagens kompleksitet eller efter anmodning fra de andre berørte tilsynsmyndigheder.

5.   Hvor de berørte tilsynsmyndigheder fremsætter bemærkninger i henhold til stk. 4, deles disse bemærkninger med alle de andre berørte tilsynsmyndigheder. Den ledende tilsynsmyndighed besvarer disse bemærkninger senest fire uger efter udløbet af fristen i stk. 4 og angiver, hvorvidt og hvordan den agter at tage dem i betragtning. Den ledende tilsynsmyndighed kan forlænge denne frist med to uger grundet sagens kompleksitet.

6.   Når en sag overføres til den ledende tilsynsmyndighed, kan den tilsynsmyndighed, som klagen er indgivet til, give den ledende tilsynsmyndighed oplysninger, der er relevante for udarbejdelsen af resuméet af centrale spørgsmål.

7.   Databeskyttelsesrådet kan præcisere de nærmere regler og kravene for de berørte tilsynsmyndigheders fremsættelse af bemærkninger til resuméet af centrale spørgsmål.

Artikel 11

Anvendelse af midler til at nå til enighed

1.   Den ledende tilsynsmyndighed og de andre berørte tilsynsmyndigheder bestræber sig i henhold til artikel 60, stk. 1, i forordning (EU) 2016/679 på at nå til enighed om sager vedrørende grænseoverskridende behandling i overensstemmelse med nærværende artikel og kan anvende alle de midler, der er fastsat i forordning (EU) 2016/679, herunder gensidig bistand i henhold til artikel 61 i forordning (EU) 2016/679 og fælles aktiviteter i henhold til nævnte forordnings artikel 62.

2.   Hvor en berørt tilsynsmyndighed er uenig med den ledende tilsynsmyndighed, og der ikke nås til enighed, kan nævnte tilsynsmyndighed indgive en anmodning om gensidig bistand i henhold til artikel 61 i forordning (EU) 2016/679 til den ledende tilsynsmyndighed eller anmode den ledende tilsynsmyndighed om at gennemføre fælles aktiviteter i henhold til nævnte forordnings artikel 62, eller begge med henblik på at nå til enighed om følgende:

a)

undersøgelsens omfang i klagebaserede sager, herunder de bestemmelser i forordning (EU) 2016/679, som er berørt af den påståede overtrædelse, der skal undersøges

b)

i givet fald de retlige eller faktuelle spørgsmål, der er omhandlet i nærværende forordnings artikel 10, stk. 2, litra c)

c)

foreløbig udpegelse af potentielle korrigerende foranstaltninger i henhold til nærværende forordnings artikel 10, stk. 2, litra e).

3.   En anmodning i henhold til denne artikels stk. 2 indgives senest én måned efter udløbet af den i artikel 10, stk. 5 omhandlede frist.

4.   Hvor der i henhold til denne artikels stk. 2 fremsættes en anmodning om gennemførelse af fælles aktiviteter i henhold til artikel 62 i forordning (EU) 2016/679, skal den ledende tilsynsmyndighed besvare denne anmodning senest én måned efter modtagelsen.

5.   Den ledende tilsynsmyndighed indgår i dialog med de andre berørte tilsynsmyndigheder på baggrund af deres bemærkninger til resuméet af de centrale spørgsmål og, i givet fald, som svar på anmodninger i henhold til artikel 61 og 62 i forordning (EU) 2016/679 med henblik på at nå til enighed. Enigheden om spørgsmål, der er omhandlet i nærværende artikels stk. 2, anvendes som grundlag for den ledende tilsynsmyndigheds fortsættelse af undersøgelsen og udarbejdelse af de foreløbige konklusioner eller, i givet fald, for at give den tilsynsmyndighed, som klagen er indgivet til, begrundelsen med henblik på nærværende forordnings artikel 16, stk. 1.

6.   Hvor der i en klagebaseret undersøgelse efter procedurerne i denne forordnings artikel 10, stk. 5, og nærværende artikels stk. 5, ikke er enighed mellem den ledende tilsynsmyndighed og en eller flere andre berørte tilsynsmyndigheder om foreløbig udpegelse af omfanget af den undersøgelse, der er omhandlet i denne forordnings artikel 10, stk. 2, litra b), betragtes betingelserne for at anmode om en hurtig bindende afgørelse i henhold til artikel 66, stk. 3, i forordning (EU) 2016/679 som opfyldt, og den ledende tilsynsmyndighed anmoder Databeskyttelsesrådet om en hurtig bindende afgørelse i henhold til artikel 66, stk. 3, i forordning (EU) 2016/679.

7.   Når den ledende tilsynsmyndighed anmoder Databeskyttelsesrådet om at træffe en hurtig bindende afgørelse i henhold denne artikels stk. 6, giver den følgende til Databeskyttelsesrådet:

a)

de i artikel 10, stk. 2, omhandlede oplysninger

b)

bemærkningerne fra de andre berørte tilsynsmyndigheder, der er uenige i den ledende tilsynsmyndigheds foreløbige udpegelse af undersøgelsens omfang

c)

yderligere udvekslinger mellem den ledende tilsynsmyndighed og de andre berørte tilsynsmyndigheder i henhold til artikel 10, stk. 5, og artikel 11, stk. 5

d)

alle andre relevante dokumenter eller oplysninger, som Databeskyttelsesrådet anmoder om.

8.   Databeskyttelsesrådet vedtager en hurtig bindende afgørelse om undersøgelsens omfang på grundlag af alle de modtagne oplysninger.

Artikel 12

Frister for forelæggelse af et udkast til afgørelse

1.   Den ledende tilsynsmyndighed forelægger et udkast til afgørelse i henhold til artikel 60, stk. 3, i forordning (EU) 2016/679, senest 15 måneder efter at den ledende tilsynsmyndighed har bekræftet sin kompetence i henhold til nærværende forordnings artikel 4, stk. 6, eller Databeskyttelsesrådet har truffet en bindende afgørelse i henhold til artikel 65, stk. 1, litra b), i forordning (EU) 2016/679.

2.   Hvor den ledende tilsynsmyndighed fremsætter en anmodning i henhold til artikel 11, stk. 6, suspenderes den frist, der er omhandlet i nærværende artikels stk. 1, indtil Databeskyttelsesrådet har truffet sin bindende afgørelse.

3.   Den ledende tilsynsmyndighed kan én gang undtagelsesvis forlænge den i stk. 1 omhandlede frist i med højst 12 måneder grundet sagens kompleksitet. Den ledende tilsynsmyndighed underretter de andre berørte tilsynsmyndigheder om sin hensigt om at forlænge den i stk. 1 omhandlede frist, idet den angiver varigheden af og grundene til den påtænkte forlængelse, mindst fire uger inden udløbet af den i stk. 1 omhandlede frist.

4.   Enhver berørt tilsynsmyndighed kan gøre indsigelse mod forlængelsen af fristen, senest to uger efter at den er blevet underrettet herom i henhold til stk. 3. Denne myndighed skal angive grunden til sin indsigelse. Når den ledende tilsynsmyndighed bestemmer, hvorvidt den i stk. 1 omhandlede frist skal forlænges, og i givet fald om forlængelsens varighed, tager den behørigt hensyn til en sådan indsigelse.

5.   Hvor den ledende tilsynsmyndighed forlænger den i denne artikels stk. 1 omhandlede frist, i overensstemmelse med denne artikels stk. 3 og 4, kan enhver anden berørt tilsynsmyndighed underrette den ledende tilsynsmyndighed om, at den finder det nødvendigt at handle for at beskytte registreredes rettigheder og frihedsrettigheder. Forelægger den ledende tilsynsmyndighed ikke et udkast til afgørelse inden for den forlængede frist, kan en tilsynsmyndighed, der har underrettet den ledende tilsynsmyndighed om, at det er nødvendigt at handle for at beskytte registreredes rettigheder og frihedsrettigheder, træffe en foreløbig foranstaltning på sin medlemsstats område i overensstemmelse med artikel 55 i forordning (EU) 2016/679. I dette tilfælde antages kravet om behovet for at handle omgående, jf. artikel 66, stk. 1, i forordning (EU) 2016/679 for at være opfyldt.

6.   Anvendes den simple samarbejdsprocedure i henhold til denne forordnings artikel 6, forelægger den ledende tilsynsmyndighed et udkast til afgørelse i henhold til artikel 60, stk. 3, i forordning (EU) 2016/679, senest 12 måneder efter at den ledende tilsynsmyndighed har bekræftet sin kompetence i henhold til nærværende forordnings artikel 4, stk. 6, eller Databeskyttelsesrådet har truffet en bindende afgørelse i henhold til artikel 65, stk. 1, litra b), i forordning (EU) 2016/679.

Hvor der i national ret stilles krav om forudgående eller efterfølgende nationale processkridt, som gør det nødvendigt at forelægge et udkast til afgørelse i henhold til artikel 60, stk. 3, i forordning (EU) 2016/679, efter udløbet af den frist, som er omhandlet i første afsnit, kan den ledende tilsynsmyndighed forlænge denne frist én gang med højst to måneder. I så fald underretter den ledende tilsynsmyndighed mindst to uger inden udløbet af den i første afsnit omhandlede frist, de andre berørte tilsynsmyndigheder om forlængelsen af fristen, idet den angiver varigheden af denne forlængelse.

Artikel 13

Efterfølgende nationale processkridt

1.   Hvor national ret kræver, at der efter vedtagelsen af en afgørelse i henhold til denne forordnings artikel 18 eller 21 bliver indledt efterfølgende nationale processkridt vedrørende samme sag, skal den ledende tilsynsmyndighed:

a)

ikke udarbejde et nyt resumé af centrale spørgsmål

b)

kun gentage de proceduremæssige skridt i overensstemmelse med artikel 16 eller artikel 19 og 20, hvis den ledende tilsynsmyndigheds faktuelle eller retlige vurdering adskiller sig fra en tidligere afgørelse vedtaget i henhold til artikel 18 eller 21, og

c)

forelægge et udkast til afgørelse inden vedtagelsen af en eventuel efterfølgende afgørelse, som afskiller sig fra en tidligere afgørelse i henhold til artikel 18 eller 21.

2.   Fristerne i artikel 12 finder anvendelse på forelæggelsen af et udkast til afgørelse i eventuelle efterfølgende processkridt, der er omhandlet i nærværende artikels stk. 1.

AFDELING 3

ANVENDELSE AF FRISTERNE

Artikel 14

Lovligheden og gyldigheden af proceduremæssige skridt og den endelige afgørelse

Hvor det i denne forordning eller artikel 65, stk. 6, i forordning (EU) 2016/679 kræves, at en tilsynsmyndighed tager et proceduremæssigt skridt inden for en fastsat frist, berøres lovligheden eller gyldigheden af dette proceduremæssige skridt eller af den endelige afgørelse ikke af, at et sådant skridt tages efter udløbet af denne frist.

Artikel 15

Frister og retten til effektive retsmidler

Når det fastslås, hvorvidt en tilsynsmyndighed ikke har behandlet en klage i henhold til artikel 78, stk. 2, i forordning (EU) 2016/679, tages det i betragtning, om denne tilsynsmyndighed inden for den frist, der fremgår af nærværende forordning eller af artikel 65, stk. 6, i forordning (EU) 2016/679, herunder eventuelle forlængelser af denne frist:

a)

ikke har forelagt et udkast til afgørelse eller et revideret udkast til afgørelse, eller

b)

ikke har vedtaget en endelig afgørelse.

AFDELING 4

HEL ELLER DELVIS AFVISNING AF ELLER AFSLAG PÅ KLAGER

Artikel 16

Procedure for hel eller delvis afvisning af eller afslag på en klage som omhandlet i artikel 60, stk. 8 og 9, i forordning (EU) 2016/679

1.   Hvis den ledende tilsynsmyndighed agter helt eller delvis at afvise eller afslå en klage, underretter den, inden den forelægger et udkast til afgørelse i henhold til artikel 60, stk. 3, i forordning (EU) 2016/679, den tilsynsmyndighed, til hvilken klagen er blevet indgivet, om begrundelsen for sine foreløbige synspunkter om, at klagen helt eller delvis skal afvises eller afslås.

Den tilsynsmyndighed, til hvilken klagen er blevet indgivet, underretter klageren om årsagerne til de foreløbige synspunkter, der er omhandlet i første afsnit, giver klageren mulighed for skriftligt at fremsætte sine synspunkter og underretter klageren om konsekvenserne af ikke at fremsætte sine synspunkter.

Den ledende tilsynsmyndighed fastsætter en passende frist, inden for hvilken klageren kan fremsætte sine synspunkter. Denne frist må ikke være kortere end tre uger og længere end seks uger.

2.   Den tilsynsmyndighed, til hvilken klagen er blevet indgivet, fremsender eventuelle synspunkter, som klageren har fremsat, til den ledende tilsynsmyndighed snarest muligt og senest en uge efter, at de foreligger.

3.   Hvor de synspunkter, som klageren har fremsat i overensstemmelse med denne artikels stk. 1, ikke fører til en ændring af de foreløbige synspunkter, der er omhandlet i stk. 1, første afsnit, skal den ledende tilsynsmyndighed i samarbejde med den tilsynsmyndighed, til hvilken klagen er blevet indgivet, udarbejde et udkast til afgørelse og forelægge dette for de andre berørte tilsynsmyndigheder i overensstemmelse med artikel 60, stk. 3, i forordning (EU) 2016/679.

4.   Hvor det i udkastet til afgørelse, der er forelagt i henhold til stk. 3, konkluderes, at klagen delvis skal afvises eller afslås, fortsætter den ledende tilsynsmyndighed i samarbejde med de andre berørte tilsynsmyndigheder sin undersøgelse af den del af klagen, der fortsat skal undersøges.

Artikel 17

Revideret udkast til afgørelse om helt eller delvis at afvise eller afslå en klage

Hvis den ledende tilsynsmyndighed fastslår, at der i det reviderede udkast til afgørelse i henhold til artikel 60, stk. 5, i forordning (EU) 2016/679 om helt eller delvis at afvise eller afslå en klage fremføres nye elementer, som klageren bør have mulighed for at fremsætte sine synspunkter til, giver den tilsynsmyndighed, til hvilken klagen er blevet indgivet, i overensstemmelse med nærværende forordnings artikel 16 klageren mulighed for at fremsætte sine synspunkter vedrørende disse nye elementer, inden forelæggelsen af det reviderede udkast til afgørelse i henhold til artikel 60, stk. 5, i forordning (EU) 2016/679.

Artikel 18

Afgørelse om helt eller delvis at afvise eller afslå en klage

Når der vedtages en afgørelse om helt eller delvis at afvise eller afslå en klage i overensstemmelse med artikel 60, stk. 8 eller 9, i forordning (EU) 2016/679, underretter den tilsynsmyndighed, til hvilken klagen er indgivet, klageren om, hvilke retsmidler denne har til rådighed i overensstemmelse med artikel 78 i forordning (EU) 2016/679.

AFDELING 5

AFGØRELSER RETTET TIL PARTER, DER ER GENSTAND FOR EN UNDERSØGELSE

Artikel 19

Foreløbige konklusioner og retten til at blive hørt

1.   Hvor den ledende tilsynsmyndighed efter høringerne og procedurerne i henhold til denne forordnings artikel 10 og 11 agter at forelægge et udkast til afgørelse som omhandlet i artikel 60, stk. 3, i forordning (EU) 2016/679 for de andre berørte tilsynsmyndigheder med konklusioner om, at forordning (EU) 2016/679 er blevet overtrådt, udarbejder den et udkast til foreløbige konklusioner.

2.   De foreløbige konklusioner skal omfatte konklusionerne af undersøgelsen og fremlægge de fremførte påstande på en udtømmende og tilstrækkelig klar måde, så de parter, der er genstand for en undersøgelse, kan gøre sig bekendt med den adfærd, som undersøges af den ledende tilsynsmyndighed. Navnlig skal de foreløbige konklusioner indeholde en klar beskrivelse af alle faktiske omstændigheder, en oversigt over det bevismateriale, der lægges til grund, og hele den retlige vurdering af sagen vedrørende de parter, der er genstand for en undersøgelse, så de kan give udtryk for deres synspunkter vedrørende disse faktiske omstændigheder og de retlige konklusioner, som den ledende tilsynsmyndighed agter at drage i udkastet til afgørelse som omhandlet i artikel 60, stk. 3, i forordning (EU) 2016/679.

De foreløbige konklusioner skal på grundlag af de på det pågældende tidspunkt foreliggende oplysninger, og uden at dette berører synspunkterne hos de parter, der er genstand for en undersøgelse, angive korrigerende foranstaltninger, som den ledende tilsynsmyndighed overvejer at gøre brug af.

Hvor den ledende tilsynsmyndighed på grundlag af de på det pågældende tidspunkt foreliggende oplysninger, og uden at dette berører synspunkterne hos de parter, der er genstand for en undersøgelse, overvejer at pålægge en administrativ bøde i overensstemmelse med artikel 83 i forordning (EU) 2016/679, anfører den i de foreløbige konklusioner de vigtigste retlige og faktuelle elementer, som den er bekendt med, og som den agter at lægge til grund, når den træffer afgørelse om, hvorvidt der skal pålægges en administrativ bøde, og om bødens størrelse, under hensyntagen til de elementer, der er anført i artikel 83, stk. 2, i forordning (EU) 2016/679, herunder eventuelt skærpende eller formildende omstændigheder, den agter at tage hensyn til.

3.   Den ledende tilsynsmyndighed fremsender de foreløbige konklusioner til de andre berørte tilsynsmyndigheder. Disse myndigheder kan fremsætte bemærkninger til disse konklusioner til den ledende tilsynsmyndighed inden for fire uger fra fremsendelsen af de foreløbige konklusioner til de andre berørte tilsynsmyndigheder. Efter anmodning fra en af de andre berørte tilsynsmyndigheder forlænger den ledende tilsynsmyndighed denne frist med to uger.

4.   Den ledende tilsynsmyndighed underretter hver af de parter, der er genstand for en undersøgelse, om de foreløbige konklusioner, hvis det er relevant som ændret for at tage hensyn til de bemærkninger, som de andre berørte tilsynsmyndigheder har fremsat.

5.   Når den ledende tilsynsmyndighed underretter de parter, der er genstand for en undersøgelse, om de foreløbige resultater, fastsætter den en passende frist på mindst tre uger og højst seks uger fra datoen for underretningen, inden hvilken disse parter kan fremsætte deres synspunkter skriftligt eller afholder en høring inden for samme frist for mundtligt at høre synspunkterne hos de parter, der er genstand for en undersøgelse.

6.   Når den ledende tilsynsmyndighed underretter de parter, der er genstand for en undersøgelse, om de foreløbige konklusioner, giver den disse parter aktindsigt i de administrative sagsakter i henhold til artikel 24 og 25.

7.   De parter, der er genstand for en undersøgelse, kan i deres skriftlige svar på de foreløbige konklusioner anføre alle faktiske omstændigheder og retlige argumenter, de har kendskab til, og som er relevante for deres forsvar over for den ledende tilsynsmyndigheds påstande. De skal vedlægge alle relevante dokumenter som bevis for de faktiske omstændigheder. Den ledende tilsynsmyndighed baserer kun sit udkast til afgørelse på de påstande og faktiske omstændigheder og retlige vurdering på grundlag af disse faktiske omstændigheder, som de parter, der er genstand for en undersøgelse, har haft mulighed for at fremsætte deres synspunkter til.

Artikel 20

Fremsendelse af de foreløbige konklusioner til klagerne

1.   Hvor den ledende tilsynsmyndighed udsteder foreløbige konklusioner vedrørende et forhold, som den har modtaget en klage over, giver den tilsynsmyndighed, til hvilken klagen er blevet indgivet, klageren disse foreløbige konklusioner i overensstemmelse med bestemmelserne om aktindsigt i de administrative sagsakter og om fortrolige oplysninger i artikel 24 og 25, og den ledende tilsynsmyndighed fastsætter en passende frist på mindst tre uger og højst seks uger, inden hvilken klageren skriftligt kan fremsætte sine synspunkter.

2.   Med henblik på stk. 1 finder de administrative nærmere regler og krav i henhold til de nationale procedureregler for den tilsynsmyndighed, som klagen er blevet indgivet til, fortsat anvendelse.

3.   Denne artikels stk. 1 finder også anvendelse, hvor den ledende tilsynsmyndighed:

a)

behandler en klage sammen med andre klager

b)

behandler en del af en klage separat, eller

c)

ændrer undersøgelsens omfang i de foreløbige konklusioner på en hvilken som helst måde, herunder efter en bindende afgørelse truffet af Databeskyttelsesrådet i henhold til artikel 11, stk. 8.

Artikel 21

Vedtagelse af en endelig afgørelse

1.   Efter forelæggelse af udkastet til afgørelse for de andre berørte tilsynsmyndigheder i henhold til artikel 60, stk. 3, i forordning (EU) 2016/679, og forudsat at ingen af disse andre tilsynsmyndigheder gør indsigelse mod udkastet til afgørelse inden for de frister, der er omhandlet i artikel 60, stk. 4 eller 5, i forordning (EU) 2016/679, alt efter hvad der er relevant, skal den ledende tilsynsmyndighed senest en måned efter udløbet af den frist, der er omhandlet i artikel 60, stk. 4 eller 5), i forordning (EU) 2016/679:

a)

vedtage sin afgørelse, der er omhandlet i artikel 60, stk. 7 eller, i givet fald, stk. 9, i forordning (EU) 2016/679, og

b)

meddele den i litra a) omhandlede afgørelse til den dataansvarliges eller databehandlerens hovedvirksomhed eller eneste etablering, alt efter omstændighederne.

2.   De oplysninger, der skal meddeles klageren i henhold til artikel 60, stk. 7 og 9), i forordning (EU) 2016/679, består af:

a)

en udgave af den vedtagne afgørelse, som indeholder den dispositive del i sin helhed og denne afgørelses begrundelse, som ikke indeholder elementer, der betragtes som fortrolige i overensstemmelse med nærværende forordnings artikel 25, eller

b)

et resumé af den vedtagne afgørelse, herunder de relevante faktiske omstændigheder og begrundelser for denne afgørelse.

Klageren skal under alle omstændigheder efter anmodning gives en udgave af den i første afsnit omhandlede afgørelse, som indeholder den dispositive del i sin helhed og denne afgørelses begrundelse, som ikke indeholder elementer, der betragtes som fortrolige i overensstemmelse med denne forordnings artikel 25.

Administrative nærmere regler og krav i henhold til de nationale procedureregler for den ledende tilsynsmyndighed finder fortsat anvendelse.

Artikel 22

Retten til at blive hørt i forbindelse med det reviderede udkast til afgørelse om, at en overtrædelse har fundet sted

1.   Hvor den ledende tilsynsmyndighed fastslår, at der i det reviderede udkast til afgørelse i henhold til artikel 60, stk. 5, i forordning (EU) 2016/679 om, at forordning (EU) 2016/679 er blevet overtrådt, fremføres nye elementer, som de parter, der er genstand for en undersøgelse, skal have mulighed for at fremsætte deres synspunkter om, giver den ledende tilsynsmyndighed de parter, der er genstand for en undersøgelse, mulighed for at fremsætte deres synspunkter om disse nye elementer inden forelæggelsen af det reviderede udkast til afgørelse i henhold til artikel 60, stk. 5, i forordning (EU) 2016/679.

2.   Den ledende tilsynsmyndighed fastsætter en passende frist på mindst tre uger og højst seks uger, inden hvilken de parter, der er genstand for en undersøgelse, kan fremsætte deres synspunkter.

3.   Den ledende tilsynsmyndighed underretter snarest muligt og senest en uge efter, at de foreligger, de andre berørte tilsynsmyndigheder om de synspunkter, som de parter, der er genstand for en undersøgelse, har fremsat.

AFDELING 6

RELEVANTE OG BEGRUNDEDE INDSIGELSER

Artikel 23

Relevante og begrundede indsigelser

1.   En relevant og begrundet indsigelse som defineret i artikel 4, nr. 24, i forordning (EU) 2016/679:

a)

skal være baseret på faktuelle og retlige elementer indeholdt i udkastet til afgørelse eller i sagsakterne om samarbejde

b)

må ikke vedrøre omfanget af en undersøgelse, hvor ingen af de berørte tilsynsmyndigheder har fremsat bemærkninger i overensstemmelse med nærværende forordnings artikel 10, stk. 4, eller hvor der er nået til enighed, efter at der er indkommet bemærkninger, eller omfanget af en undersøgelse som defineret i en bindende afgørelse fra Databeskyttelsesrådet vedtaget i henhold til nærværende forordnings artikel 11, stk. 8

c)

må ikke vedrøre et udkast til afgørelse vedtaget i overensstemmelse med nærværende forordnings artikel 5.

2.   Uanset stk. 1, litra b), kan en berørt tilsynsmyndighed i behørigt begrundede tilfælde fremsætte relevante og begrundede indsigelser, der vedrører omfanget af en undersøgelse omhandlet i stk. 1, litra b), forudsat at:

a)

den ledende tilsynsmyndighed har undladt at undersøge alle elementerne i resuméet af centrale spørgsmål, om hvilke der er nået til enighed i henhold til artikel 10, stk. 5, eller artikel 11, stk. 5, eller har undladt at efterkomme Databeskyttelsesrådets bindende afgørelse i henhold til artikel 11, stk. 8, eller

b)

nye elementer, der ikke forelå på det tidspunkt, hvor der blev opnået enighed om resuméet af centrale spørgsmål i henhold til artikel 10, stk. 5, eller artikel 11, stk. 5, eller på tidspunktet for Databeskyttelsesrådets bindende afgørelse i henhold til artikel 11, stk. 8, påviser, at udkastet til afgørelse udgør en betydelig risiko for den registreredes grundlæggende rettigheder og frihedsrettigheder og, i givet fald, den frie udveksling af personoplysninger i Unionen, eller begge dele.

3.   En relevant og begrundet indsigelse skal være tilstrækkeligt klar, sammenhængende og præcis og, hvor det er nødvendigt, udpege de elementer i udkastet til afgørelse, der skal ændres for at sætte tilsynsmyndighederne i stand til at forberede deres holdninger og, alt efter hvad der er tilfældet, sætte Databeskyttelsesrådet i stand til at bilægge tvisten på effektiv vis.

KAPITEL IV

ADMINISTRATIVE SAGSAKTER, SAGSAKTER OM SAMARBEJDE OG BEHANDLING AF FORTROLIGE OPLYSNINGER

Artikel 24

Administrative sagsakter

1.   De administrative sagsakter i en undersøgelse vedrørende en påstået overtrædelse af forordning (EU) 2016/679 består af de dokumenter, som den ledende tilsynsmyndighed og de andre berørte tilsynsmyndigheder har modtaget eller udarbejdet, og som den ledende tilsynsmyndighed har samlet under undersøgelsesproceduren, herunder alt belastende og diskulperende bevismateriale.

De administrative sagsakter omfatter ikke en tilsynsmyndigheds interne kommunikation.

2.   På anmodning fra en part, der er genstand for en undersøgelse, eller en klager, hvor afgørelsen kan påvirke dennes interesser negativt, giver den ledende tilsynsmyndighed de parter, der er genstand for en undersøgelse, eller klageren aktindsigt i de administrative sagsakter for at sætte dem i stand til at udøve deres ret til at blive hørt.

Første afsnit berører ikke gunstigere bestemmelser om at give aktindsigt i de administrative sagsakter i henhold til den ledende tilsynsmyndigheds nationale ret.

Gives der aktindsigt i overensstemmelse med første afsnit, er det den ledende tilsynsmyndighed, der giver sådan aktindsigt til den part, som er genstand for en undersøgelse, mens det er den tilsynsmyndighed, som klagen er indgivet til, der giver sådan aktindsigt til klageren.

3.   De følgende dokumenter eller dele af de følgende dokumenter udelukkes fra aktindsigt uanset om der gives aktindsigt i henhold til EU-retten eller national ret:

a)

korrespondance eller drøftelser mellem tilsynsmyndighederne

b)

fortrolige oplysninger i henhold til artikel 25, stk. 1.

4.   Den ledende tilsynsmyndighed giver udelukkende aktindsigt i relevante og begrundede indsigelser forelagt i henhold til artikel 60, stk. 4, i forordning (EU) 2016/679, på grundlag af hvilke denne tilsynsmyndighed agter at vedtage et revideret udkast til afgørelse, hvis sådan aktindsigt er nødvendig for, at de parter, der er genstand for en undersøgelse, eller klageren kan fremsætte deres synspunkter og forsvare deres rettigheder.

Artikel 25

Udpegelse og beskyttelse af fortrolige oplysninger

1.   Alle oplysninger, dokumenter eller dele af dokumenter betragtes som fortrolige, for så vidt som de indeholder forretningshemmeligheder som defineret i Europa-Parlamentets og Rådets direktiv (EU) 2016/943 (5) eller andre fortrolige oplysninger i overensstemmelse med EU-retten eller national ret.

2.   Medmindre andet er fastsat i EU-retten eller national ret, må oplysninger, som er indsamlet, udarbejdet eller modtaget af en tilsynsmyndighed i en sag vedrørende grænseoverskridende behandling i henhold til forordning (EU) 2016/679, og som betragtes som fortrolige i henhold til stk. 1, ikke videregives til eller gøres tilgængelige for en part, der er genstand for en undersøgelse, en klager eller en tredjepart.

3.   En part, der er genstand for en undersøgelse, en klager eller en tredjepart, der forelægger oplysninger, som den anser for at være fortrolige, skal klart udpege de oplysninger, den anser for at være fortrolige, og begrunde den begærede fortrolighed. Den part, der er genstand for en undersøgelse, klageren eller tredjeparten skal altid give den fuldstændige udgave af oplysningerne. Hvis det er muligt, giver den også en foreslået ikkefortrolig udgave.

4.   Uden at det berør stk. 3, kan den tilsynsmyndighed, som oplysningerne forelægges, kræve, at de parter, der er genstand for en undersøgelse, eller enhver anden person, der forelægger dokumenter, udpeger de dokumenter eller dele af dokumenter, som de anser for at indeholde forretningshemmeligheder eller andre fortrolige oplysninger, der tilhører dem, og udpeger de personer, der er berørt med hensyn til fortroligheden af disse forretningshemmeligheder eller andre fortrolige oplysninger.

5.   Den tilsynsmyndighed, som oplysningerne forelægges, fastsætter en passende frist på højst seks uger for parter, der er genstand for en undersøgelse, og enhver anden person, der påstår, at de forelagte oplysninger er fortrolige, til:

a)

at begrunde deres påstande om, at de forelagte oplysninger indeholder forretningshemmeligheder eller andre fortrolige oplysninger for hvert enkelt dokument eller hver enkel del af et dokument, en erklæring eller en del af en erklæring

b)

om muligt at foreslå en ikkefortrolig udgave af de dokumenter og erklæringer, hvori forretningshemmelighederne eller de andre fortrolige oplysninger er redigeret

c)

at give en kortfattet, ikkefortrolig beskrivelse af hver enkelt redigerede oplysning.

6.   Hvis de parter, der er genstand for en undersøgelse, eller enhver anden person ikke efterkommer stk. 4 og 5, kan den tilsynsmyndighed, som oplysningerne forelægges, antage, at de pågældende dokumenter eller erklæringer ikke indeholder forretningshemmeligheder eller andre fortrolige oplysninger.

7.   Den tilsynsmyndighed, som oplysningerne forelægges, fastslår, hvorvidt oplysningerne eller de relevante og specifikke dele af dokumenterne er fortrolige eller ej, i overensstemmelse med stk. 1. Den sikrer, at redigering af dokumenter begrænses til, hvad der er nødvendigt og forholdsmæssigt for at beskytte de fortrolige oplysninger. Den tilsynsmyndighed, som oplysningerne forelægges, underretter de øvrige tilsynsmyndigheder om oplysningernes fortrolige karakter, når de fremsendes.

8.   Oplysninger, der betragtes som fortrolige oplysninger i henhold til den nationale ret for den tilsynsmyndighed, som oplysningerne forelægges, og som udveksles mellem tilsynsmyndigheder ved anvendelsen af forordning (EU) 2016/679, skal fortsat behandles som fortrolige af den tilsynsmyndighed, der modtager dem.

Artikel 26

Sagsakter om samarbejde

1.   Med henblik på udveksling af relevante oplysninger mellem den ledende tilsynsmyndighed og de andre berørte tilsynsmyndigheder i overensstemmelse med artikel 9 skal den ledende tilsynsmyndighed sikre, at sådanne relevante oplysninger gøres tilgængelige gennem sagsakter om samarbejde dedikeret til hver klage eller undersøgelse. Sagsakterne om samarbejde skal indeholde alle oplysninger, der udveksles i henhold til artikel 9.

2.   Sagsakterne om samarbejde føres i elektronisk form og skal ved hjælp af et fælles elektronisk værktøj være tilgængeligt på afstand for tilsynsmyndigheder og, efter forelæggelsen af en sag til tvistbilæggelse i henhold til artikel 65, stk. 1, litra a), i forordning (EU) 2016/679, og, i givet fald, når der anmodes om en hasteudtalelse eller en hurtig bindende afgørelse i henhold til nævnte forordnings artikel 66, for Databeskyttelsesrådet. Sagsakterne om samarbejde er ikke direkte tilgængeligt for parter, der er genstand for en undersøgelse, klagere eller tredjeparter.

KAPITEL V

TVISTBILÆGGELSE

Artikel 27

Forelæggelse med henblik på tvistbilæggelse i henhold til artikel 65, stk. 1, litra a), i forordning (EU) 2016/679

1.   Senest tre måneder efter udløbet af den frist, der er omhandlet i artikel 60, stk. 4, i forordning (EU) 2016/679, forelægger den ledende tilsynsmyndighed et revideret udkast til afgørelse i henhold til nævnte forordnings artikel 60, stk. 5, eller forelægger spørgsmålet for Databeskyttelsesrådet med henblik på tvistbilæggelse i henhold til nævnte forordnings artikel 65, stk. 1, litra a).

2.   Senest tre måneder efter udløbet af den frist, der er omhandlet i artikel 60, stk. 5, i forordning (EU) 2016/679, forelægger den ledende tilsynsmyndighed et andet revideret udkast til afgørelse i henhold til nævnte forordnings artikel 60, stk. 5, eller forelægger spørgsmålet for Databeskyttelsesrådet med henblik på tvistbilæggelse i henhold til nævnte forordnings artikel 65, stk. 1, litra a).

3.   Når den forelægger spørgsmålet med henblik på tvistbilæggelse i henhold til artikel 65, stk. 1, litra a), i forordning (EU) 2016/679, giver den ledende tilsynsmyndighed følgende til Databeskyttelsesrådet:

a)

udkastet til afgørelse eller det reviderede udkast til afgørelse med forbehold for de relevante og begrundede indsigelser

b)

et sammendrag af de relevante faktiske omstændigheder

c)

synspunkter fremsat skriftligt af de parter, der er genstand for en undersøgelse i henhold til nærværende forordnings artikel 19 og, alt efter omstændighederne, artikel 22, i det mindste for så vidt som disse synspunkter vedrører det spørgsmål, der forelægges Databeskyttelsesrådet

d)

synspunkter fremsat skriftligt af klagere, alt efter omstændighederne, i henhold til nærværende forordnings artikel 16, 17 og 20, i det mindste for så vidt som disse synspunkter vedrører det spørgsmål, der forelægges Databeskyttelsesrådet

e)

de relevante og begrundede indsigelser, som ikke blev fulgt af den ledende tilsynsmyndighed, og de indsigelser, som den ledende tilsynsmyndighed har afvist som ikke relevante eller begrundede

f)

begrundelserne for, at den ledende tilsynsmyndighed ikke har fulgt de relevante og begrundede indsigelser eller afvist indsigelserne som ikke relevante eller begrundede.

4.   Databeskyttelsesrådet kan anmode om yderligere dokumenter fra en tilsynsmyndighed vedrørende det spørgsmål, som det har fået forelagt.

5.   Databeskyttelsesrådet træffer senest fire uger efter at have modtaget de i denne artikels stk. 3 omhandlede dokumenter og oplysninger en foreløbig afgørelse af, hvorvidt de indsigelser, der er omhandlet i artikel 65, stk. 1, litra a), i forordning (EU) 2016/679, er relevante og begrundede, og af, hvorvidt de overholder nærværende forordnings artikel 23. Formanden for Databeskyttelsesrådet registrerer inden for samme frist forelæggelsen af det spørgsmål, som det har fået forelagt. Så snart forelæggelsen er registreret, gives sagsakterne til Databeskyttelsesrådets medlemmer.

6.   Fristen for vedtagelse af Databeskyttelsesrådets bindende afgørelse, der er fastsat i artikel 65, stk. 2, i forordning (EU) 2016/679, løber ikke i det tidsrum, der er fastsat i nærværende artikels stk. 5.

Artikel 28

Høring af den part, der er genstand for en undersøgelse, og klageren forud for vedtagelsen af en afgørelse i henhold til artikel 65, stk. 1, litra a), i forordning (EU) 2016/679

1.   Forud for vedtagelsen af den bindende afgørelse i henhold til artikel 65, stk. 1, litra a), i forordning (EU) 2016/679 giver Databeskyttelsesrådet den part, der er genstand for en undersøgelse, eller, hvis Databeskyttelsesrådets afgørelse vil kunne føre til hel eller delvis afvisning af eller afslag på en klage, klageren mulighed for skriftligt at fremsætte sine synspunkter om alle nye faktuelle eller retlige elementer, hvorpå dets afgørelse skal baseres, herunder om de relevante og begrundede indsigelser, som det agter at følge i sin afgørelse.

2.   Hvor den part, der er genstand for undersøgelser, eller klageren, alt efter hvad der er relevant, får mulighed for at fremsætte deres synspunkter i overensstemmelse med stk. 1, fastsætter Databeskyttelsesrådet en passende frist på højst to uger, inden for hvilken de kan fremsætte deres synspunkter.

3.   Fristen for vedtagelse af Databeskyttelsesrådets bindende afgørelse, der er fastsat i artikel 65, stk. 2, i forordning (EU) 2016/679, suspenderes, indtil den part, der er genstand for en undersøgelse, eller klageren, alt efter hvad der er relevant, har tilkendegivet sine synspunkter, eller indtil udløbet af den frist, der er omhandlet i nærværende artikels stk. 2, alt efter hvilken dato der kommer først.

Artikel 29

Procedure i forbindelse med afgørelse i henhold til artikel 65, stk. 1, litra b), i forordning (EU) 2016/679

1.   Ved forelæggelse af et spørgsmål til Databeskyttelsesrådet i henhold til artikel 65, stk. 1, litra b), i forordning (EU) 2016/679 giver den tilsynsmyndighed, der forelægger spørgsmålet, følgende til Databeskyttelsesrådet:

a)

et sammendrag af de relevante faktiske omstændigheder, herunder vedrørende den pågældende behandling

b)

vurderingen af disse relevante faktiske omstændigheder med henblik på at fastslå, hvorvidt en tilsynsmyndighed er kompetent til at fungere som ledende tilsynsmyndighed i henhold til artikel 56, stk. 1, i forordning (EU) 2016/679, og navnlig vurderingen af, om behandlingen skal betragtes som en grænseoverskridende behandling, og af, hvor den dataansvarliges eller databehandlerens hovedvirksomhed er beliggende

c)

synspunkter fremsat af den dataansvarlige eller databehandler, hvis hovedvirksomhed er genstand for forelæggelsen

d)

synspunkterne fra andre tilsynsmyndigheder, der er berørt af forelæggelsen

e)

eventuelle andre dokumenter eller oplysninger, som den tilsynsmyndighed, der forelægger spørgsmålet, betragter som relevante og nødvendige for at finde en løsning på spørgsmålet.

2.   Databeskyttelsesrådet kan anmode en tilsynsmyndighed om yderligere dokumenter vedrørende det spørgsmål, som det har fået forelagt.

3.   Formanden for Databeskyttelsesrådet registrerer senest en uge efter modtagelsen af de i stk. 1 omhandlede dokumenter og oplysninger, forelæggelsen af det spørgsmål, som det har fået forelagt. Så snart forelæggelsen er registreret, gives sagsakterne til Databeskyttelsesrådets medlemmer.

Artikel 30

Procedure i forbindelse med afgørelse i henhold til artikel 65, stk. 1, litra c), i forordning (EU) 2016/679

1.   Ved forelæggelsen af et spørgsmål til Databeskyttelsesrådet i henhold til artikel 65, stk. 1, litra c), i forordning (EU) 2016/679 giver tilsynsmyndigheden eller Kommissionen følgende til Databeskyttelsesrådet:

a)

et sammendrag af de relevante faktiske omstændigheder

b)

den udtalelse, alt efter omstændighederne, der er afgivet af Databeskyttelsesrådet i henhold til artikel 64 i forordning (EU) 2016/679 eller den afgørelse, alt efter omstændighederne, som er vedtaget af den kompetente tilsynsmyndighed, efter at Databeskyttelsesrådet har afgivet sin udtalelse i henhold til artikel 64 i forordning (EU) 2016/679

c)

synspunkterne hos den tilsynsmyndighed, der forelægger spørgsmålet, eller Kommissionen, alt efter omstændighederne, med hensyn til hvorvidt en tilsynsmyndighed var forpligtet til at sende udkastet til afgørelse til Databeskyttelsesrådet i henhold til artikel 64, stk. 1, i forordning (EU) 2016/679, eller hvorvidt en tilsynsmyndighed ikke fulgte udtalelsen fra Databeskyttelsesrådet afgivet i henhold til artikel 64 i forordning (EU) 2016/679, herunder en angivelse af, hvilke dele af denne udtalelse der ikke blev fulgt, og en henvisning til den relevante del af den vedtagne afgørelse.

2.   Databeskyttelsesrådet anmoder om følgende:

a)

synspunkterne hos den tilsynsmyndighed, der påstås at have tilsidesat forpligtelsen til at forelægge et udkast til afgørelse til Databeskyttelsesrådet eller at have undladt at følge Databeskyttelsesrådets udtalelse

b)

eventuelle andre dokumenter eller oplysninger, som denne tilsynsmyndighed betragter som relevante og nødvendige for at finde en løsning på spørgsmålet.

3.   Databeskyttelsesrådet kan anmode om yderligere dokumenter fra en tilsynsmyndighed vedrørende det spørgsmål, som det har fået forelagt.

4.   Formanden for Databeskyttelsesrådet registrerer senest en uge efter modtagelsen af de i stk. 2 omhandlede dokumenter og oplysninger forelæggelsen af det spørgsmål, som det har fået forelagt. Så snart forelæggelsen er registreret, gives sagsakterne til Databeskyttelsesrådets medlemmer.

5.   Hvor en tilsynsmyndighed erklærer, at den agter at fremsætte sine synspunkter vedrørende det forelagte spørgsmål, skal den fremsætte disse synspunkter senest to uger efter, at den i stk. 1 omhandlede forelæggelse har fundet sted.

KAPITEL VI

HASTEPROCEDURE

Artikel 31

Hasteudtalelse i henhold til artikel 66, stk. 2, i forordning (EU) 2016/679

1.   En anmodning om en hasteudtalelse fra Databeskyttelsesrådet i henhold til artikel 66, stk. 2, i forordning (EU) 2016/679 indgives senest fire uger inden udløbet af de foreløbige foranstaltninger, der er vedtaget i henhold til nævnte forordnings artikel 66, stk. 1, og skal indeholde følgende:

a)

et sammendrag af de relevante faktiske omstændigheder, herunder påstandene om overtrædelse af forordning (EU) 2016/679

b)

den foreløbige foranstaltning, der er vedtaget på området for den medlemsstat, hvis tilsynsmyndighed anmoder om hasteudtalelsen, dens varighed og begrundelsen for at vedtage den, herunder en begrundelse for det hastende behov for at handle for at beskytte registreredes rettigheder og frihedsrettigheder

c)

en begrundelse for det hastende behov for at vedtage endelige foranstaltninger, herunder en redegørelse for de ekstraordinære omstændigheder, der nødvendiggør vedtagelsen af disse endelige foranstaltninger.

2.   Databeskyttelsesrådet kan anmode om yderligere dokumenter fra en tilsynsmyndighed vedrørende det spørgsmål, som det har fået forelagt med henblik på at afgive en hasteudtalelse.

3.   Formanden for Databeskyttelsesrådet registrerer senest en uge efter modtagelsen af de i stk. 1 omhandlede dokumenter og oplysninger forelæggelsen af det spørgsmål, som det har fået forelagt. Så snart forelæggelsen er registreret, gives sagsakterne til Databeskyttelsesrådets medlemmer.

Artikel 32

Hurtig bindende afgørelse i henhold til artikel 66, stk. 2, i forordning (EU) 2016/679

1.   En anmodning om en hurtig bindende afgørelse fra Databeskyttelsesrådet i henhold til artikel 66, stk. 2, i forordning (EU) 2016/679 indgives senest fire uger inden udløbet af de foreløbige foranstaltninger, der er vedtaget i henhold til nævnte forordnings artikel 61, stk. 8, artikel 62, stk. 7, eller artikel 66, stk. 1. Denne anmodning skal indeholde følgende:

a)

et sammendrag af de relevante faktiske omstændigheder, herunder påstandene om overtrædelse af forordning (EU) 2016/679

b)

den foreløbige foranstaltning, der er vedtaget på området for den medlemsstat, hvis tilsynsmyndighed anmoder om den hurtige bindende afgørelse, dens varighed og begrundelsen for at vedtage den, herunder en begrundelse for det hastende behov for at handle for at beskytte registreredes rettigheder og frihedsrettigheder

c)

oplysninger om eventuelle undersøgelsesforanstaltninger truffet på området for den medlemsstat, hvis tilsynsmyndighed anmoder om den hurtige bindende afgørelse og svar modtaget fra de parter, der er genstand for en undersøgelse, eller eventuelle andre oplysninger i denne anmodende tilsynsmyndigheds besiddelse

d)

en begrundelse for det hastende behov for at vedtage endelige foranstaltninger under hensyntagen til de ekstraordinære omstændigheder, der nødvendiggør vedtagelsen af disse foranstaltninger, eller bevis for, at en tilsynsmyndighed har forsømt at overholde artikel 61, stk. 5, eller artikel 62, stk. 2, i forordning (EU) 2016/679

e)

hvis den anmodende tilsynsmyndighed ikke er den ledende tilsynsmyndighed, den ledende tilsynsmyndigheds synspunkter

f)

i givet fald synspunkterne fra det lokale etableringssted for de parter, der er genstand for en undersøgelse, og mod hvem de foreløbige foranstaltninger, der er omhandlet i artikel 66, stk. 1, i forordning (EU) 2016/679, er rettet.

2.   Databeskyttelsesrådet kan anmode om yderligere dokumenter fra en tilsynsmyndighed vedrørende det spørgsmål, som det har fået forelagt.

3.   Formanden for Databeskyttelsesrådet registrerer senest en uge efter modtagelsen af de i stk. 1 omhandlede dokumenter og oplysninger forelæggelsen af det spørgsmål, som det har fået forelagt. Så snart forelæggelsen er registreret, gives sagsakterne til Databeskyttelsesrådets medlemmer.

4.   Hvis Databeskyttelsesrådet vedtager en hurtig bindende afgørelse, hvoraf det fremgår, at endelige foranstaltninger skal vedtages, vedtager den tilsynsmyndighed, som afgørelsen er rettet til, sådanne foranstaltninger inden udløbet af de foreløbige foranstaltninger, som er vedtaget i henhold til artikel 66, stk. 1, i forordning (EU) 2016/679.

5.   Hvis det i en hurtig bindende afgørelse angives, at vedtagelsen af de endelige foranstaltninger ikke haster, følger den ledende tilsynsmyndighed og de andre berørte tilsynsmyndigheder proceduren i artikel 60 i forordning (EU) 2016/679.

Artikel 33

Hasteudtalelse eller hurtig bindende afgørelse i henhold til artikel 66, stk. 3, i forordning (EU) 2016/679

1.   En anmodning om en hasteudtalelse eller en bindende hurtig afgørelse fra Databeskyttelsesrådet i henhold til artikel 66, stk. 3, i forordning (EU) 2016/679 skal indeholde følgende:

a)

et sammendrag af de relevante faktiske omstændigheder

b)

en begrundelse for det hastende behov for at træffe passende foranstaltninger for at beskytte registreredes rettigheder og frihedsrettigheder i betragtning af de ekstraordinære omstændigheder, der nødvendiggør vedtagelsen af sådanne foranstaltninger, navnlig eventuelle elementer, som den kompetente tilsynsmyndighed burde have taget højde for med henblik på beskytte registreredes rettigheder og frihedsrettigheder

c)

hvis det er relevant, og de foreligger, oplysninger om eventuelle undersøgelsesforanstaltninger truffet af den anmodende tilsynsmyndighed på den medlemsstats område, hvis tilsynsmyndighed har anmodet om en hasteudtalelse eller en hurtig bindende afgørelse, og svar modtaget fra de parter, der er genstand for en undersøgelse, eller eventuelle andre oplysninger i denne anmodende tilsynsmyndigheds besiddelse

d)

den i artikel 66, stk. 3, i forordning (EU) 2016/679 omhandlede kompetente tilsynsmyndigheds synspunkter.

2.   Databeskyttelsesrådet kan anmode om yderligere dokumenter fra en tilsynsmyndighed vedrørende det spørgsmål, som det har fået forelagt.

3.   Formanden for Databeskyttelsesrådet registrerer senest en uge efter modtagelsen af de i stk. 1 omhandlede dokumenter og oplysninger forelæggelsen af det spørgsmål, som det har fået forelagt. Så snart forelæggelsen er registreret, gives sagsakterne til Databeskyttelsesrådets medlemmer.

KAPITEL VII

ALMINDELIGE OG AFSLUTTENDE BESTEMMELSER

Artikel 34

Håndhævelsesstatistikker om sager vedrørende grænseoverskridende behandling

1.   Som led i den årlige rapport, der skal udarbejdes i henhold til artikel 71 i forordning (EU) 2016/679, fremlægger Databeskyttelsesrådet statistikker om håndhævelsen af forordning (EU) 2016/679 i sager, der er omfattet af nærværende forordnings anvendelsesområde, og navnlig:

a)

antal sager på baggrund af klager og ex officio, som er indledt

b)

antal sager på baggrund af klager og ex officio, som er afsluttet

c)

antal undersøgelser efter anmodning fra berørte tilsynsmyndigheder i henhold til artikel 61, stk. 1, i forordning (EU) 2016/679

d)

antal indgivne klager

e)

antal klager, der helt eller delvis er blevet afvist eller afslået

f)

den gennemsnitlige varighed af sager på baggrund af klager og ex officio-sager, som er afsluttet

g)

antallet og størrelsen af administrative bøder pålagt i henhold til artikel 83 og 84 i forordning (EU) 2016/679.

2.   Hvis de i stk. 1 omhandlede statistikker ikke er direkte tilgængelige for Databeskyttelsesrådet, skal tilsynsmyndighederne efter anmodning give dem rettidigt til Databeskyttelsesrådet.

Artikel 35

Kommissionens rapport

Kommissionen aflægger som led i sin rapport om evaluering og revision af forordning (EU) 2016/679 i henhold til nævnte forordnings artikel 97 også rapport om, hvordan nærværende forordning anvendes og fungerer.

Artikel 36

Overgangsbestemmelser

Kapitel III og IV finder anvendelse på undersøgelser på eget initiativ, der indledes efter den 2. april 2027, og på klagebaserede undersøgelser, hvor klagen blev indgivet efter den 2. april 2027.

Denne forordnings kapitel V og VI finder anvendelse på alle sager, der forelægges til tvistbilæggelse i henhold til artikel 65 og behandling ved hasteprocedure i henhold til artikel 66, stk. 2 og 3, i forordning (EU) 2016/679 efter den 2. april 2027.

Artikel 37

Ikrafttræden og anvendelse

1.   Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.

2.   Denne forordning finder anvendelse fra den 2. april 2027.

Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat.

Udfærdiget i Strasbourg, den 26. november 2025.

På Europa-Parlamentets vegne

R. METSOLA

Formand

På Rådets vegne

M. BJERRE

Formand

(1)   EUT C, C/2024/1578, 5.3.2024, ELI: http://data.europa.eu/eli/C/2024/1578/oj.

(2)  Europa-Parlamentets holdning af 21.10.2025 (endnu ikke offentliggjort i EUT) og Rådets afgørelse af 17.11.2025.

(3)  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT L 119 af 4.5.2016, s. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(4)  Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (EUT L 295 af 21.11.2018, s. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

(5)  Europa-Parlamentets og Rådets direktiv (EU) 2016/943 af 8. juni 2016 om beskyttelse af fortrolig knowhow og fortrolige forretningsoplysninger (forretningshemmeligheder) mod ulovlig erhvervelse, brug og videregivelse (EUT L 157 af 15.6.2016, s. 1, ELI: http://data.europa.eu/eli/dir/2016/943/oj).

ELI: http://data.europa.eu/eli/reg/2025/2518/oj

ISSN 1977-0634 (electronic edition)

Top

Full & Egal Universal Law Academy