Forordning skal vedtages hurtigt for at strømline håndhævelsen på tværs af grænserne

Bruxelles, den 21. september – Det Europæiske Databeskyttelsesråd (Databeskyttelsesrådet) og Den Europæiske Tilsynsførende for Databeskyttelse (EDPS) vedtog en fælles udtalelse om Europa-Kommissionens forslag til forordning om yderligere procedureregler for håndhævelsen af den generelle forordning om databeskyttelse (GDPR). Formålet med forslaget er at sikre, at undersøgelser afsluttes på rettidig vis, og at enkeltpersoner kan benytte hurtige retsmidler i grænseoverskridende sager ved at harmonisere en række proceduremæssige forskelle i EU og strømline proceduren for grænseoverskridende samarbejde. Forslaget er en opfølgning på en ønskeliste, som Databeskyttelsesrådet fremsendte til Europa-Kommissionen i oktober 2022. 

Formanden for Det Europæiske Databeskyttelsesråd, Anu Talus, udtaler: "Vi hilser Kommissionens hurtige reaktion på vores opfordring til handling velkommen og glæder os over, at vores ønskeliste nu er blevet omdannet til et konkret lovgivningsforslag, som vil supplere GDRP. Formålet med denne fælles udtalelse er at sikre, at den nye forordning fungerer for alle involverede parter. I betragtning af dens store betydning opfordrer vi indtrængende Europa-Parlamentet og Rådet til hurtigt at vedtage denne nye forordning."

Den Europæiske Tilsynsførende for Databeskyttelse, Wojciech Wiewiórowski, udtaler: "Kommissionens forslag er et kærkomment forsøg på at tackle nogle af de udfordringer, som eksperter og fagfolk har konstateret i forbindelse med forvaltningen af one-stop-shop-mekanismen. Med vores fælles udtalelse håber på vi at forbedre den fremtidige lovgivning yderligere og navnlig fremme rettidig tvistbilæggelse i grænseoverskridende sager og sikre, at klageres proceduremæssige rettigheder respekteres under hensyntagen til de begrænsninger, der er indgår i GDRP-håndhævelsesmodellen. Desuden opfordrer vi Europa-Parlamentet og Rådet til at benytte denne lejlighed til at tackle praktiske hindringer for et effektivt samarbejde mellem de nationale databeskyttelsesmyndigheder og EDPS."

Databeskyttelsesrådet og EDPS glæder sig over Kommissionens bestræbelser på at harmonisere de oplysninger, der skal gives, for at en klage kan antages til behandling, og opfordrer herudover til en udtømmende harmonisering af kravene til antagelighed. De noterer sig også med tilfredshed afklaringerne vedrørende retten til aktindsigt i administrative sagsakter. Desuden er Kommissionens forslag om at fremme konsensusskabelse på et tidligt tidspunkt i samarbejdsproceduren afgørende for et mere effektivt og styrket håndhævelsessamarbejde. 

Blandt flere andre anbefalinger er Databeskyttelsesrådet og EDPS af den opfattelse, at forslagene om konsensusskabelse kan forbedres yderligere ved at sikre, at de berørte tilsynsmyndigheder inddrages mere i de forskellige trin i proceduren, så eventuelle tvister på et senere tidspunkt undgås. Navnlig bør de "foreløbige konklusioner", der er rettet til de parter, der er genstand for en undersøgelse, og den "foreløbige holdning" om at afvise klagen deles med de berørte tilsynsmyndigheder, inden de indgives til de parter, der er genstand for en undersøgelse, eller til klageren. Desuden bør der for visse proceduremæssige skridt fastsættes tidsfrister, der kan forlænges under behørigt begrundede omstændigheder, for at muliggøre en hurtig og effektiv håndhævelse. 

Databeskyttelsesrådet og EDPS understreger, at forslaget ikke unødigt bør begrænse de berørte tilsynsmyndigheders mulighed for at fremsætte relevante og begrundede indsigelser mod et udkast til afgørelse, herunder om undersøgelsens omfang. De opfordrer også Europa-Parlamentet og Rådet til ikke at ændre den nuværende tilgang til parternes ret til at blive hørt i den tvistbilæggelsesprocedure, der indledes, når databeskyttelsesmyndighederne ikke når til enighed om en sag. Den foreslåede ændring vil kræve, at formanden for Databeskyttelsesrådet giver de parter, der er genstand for en undersøgelse, og klageren en "begrundelse". Dette forekommer ikke at være i overensstemmelse med strukturen i one-stop-shop-systemet. Det er også unødvendigt i lyset af den nuværende praksis, som giver Databeskyttelsesrådet mulighed for at tage behørigt hensyn til parternes synspunkter og træffe en afgørelse inden for fristerne. 

Hvad angår hasteproceduren i henhold til artikel 66, stk. 2, i GDPR opfordrer Databeskyttelsesrådet og EDPS indtrængende Europa-Parlamentet og Rådet til at præcisere, at de endelige foranstaltninger vedtages af de kompetente databeskyttelsesmyndigheder og, hvor det er relevant, anvendes bredere end den anmodende databeskyttelsesmyndigheds område.

Endelig bør der tages hånd om de eksisterende praktiske hindringer for et effektivt samarbejde mellem de nationale databeskyttelsesmyndigheder og EDPS som understreget i det bidrag til Kommissionens initiativ, som EDPS fremsendte til Kommissionen i april 2023. Databeskyttelsesrådet og EDPS anbefaler derfor, at der indføres en specifik bestemmelse herom. 

Databeskyttelsesrådet og EDPS vedtog også et fælles bidrag som svar på Europa-Kommissionens offentlige høring om en standardrapport til beskrivelse af forbrugerprofileringsteknikker i henhold til artikel 15 i forordningen om digitale markeder. I henhold til nævnte forordning skal udpegede gatekeepere en gang om året indsende sådanne rapporter til Europa-Kommissionen. Formålet med udkastet til standardrapport er at afklare, hvad gatekeepere bør medtage i de uafhængigt reviderede beskrivelser af deres profileringsteknikker. Disse beskrivelser fremsendes af Kommissionen til Databeskyttelsesrådet og danner grundlag for databeskyttelsesmyndighedernes håndhævelsesforanstaltninger.

Databeskyttelsesrådet og EDPS fremsætter flere anbefalinger til afklaring af omfanget af de oplysninger, som Kommissionen anmoder om, og som fremsendes til Databeskyttelsesrådet. De anbefaler, at gatekeepere giver yderligere oplysninger om de kategorier af personoplysninger, der behandles, og deres kilder, livscyklussen for den pågældende behandling, det anvendte retsgrundlag, de foranstaltninger, der er truffet med hensyn til registreredes rettigheder, og en beskrivelse af passende tekniske garantier, der gennemføres af gatekeepere.