Europaparlamentets och rådets förordning (EU) 2025/2518 av den 26 november 2025 om fastställande av ytterligare förfaranderegler avseende verkställigheten av förordning (EU) 2016/679 (Text av betydelse för EES)

Europeiska unionens
officiella tidning

SV

L-serien

2025/2518

12.12.2025

EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING (EU) 2025/2518

av den 26 november 2025

om fastställande av ytterligare förfaranderegler avseende verkställigheten av förordning (EU) 2016/679

(Text av betydelse för EES)

EUROPAPARLAMENTET OCH EUROPEISKA UNIONENS RÅD HAR ANTAGIT DENNA FÖRORDNING

med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 16,

med beaktande av Europeiska kommissionens förslag,

efter översändande av utkastet till lagstiftningsakt till de nationella parlamenten,

med beaktande av Europeiska ekonomiska och sociala kommitténs yttrande (1),

efter att ha hört Regionkommittén,

i enlighet med det ordinarie lagstiftningsförfarandet (2), och

av följande skäl:

(1)

Genom Europaparlamentets och rådets förordning (EU) 2016/679 (3) inrättas ett decentraliserat verkställighetssystem som syftar till att säkerställa en konsekvent tolkning och tillämpning av den förordningen i ärenden som rör gränsöverskridande behandling. I sådana ärenden kräver det decentraliserade verkställighetssystemet samarbete mellan tillsynsmyndigheter i en strävan att uppnå samförstånd. Om tillsynsmyndigheterna inte kan uppnå samförstånd föreskrivs i förordning (EU) 2016/679 att Europeiska dataskyddsstyrelsen (dataskyddsstyrelsen) ska tillhandahålla tvistlösning.

(2)

För att den samarbetsmekanism och den tvistlösningsmekanism som föreskrivs i artikel 60 respektive artikel 65 i förordning (EU) 2016/679 ska fungera smidigt och effektivt är det nödvändigt att fastställa regler för tillsynsmyndigheternas genomförande av förfaranden i ärenden som rör gränsöverskridande behandling och för dataskyddsstyrelsen vid tvistlösning, inbegripet hantering av klagomål. Därför är det också nödvändigt att fastställa regler för utövandet av rätten att bli hörd innan tillsynsmyndigheterna och, allt efter omständigheterna, dataskyddsstyrelsen antar beslut.

(3)

I avsaknad av unionsbestämmelser på området ankommer det på varje medlemsstat att, i enlighet med principen om medlemsstaternas processuella autonomi, fastställa de närmare bestämmelser för administrativa och rättsliga förfaranden som syftar till att säkerställa en hög skyddsnivå för de rättigheter som enskilda har till följd av unionsrätten. Varje medlemsstats processrätt bör därför tillämpas på tillsynsmyndigheterna i den mån en fråga inte harmoniseras genom denna förordning och så länge sådana nationella processrättsliga regler inte undergräver principerna om unionsrättens effektivitet och likvärdighet.

(4)

Denna förordning syftar till att säkerställa att utredningar i ärenden som rör gränsöverskridande behandling utförs i enlighet med principen om god förvaltning, i synnerhet att de utförs opartiskt, rättvist och inom rimlig tid. I denna förordning fastställs därför vissa övergripande principer för förfarandena för verkställighet av förordning (EU) 2016/679 i sådana ärenden.

(5)

Klagomål är en viktig informationskälla för upptäckt av överträdelser av dataskyddsreglerna. Information som lämnas av en klagande som en del av det ingivna klagomålet eller när klaganden framför sina synpunkter kan inbegripa argument och bevis som kan bidra till att utredningen går framåt. Det är nödvändigt att fastställa tydliga och effektiva förfaranden för hantering av klagomål i ärenden som rör gränsöverskridande behandling, eftersom klagomålet kan komma att behandlas av en annan tillsynsmyndighet än den till vilken det ingavs.

(6)

Ett klagomål bör förstås som ett anspråk som inges av en registrerad till en tillsynsmyndighet i enlighet med artikel 77.1 eller artikel 80 i förordning (EU) 2016/679. Enbart rapportering av påstådda överträdelser som inte rör behandling av personuppgifter om den registrerade, begäranden om rådgivning från personuppgiftsansvariga eller personuppgiftsbiträden eller allmänna begäranden som rör tillämpningen av förordning (EU) 2016/679, från antingen personuppgiftsansvariga, personuppgiftsbiträden eller fysiska personer, ska inte betraktas som ett klagomål.

(7)

För att ett klagomål som rör gränsöverskridande behandling ska kunna tas upp till prövning bör det innehålla närmare angiven information. Ingen ytterligare information utöver den som anges i denna förordning bör krävas för att ett sådant klagomål ska kunna tas upp till prövning. Administrativa arrangemang och krav på klagomål kan upptas till prövning enligt nationell rätt för den tillsynsmyndighet till vilken ett klagomål har ingetts, såsom språk, tidsfrister, identifieringsmetoder, elektroniska formulär, särskilda mallar eller underskrifter, fortsätter att gälla.

(8)

Kontaktuppgifterna för den person som ingett klagomålet kan omfatta en postadress, bostadsort och, i förekommande fall, en e-postadress. Den omständigheten att klaganden är en fysisk person som inte är i stånd att utöva sin rätt att inge ett klagomål utan bistånd av ett juridiskt ombud – till exempel på grund av att han eller hon är ett barn eller på grund av att han eller hon har en funktionsnedsättning eller en sårbarhet – och därför utövar sina rättigheter genom en annan person, såsom en förälder, vårdnadshavare eller familjemedlem, under förutsättning att ett sådant ställföreträdarskap är tillåtet enligt nationell rätt, måste tydligt anges vid den tidpunkt då klagomålet inges.

(9)

Om klagomålet inges av ett organ, en organisation eller en sammanslutning utan vinstsyfte som avses i artikel 80 i förordning (EU) 2016/679 bör det tillhandahållas bevis för att organet, organisationen eller sammanslutningen har inrättats på vederbörligt sätt i enlighet med lagstiftningen i en medlemsstat, tillsammans med namn och kontaktuppgifter för organet, organisationen eller sammanslutningen samt bevis för att organet, organisationen eller sammanslutningen agerar på grundval av ett mandat från den registrerade. Arrangemangen och förfarandena för sådana bevis fastställs i enlighet med lagstiftningen i den medlemsstat där den tillsynsmyndighet till vilken klagomålet ingetts finns.

(10)

Klaganden bör inte vara skyldig att kontakta den part som är föremål för utredning innan ett klagomål inges för att klagomålet ska kunna tas upp till prövning. Om klagomålet avser utövandet av en rättighet för den registrerade som kräver att den berörda registrerade lämnar in en begäran till den personuppgiftsansvarige, bör denna begäran göras till den personuppgiftsansvarige innan klagomålet inges.

(11)

Den tillsynsmyndighet till vilken klagomålet ingetts bör genom en preliminär slutsats fastställa huruvida klagomålet rör gränsöverskridande behandling, vilken tillsynsmyndighet som anses vara behörig att agera som ansvarig tillsynsmyndighet i enlighet med artikel 56.1 i förordning (EU) 2016/679 samt huruvida artikel 56.2 i den förordningen är tillämplig. Om ett förfarande för tidig lösning inte har inletts bör den tillsynsmyndighet till vilken klagomålet ingetts översända klagomål som kan tas upp till prövning till den tillsynsmyndighet som anses vara behörig att agera som ansvarig tillsynsmyndighet, och informera klaganden om detta. Fastställandet av att klagomålet kan tas upp till prövning av den tillsynsmyndighet till vilken klagomålet ingetts bör vara bindande för den ansvariga tillsynsmyndigheten.

(12)

Det är viktigt att tillsynsmyndigheterna underlättar för klaganden att lämna in all information som krävs, till exempel genom att tillhandahålla mallar eller elektroniska formulär, med beaktande av relevant vägledning från dataskyddsstyrelsen. Tillsynsmyndigheterna kan underlätta inlämning av klagomål i ett användarvänligt elektroniskt format och med beaktande av behoven hos personer med funktionsnedsättning, så länge som den information som begärs från klaganden motsvarar den närmare angivna information som krävs. Ingen ytterligare information bör krävas för att anse att klagomålet kan tas upp till prövning.

(13)

För att underlätta behandlingen av ett klagomål bör tillsynsmyndigheterna kunna begära kompletterande information från klaganden. Om en del av den information som krävs för att ett klagomål ska anses kunna tas upp till prövning saknas, kan den tillsynsmyndighet till vilken klagomålet ingetts kontakta klaganden för att om möjligt erhålla den information som saknas. Om ett klagomål inte kan tas upp till prövning bör tillsynsmyndigheten förklara att det inte kan tas upp till prövning och informera klaganden om den information som saknas inom den tidsfrist som föreskrivs i denna förordning, så att klaganden kan lämna in ett klagomål som kan tas upp till prövning.

(14)

Om den ansvariga tillsynsmyndigheten, efter att ha mottagit ett klagomål som kan tas upp till prövning vilket rör gränsöverskridande behandling från en tillsynsmyndighet, kräver ytterligare information från klaganden för att möjliggöra en fullständig utredning av klagomålet, bör den tillsynsmyndighet till vilken klagomålet ingetts bistå den ansvariga tillsynsmyndigheten, bland annat genom att kontakta klaganden för att vid behov inhämta den information som krävs.

(15)

Om den ansvariga tillsynsmyndigheten inleder en utredning på grundval av ett klagomål bör de parter som är föremål för utredning utan dröjsmål informeras om ingivandet av klagomålet och dess viktigaste delar. Den ansvariga tillsynsmyndighetens tillhandahållande av sådan information kan dock skjutas upp så länge som behövs för att skydda utredningens integritet och möjliggöra ett verkningsfullt genomförande av utredningsåtgärder.

(16)

För att garantera att mekanismerna för samarbete och enhetlighet i kapitel VII i förordning (EU) 2016/679 fungerar effektivt är det viktigt att ärenden som rör gränsöverskridande behandling avgörs i tid och i linje med den anda av lojalt och effektivt samarbete som ligger till grund för artikel 60 i förordning (EU) 2016/679. Den ansvariga tillsynsmyndigheten bör utöva sin behörighet inom ramen för ett nära samarbete med de andra berörda tillsynsmyndigheterna. På samma sätt bör de berörda tillsynsmyndigheterna aktivt delta i en utredning i ett tidigt skede i en strävan att uppnå samförstånd, med fullt utnyttjande av de verktyg som föreskrivs i förordning (EU) 2016/679. Det är viktigt att samarbetet mellan tillsynsmyndigheterna bygger på en öppen dialog som gör det möjligt för berörda tillsynsmyndigheter att på ett meningsfullt sätt påverka utredningens gång genom att dela med sig av sina erfarenheter och synpunkter till den ansvariga tillsynsmyndigheten, med vederbörlig hänsyn till varje tillsynsmyndighets utrymme för skönsmässig bedömning. Tillsynsmyndigheterna bör genomföra förfaranden på ett skyndsamt och effektivt sätt och bör samarbeta med varandra på ett lojalt och effektivt sätt, bland annat genom att vid behov ge stöd och besvara begäranden utan dröjsmål.

(17)

Tillsynsmyndigheterna bör fatta beslut om klagomål inom en rimlig tidsram. Av detta skäl fastställs tidsfrister i denna förordning. Vad som är en rimlig tidsram beror på omständigheterna i varje enskilt fall och i synnerhet sammanhanget, de olika åtgärder i förfarandet som den ansvariga tillsynsmyndigheten vidtar, hur de parter som är föremål för utredning och klaganden uppträder under förfarandets gång samt ärendets komplexitet. För att de registrerades grundläggande rättigheter och friheter ska skyddas på ett verkningsfullt sätt i samband med behandling av personuppgifter är det viktigt att klagomål hanteras på ett effektivt och skyndsamt sätt. Beroende på omständigheterna i ett ärende kan den tid som krävs för att behandla ett klagomål vara kortare än den tidsfrist som föreskrivs i denna förordning. Ett effektivt samarbete mellan den ansvariga tillsynsmyndigheten och de övriga berörda myndigheterna kan också ha en positiv inverkan för en skyndsam hantering av ärenden.

(18)

Klaganden bör ha möjlighet att kommunicera uteslutande med den tillsynsmyndighet till vilken klagandens klagomål har ingetts. Denna möjlighet hindrar inte klaganden från att kommunicera direkt med en annan tillsynsmyndighet, inbegripet den ansvariga tillsynsmyndigheten.

(19)

Det är viktigt att beakta de personuppgifter som behandlas och den registrerades situation, exempelvis när ett klagomål rör behandling av barns personuppgifter.

(20)

Den ansvariga tillsynsmyndigheten bör förse den tillsynsmyndighet till vilken klagomålet ingetts med nödvändig information om hur utredningen fortskrider, så att klaganden kan få uppdateringar.

(21)

För att tillsynsmyndigheterna snabbt ska kunna sätta stopp för överträdelser av förordning (EU) 2016/679 och ge klagande en skyndsam lösning bör tillsynsmyndigheterna, när så är lämpligt, sträva efter att lösa klagomål genom ett förfarande för tidig lösning i enlighet med den här förordningen. För detta ändamål bör tillsynsmyndigheten fastställa huruvida den överträdelse som görs gällande i klagomålet har upphört på ett sätt som gör att ändamålet med klagomålet har förfallit. Medlemsstaterna är inte skyldiga att införa nya förfaranden enligt nationell rätt för att göra det möjligt för sina tillsynsmyndigheter att lösa ett klagomål genom ett förfarande för tidig lösning.

(22)

Ett klagomål bör lösas genom ett förfarande för tidig lösning endast om klaganden inte i tid har invänt mot slutsatsen att den påstådda överträdelsen har upphört och att ändamålet med klagomålet därför förfallit. Tidig lösning av ett klagomål bör därför tillämpas på ärenden där klaganden vederbörligen kan bedöma det föreslagna resultatet.

(23)

Tidig lösning av ett klagomål kan vara särskilt användbart för att skyndsamt hantera klagomål som rör överträdelser av den registrerades rättigheter enligt kapitel III i förordning (EU) 2016/679 på ett för klaganden tillfredsställande sätt. Denna tidiga lösning bör göra det möjligt för den tillsynsmyndighet till vilken klagomålet ingetts eller den ansvariga tillsynsmyndigheten att, på grundval av ett preliminärt samarbete med den personuppgiftsansvarige och förutsatt att bevisning till stöd för detta har erhållits, fastställa att ändamålet med klagomålet förfallit.

(24)

Tidig lösning av ett klagomål genom ett förfarande för tidig lösning bör inte påverka den ansvariga tillsynsmyndighetens utövande av sina befogenheter i enlighet med förordning (EU) 2016/679 i samma sakfråga, till exempel vid systematiska eller upprepade överträdelser av den förordningen.

(25)

Om den ansvariga tillsynsmyndighet till vilken klagomålet har ingetts anser att ett klagomål kan lösas genom ett förfarande för tidig lösning bör ett utkast till beslut enligt artikel 60.3 i förordning (EU) 2016/679 läggas fram för de andra berörda tillsynsmyndigheterna, i syfte att anta ett slutligt beslut i enlighet med artikel 60.7 i förordning (EU) 2016/679 om fastställande av att den påstådda överträdelsen har upphört och att klagomålet, eller en del av klagomålet, har lösts av den ansvariga tillsynsmyndigheten. Det utkast till beslut som läggs fram skulle därmed kunna förenklas och begränsas till en upplysning om att klagomålet helt eller delvis har lösts genom ett förfarande för tidig lösning, med angivande av de skäl som ligger till grund för beslutet och lösningens omfattning, och med bekräftelse av att ändamålet med klagomålet förfallit. I sådana ärenden bör den ansvariga tillsynsmyndigheten lägga fram sitt utkast till beslut direkt för de övriga berörda tillsynsmyndigheterna, utan att behöva utarbeta och skicka ut en sammanfattning av de viktigaste frågorna eller preliminära slutsatser.

(26)

Om den ansvariga tillsynsmyndigheten har bildat sig en preliminär uppfattning om de centrala frågorna i en utredning bör det vara möjligt för den att samarbeta med övriga berörda tillsynsmyndigheter genom ett förfarande för enkelt samarbete. Förfarandet för enkelt samarbete bör tillämpas från fall till fall, förutsatt att den ansvariga tillsynsmyndigheten anser att det inte finns något rimligt tvivel avseende utredningens omfattning och att de rättsliga och faktiska omständigheter som identifierats inte kräver det ytterligare samarbete som skulle krävas för en komplex utredning, i synnerhet om dessa omständigheter kan hanteras på grundval av ärendets särdrag och tidigare beslut i liknande fall. Dessutom är det viktigt att också befintlig rättspraxis och riktlinjer som antagits av dataskyddsstyrelsen om de påstådda överträdelser av förordning (EU) 2016/679 som ska utredas beaktas av den ansvariga tillsynsmyndigheten när den överväger om samförstånd om de viktigaste delarna av ett ärende sannolikt kommer att uppnås. I princip är förfarandet för enkelt samarbete inte tillämpligt om ärendet ger upphov till systematiska eller återkommande problem i flera medlemsstater, rör en allmän rättslig fråga med avseende på tolkningen, tillämpningen eller verkställigheten av förordning (EU) 2016/679, är kopplat till skärningspunkten mellan dataskydd och andra rättsliga områden, påverkar ett stort antal registrerade i flera medlemsstater eller är kopplat till ett stort antal klagomål i flera medlemsstater, eller om det kan finnas en hög risk för de registrerades rättigheter och friheter.

(27)

Om den ansvariga tillsynsmyndigheten har för avsikt att tillämpa förfarandet för enkelt samarbete bör den informera de övriga berörda tillsynsmyndigheterna om sin avsikt och tillhandahålla all relevant information om ärendets och klagomålets särdrag, inbegripet de viktigaste relevanta sakförhållandena och den påstådda överträdelse som ska utredas. Om förfarandet för enkelt samarbete tillämpas bör den ansvariga tillsynsmyndigheten fortsätta att samarbeta med de övriga berörda tillsynsmyndigheterna och lägga fram ett utkast till beslut inom de tidsfrister som anges i denna förordning.

(28)

Om en tillsynsmyndighet är skyldig att vidta vissa förfarandeåtgärder inom angivna tidsfrister är syftet med dessa tidsfrister att säkerställa att förfarandet fortskrider och avslutas inom rimlig tid. Dessa tidsfrister hindrar inte tillsynsmyndigheterna från att vidta de förfarandeåtgärder som krävs efter det att tidsfristerna har löpt ut. Det är därför nödvändigt att säkerställa att den omständigheten att sådana förfarandeåtgärder vidtagits efter det att tidsfristerna för dem har löpt ut inte kan anses utgöra skäl till att förfarandeåtgärden i fråga eller det slutliga beslutet skulle vara rättsstridigt eller ogiltigt.

(29)

Den ansvariga tillsynsmyndigheten bör kunna förlänga tidsfristen för att lägga fram ett utkast till beslut. Sådana förlängningar bör bara tillämpas i undantagsfall med hänvisning till ärendets komplexitet. De övriga berörda tillsynsmyndigheterna bör informeras och ha tillfälle att lämna in invändningar mot förlängningen, vilka bör beaktas av den ansvariga tillsynsmyndigheten när den fastställer huruvida tidsfristen ska förlängas och, i tillämpliga fall, varaktigheten för den förlängningen.

(30)

Om den ansvariga tillsynsmyndigheten förlänger tidsfristen för att lägga fram ett utkast till beslut bör de övriga berörda tillsynsmyndigheterna kunna informera den ansvariga tillsynsmyndigheten om sin bedömning att det föreligger behov att agera för att skydda registrerades rättigheter och friheter. Om den ansvariga tillsynsmyndigheten har informerats om en sådan bedömning och inte lägger fram ett utkast till beslut inom den förlängda tidsfristen, bör det förutsättas att det föreligger ett brådskande behov att agera enligt vad som avses i artikel 66.1 i förordning (EU) 2016/679. Trots denna möjlighet förblir det skyndsamma förfarandet tillgängligt för tillsynsmyndigheterna på de villkor som anges i artikel 66 i förordning (EU) 2016/679.

(31)

För att säkerställa att förfaranden genomförs på ett effektivt sätt, utan att det påverkar medlemsstaternas processuella autonomi, är det att föredra att rättsmedel mot förfarandeåtgärder som vidtas av tillsynsmyndigheter finns tillgängliga endast i kombination med ett rättsmedel mot ett slutligt beslut, såvida inte förfarandeåtgärden i sig oåterkalleligen påverkar rättigheterna för den part som är föremål för utredning eller klaganden, oberoende av det slutliga beslutet.

(32)

Det är särskilt viktigt att tillsynsmyndigheterna uppnår samförstånd om centrala aspekter av ärendet så tidigt som möjligt och innan det utkast till beslut som avses i artikel 60 i förordning (EU) 2016/679 antas.

(33)

Utbyte av relevant information mellan den ansvariga tillsynsmyndigheten och de övriga berörda tillsynsmyndigheterna är en viktig faktor för att främja en anda av lojalt och effektivt samarbete. Detta utbyte, och den ansvariga tillsynsmyndighetens tillhandahållande av specifik information i rätt tid, är en kontinuerlig process under en utredning, och de handlingar och uppgifter som krävs kan variera beroende på ärendets komplexitet. Beroende på hur långt utredningen kommit och ärendets omständigheter kan relevant information omfatta bland annat skriftväxling med den personuppgiftsansvarige eller den registrerade avseende ett klagomål eller en utredning, förberedande handlingar för en revision eller inspektion, eller en preliminär teknisk eller rättslig bedömning utförd av den ansvariga tillsynsmyndigheten till följd av ett specifikt steg i utredningen.

(34)

Den ansvariga tillsynsmyndigheten bör utan dröjsmål lämna all relevant information till de övriga berörda tillsynsmyndigheterna efter det att informationen blivit tillgänglig, men de övriga berörda tillsynsmyndigheterna bör också proaktivt tillgängliggöra all relevant information som bedöms vara användbar för en bedömning av de rättsliga och faktiska omständigheterna i ett ärende. Utbytet av relevant information bör stödja ett skyndsamt och effektivt samarbete mellan tillsynsmyndigheterna och kan i vissa fall stödjas av sammanfattningar, utdrag eller kopior av handlingar i syfte att underlätta en skyndsam förståelse av ett ärende, samtidigt som kompletterande information kan tillhandahållas vid behov. För att underlätta ett effektivt och lämpligt utbyte av relevant information mellan tillsynsmyndigheter bör dataskyddsstyrelsen kunna ange närmare arrangemang och krav för utbytet av sådan information.

(35)

Som en del av den relevanta informationen om ett specifikt ärende bör den ansvariga tillsynsmyndigheten förse de övriga berörda tillsynsmyndigheterna med en sammanfattning av de viktigaste frågorna som anger dess preliminära uppfattning om de centrala frågorna i en utredning. Denna sammanfattning bör tillhandahållas i tillräckligt god tid för att de synpunkter som lämnats av de övriga berörda tillsynsmyndigheterna ska kunna inkluderas på ett ändamålsenligt sätt, men samtidigt i ett skede där den ansvariga tillsynsmyndigheten har tillräckliga uppgifter för att kunna bilda sig en uppfattning i ärendet, vid behov genom en preliminär analys och eventuella inledande utredningsåtgärder. Sammanfattningen av de viktigaste frågorna bör också, i tillämpliga fall, inbegripa en preliminär identifiering av potentiella korrigerande åtgärder om den ansvariga tillsynsmyndigheten har tillräckliga uppgifter för att bilda sig en preliminär uppfattning om dessa åtgärder, i synnerhet när de bestämmelser i förordning (EU) 2016/679 som berörs av den påstådda överträdelsen lätt kan identifieras i ett tidigt skede.

(36)

De berörda tillsynsmyndigheterna bör ha tillfälle att lämna kommentarer på sammanfattningen av de viktigaste frågorna, inbegripet ett brett spektrum av faktorer såsom utredningens omfattning, identifieringen av de påstådda överträdelserna och identifieringen av faktiska och rättsliga omständigheter som är relevanta för utredningen. Med tanke på att utredningens omfattning avgör vilka frågor som kräver utredning av den ansvariga tillsynsmyndigheten bör tillsynsmyndigheterna sträva efter att uppnå samförstånd om utredningens omfattning så tidigt som möjligt.

(37)

För att få till stånd ett ändamålsenligt och inkluderande samarbete mellan den ansvariga tillsynsmyndigheten och samtliga övriga berörda tillsynsmyndigheter är det viktigt att sammanfattningen av de viktigaste frågorna och kommentarerna från de berörda tillsynsmyndigheterna är koncisa och formulerade på ett tillräckligt tydligt och exakt sätt för att vara lättbegripliga för alla tillsynsmyndigheter. De rättsliga argumenten bör vara grupperade efter den del av sammanfattningen av de viktigaste frågorna som de hänför sig till. Sammanfattningen av de viktigaste frågorna och kommentarerna från de berörda tillsynsmyndigheterna kan kompletteras med ytterligare handlingar. Enbart en hänvisning i kommentarerna från en berörd tillsynsmyndighet till kompletterande handlingar kan emellertid inte kompensera för att de väsentliga rättsliga eller faktiska argument som ska ingå i kommentarerna saknas. De grundläggande rättsliga och faktiska omständigheter som åberopas i sådana handlingar måste, åtminstone kortfattat, anges på ett konsekvent och begripligt sätt i själva kommentaren.

(38)

Tillsynsmyndigheterna bör kunna använda alla nödvändiga medel för att uppnå samförstånd i en anda av lojalt och effektivt samarbete. Om den ansvariga tillsynsmyndigheten och de övriga berörda tillsynsmyndigheterna har olika uppfattningar om omfattningen av en klagomålsbaserad utredning, inbegripet de bestämmelser i förordning (EU) 2016/679 som berörs av den påstådda överträdelse som ska utredas, eller om kommentarerna från de berörda tillsynsmyndigheterna rör en betydande ändring av den komplexa rättsliga eller faktiska bedömningen, eller den preliminära identifieringen av potentiella korrigerande åtgärder, kan de berörda tillsynsmyndigheterna använda de verktyg som föreskrivs i artiklarna 61 och 62 i förordning (EU) 2016/679.

(39)

Förordning (EU) 2016/679 gör det möjligt för tillsynsmyndigheten att begära ett brådskande bindande beslut från dataskyddsstyrelsen om en behörig tillsynsmyndighet inte har vidtagit en lämplig åtgärd i en situation där det finns ett brådskande behov att agera för att skydda de registrerades rättigheter och friheter. Om tillsynsmyndigheterna, efter att ha använt sig av de medel som anges i den här förordningen, inte uppnår samförstånd om omfattningen av en klagomålsbaserad utredning, bör de villkor som avses i artikel 66.3 i förordning (EU) 2016/679 för att begära ett brådskande bindande beslut förutsättas vara uppfyllda enligt den här förordningen och den ansvariga tillsynsmyndigheten bör begära ett brådskande bindande beslut av dataskyddsstyrelsen. Dataskyddsstyrelsens brådskande bindande beslut om omfattningen av en klagomålsbaserad utredning bör inte föregripa resultatet av den ansvariga tillsynsmyndighetens utredning eller den faktiska rätten att bli hörd för de parter som är föremål för utredning.

(40)

Klaganden bör ges processuella rättigheter i den mån hans eller hennes rättigheter och friheter som registrerad berörs. De förfarandeåtgärder som anges i denna förordning och som rör samarbete mellan tillsynsmyndigheter ger inte upphov till rättigheter förklaganden eller parter som är föremål för utredning. I denna förordning klargörs därför vilka bestämmelser om förfarandeåtgärder som inte ger upphov till rättigheter för enskilda eller parter som är föremål för utredning eller inte begränsar dessa rättigheter.

(41)

Klagande bör ha tillfälle att framföra sina synpunkter innan ett beslut som går dem emot fattas. Om ett klagomål helt eller delvis avslås eller avvisas i ett ärende som rör gränsöverskridande behandling bör klaganden därför ha tillfälle att framföra sina synpunkter före framläggandet av ett utkast till beslut enligt artikel 60.3 i förordning (EU) 2016/679, ett reviderat utkast till beslut enligt artikel 60.5 i den förordningen eller ett bindande beslut av dataskyddsstyrelsen enligt artikel 65.1 a i den förordningen.

(42)

Det är nödvändigt att klargöra ansvarsfördelningen mellan den ansvariga tillsynsmyndigheten och den tillsynsmyndighet till vilken klagomålet har ingetts i händelse av att ett klagomål helt eller delvis avslås eller avvisas i ett ärende som rör gränsöverskridande behandling. Som kontaktpunkt för klaganden under utredningen bör den tillsynsmyndighet till vilken klagomålet ingetts ge klaganden tillfälle att framföra sina synpunkter på förslaget att klagomålet helt eller delvis avslås eller avvisas, och den myndigheten bör ansvara för all kommunikation med klaganden. All sådan kommunikation bör översändas till den ansvariga tillsynsmyndigheten. Eftersom den tillsynsmyndighet till vilken klagomålet ingetts enligt artikel 60.8 och 60.9 i förordning (EU) 2016/679 ansvarar för att anta det slutliga beslutet om att helt eller delvis avslå eller avvisa klagomålet, bör den ansvariga tillsynsmyndigheten utarbeta utkastet till beslut enligt artikel 60.3 i förordning (EU) 2016/679, i samarbete med den tillsynsmyndighet till vilken klagomålet ingetts. Detta samarbete inbegriper möjligheten att begära bistånd från den tillsynsmyndighet till vilken klagomålet ingetts vid utarbetandet av ett sådant utkast.

(43)

En effektiv tillämpning av unionens dataskyddsregler bör fullt ut respektera rätten till försvar för de parter som är föremål för utredning, vilken utgör en grundläggande princip i unionsrätten som ska respekteras under alla omständigheter, och denna rätt är särskilt viktig i förfaranden som kan leda tillsanktioner.

(44)

För att effektivt skydda rätten till god förvaltning och rätten till försvar enligt Europeiska unionens stadga om de grundläggande rättigheterna (stadgan) är det viktigt att föreskriva tydliga regler för hur var och en ska utöva sin rätt att bli hörd innan en enskild åtgärd som skulle påverka honom eller henne negativt vidtas.

(45)

Reglerna för det administrativa förfarande som tillsynsmyndigheterna tillämpar vid genomförandet av förordning (EU) 2016/679 bör säkerställa att de parter som är föremål för utredning faktiskt har tillfälle att framföra sina synpunkter på riktigheten i och relevansen av de påstådda sakförhållanden och de invändningar som tillsynsmyndigheten lägger fram under hela förfarandet, så att de kan utöva sin rätt till försvar. I de preliminära slutsatserna anges den preliminära ståndpunkten om den påstådda överträdelsen av förordning (EU) 2016/679 efter en utredning. De utgör således en väsentlig processuell garanti som säkerställer att rätten att bli hörd iakttas. De parter som är föremål för utredning bör få tillgång till de handlingar som krävs för att effektivt kunna försvara sig och kommentera anklagelserna mot dem, genom att få tillgång till ärendeakten.

(46)

Dessa regler får inte påverka tillsynsmyndigheternas möjlighet att bevilja ytterligare tillgång till ärendeakten i syfte att höra synpunkter från någon av de parter som är föremål för utredning eller från klaganden under förfarandets gång, i enlighet med den nationella rätten för den ansvariga tillsynsmyndigheten.

(47)

I de preliminära slutsatserna fastställs utredningens omfattning och därmed också omfattningen av eventuella framtida slutliga beslut som, allt efter omständigheterna, antas på grundval av ett bindande beslut som utfärdats av dataskyddsstyrelsen enligt artikel 65.1 a i förordning (EU) 2016/679 och som kan riktas till personuppgiftsansvariga eller personuppgiftsbiträden. De preliminära slutsatserna bör, även om de är kortfattade, vara tillräckligt tydliga för att de parter som är föremål för utredning på ett korrekt sätt ska kunna identifiera arten av den påstådda överträdelsen av förordning (EU) 2016/679. Skyldigheten att ge de parter som är föremål för utredning all information som krävs för att de ska kunna försvara sig på ett korrekt sätt är fullgjord om det i det slutliga beslutet inte görs gällande att de parter som är föremål för utredning har begått andra överträdelser än de som avses i de preliminära slutsatserna och om endast sakförhållanden som de parter som är föremål för utredning har haft tillfälle att framföra sina synpunkter på beaktas. Den ansvariga tillsynsmyndighetens slutliga beslut behöver dock inte vara en kopia av de preliminära slutsatserna. Den ansvariga tillsynsmyndigheten bör kunna beakta svaren på de preliminära slutsatserna från de parter som är föremål för utredning i sitt slutliga beslut och, i tillämpliga fall, på det reviderade utkastet till beslut enligt artikel 60.5 i förordning (EU) 2016/679. Den ansvariga tillsynsmyndigheten bör kunna göra sin egen bedömning av de sakförhållanden och rättsliga argument som framförts av de parter som är föremål för utredning, för att antingen avvisa argumenten om den anser att de är ogrundade eller komplettera och omformulera sina slutsatser, både faktiskt och rättsligt, till stöd för de argument som den vidhåller. Exempelvis kan beaktandet av ett argument som framförts av en part som är föremål för utredning under det administrativa förfarandet, utan att denna part getts tillfälle att yttra sig i detta avseende innan det slutliga beslutet antagits, inte i sig anses utgöra ett åsidosättande av rätten till försvar.

(48)

I denna förordning föreskrivs regler för situationer där den ansvariga tillsynsmyndigheten enligt nationell rätt är skyldig att fortsätta att delta i efterföljande nationella förfaranden som rör samma ärende, såsom administrativa överklagandeförfaranden.

(49)

De parter som är föremål för utredning bör ha rätt att bli hörda innan ett reviderat utkast till beslut enligt artikel 60.5 i förordning (EU) 2016/679 läggs fram eller innan dataskyddsstyrelsen antar ett bindande beslut enligt artikel 65.1 a i den förordningen. Nya rättsliga omständigheter inbegriper relevanta och motiverade invändningar, om dessa invändningar innehåller andra rättsliga bedömningar än de som föreslås av den ansvariga tillsynsmyndigheten i det utkast till beslut som lagts fram enligt artikel 60.4 i förordning (EU) 2016/679.

(50)

Klagande bör ges möjlighet att delta i de förfaranden som inleds av en tillsynsmyndighet i syfte att identifiera eller klargöra frågor som rör en eventuell överträdelse av förordning (EU) 2016/679. Den omständigheten att en tillsynsmyndighet redan har inlett en utredning av den sakfråga som klagomålet gäller eller kommer att behandla klagomålet i en utredning på eget initiativ efter det att klagomålet mottagits hindrar inte att en registrerad kan betraktas som klagande. En tillsynsmyndighets utredning av en eventuell överträdelse av förordning (EU) 2016/679 som begåtts av en personuppgiftsansvarig eller ett personuppgiftsbiträde utgör ett förfarande som inleds av en tillsynsmyndighet, på eget initiativ eller på grundval av ett klagomål, för att den ska fullgöra sina uppgifter enligt artikel 57.1 i den förordningen. De parter som är föremål för utredning och klaganden befinner sig inte i samma processrättsliga situation, och det är viktigt att skydda rätten till försvar för den part som är föremål för utredning. De parter som är föremål för utredning och klaganden kan åberopa den grundläggande rätten att bli hörd när beslutet påverkar deras rättsliga ställning negativt.

(51)

Klagande bör ges tillfälle att skriftligen lämna synpunkter på de preliminära slutsatserna i den mån dessa synpunkter rör deras klagomål om behandlingen av deras personuppgifter. De bör dock inte ha tillgång till företagshemligheter eller annan konfidentiell information som tillhör de parter som är föremål för utredning eller tredje man.

(52)

När tillsynsmyndigheterna fastställer tidsfrister för parter som är föremål för utredning och klagande för att lämna sina synpunkter på preliminära slutsatser är det viktigt att de tar hänsyn till komplexiteten i de frågor som tas upp i de preliminära slutsatserna, för att säkerställa att de parter som är föremål för utredning och klagandena har tillräckliga möjligheter att på ett meningsfullt sätt lämna sina synpunkter på de frågor som tas upp.

(53)

Diskussionen mellan tillsynsmyndigheterna före framläggandet av ett utkast till beslut inbegriper en öppen dialog och en omfattande diskussion där tillsynsmyndigheterna bör göra sitt yttersta för att uppnå samförstånd om hur man ska gå vidare i en utredning. Omvänt bör oenighet som kommer till uttryck i relevanta och motiverade invändningar enligt artikel 60.4 i förordning (EU) 2016/679, vilka kan resultera i tvistlösning mellan tillsynsmyndigheter enligt artikel 65 i den förordningen och fördröjer den behöriga tillsynsmyndighetens antagande av ett slutligt beslut, uppstå endast om tillsynsmyndigheterna inte lyckas uppnå samförstånd och när det är nödvändigt att säkerställa en konsekvent tolkning av förordning (EU) 2016/679. Sådana invändningar bör användas när det gäller frågor om konsekvent tillämpning av förordning (EU) 2016/679.

(54)

För att tvistlösningsförfarandet ska kunna slutföras på ett effektivt och inkluderande sätt, där alla tillsynsmyndigheter bör kunna bidra med sina synpunkter och med beaktande av tidsbegränsningarna i samband med tvistlösning, bör formen och strukturen för relevanta och motiverade invändningar uppfylla vissa krav.

(55)

Tillgång till ärendeakten föreskrivs som en del av rätten till försvar och rätten till god förvaltning enligt stadgan. De parter som är föremål för utredning bör ges tillgång till ärendeakten när de underrättas om de preliminära slutsatserna, och deras tidsfrist för att lämna in skriftliga svar på de preliminära slutsatserna bör fastställas.

(56)

När tillsynsmyndigheterna beviljar de parter som är föremål för utredning och klaganden tillgång till ärendeakten bör de säkerställa skyddet av företagshemligheter och annan konfidentiell information. Kategorin annan konfidentiell information omfattar andra uppgifter än företagshemligheter som kan anses vara konfidentiella i enlighet med unionsrätten och nationell rätt i den mån det skulle vara till betydande skada för en personuppgiftsansvarig, ett personuppgiftsbiträde eller en fysisk eller juridisk person om de lämnades ut. Konfidentiell information bör i synnerhet omfatta information som är känd endast av ett begränsat antal personer och vars utlämnande kan medföra allvarlig skada för den person som har tillhandahållit den eller för tredje man, och om de intressen som kan skadas av att sådan information lämnas ut objektivt sett är skyddsvärda. Tillsynsmyndigheterna bör kunna begära att parter som är föremål för utredning och som lämnar in eller har lämnat in handlingar eller redogörelser identifierar konfidentiell information.

(57)

Om företagshemligheter eller annan konfidentiell information behövs för att styrka en överträdelse bör tillsynsmyndigheterna för varje enskild handling på ett proportionerligt sätt bedöma huruvida behovet av utlämnande är större än den skada som kan uppstå till följd av utlämnandet.

(58)

Tillgång till ärendeakten med stöd av rätten till tillgång till allmänna handlingar bör ges i enlighet med medlemsstaternas nationella rätt. I detta avseende är det viktigt att beslutsprocessens integritet skyddas till dess att den behöriga tillsynsmyndigheten antagit sitt slutliga beslutet.

(59)

Det är viktigt att dataskyddsstyrelsen underlättar tillgången till beslut som antagits i enlighet med mekanismerna för samarbete och enhetlighet genom att göra texten till de slutliga beslut som antagits av nationella tillsynsmyndigheter tillgänglig online via lättillgängliga register. I enlighet med tillämplig nationell rätt kan tillsynsmyndigheterna redigera namn, eventuell annan information som gör det möjligt att identifiera parter som är föremål för utredning eller klagande samt annan information som är skyddad enligt tillämplig unionsrätt och nationell rätt.

(60)

Det är viktigt att den omständigheten att klaganden tillhandahålls en version av det slutliga beslutet i enlighet med denna förordning inte påverkar en tillsynsmyndighets möjlighet att besluta huruvida beslutet ska offentliggöras som en del av sina korrigerande befogenheter.

(61)

När en fråga hänskjuts till tvistlösning enligt artikel 65 i förordning (EU) 2016/679 bör den ansvariga tillsynsmyndigheten förse dataskyddsstyrelsen med alla handlingar och all information som krävs för att den ska kunna bedöma tillåtligheten av relevanta och motiverade invändningar och anta beslut enligt artikel 65.1 a i den förordningen. När dataskyddsstyrelsen har tillgång till alla nödvändiga handlingar och all information bör dataskyddsstyrelsens ordförande registrera hänskjutandet av frågan i enlighet med artikel 65.2 i förordning (EU) 2016/679.

(62)

Dataskyddsstyrelsens bindande beslut enligt artikel 65.1 a i förordning (EU) 2016/679 bör uteslutande avse frågor som lett till att tvistlösningen inletts och bör utformas på ett sätt som gör det möjligt för den ansvariga tillsynsmyndigheten att anta sitt slutliga beslut på grundval av dataskyddsstyrelsens beslut.

(63)

För att effektivisera lösningen av tvister mellan tillsynsmyndigheter som hänskjutits till dataskyddsstyrelsen enligt artikel 65.1 b och c i förordning (EU) 2016/679 är det nödvändigt att fastställa förfaranderegler för de handlingar och den information som ska lämnas in till dataskyddsstyrelsen och på vilka dataskyddsstyrelsen bör grunda sitt beslut. Det är också nödvändigt att ange när dataskyddsstyrelsen bör registrera hänskjutandet av ärendet till tvistlösning.

(64)

För att effektivisera förfarandet för antagande av brådskande yttranden och brådskande bindande beslut från dataskyddsstyrelsen enligt artikel 66.2 i förordning (EU) 2016/679 är det nödvändigt att fastställa förfaranderegler för tidpunkten för begäranden om ett brådskande yttrande eller ett brådskande bindande beslut samt de handlingar och den information som ska lämnas till dataskyddsstyrelsen och på vilka dataskyddsstyrelsen bör grunda sitt beslut.

(65)

I förordning (EU) 2016/679 föreskrivs att den registrerade har rätt till ett effektivt rättsmedel om en behörig tillsynsmyndighet underlåter att behandla ett klagomål. Denna förordning skapar inte några nya rättsmedel utöver dem som redan inrättats genom förordning (EU) 2016/679 och begränsar inte heller tillämpningen av de rättsmedel som inrättas genom den förordningen. Vissa bestämmelser i denna förordning är särskilt viktiga för att tillsynsmyndigheterna ska kunna fatta det slutliga beslutet i tid när de behandlar klagomål. Vid bedömningen av huruvida en tillsynsmyndighet har behandlat ett klagomål bör hänsyn tas till huruvida tillsynsmyndigheten har iakttagit vissa tidsfrister som anges i denna förordning och i förordning (EU) 2016/679. Vid denna bedömning är det viktigt att skydda klagandens rätt att få sitt klagomål behandlat inom rimlig tid. Bestämmelserna i denna förordning påverkar inte möjligheten att i nationell rätt föreskriva rättsmedel för parter som är föremål för utredning, med tanke på deras rätt att få sin sak behandlad inom rimlig tid.

(66)

Genomförandet av denna förordning kräver lämpliga digitala verktyg som stöder ett snabbt och säkert informationsutbyte. Det är viktigt att ett lämpligt och säkert gemensamt elektroniskt verktyg finns tillgängligt för alla dataskyddsmyndigheter, med beaktande av de erfarenheter som gjorts vid användningen av befintliga verktyg. Det är också viktigt att de resurser som krävs för genomförandet av ett sådant elektroniskt verktyg tillhandahålls och att ett sådant verktyg underlättar dataskyddsstyrelsens insamling och konsolidering av verkställighetsstatistik om ärenden som rör gränsöverskridande behandling.

(67)

Kapitlen III och IV i denna förordning rör samarbetet mellan tillsynsmyndigheter, de processuella rättigheterna för de parter som är föremål för utredning och klagandes deltagande. Av rättssäkerhetsskäl bör dessa bestämmelser inte tillämpas på utredningar som pågår när denna förordning träder i kraft. De bör tillämpas på utredningar på eget initiativ som inleds efter 15 månader från dagen för denna förordnings ikraftträdande och på klagomålsbaserade utredningar där klagomålet ingavs efter 15 månader från dagen för denna förordnings ikraftträdande. Kapitlen V och VI i denna förordning innehåller förfaranderegler för ärenden som hänskjuts till tvistlösning enligt artikel 65 i förordning (EU) 2016/679 och för begäranden om ett brådskande yttrande eller brådskande bindande beslut enligt artikel 66 i förordning (EU) 2016/679. Av rättssäkerhetsskäl bör dessa kapitel inte tillämpas på ärenden som har hänskjutits till tvistlösning innan denna förordning träder i kraft. De bör tillämpas på alla ärenden som hänskjuts till tvistlösning efter 15 månader från dagen för denna förordnings ikraftträdande.

(68)

Europeiska datatillsynsmannen och dataskyddsstyrelsen har hörts i enlighet med artikel 42.1 och 42.2 i Europaparlamentets och rådets förordning (EU) 2018/1725 (4) och avgav ett gemensamt yttrande den 19 september 2023.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

KAPITEL I

ALLMÄNNA BESTÄMMELSER

Artikel 1

Innehåll och tillämpningsområde

I denna förordning fastställs förfaranderegler för tillsynsmyndigheternas behandling av klagomål och genomförande av utredningar i klagomålsbaserade ärenden och ärenden på eget initiativ inom ramen för verkställigheten av förordning (EU) 2016/679 när dessa ärenden rör gränsöverskridande behandling. Behandlingen av klagomål och genomförandet av utredningar i ärenden som rör gränsöverskridande behandling omfattar fastställandet av huruvida ett ärende rör gränsöverskridande behandling.

Artikel 2

Definitioner

I denna förordning gäller definitionerna i artikel 4 i förordning (EU) 2016/679.

Följande definition ska också tillämpas:

part som är föremål för utredning: den personuppgiftsansvarige eller det personuppgiftsbiträde som utreds för en påstådd överträdelse av förordning (EU) 2016/679 som rör gränsöverskridande behandling.

Artikel 3

Principer för verkställigheten av förordning (EU) 2016/679 i ärenden som rör gränsöverskridande behandling

1.   Tillsynsmyndigheterna ska genomföra förfaranden inom ramen för denna förordning på ett skyndsamt och effektivt sätt. De ska samarbeta med varandra på ett lojalt och effektivt sätt, bland annat genom att vid behov ge stöd och besvara varandras begäranden utan dröjsmål.

2.   En tillsynsmyndighet får förena eller dela upp förfaranden i enlighet med nationell processrätt, i den mån förenandet eller uppdelandet av förfaranden inte undergräver rättigheterna för de parter som är föremål för utredning eller för klaganden.

3.   Klaganden ska ha möjlighet att kommunicera uteslutande med den tillsynsmyndighet till vilken han eller hon har ingett sitt klagomål enligt artikel 77 i förordning (EU) 2016/679.

4.   Behandlingen av ett klagomål ska alltid leda till ett beslut som omfattas av ett effektivt rättsmedel i den mening som avses i artikel 78 i förordning (EU) 2016/679.

5.   För att förfarandena ska bli effektiva får tillsynsmyndigheterna begränsa längden på inlagor från den part som är föremål för utredning och från klaganden, med beaktande av ärendets komplexitet och de handlingar som redan har lämnats in.

KAPITEL II

INGIVANDE AV KLAGOMÅL OCH TIDIG LÖSNING

Artikel 4

Klagomål som rör gränsöverskridande behandling

1.   Ett klagomål på grundval av förordning (EU) 2016/679 som rör gränsöverskridande behandling ska kunna tas upp till prövning under förutsättning att det innehåller följande information:

a)

Namn och kontaktuppgifter för den person som ingett klagomålet.

b)

Om klagomålet inges av ett organ, en organisation eller en sammanslutning utan vinstsyfte som avses i artikel 80 i förordning (EU) 2016/679: bevis för att organet, organisationen eller sammanslutningen har inrättats på vederbörligt sätt i enlighet med lagstiftningen i en medlemsstat.

c)

Om klagomålet inges på grundval av artikel 80.1 i förordning (EU) 2016/679: namn och kontaktuppgifter för det organ, den organisation eller den sammanslutning utan vinstsyfte som inger klagomålet och bevis för att organet, organisationen eller sammanslutningen agerar på grundval av ett mandat från en registrerad.

d)

Information som underlättar identifieringen av den personuppgiftsansvarige eller det personuppgiftsbiträde som är föremål för klagomålet.

e)

En beskrivning av den påstådda överträdelsen av förordning (EU) 2016/679.

Ingen ytterligare information utöver den som avses i första stycket ska krävas för att ett klagomål som rör gränsöverskridande behandling ska kunna tas upp till prövning.

Administrativa arrangemang och krav enligt den nationella processrätten för den tillsynsmyndighet till vilken klagomålet ingetts ska fortsätta att gälla.

2.   Om den tillsynsmyndighet till vilken ett klagomål ingetts fastställer att klagomålet inte innehåller den information som avses i punkt 1 första stycket ska den inom två veckor efter mottagandet av det klagomålet förklara att klagomålet inte kan tas upp till prövning och informera klaganden om skälen till detta.

3.   Klaganden ska inte vara skyldig att ha kontaktat den part som är föremål för utredning innan ett klagomål inges för att det ska kunna tas upp till prövning.

Utan att det påverkar tillämpningen av första stycket ska, om ett klagomål avser utövandet av en rättighet för den registrerade som kräver att den berörda registrerade lämnar in en begäran till den personuppgiftsansvarige, denna begäran göras till den personuppgiftsansvarige innan klagomålet inges.

4.   Den tillsynsmyndighet till vilken klagomålet ingetts ska genom en preliminär slutsats fastställa

a)

huruvida klagomålet rör gränsöverskridande behandling,

b)

vilken tillsynsmyndighet som anses vara behörig att agera som ansvarig tillsynsmyndighet i enlighet med artikel 56.1 i förordning (EU) 2016/679, och

c)

huruvida artikel 56.2 i förordning (EU) 2016/679 är tillämplig.

5.   Om ett klagomål som rör gränsöverskridande behandling kan tas upp till prövning och om ingen tidig lösning har nåtts enligt artikel 5 ska den tillsynsmyndighet till vilken klagomålet ingetts översända klagomålet till den tillsynsmyndighet som den anser är behörig att agera som ansvarig tillsynsmyndighet senast sex veckor efter mottagandet av klagomålet och informera klaganden om detta.

Om den tillsynsmyndighet till vilken klagomålet ingetts fastställer att ett klagomål kan tas upp till prövning ska detta vara bindande för den ansvariga tillsynsmyndigheten.

6.   Inom sex veckor efter mottagandet av ett klagomål ska den tillsynsmyndighet som anses vara behörig att agera som ansvarig tillsynsmyndighet antingen bekräfta sin behörighet eller, om det finns motstridiga uppfattningar om vilken av de övriga berörda tillsynsmyndigheterna som är behörig för det huvudsakliga verksamhetsstället, hänskjuta ärendet till Europeiska dataskyddsstyrelsen (dataskyddsstyrelsen) för tvistlösning i enlighet med artikel 65.1 b i förordning (EU) 2016/679.

Om den tillsynsmyndighet som anses vara behörig att agera som ansvarig tillsynsmyndighet inte bekräftar sin behörighet eller hänskjuter ärendet till dataskyddsstyrelsen inom den tidsfrist som anges i första stycket, ska den tillsynsmyndighet till vilken klagomålet ingetts hänskjuta ärendet till dataskyddsstyrelsen för tvistlösning enligt artikel 65.1 b i förordning (EU) 2016/679.

7.   Utan att det påverkar huruvida ett klagomål kan tas upp till prövning får den tillsynsmyndighet till vilken ett klagomål ingetts eller den ansvariga tillsynsmyndigheten begära att klaganden lämnar in kompletterande information för att underlätta behandlingen av klagomålet och möjliggöra dess fullständiga utredning.

8.   Den ansvariga tillsynsmyndigheten ska utan dröjsmål informera den part som är föremål för utredning om ingivandet av ett klagomål och om dess viktigaste delar.

Artikel 5

Tidig lösning

1.   Ett klagomål som rör gränsöverskridande behandling och avser utövandet av den registrerades rättigheter enligt kapitel III i förordning (EU) 2016/679 får, när så är lämpligt, lösas genom ett förfarande som möjliggör tidig lösning av

a)

den tillsynsmyndighet till vilken klagomålet ingetts, efter det att denna genom en preliminär slutsats har fastställt att klagomålet rör gränsöverskridande behandling och före ett eventuellt översändande av klagomålet till den tillsynsmyndighet som anses vara behörig att agera som ansvarig tillsynsmyndighet, eller

b)

den ansvariga tillsynsmyndighet till vilken klagomålet har översänts, när som helst innan de preliminära slutsatserna lämnas till de övriga berörda tillsynsmyndigheterna enligt artikel 19 i denna förordning, eller, om det förfarande för enkelt samarbete som avses i artikel 6 i denna förordning är tillämpligt, innan utkastet till beslut läggs fram.

Tillsynsmyndigheterna får uppmuntra och underlätta tidig lösning av klagomål och får i detta syfte kommunicera med den part som är föremål för utredning eller klaganden, beroende på vad som är lämpligt.

2.   För att främja tidig lösning ska den tillsynsmyndighet som avses i punkt 1 första stycket a eller b – om den på grundval av bevisning till stöd för detta fastställer att den påstådda överträdelsen har upphört – förklara att ändamålet med klagomålet har förfallit.

Om ändamålet med klagomålet har konstaterats förfallit ska den tillsynsmyndighet som avses i punkt 1 första stycket a eller b i klara och tydliga ordalag informera klaganden:

a)

Om att den påstådda överträdelsen har upphört och att den anser att ändamålet med klagomålet förfallit.

b)

Om konsekvenserna av den tidiga lösningen

c)

Om möjligheten för klaganden att framställa en invändning mot den tidiga lösningen inom fyra veckor efter mottagandet av detta besked.

3.   I ett förfarande inför den tillsynsmyndighet till vilken ett klagomål har ingetts ska denna myndighet, om klaganden inte framställer en invändning inom den tidsfrist som anges i punkt 2 andra stycket c, inom två veckor efter utgången av den tidsfristen fastställa att klagomålet har lösts och informera klaganden, den part som är föremål för utredning och, i tillämpliga fall, den ansvariga tillsynsmyndigheten om denna lösning.

4.   I ett förfarande inför den ansvariga tillsynsmyndighet till vilken klagomålet översänts ska denna myndighet – om klaganden inte framställer en invändning inom den tidsfrist som anges i punkt 2 andra stycket c i denna artikel – inom fyra veckor efter utgången av den tidsfristen lägga fram ett utkast till beslut i enlighet med artikel 60.3 i förordning (EU) 2016/679, i syfte att anta ett slutligt beslut i enlighet med artikel 60.7 i förordning (EU) 2016/679 med fastställande av att klagomålet har lösts.

5.   Tidig lösning av ett klagomål ska inte påverka den ansvariga tillsynsmyndighetens utövande av de befogenheter som anges i artikel 58 i förordning (EU) 2016/679 med avseende på samma sakfråga.

6.   Artiklarna 10–20 är inte tillämpliga på klagomål som lösts enligt denna artikel.

KAPITEL III

SAMARBETE ENLIGT ARTIKEL 60 I FÖRORDNING (EU) 2016/679

AVSNITT 1

ENKELT SAMARBETE

Artikel 6

Förfarande för enkelt samarbete

1.   När den ansvariga tillsynsmyndigheten har bildat sig en preliminär uppfattning om de centrala frågorna i en utredning får den samarbeta med övriga berörda tillsynsmyndigheter genom ett förfarande för enkelt samarbete i enlighet med denna artikel om

a)

den anser att det inte föreligger något rimligt tvivel avseende utredningens omfattning, i synnerhet med avseende på de bestämmelser i förordning (EU) 2016/679 som berörs av den påstådda överträdelse som ska utredas, och

b)

de rättsliga och faktiska omständigheter som identifierats av den ansvariga tillsynsmyndigheten inte kräver det ytterligare samarbete med de övriga berörda tillsynsmyndigheterna som skulle krävas för en komplex utredning, i synnerhet om dessa omständigheter kan hanteras på grundval av tidigare beslut i liknande fall.

Om den ansvariga tillsynsmyndigheten tillämpar det förfarande för enkelt samarbete som avses i första stycket ska artiklarna 10, 11, 16, 19, 20, 23.1 a och b samt 23.2 i denna förordning inte tillämpas. Den ansvariga tillsynsmyndigheten ska lägga fram ett utkast till beslut i enlighet med artikel 60.3 i förordning (EU) 2016/679 inom den tidsfrist som avses i artikel 12.6 i den här förordningen.

2.   Den ansvariga tillsynsmyndigheten ska underrätta de övriga berörda tillsynsmyndigheterna om sin avsikt att tillämpa förfarandet för enkelt samarbete och tillhandahålla information om ärendets särdrag som är relevant för att fastställa om villkoren i punkt 1 i denna artikel är uppfyllda, inom sex veckor efter det att den ansvariga tillsynsmyndigheten har bekräftat sin behörighet enligt artikel 4.6 i denna förordning eller dataskyddsstyrelsen har antagit ett bindande beslut enligt artikel 65.1 b i förordning (EU) 2016/679.

3.   Om någon av de övriga berörda tillsynsmyndigheterna invänder mot tillämpningen av förfarandet för enkelt samarbete inom två veckor efter att ha underrättats därom, ska det förfarandet inte tillämpas och den ansvariga tillsynsmyndigheten ska utarbeta en sammanfattning av de viktigaste frågorna i enlighet med artikel 10 och samarbeta med de övriga berörda tillsynsmyndigheterna enligt förfarandena i kapitel III.

4.   Vid tillämpning av förfarandet för enkelt samarbete ska den ansvariga tillsynsmyndigheten, innan ett utkast till beslut läggs fram, i tillämpliga fall säkerställa att de parter som är föremål för utredning har rätt att bli hörda och att klaganden ges tillfälle att framföra sina synpunkter. Vid tillämpning av denna punkt ska administrativa arrangemang och krav enligt den nationella processrätten för den ansvariga tillsynsmyndigheten, eller i tillämpliga fall den tillsynsmyndighet till vilken klagomålet ingetts, fortsätta att gälla.

5.   Kapitel III är inte tillämpligt på ärenden som behandlas av den berörda tillsynsmyndigheten enligt artikel 56.2 i förordning (EU) 2016/679.

AVSNITT 2

UPPNÅENDE AV SAMFÖRSTÅND I DEN MENING SOM AVSES I ARTIKEL 60.1 I FÖRORDNING (EU) 2016/679

Artikel 7

Tilldelning eller begränsning av rättigheter

Bestämmelserna i detta avsnitt rör samarbetet mellan tillsynsmyndigheter och innebär inte att enskilda eller de parter som är föremål för utredning ges rättigheter eller att deras rättigheter begränsas.

Artikel 8

Samarbete mellan tillsynsmyndigheter

När tillsynsmyndigheterna samarbetar i en strävan att uppnå samförstånd i enlighet med artikel 60.1 i förordning (EU) 2016/679 får de använda alla de medel som föreskrivs i den förordningen, inbegripet ömsesidigt bistånd enligt artikel 61 i den förordningen och gemensamma insatser enligt artikel 62 i den förordningen.

Artikel 9

Relevant information som ska utbytas mellan den ansvariga tillsynsmyndigheten och de övriga berörda tillsynsmyndigheterna

1.   Den ansvariga tillsynsmyndigheten och de övriga berörda tillsynsmyndigheterna ska utbyta den relevanta information som avses i artikel 60.1 och 60.3 i förordning (EU) 2016/679. Denna information ska i tillämpliga fall omfatta följande:

a)

Information om inledandet av en utredning av en påstådd överträdelse av förordning (EU) 2016/679.

b)

Begäranden om information enligt artikel 58.1 e i förordning (EU) 2016/679 och tillhörande handlingar som följer av dessa begäranden.

c)

Information om användningen av andra utredningsbefogenheter som avses i artikel 58.1 i förordning (EU) 2016/679 och tillhörande handlingar som följer av utövandet av dessa utredningsbefogenheter.

d)

Om avsikten är att helt eller delvis avslå eller att avvisa ett klagomål, den ansvariga tillsynsmyndighetens skäl till att avslå eller avvisa klagomålet.

e)

Information om tidig lösning av klagomålet enligt artikel 5 i denna förordning.

f)

Den sammanfattning av de viktigaste frågorna och de kommentarer på denna sammanfattning som avses i artikel 10 i denna förordning.

g)

Information om utredningens omfattning.

h)

Information om händelseutveckling eller nya rön som kan leda till att utredningens omfattning justeras eller till att en ny utredning inleds.

i)

Information om åtgärder som vidtagits och rättsliga analyser som utförts i syfte att fastställa huruvida det har skett en överträdelse av förordning (EU) 2016/679 innan de preliminära slutsatserna och utkastet till beslut utarbetas.

j)

Preliminära slutsatser.

k)

Svaren på de preliminära slutsatserna från de parter som är föremål för utredning.

l)

Klagandens synpunkter på den icke-konfidentiella versionen av de preliminära slutsatserna, och, i förekommande fall, andra aspekter av utredningen angående vilka formella skriftliga inlagor kan ha gjorts av klaganden,

m)

Om klagomålet helt eller delvis avslås eller avvisas, klagandens skriftliga inlagor.

n)

Information om eventuella relevanta åtgärder som den ansvariga tillsynsmyndigheten vidtagit efter att ha mottagit svaren på de preliminära slutsatserna från de parter som är föremål för utredning och före framläggandet av ett sådant utkast till beslut som avses i artikel 60.3 i förordning (EU) 2016/679.

o)

Synpunkter från de parter som är föremål för utredning på ett reviderat utkast till beslut.

p)

All annan information som bedöms vara användbar och relevant för utredningen.

2.   Under utredningen ska den ansvariga tillsynsmyndigheten och de övriga berörda tillsynsmyndigheterna utbyta den information som avses i punkt 1 i denna artikel så snart som möjligt, dock senast en vecka efter det att denna information blir tillgänglig, såvida inte annat föreskrivs i denna förordning eller i förordning (EU) 2016/679.

3.   Dataskyddsstyrelsen får ange närmare arrangemang och krav för utbytet av relevant information mellan tillsynsmyndigheter.

Artikel 10

Sammanfattning av de viktigaste frågorna

1.   När den ansvariga tillsynsmyndigheten har bildat sig en preliminär uppfattning om de centrala frågorna i en utredning ska den utarbeta en sammanfattning av de viktigaste frågorna för samarbetet enligt artikel 60.1 i förordning (EU) 2016/679.

2.   Sammanfattningen av de viktigaste frågorna ska omfatta följande:

a)

De viktigaste relevanta sakförhållandena.

b)

Ett preliminärt fastställande av utredningens omfattning, särskilt de bestämmelser i förordning (EU) 2016/679 som berörs av den påstådda överträdelse som ska utredas.

c)

De rättsliga och faktiska omständigheter som identifierats.

d)

En analys av relevanta synpunkter från den part som är föremål för utredning eller klaganden, om dessa synpunkter finns tillgängliga vid tidpunkten för utarbetandet av sammanfattningen av de viktigaste frågorna.

e)

I tillämpliga fall, en preliminär bedömning av vilka korrigerande åtgärder som kan bli aktuella.

3.   Den ansvariga tillsynsmyndigheten ska utan dröjsmål, dock senast inom tre månader efter det att den ansvariga tillsynsmyndigheten bekräftat sin behörighet enligt artikel 4.6 i denna förordning eller dataskyddsstyrelsen har antagit ett bindande beslut enligt artikel 65.1 b i förordning (EU) 2016/679, tillhandahålla de övriga berörda tillsynsmyndigheterna sammanfattningen av de viktigaste frågorna.

4.   De berörda tillsynsmyndigheterna får lämna kommentarer på sammanfattningen av de viktigaste frågorna inom fyra veckor efter det att de mottagit sammanfattningen. Den ansvariga tillsynsmyndigheten får förlänga denna period med två veckor med hänvisning till ärendets komplexitet eller på begäran av övriga berörda tillsynsmyndigheterna.

5.   Om de berörda tillsynsmyndigheterna lämnar kommentarer enligt punkt 4 ska dessa kommentarer delas med samtligaövriga berörda tillsynsmyndigheter. Den ansvariga tillsynsmyndigheten ska besvara dessa kommentarer inom fyra veckor från utgången av den period som avses i punkt 4 och ange om och hur den avser att beakta dem. Den ansvariga tillsynsmyndigheten får förlänga denna period med två veckor med hänvisning till ärendets komplexitet.

6.   När den tillsynsmyndighet till vilken klagomålet ingetts översänder ett ärende till den ansvariga tillsynsmyndigheten får den lämna information som är relevant för utarbetandet av sammanfattningen av de viktigaste frågorna till den ansvariga tillsynsmyndigheten.

7.   Dataskyddsstyrelsen får ange närmare arrangemang och krav för de berörda tillsynsmyndigheternas lämnande av kommentarer på sammanfattningen av de viktigaste frågorna.

Artikel 11

Användning av medel för att uppnå samförstånd

1.   Enligt artikel 60.1 i förordning (EU) 2016/679 ska den ansvariga tillsynsmyndigheten och de övriga berörda tillsynsmyndigheterna sträva efter att uppnå samförstånd i ärenden som rör gränsöverskridande behandling, i enlighet med den här artikeln, och får använda alla de medel som föreskrivs i förordning (EU) 2016/679, inbegripet ömsesidigt bistånd enligt artikel 61 i förordning (EU) 2016/679 och gemensamma insatser enligt artikel 62 i den förordningen.

2.   Om en berörd tillsynsmyndighet inte instämmer med den ansvariga tillsynsmyndigheten och samförstånd inte kan uppnås får tillsynsmyndigheten göra en begäran om ömsesidigt bistånd enligt artikel 61 i förordning (EU) 2016/679 till den ansvariga tillsynsmyndigheten eller begära att den ansvariga tillsynsmyndigheten genomför gemensamma insatser enligt artikel 62 i den förordningen, eller både och, för att uppnå samförstånd om följande:

a)

Utredningens omfattning i klagomålsbaserade ärenden, inbegripet de bestämmelser i förordning (EU) 2016/679 som aktualiseras av den påstådda överträdelse som ska utredas.

b)

De faktiska eller rättsliga omständigheter som avses i artikel 10.2 c i denna förordning, i tillämpliga fall.

c)

Den preliminära identifieringen av eventuella korrigerande åtgärder enligt artikel 10.2 e i denna förordning.

3.   En begäran enligt punkt 2 i denna artikel ska göras inom en månad efter utgången av den period som avses i artikel 10.5.

4.   Om en begäran att genomföra gemensamma insatser enligt artikel 62 i förordning (EU) 2016/679 görs enligt punkt 2 i den här artikeln ska den ansvariga tillsynsmyndigheten besvara begäran inom en månad efter mottagandet.

5.   Den ansvariga tillsynsmyndigheten ska samarbeta med de övriga berörda tillsynsmyndigheterna på grundval av deras kommentarer på sammanfattningen av de viktigaste frågorna och, i tillämpliga fall, som svar på begäranden enligt artiklarna 61 och 62 i förordning (EU) 2016/679, i en strävan att uppnå samförstånd. Den ansvariga tillsynsmyndigheten ska lägga samförståndet om de frågor som avses i punkt 2 i den här artikeln till grund för att fortsätta utredningen och utarbeta ett utkast till preliminära slutsatser eller, i tillämpliga fall, förse den tillsynsmyndighet till vilken klagomålet ingetts med skälen för tillämpningen av artikel 16.1 i denna förordning.

6.   Om det i en klagomålsbaserad utredning enligt förfarandena enligt artikel 10.5 i denna förordning och punkt 5 i den här artikeln inte råder samförstånd mellan den ansvariga tillsynsmyndigheten och en eller flera övriga berörda tillsynsmyndigheter om det preliminära fastställande av utredningens omfattning som avses i artikel 10.2 b i denna förordning, ska villkoren för att begära ett brådskande bindande beslut enligt artikel 66.3 i förordning (EU) 2016/679 förutsättas vara uppfyllda och den ansvariga tillsynsmyndigheten ska begära ett brådskande bindande beslut av dataskyddsstyrelsen enligt artikel 66.3 i förordning (EU) 2016/679.

7.   När den ansvariga tillsynsmyndigheten begär ett brådskande bindande beslut av dataskyddsstyrelsen enligt punkt 6 i denna artikel ska den tillhandahålla dataskyddsstyrelsen följande:

a)

Den information som avses i artikel 10.2.

b)

Kommentarer från de övriga berörda tillsynsmyndigheter som inte instämmer i den ansvariga tillsynsmyndighetens preliminära fastställande av utredningens omfattning.

c)

Ytterligare utbyten mellan den ansvariga tillsynsmyndigheten och de övriga berörda tillsynsmyndigheterna enligt artiklarna 10.5 och 11.5.

d)

Andra relevanta handlingar eller annan relevant information som dataskyddsstyrelsens begärt.

8.   Dataskyddsstyrelsen ska anta ett brådskande bindande beslut om utredningens omfattning på grundval av all mottagen information.

Artikel 12

Tidsfrister för framläggande av ett utkast till beslut

1.   Den ansvariga tillsynsmyndigheten ska lägga fram ett utkast till beslut enligt artikel 60.3 i förordning (EU) 2016/679 inom femton månader efter det att den ansvariga tillsynsmyndigheten bekräftat sin behörighet enligt artikel 4.6 i den här förordningen eller dataskyddsstyrelsen har antagit ett bindande beslut enligt artikel 65.1 b i förordning (EU) 2016/679.

2.   Om den ansvariga tillsynsmyndigheten gör en begäran enligt artikel 11.6 ska de tidsfrister som avses i punkt 1 i den här artikeln tillfälligt upphöra att löpa till dess att dataskyddsstyrelsen har antagit sitt bindande beslut.

3.   I undantagsfall får den ansvariga tillsynsmyndigheten förlänga den tidsfrist som avses i punkt 1 en gång, med högst tolv månader, med hänvisning till ärendets komplexitet. Den ansvariga tillsynsmyndigheten ska informera de övriga berörda tillsynsmyndigheterna om sin avsikt att förlänga den tidsfrist som avses i punkt 1, med angivande av varaktigheten för och skälen till den planerade förlängningen, minst fyra veckor före utgången av den tidsfrist som avses i punkt 1.

4.   Varje berörd tillsynsmyndighet får framställa en invändning mot förlängningen av tidsfristen inom två veckor efter det att den informerades om den enligt punkt 3. Den berörda myndigheten ska ange skälen till sin invändning. Vid fastställandet av huruvida den tidsfrist som avses i punkt 1 ska förlängas och, i tillämpliga fall, förlängningens varaktighet, ska den ansvariga tillsynsmyndigheten ta vederbörlig hänsyn till en sådan invändning.

5.   Om den ansvariga tillsynsmyndigheten förlänger den tidsfrist som avses i punkt 1 i denna artikel i enlighet med punkterna 3 och 4 i denna artikel får eventuella övriga berörda tillsynsmyndigheter informera den ansvariga tillsynsmyndigheten om att den anser att det finns ett behov att agera för att skydda registrerades rättigheter och friheter. Om den ansvariga tillsynsmyndigheten inte lägger fram ett utkast till beslut inom den förlängda tidsfristen får en tillsynsmyndighet som har informerat den ansvariga tillsynsmyndigheten om ett behov att agera för att skydda registrerades rättigheter och friheter anta en provisorisk åtgärd på sin medlemsstats territorium i enlighet med artikel 55 i förordning (EU) 2016/679. I ett sådant fall ska det förutsättas att det föreligger ett brådskande behov att agera enligt artikel 66.1 i förordning (EU) 2016/679.

6.   Om förfarandet för enkelt samarbete enligt artikel 6 i denna förordning tillämpas ska den ansvariga tillsynsmyndigheten lägga fram ett utkast till beslut enligt artikel 60.3 i förordning (EU) 2016/679 inom tolv månader efter det att den ansvariga tillsynsmyndigheten bekräftat sin behörighet enligt artikel 4.6 i den här förordningen eller dataskyddsstyrelsen har antagit ett bindande beslut enligt artikel 65.1 b i förordning (EU) 2016/679.

Om nationell rätt kräver ett föregående eller efterföljande nationellt förfarande som kräver att ett utkast till beslut läggs framenligt artikel 60.3 i förordning (EU) 2016/679 efter det att den tidsfrist som avses i första stycket löpt ut, får den ansvariga tillsynsmyndigheten förlänga den tidsfristen en gång, med högst två månader. I ett sådant fall ska den ansvariga tillsynsmyndigheten informera de övriga berörda tillsynsmyndigheterna om förlängningen av tidsfristen, med angivande av förlängningens varaktighet, minst två veckor före utgången av den tidsfrist som avses i första stycket.

Artikel 13

Efterföljande nationellt förfarande

1.   Om nationell rätt kräver att ett efterföljande nationellt förfarande rörande samma ärende inleds efter det att ett beslut antagits enligt artikel 18 eller artikel 21, ska den ansvariga tillsynsmyndigheten

a)

inte utarbeta en ny sammanfattning av de viktigaste frågorna,

b)

upprepa förfarandeåtgärderna i enlighet med artikel 16 eller artiklarna 19 och 20 endast om den ansvariga tillsynsmyndighetens faktiska eller rättsliga bedömning skiljer sig från ett föregående beslut som antagits enligt artikel 18 eller artikel 21, och

c)

lägga fram ett utkast till beslut innan något efterföljande beslut antas som skiljer sig från ett föregående beslut enligt artikel 18 eller artikel 21.

2.   De tidsfrister som avses i artikel 12 ska tillämpas på framläggandet av ett utkast till beslut i ett eventuellt efterföljande förfarande som avses i punkt 1 i denna artikel.

AVSNITT 3

TILLÄMPNING AV TIDSFRISTER

Artikel 14

Förfarandeåtgärders och det slutliga beslutets lagenlighet och giltighet

Om denna förordning eller artikel 65.6 i förordning (EU) 2016/679 kräver att en tillsynsmyndighet vidtar en förfarandeåtgärd inom en angiven tidsfrist, ska en sådan åtgärd som vidtas efter det att tidsfristen har löpt ut inte påverka denna förfarandeåtgärds eller det slutliga beslutets lagenlighet eller giltighet.

Artikel 15

Tidsfrister och rätten till ett effektivt rättsmedel

Vid bedömningen av huruvida en tillsynsmyndighet inte har behandlat ett klagomål i enlighet med artikel 78.2 i förordning (EU) 2016/679 ska hänsyn tas till huruvida den tillsynsmyndigheten, inom den tidsfrist som föreskrivs i den här förordningen eller i artikel 65.6 i förordning (EU) 2016/679, inbegripet eventuella förlängningar av en sådan tidsfrist, har

a)

lagt fram ett utkast till beslut eller ett reviderat utkast till beslut, eller

b)

antagit ett slutligt beslut.

AVSNITT 4

KLAGOMÅL SOM HELT ELLER DELVIS AVSLÅS ELLER AVVISAS

Artikel 16

Förfarande för att helt eller delvis avslå eller avvisa ett klagomål i den mening som avses i artikel 60.8 och 60.9 i förordning (EU) 2016/679

1.   Om den ansvariga tillsynsmyndigheten har för avsikt att helt eller delvis avslå eller avvisa ett klagomål ska den, innan den lägger fram ett utkast till beslut enligt artikel 60.3 i förordning (EU) 2016/679, underrätta den tillsynsmyndighet till vilken klagomålet ingetts om skälen till sin preliminära uppfattning att klagomålet helt eller delvis ska avslås eller avvisas.

Den tillsynsmyndighet till vilken klagomålet ingetts ska underrätta klaganden om skälen till den preliminära uppfattning som avses i första stycket, ge klaganden tillfälle att framföra sina synpunkter skriftligen och informera klaganden om följderna av att inte framföra sina synpunkter.

Den ansvariga tillsynsmyndigheten ska fastställa en lämplig tidsfrist för klaganden att framföra sina synpunkter. Denna tidsfrist ska inte vara kortare än tre veckor eller längre än sex veckor.

2.   Den tillsynsmyndighet till vilken klagomålet ingetts ska översända alla synpunkter som framförts av klaganden till den ansvariga tillsynsmyndigheten så snart som möjligt, dock senast en vecka efter det att de blir tillgängliga.

3.   Om de synpunkter som framförts av klaganden i enlighet med punkt 1 i denna artikel inte leder till en ändring av den preliminära uppfattning som avses i punkt 1 första stycket ska den ansvariga tillsynsmyndigheten, i samarbete med den tillsynsmyndighet till vilken klagomålet ingetts, utarbeta ett utkast till beslut och lägga fram det för de övriga berörda tillsynsmyndigheterna i enlighet med artikel 60.3 i förordning (EU) 2016/679.

4.   Om det i det utkast till beslut som lagts fram enligt punkt 3 konstateras att klagomålet delvis ska avslås eller avvisas, ska den ansvariga tillsynsmyndigheten fortsätta sin utredning i samarbete med de övriga berörda tillsynsmyndigheterna angående den del av klagomålet som återstår att utreda.

Artikel 17

Reviderat utkast till beslut om att helt eller delvis avslå eller avvisa ett klagomål

Om den ansvariga tillsynsmyndigheten anser att det reviderade utkastet till beslut i den mening som avses i artikel 60.5 i förordning (EU) 2016/679 om att helt eller delvis avslå eller avvisa ett klagomål innehåller nya uppgifter som klaganden bör ges tillfälle att framföra sina synpunkter på, ska den tillsynsmyndighet till vilken klagomålet ingetts, innan det reviderade utkastet till beslut enligt artikel 60.5 i förordning (EU) 2016/679 läggs fram, ge klaganden tillfälle att framföra sina synpunkter på sådana nya uppgifter i enlighet med artikel 16 i den här förordningen.

Artikel 18

Beslut om att helt eller delvis avslå eller avvisa ett klagomål

Vid antagandet av ett beslut om att helt eller delvis avslå eller avvisa ett klagomål i enlighet med artikel 60.8 eller 60.9 i förordning (EU) 2016/679 ska den tillsynsmyndighet till vilken klagomålet ingetts underrätta klaganden om vilka rättsmedel som står till hans eller hennes förfogande i enlighet med artikel 78 i förordning (EU) 2016/679.

AVSNITT 5

BESLUT RIKTADE TILL PARTER SOM ÄR FÖREMÅL FÖR UTREDNING

Artikel 19

Preliminära slutsatser och rätten att bli hörd

1.   Efter att ha genomfört de samråd och förfaranden som avses i artiklarna 10 och 11 i denna förordning ska den ansvariga tillsynsmyndigheten, om den har för avsikt att lägga fram ett utkast till beslut i den mening som avses i artikel 60.3 i förordning (EU) 2016/679 för de övriga berörda tillsynsmyndigheterna om att en överträdelse av förordning (EU) 2016/679 har konstaterats, utarbeta ett utkast till preliminära slutsatser.

2.   De preliminära slutsatserna ska innefatta slutsatserna från utredningen och redogöra för de framförda påståendena på ett uttömmande och tillräckligt tydligt sätt, så att de parter som är föremål för utredning kan få vetskap om det agerande som utreds av den ansvariga tillsynsmyndigheten. De preliminära slutsatserna ska i synnerhet innehålla en tydlig beskrivning av alla sakförhållanden, en förteckning över den bevisning som åberopas och hela den rättsliga bedömning som gjorts gällande gentemot de parter som är föremål för utredning, så att de kan uttrycka sina synpunkter på dessa sakförhållanden och de rättsliga slutsatser som den ansvariga tillsynsmyndigheten har för avsikt att dra i utkastet till beslut i den mening som avses i artikel 60.3 i förordning (EU) 2016/679.

De preliminära slutsatserna ska, på grundval av den information som finns tillgänglig i det skedet och utan att det påverkar synpunkterna från de parter som är föremål för utredning, ange korrigerande åtgärder som den ansvariga tillsynsmyndigheten överväger att vidta.

Om den ansvariga tillsynsmyndigheten, på grundval av den information som finns tillgänglig i det skedet och utan hinder av synpunkterna från de parter som är föremål för utredning, överväger huruvida en administrativ sanktionsavgift ska påföras i enlighet med artikel 83 i förordning (EU) 2016/679, ska den i de preliminära slutsatserna ange de viktigaste rättsliga och faktiska omständigheter som den har kännedom om och som den har för avsikt att förlita sig på när den beslutar huruvida en administrativ sanktionsavgift ska påföras och till vilket belopp, med beaktande av de omständigheter som förtecknas i artikel 83.2 i förordning (EU) 2016/679, inbegripet eventuella försvårande eller förmildrande omständigheter som den avser att beakta.

3.   Den ansvariga tillsynsmyndigheten ska översända de preliminära slutsatserna till de övriga berörda tillsynsmyndigheterna. Dessa myndigheter får lämna kommentarer på dessa slutsatser till den ansvariga tillsynsmyndigheten inom fyra veckor från översändandet av de preliminära slutsatserna till de övriga berörda tillsynsmyndigheterna. Om någon av de övriga berörda tillsynsmyndigheterna begär det ska den ansvariga tillsynsmyndigheten förlänga denna period med två veckor.

4.   Den ansvariga tillsynsmyndigheten ska underrätta var och en av de parter som är föremål för utredning om de preliminära slutsatserna, i förekommande fall i ändrad lydelse för att ta hänsyn till de kommentarer som lämnats av de övriga berörda tillsynsmyndigheterna.

5.   Den ansvariga tillsynsmyndigheten ska, när den underrättar de parter som är föremål för utredning om de preliminära slutsatserna, fastställa en lämplig tidsfrist, som inte får vara kortare än tre veckor eller längre än sex veckor efter dagen för underrättelsen, inom vilken dessa parter får lämna skriftliga synpunkter, eller hålla en utfrågning inom samma tidsfrist för att höra de parter som är föremål för utredning muntligen.

6.   När den ansvariga tillsynsmyndigheten underrättar de parter som är föremål för utredning om de preliminära slutsatserna ska den ge dessa parter tillgång till ärendeakten i enlighet med artiklarna 24 och 25.

7.   De parter som är föremål för utredning får i sitt svar på de preliminära slutsatserna redogöra för alla sakförhållanden och rättsliga argument som de känner till och som är relevanta för deras försvar mot den ansvariga tillsynsmyndighetens påståenden. De ska bifoga alla handlingar som kan tjäna som bevis för de angivna sakförhållandena. Den ansvariga tillsynsmyndigheten ska grunda sitt utkast till beslut endast på de påståenden och sakförhållanden, och den rättsliga bedömning som grundar sig på dessa sakförhållanden, som de parter som är föremål för utredning har getts tillfälle att yttra sig över.

Artikel 20

Översändande av preliminära slutsatser till klaganden

1.   Om den ansvariga tillsynsmyndigheten meddelar preliminära slutsatser i ett ärende i vilket den har mottagit ett klagomål, ska den tillsynsmyndighet till vilken klagomålet ingetts förse klaganden med dessa preliminära slutsatser, i enlighet med reglerna om tillgång till ärendeakten och om konfidentiell information enligt artiklarna 24 och 25, och den ansvariga tillsynsmyndigheten ska fastställa en lämplig tidsfrist, som inte får vara kortare än tre veckor eller längre än sex veckor, inom vilken klaganden får framföra sina synpunkter skriftligen.

2.   Vid tillämpningen av punkt 1 ska administrativa arrangemang och krav enligt nationell processrätt för den tillsynsmyndighet till vilken klagomålet ingetts fortsätta att gälla.

3.   Punkt 1 i denna artikel ska också tillämpas om den ansvariga tillsynsmyndigheten

a)

behandlar ett klagomål gemensamt med andra klagomål,

b)

behandlar en del av ett klagomål separat, eller

c)

på något sätt justerar utredningens omfattning enligt de preliminära slutsatserna, även efter ett bindande beslut av dataskyddsstyrelsen enligt artikel 11.8.

Artikel 21

Antagande av slutligt beslut

1.   Efter att ha lagt fram utkastet till beslut för de övriga berörda tillsynsmyndigheterna enligt artikel 60.3 i förordning (EU) 2016/679 och om ingen av dessa övriga tillsynsmyndigheter invänder mot utkastet till beslut inom de perioder som avses i artikel 60.4 eller 60.5 i förordning (EU) 2016/679, beroende på vad som är tillämpligt, ska den ansvariga tillsynsmyndigheten inom en månad efter utgången av den period som avses i artikel 60.4 eller 60.5 i förordning (EU) 2016/679

a)

anta det beslut som avses i artikel 60.7 eller, i tillämpliga fall, artikel 60.9 i förordning (EU) 2016/679, och

b)

meddela det beslut som avses i led a till den personuppgiftsansvariges eller personuppgiftsbiträdets huvudsakliga verksamhetsställe eller enda verksamhetsställe, allt efter omständigheterna.

2.   Den information som ska lämnas till klaganden enligt artikel 60.7 och 60.9 i förordning (EU) 2016/679 ska bestå av

a)

en version av det antagna beslutet som innehåller beslutsdelen i sin helhet och skälen till beslutet, med utelämnande av uppgifter som anses vara konfidentiella i enlighet med artikel 25 i den här förordningen, eller

b)

en sammanfattning av det antagna beslutet, inklusive relevanta sakförhållanden och skälen till beslutet.

Under alla omständigheter ska klaganden på begäran tillhandahållas en version av det beslut som avses i första stycket som innehåller beslutsdelen i sin helhet och skälen till beslutet, med utelämnande av uppgifter som anses vara konfidentiella i enlighet med artikel 25 i denna förordning.

Administrativa arrangemang och krav enligt den nationella processrätten för den ansvariga tillsynsmyndigheten ska fortsätta att gälla.

Artikel 22

Rätten att bli hörd i samband med det reviderade utkast till beslut i vilket en överträdelse konstateras

1.   Om den ansvariga tillsynsmyndigheten anser att det reviderade utkastet till beslut i den mening som avses i artikel 60.5 i förordning (EU) 2016/679, i vilket en överträdelse av förordning (EU) 2016/679 konstateras, innehåller nya uppgifter som de parter som är föremål för utredning ska ges tillfälle att framföra sina synpunkter på, ska den ansvariga tillsynsmyndigheten, innan det reviderade utkastet till beslut enligt artikel 60.5 i förordning (EU) 2016/679 läggs fram, ge de parter som är föremål för utredning tillfälle att framföra sina synpunkter på sådana nya uppgifter.

2.   Den ansvariga tillsynsmyndigheten ska fastställa en lämplig tidsfrist som inte får vara kortare än tre veckor eller längre än sex veckor inom vilken de parter som är föremål för utredning får framföra sina synpunkter.

3.   Den ansvariga tillsynsmyndigheten ska informera de övriga berörda tillsynsmyndigheterna om de synpunkter som framförts av de parter som är föremål för utredning så snart som möjligt, dock senast en vecka efter det att de blir tillgängliga.

AVSNITT 6

RELEVANTA OCH MOTIVERADE INVÄNDNINGAR

Artikel 23

Relevanta och motiverade invändningar

1.   En relevant och motiverad invändning enligt definitionen i artikel 4.24 i förordning (EU) 2016/679 ska

a)

baseras på faktiska och rättsliga omständigheter som ingår i utkastet till beslut eller samarbetsakten,

b)

inte avse omfattningen av en utredning om ingen av de berörda tillsynsmyndigheterna har lämnat kommentarer i enlighet med artikel 10.4 i denna förordning eller om samförstånd har uppnåtts till följd av mottagna kommentarer, eller omfattningen av en utredning såsom denna har fastställts i ett bindande beslut av dataskyddsstyrelsen som antagits enligt artikel 11.8 i denna förordning,

c)

inte avse ett utkast till beslut som antagits i enlighet med artikel 5 i denna förordning.

2.   Oaktat vad som sägs i punkt 1 b får en berörd tillsynsmyndighet lämna relevanta och motiverade invändningar som avser omfattningen av en utredning som avses i punkt 1 b, i vederbörligen motiverade fall, förutsatt att följande gäller:

a)

Den ansvariga tillsynsmyndigheten har underlåtit att utreda alla uppgifter i den sammanfattning av de viktigaste frågorna om vilken samförstånd uppnåtts enligt artikel 10.5 eller artikel 11.5, eller har underlåtit att följa dataskyddsstyrelsens bindande beslut enligt artikel 11.8, eller,

b)

nya uppgifter som inte var tillgängliga när samförståndet uppnåddes om sammanfattningen av de viktigaste frågorna enligt artikel 10.5 eller artikel 11.5, eller vid tidpunkten för dataskyddsstyrelsens bindande beslut enligt artikel 11.8, visar att utkastet till beslut utgör en betydande risk för den registrerades grundläggande rättigheter och friheter och, i tillämpliga fall, det fria flödet av personuppgifter inom unionen, eller både och.

3.   En relevant och motiverad invändning ska vara tillräckligt tydlig, konsekvent och precis och ska, vid behov, identifiera de delar av utkastet till beslut som ska ändras för att göra det möjligt för tillsynsmyndigheterna att utarbeta sina ståndpunkter och, allt efter omständigheterna, för att dataskyddsstyrelsen ska kunna lösa tvisten på ett effektivt sätt.

KAPITEL IV

ÄRENDEAKT, SAMARBETSAKT OCH BEHANDLING AV KONFIDENTIELL INFORMATION

Artikel 24

Ärendeakt

1.   Ärendeakten i en utredning av en påstådd överträdelse av förordning (EU) 2016/679 ska bestå av de handlingar som den ansvariga tillsynsmyndigheten och de övriga berörda tillsynsmyndigheterna har mottagit eller utarbetat under utredningsförfarandet, inbegripet all bevisning till de berördas för- och nackdel.

Ärendeakten ska inte innehålla interna meddelanden inom en tillsynsmyndighet.

2.   På begäran av en part som är föremål för utredning, eller klaganden om beslutet kan påverka dennes intressen negativt, ska den ansvariga tillsynsmyndigheten bevilja de parter som är föremål för utredning, eller klaganden, tillgång till ärendeakten, så att de kan utöva sin rätt att bli hörda.

Första stycket ska inte påverka förmånligare regler om beviljande av tillgång till ärendeakten enligt den nationella rätten för den ansvariga tillsynsmyndigheten.

Om tillgång beviljas i enlighet med första stycket ska den part som är föremål för utredning ges sådan tillgång av den ansvariga tillsynsmyndigheten, medan klaganden ska ges sådan tillgång av den tillsynsmyndighet till vilken klagomålet ingetts.

3.   Följande handlingar eller delar av följande handlingar ska undantas från tillgång, oberoende av om tillgång beviljas enligt unionsrätten eller nationell rätt:

a)

Skriftväxling eller överläggningar mellan tillsynsmyndigheterna.

b)

Konfidentiell information enligt artikel 25.1.

4.   Den ansvariga tillsynsmyndigheten ska bevilja tillgång till relevanta och motiverade invändningar som lämnats in enligt artikel 60.4 i förordning (EU) 2016/679, och på grundval av vilka den har för avsikt att anta ett reviderat utkast till beslut, endast om sådan tillgång är nödvändig för att de parter som är föremål för utredning eller klaganden ska kunna framföra sina synpunkter och försvara sina rättigheter.

Artikel 25

Identifiering och skydd av konfidentiell information

1.   Alla uppgifter, handlingar eller delar av handlingar ska anses vara konfidentiella i den mån de innehåller företagshemligheter enligt definitionen i Europaparlamentets och rådets direktiv (EU) 2016/943 (5) eller annan konfidentiell information i enlighet med unionsrätten eller nationell rätt.

2.   Om inte annat föreskrivs i unionsrätten eller nationell rätt får information som samlats in, utarbetats eller erhållits av en tillsynsmyndighet i ett ärende som rör gränsöverskridande behandling enligt förordning (EU) 2016/679 och som anses vara konfidentiell enligt punkt 1 inte kommuniceras till eller göras tillgänglig för en part som är föremål för utredning, klaganden eller tredje man.

3.   En part som är föremål för utredning, klaganden eller en tredje man som lämnar information som den anser vara konfidentiell ska tydligt identifiera den informationen och ange skälen till den begärda konfidentialiteten. Den part som är föremål för utredning, klaganden eller tredje man ska alltid tillhandahålla den fullständiga versionen av informationen. Om möjligt ska den också tillhandahålla en föreslagen icke-konfidentiell version.

4.   Utan att det påverkar tillämpningen av punkt 3 får den tillsynsmyndighet till vilken informationen lämnas begära att de parter som är föremål för utredning, eller varje annan person som lägger fram handlingar, anger vilka handlingar eller delar av handlingar som de anser innehåller företagshemligheter eller annan konfidentiell information som tillhör dem och att de identifierar de berörda personerna med avseende på konfidentialiteten för dessa företagshemligheter eller annan konfidentiell information.

5.   Den tillsynsmyndighet till vilken informationen lämnas ska fastställa en lämplig tidsfrist på högst sex veckor för parter som är föremål för utredning och varje annan person som begär konfidentialitet för den inlämnade informationen, inom vilken de ska

a)

styrka sina påståenden om att den inlämnade informationen innehåller företagshemligheter eller annan konfidentiell information för varje enskild handling eller del av handling, redogörelse eller del av redogörelse,

b)

föreslå, om möjligt, en icke-konfidentiell version av handlingarna och redogörelserna i vilken företagshemligheter eller annan konfidentiell information maskerats,

c)

ge en kortfattad och icke-konfidentiell beskrivning av varje maskerad uppgift.

6.   Om de parter som är föremål för utredning eller någon annan person inte uppfyller kraven i punkterna 4 och 5 får den tillsynsmyndighet till vilken informationen lämnas anta att de berörda handlingarna eller redogörelserna inte innehåller företagshemligheter eller annan konfidentiell information.

7.   Den tillsynsmyndighet till vilken informationen lämnas ska avgöra om informationen eller relevanta och specifika delar av handlingar är konfidentiella, i enlighet med punkt 1. Den ska säkerställa att maskeringen av handlingar begränsas till vad som är nödvändigt och proportionellt för att skydda den konfidentiella informationen. Den tillsynsmyndighet till vilken informationen lämnas ska underrätta de andra tillsynsmyndigheterna om informationens konfidentiella karaktär när den översänds.

8.   Information som anses vara konfidentiell information enligt den nationella rätten för den tillsynsmyndighet till vilken informationen lämnas och som utbyts mellan tillsynsmyndigheter vid tillämpningen av förordning (EU) 2016/679 ska fortsätta att behandlas konfidentiellt av den tillsynsmyndighet som tar emot den.

Artikel 26

Samarbetsakt

1.   För utbyte av relevant information mellan den ansvariga tillsynsmyndigheten och övriga berörda tillsynsmyndigheter i enlighet med artikel 9 ska den ansvariga tillsynsmyndigheten säkerställa att sådan relevant information görs tillgänglig genom en samarbetsakt för varje klagomål eller utredning. Samarbetsakten ska omfatta all information som utbyts enligt artikel 9.

2.   Samarbetsakten ska bevaras i elektronisk form och ska, med hjälp av ett gemensamt elektroniskt verktyg, vara tillgänglig på distans för tillsynsmyndigheter och – när ett ärende hänskjutits till tvistlösning enligt artikel 65.1 a i förordning (EU) 2016/679, och, i tillämpliga fall, när ett brådskande yttrande eller ett brådskande bindande beslut begärs enligt artikel 66 i den förordningen – för dataskyddsstyrelsen. Samarbetsakten ska inte vara direkt tillgänglig för parter som är föremål för utredning, klagande eller tredje man.

KAPITEL V

TVISTLÖSNING

Artikel 27

Hänskjutande till tvistlösning enligt artikel 65.1 a i förordning (EU) 2016/679

1.   Inom tre månader efter utgången av den period som avses i artikel 60.4 i förordning (EU) 2016/679 ska den ansvariga tillsynsmyndigheten lägga fram ett reviderat utkast till beslut enligt artikel 60.5 i den förordningen eller hänskjuta ärendet till dataskyddsstyrelsen för tvistlösning enligt artikel 65.1 a i den förordningen.

2.   Inom tre månader efter utgången av den period som avses i artikel 60.5 i förordning (EU) 2016/679 ska den ansvariga tillsynsmyndigheten lägga fram ett annat reviderat utkast till beslut i enlighet med artikel 60.5 i den förordningen eller hänskjuta ärendet till dataskyddsstyrelsen för tvistlösning enligt artikel 65.1 a i den förordningen.

3.   När ärendet hänskjuts till tvistlösning enligt artikel 65.1 a i förordning (EU) 2016/679 ska den ansvariga tillsynsmyndigheten förse dataskyddsstyrelsen med följande:

a)

Utkastet till beslut eller det reviderade utkastet till beslut mot vilket relevanta och motiverade invändningar har riktats.

b)

En sammanfattning av relevanta sakförhållanden.

c)

Skriftliga synpunkter från de parter som är föremål för utredning enligt artikel 19 och, allt efter omständigheterna, artikel 22 i denna förordning, åtminstone i den mån dessa synpunkter rör det ärende som inkommit till dataskyddsstyrelsen.

d)

Skriftliga synpunkter från klagande, allt efter omständigheterna, enligt artiklarna 16, 17 och 20 i denna förordning, åtminstone i den mån dessa synpunkter rör det ärende som inkommit till dataskyddsstyrelsen.

e)

Relevanta och motiverade invändningar som den ansvariga tillsynsmyndigheten inte instämt i och invändningar som den ansvariga tillsynsmyndigheten avvisat som icke relevanta eller motiverade.

f)

Skälen till att den ansvariga tillsynsmyndigheten inte instämt i relevanta och motiverade invändningarna eller avvisat invändningarna som icke relevanta eller motiverade.

4.   Dataskyddsstyrelsen får begära ytterligare handlingar från en tillsynsmyndighet med avseende på det ärende som inkommit till den.

5.   Dataskyddsstyrelsen ska, inom fyra veckor efter det att den fått tillgång till de handlingar och den information som avses i punkt 3 i denna artikel, preliminärt fastställa huruvida de invändningar som avses i artikel 65.1 a i förordning (EU) 2016/679 är relevanta och motiverade invändningar och huruvida de är förenliga med artikel 23 i denna förordning. Inom samma period ska dataskyddsstyrelsens ordförande registrera hänskjutandet av det ärende som inkommit till dataskyddsstyrelsen. Så snart hänskjutandet har registrerats ska akten lämnas över till dataskyddsstyrelsens ledamöter.

6.   Den tidsfrist för antagande av dataskyddsstyrelsens bindande beslut som föreskrivs i artikel 65.2 i förordning (EU) 2016/679 ska inte löpa under den period som anges i punkt 5 i den här artikeln.

Artikel 28

Hörande av den part som är föremål för utredning och klaganden före antagandet av ett beslut enligt artikel 65.1 a i förordning (EU) 2016/679

1.   Innan det bindande beslutet enligt artikel 65.1 a i förordning (EU) 2016/679 antas ska dataskyddsstyrelsen ge den part som är föremål för utredning, eller, om dataskyddsstyrelsens beslut skulle kunna leda till att ett klagomål helt eller delvis avslås eller avvisas, klaganden, tillfälle att framföra sina skriftliga synpunkter på alla nya faktiska eller rättsliga omständigheter som dess beslut ska grundas på, inbegripet om de relevanta och motiverade invändningar som dataskyddsstyrelsen avser att instämma i sitt beslut.

2.   Om den part som är föremål för utredning eller klaganden, beroende på vad som är tillämpligt, ges tillfälle att framföra sina synpunkter i enlighet med punkt 1, ska dataskyddsstyrelsen fastställa en lämplig tidsfrist på högst två veckor för att framföra synpunkter.

3.   Den tidsfrist för antagande av dataskyddsstyrelsens bindande beslut som föreskrivs i artikel 65.2 i förordning (EU) 2016/679 ska avbrytas tills den part som är föremål för utredning, eller klaganden, beroende på vad som är tillämpligt, har framfört sina synpunkter eller tills den tidsfrist som avses i punkt 2 i den här artikeln har löpt ut, beroende på vad som infaller först.

Artikel 29

Förfarande i samband med beslut enligt artikel 65.1 b i förordning (EU) 2016/679

1.   När ett ärende hänskjuts till dataskyddsstyrelsen enligt artikel 65.1 b i förordning (EU) 2016/679 ska den tillsynsmyndighet som hänskjuter ärendet förse dataskyddsstyrelsen med följande:

a)

En sammanfattning av relevanta sakförhållanden, inbegripet om behandlingen i fråga.

b)

En bedömning av dessa relevanta sakförhållanden för att fastställa om en tillsynsmyndighet är behörig att agera som ansvarig tillsynsmyndighet enligt artikel 56.1 i förordning (EU) 2016/679, i synnerhet en bedömning av huruvida behandlingen ska anses utgöra gränsöverskridande behandling och av var den personuppgiftsansvariges eller personuppgiftsbiträdets huvudsakliga verksamhetsställe är beläget.

c)

Synpunkter som framförts av den personuppgiftsansvarige eller det personuppgiftsbiträde vars huvudsakliga verksamhetsställe är föremål för hänskjutandet.

d)

Synpunkter från andra tillsynsmyndigheter som berörs av hänskjutandet.

e)

Alla andra handlingar eller all annan information som den tillsynsmyndighet som hänskjuter ärendet anser vara relevanta och nödvändiga för att finna en lösning i ärendet.

2.   Dataskyddsstyrelsen får begära ytterligare handlingar från en tillsynsmyndighet med avseende på det ärende som inkommit till den.

3.   Dataskyddsstyrelsens ordförande ska, inom en vecka efter det att han eller hon fått tillgång till de handlingar och den information som avses i punkt 1, registrera hänskjutandet av det ärende som inkommit till dataskyddsstyrelsen. Så snart hänskjutandet har registrerats ska akten lämnas över till dataskyddsstyrelsens ledamöter.

Artikel 30

Förfarande i samband med beslut enligt artikel 65.1 c i förordning (EU) 2016/679

1.   När ett ärende hänskjuts till dataskyddsstyrelsen enligt artikel 65.1 b i förordning (EU) 2016/679 ska tillsynsmyndigheten eller kommissionen förse dataskyddsstyrelsen med följande:

a)

En sammanfattning av relevanta sakförhållanden.

b)

I förekommande fall, det yttrande som avgetts av dataskyddsstyrelsen enligt artikel 64 i förordning (EU) 2016/679, eller, i förekommande fall, det beslut som antagits av den behöriga tillsynsmyndigheten efter det yttrande som avgetts av dataskyddsstyrelsen enligt artikel 64 i förordning (EU) 2016/679.

c)

Synpunkterna från den tillsynsmyndighet som hänskjuter ärendet eller från kommissionen, allt efter omständigheterna, om huruvida en tillsynsmyndighet var skyldig att översända utkastet till beslut till dataskyddsstyrelsen enligt artikel 64.1 i förordning (EU) 2016/679, eller om en tillsynsmyndighet inte följt yttrandet från dataskyddsstyrelsen som avgetts enligt artikel 64 i förordning (EU) 2016/679, inbegripet en uppgift om vilka delar av yttrandet som inte följts och en hänvisning till den relevanta delen av det antagna beslutet.

2.   Dataskyddsstyrelsen ska begära in följande:

a)

Synpunkter från den tillsynsmyndighet som påstås ha brutit mot kravet på att översända ett utkast till beslut till dataskyddsstyrelsen eller underlåtit att följa ett yttrande från dataskyddsstyrelsen.

b)

Alla andra handlingar eller all annan information som tillsynsmyndigheten anser vara relevanta och nödvändiga för att finna en lösning i ärendet.

3.   Dataskyddsstyrelsen får begära ytterligare handlingar från en tillsynsmyndighet med avseende på det ärende som inkommit till den.

4.   Dataskyddsstyrelsens ordförande ska, inom en vecka efter det att han eller hon fått tillgång till de handlingar eller den information som avses i punkt 2, registrera hänskjutandet av det ärende som inkommit till dataskyddsstyrelsen. Så snart hänskjutandet har registrerats ska akten överlämnas till dataskyddsstyrelsens ledamöter.

5.   Om en tillsynsmyndighet meddelar sin avsikt att lämna synpunkter på det hänskjutna ärendet ska den lämna dessa synpunkter inom två veckor efter det hänskjutande som avses i punkt 1.

KAPITEL VI

SKYNDSAMT FÖRFARANDE

Artikel 31

Brådskande yttrande enligt artikel 66.2 i förordning (EU) 2016/679

1.   En begäran om ett brådskande yttrande från dataskyddsstyrelsen enligt artikel 66.2 i förordning (EU) 2016/679 ska göras senast fyra veckor innan provisoriska åtgärder som antagits enligt artikel 66.1 i den förordningen upphör att gälla och ska innehålla följande:

a)

En sammanfattning av relevanta sakförhållanden, inbegripet påståendena om överträdelse av förordning (EU) 2016/679.

b)

Den provisoriska åtgärd som antagits på territoriet för medlemsstaten för den tillsynsmyndighet som begär det brådskande yttrandet, dess varaktighet och skälen till att den antagits, inbegripet en motivering av det brådskande behovet att agera för att skydda de registrerades rättigheter och friheter.

c)

En motivering av det brådskande behovet att anta slutliga åtgärder, inbegripet en förklaring av den exceptionella karaktären hos de omständigheter som kräver att dessa slutliga åtgärder antas.

2.   Dataskyddsstyrelsen får begära ytterligare handlingar från en tillsynsmyndighet med avseende på det ärende som inkommit till den för ett brådskande yttrande.

3.   Dataskyddsstyrelsens ordförande ska, inom en vecka efter det att han eller hon fått tillgång till de handlingar och den information som avses i punkt 1, registrera hänskjutandet av det ärende som inkommit till dataskyddsstyrelsen. Så snart hänskjutandet har registrerats ska akten lämnas över till dataskyddsstyrelsens ledamöter.

Artikel 32

Brådskande bindande beslut enligt artikel 66.2 i förordning (EU) 2016/679

1.   En begäran om ett brådskande bindande beslut från dataskyddsstyrelsen enligt artikel 66.2 i förordning (EU) 2016/679 ska göras senast fyra veckor innan provisoriska åtgärder som antagits enligt artikel 61.8, artikel 62.7 eller artikel 66.1 i den förordningen upphör att gälla. Denna begäran ska innehålla följande:

a)

En sammanfattning av relevanta sakförhållanden, inbegripet påståendena om överträdelse av förordning (EU) 2016/679.

b)

Den provisoriska åtgärd som antagits på territoriet för medlemsstaten för den tillsynsmyndighet som begär det brådskande bindande beslutet, dess varaktighet och skälen till att den antagits, inbegripet motiveringen av det brådskande behovet att agera för att skydda de registrerades rättigheter och friheter.

c)

Information om eventuella utredningsåtgärder som vidtagits på territoriet för medlemsstaten för den tillsynsmyndighet som begär det brådskande bindande beslutet och svar från de parter som är föremål för utredning eller annan information som den begärande tillsynsmyndigheten förfogar över.

d)

En motivering av det brådskande behovet att anta slutliga åtgärder, med beaktande av den exceptionella karaktären hos de omständigheter som kräver att dessa åtgärder vidtas, eller bevis för att en tillsynsmyndighet har underlåtit att följa artikel 61.5 eller artikel 62.2 i förordning (EU) 2016/679.

e)

Den ansvariga tillsynsmyndighetens synpunkter, om den begärande tillsynsmyndigheten inte är den ansvariga tillsynsmyndigheten.

f)

I tillämpliga fall, synpunkter från det lokala verksamhetsställe för de parter som är föremål för utredning till vilket de provisoriska åtgärder som avses i artikel 66.1 i förordning (EU) 2016/679 är riktade.

2.   Dataskyddsstyrelsen får begära ytterligare handlingar från en tillsynsmyndighet med avseende på det ärende som inkommit till den.

3.   Dataskyddsstyrelsens ordförande ska, inom en vecka efter mottagandet av de handlingar och den information som avses i punkt 1, registrera hänskjutandet av det ärende som inkommit till dataskyddsstyrelsen. Så snart hänskjutandet har registrerats ska akten lämnas över till dataskyddsstyrelsens ledamöter.

4.   Om dataskyddsstyrelsen antar ett brådskande bindande beslut om att slutliga åtgärder ska antas, ska den tillsynsmyndighet till vilken beslutet är riktat anta sådana åtgärder innan de provisoriska åtgärder som antagits enligt artikel 66.1 i förordning (EU) 2016/679 upphör att gälla.

5.   Om det i det brådskande bindande beslutet anges att slutliga åtgärder inte skyndsamt behöver antas, ska den ansvariga tillsynsmyndigheten och de övriga berörda tillsynsmyndigheterna följa förfarandet i artikel 60 i förordning (EU) 2016/679.

Artikel 33

Brådskande yttrande eller brådskande bindande beslut enligt artikel 66.3 i förordning (EU) 2016/679

1.   En begäran om ett brådskande yttrande eller ett brådskande bindande beslut från dataskyddsstyrelsen enligt artikel 66.3 i förordning (EU) 2016/679 ska innehålla följande:

a)

En sammanfattning av relevanta sakförhållanden.

b)

En motivering av det brådskande behovet att vidta lämpliga åtgärder för att skydda de registrerades rättigheter och friheter, med beaktande av de exceptionella omständigheter som kräver att sådana åtgärder antas, i synnerhet alla omständigheter som den behöriga tillsynsmyndigheten borde ha beaktat för att skydda de registrerades rättigheter och friheter.

c)

Information, när sådan är relevant och tillgänglig, om eventuella utredningsåtgärder som den begärande tillsynsmyndigheten vidtagit på den medlemsstats territorium där den tillsynsmyndighet som begär ett brådskande yttrande eller ett brådskande bindande beslut är belägen samt svar från de parter som är föremål för utredning eller annan information som den begärande tillsynsmyndigheten förfogar över.

d)

Synpunkterna från den behöriga tillsynsmyndighet som avses i artikel 66.3 i förordning (EU) 2016/679.

2.   Dataskyddsstyrelsen får begära ytterligare handlingar från en tillsynsmyndighet med avseende på det ärende som inkommit till den.

3.   Dataskyddsstyrelsens ordförande ska, inom en vecka efter det att han eller hon fått tillgång till de handlingar och den information som avses i punkt 1, registrera hänskjutandet av det ärende som inkommit till dataskyddsstyrelsen. Så snart hänskjutandet har registrerats ska akten lämnas över till dataskyddsstyrelsens ledamöter.

KAPITEL VII

ALLMÄNNA BESTÄMMELSER OCH SLUTBESTÄMMELSER

Artikel 34

Verkställighetsstatistik om ärenden som rör gränsöverskridande behandling

1.   Som en del av den årliga rapport som ska utarbetas enligt artikel 71 i förordning (EU) 2016/679 ska dataskyddsstyrelsen tillhandahålla statistik om verkställigheten av förordning (EU) 2016/679 i ärenden som omfattas av den här förordningen, i synnerhet följande:

a)

Antalet klagomålsbaserade ärenden och ärenden på eget initiativ som inletts.

b)

Antalet klagomålsbaserade ärenden och ärenden på eget initiativ som avslutats.

c)

Antalet utredningar som begärts av berörda tillsynsmyndigheter enligt artikel 61.1 i förordning (EU) 2016/679.

d)

Antalet klagomål som ingetts.

e)

Antalet klagomål som helt eller delvis avslagits eller avvisats.

f)

Den genomsnittliga handläggningstiden för klagomålsbaserade ärenden och ärenden på eget initiativ och som avslutats.

g)

Antal och belopp för administrativa sanktionsavgifter som påförts enligt artiklarna 83 och 84 i förordning (EU) 2016/679.

2.   Om den statistik som avses i punkt 1 inte är direkt tillgänglig för dataskyddsstyrelsen ska tillsynsmyndigheterna på begäran och i god tid överlämna den till dataskyddsstyrelsen.

Artikel 35

Kommissionens rapport

Som en del av sin rapport om utvärderingen och översynen av förordning (EU) 2016/679 enligt artikel 97 i den förordningen ska kommissionen också rapportera om hur den här förordningen tillämpas och fungerar.

Artikel 36

Övergångsbestämmelser

Kapitlen III och IV ska tillämpas på utredningar på eget initiativ som inleds efter den 2 april 2027 och på klagomålsbaserade utredningar där klagomålet ingavs efter den 2 april 2027.

Kapitlen V och VI i den här förordningen ska tillämpas på alla ärenden som hänskjuts till tvistlösning enligt artikel 65 och på det skyndsamma förfarandet enligt artikel 66.2 och 66.3 i förordning (EU) 2016/679 efter den 2 april 2027.

Artikel 37

Ikraftträdande och tillämpning

1.   Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning.

2.   Denna förordning ska tillämpas från och med den 2 april 2027.

Denna förordning är till alla delar bindande och direkt tillämplig i alla medlemsstater.

Utfärdad i Strasbourg den 26 november 2025.

På Europaparlamentets vägnar

R. METSOLA

Ordförande

På rådets vägnar

M. BJERRE

Ordförande

(1)   EUT C, C/2024/1578, 5.3.2024, ELI: http://data.europa.eu/eli/C/2024/1578/oj.

(2)  Europaparlamentets ståndpunkt av den 21 oktober 2025 (ännu inte offentliggjord i EUT) och rådets beslut av den 17 november 2025.

(3)  Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 4.5.2016, s. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(4)  Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (EUT L 295, 21.11.2018, s. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

(5)  Europaparlamentets och rådets direktiv (EU) 2016/943 av den 8 juni 2016 om skydd mot att icke röjd know-how och företagsinformation (företagshemligheter) olagligen anskaffas, utnyttjas och röjs (EUT L 157, 15.6.2016, s. 1, ELI: http://data.europa.eu/eli/dir/2016/943/oj).

ELI: http://data.europa.eu/eli/reg/2025/2518/oj

ISSN 1977-0820 (electronic edition)

Top

Full & Egal Universal Law Academy