Europeiska unionens råd Bryssel den 28 november 2014 (OR. en) Interinstitutionellt ärende: 2012/0011 (COD) 15656/1/14 REV 1 DATAPROTECT 170 JAI 891 MI 898 DRS 154 DAPIX 172 FREMP 210 COMIX 616 CODEC 2276 NOT från: till: Ärende: Ordförandeskapet Rådet Förslag till Europaparlamentets och rådets förordning om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (allmän uppgiftsskyddsförordning) - Mekanismen för en enda kontaktpunkt = Riktlinjedebatt I. Inledande kommentarer Principen om en enda kontaktpunkt utgör tillsammans med mekanismen för enhetlighet en av de viktigaste pelarna i förslaget till en allmän uppgiftsskyddsförordning. Vid RIF-rådets möten i oktober och december 2013 utfärdade ministrarna följande huvudsakliga riktlinjer för att slutföra arbetet med mekanismen för en enda kontaktpunkt: Utkastet till förordning bör i viktiga gränsöverskridande fall föreskriva en mekanism för en enda kontaktpunkt för att man ska nå fram till ett enda tillsynsbeslut, som är snabbt, säkerställer enhetlig tillämpning, skapar rättslig säkerhet och minskar den administrativa bördan. 15656/1/14 REV 1 anb/ab 1
Experter bör undersöka metoder för att öka "närheten" mellan enskilda personer och den beslutsfattande tillsynsmyndigheten genom medverkan av lokala tillsynsmyndigheter i beslutsprocessen. Ytterligare arbete på teknisk nivå bör inbegripa utredande av möjligheten att i vissa fall ge Europeiska dataskyddsstyrelsen befogenhet att anta bindande beslut om korrigeringsåtgärder. Vid mötet i juni 2014 gav rådet ordförandeskapet i uppdrag att fortsätta arbetet med den enda kontaktpunkten ( ). Det grekiska ordförandeskapet har fortsatt ansträngningarna för att lösa problemen med mekanismens effektivitet och närheten till enskilda personer. Ordförandeskapet har gripit sig an de två kvarstående frågorna angående den enda kontaktpunkten, nämligen att öka den faktiska närheten för enskilda personer och att i ett begränsat antal fall tilldela styrelsen bindande befogenheter ( ). Kapitlen VI, VII och VIII i utkastet till förordning har därför varit föremål för intensiva diskussioner i arbetsgruppen för informationsutbyte och uppgiftsskydd. 15656/1/14 REV 1 anb/ab 2
II. Den nuvarande situationen inga effektiva lösningar för gränsöverskridande fall För närvarande föreskrivs i direktiv 95/46/EG ingen detaljerad skyldighet för potentiellt berörda tillsynsmyndigheter (= dataskyddsmyndigheter) att samordna sin verksamhet eller samarbeta med varandra. Denna situation har lett till rättsosäkerhet för företag och ett fragmenterat och ineffektivt skydd för enskilda personer när det gäller uppgiftsbehandling med gränsöverskridande verkan. När ett företag bedriver verksamhet i mer än en medlemsstat måste det alltså ha kontakt med flera dataskyddsmyndigheter, dock utan några som helst garantier för att dessa dataskyddsmyndigheter samordnar sin verksamhet eller samarbetar med varandra när de antar sina ståndpunkter. En registrerad som berörs av behandling utförd av ett företag med verksamhet i flera medlemsstater och som riktar sitt klagomål till sin lokala dataskyddsmyndighet med begäran om en korrigerande åtgärd, kan ofta beviljas en åtgärd med begränsad skyddsverkan. Det kan med andra ord ofta vara så att dataskyddsmyndighetens åtgärder inte är tillräckligt effektiva och omfattande och sålunda inte på ett tillfredsställande sätt beaktar inverkan på den enskilda personens rättigheter. Om den registrerade söker ett mer omfattande skydd i sådana gränsöverskridande fall har han eller hon ofta inget annat val än att lämna in klagomål till flera dataskyddsmyndigheter, utan garantier för att dessa kommer att samordna sin verksamhet och samarbeta för att komma fram till ett enhetligt beslut som är bindande för dem alla. När behandling som utförs av ett företag som är etablerat i endast en medlemsstat påverkar registrerade i andra medlemsstater, kan dessutom bara dataskyddsmyndigheten i det land där företaget är etablerat besluta om behandlingen, medan övriga dataskyddsmyndigheter som kan beröras av behandlingen inte har någon roll att spela. 15656/1/14 REV 1 anb/ab 3
III. Situationen enligt utkastet till förordning Ordförandeskapet har ytterligare förtydligat de kategorier av fall som dataskyddsmyndigheterna måste ta upp till behandling. Målet är att ha ett system som grundar sig på objektiva kriterier som återspeglar verkligheten på fältet och att se till att det beslut som fattas är verkningsfullt både när det gäller stärkt rättslig säkerhet för företag och en hög skyddsnivå för enskilda personer. Texten anger tre typer av fall. 1. Lokala fall (artikel 51) Ordförandeskapet har ytterligare förtydligat den allmänna princip enligt vilken situationer vid behandling av personuppgifter som påverkar bara en medlemsstat eller personer i bara en medlemsstat även i fortsättningen bör hanteras endast av den lokala dataskyddsmyndigheten och inte omfattas av de särskilda reglerna för en enda kontaktpunkt. Närmare bestämt anges i den nuvarande texten 1 följande allmänna kriterier för lokala fall: Varje tillsynsmyndighet ska ha hand om fall som rör den egna medlemsstatens territorium (territoriell behörighet). Varje tillsynsmyndighet ska hantera de fall där den registeransvarige är en offentlig myndighet eller ett offentligt organ i medlemsstaten (funktionell behörighet). Varje tillsynsmyndighet ska vara behörig för behandling som äger rum inom ramen för den verksamhet som bedrivs av ett verksamhetsställe för en registeransvarig eller en registerförare på dess medlemsstats territorium eller som uteslutande påverkar registrerade på dess medlemsstats territorium (materiell behörighet). Förmodligen kan ett stort antal fall som rör löpande behandling anses vara lokala fall som ska hanteras av den lokala dataskyddsmyndigheten. De lokala dataskyddsmyndigheternas beslut kommer att kunna överklagas vid domstolarna i den lokala dataskyddsmyndighetens medlemsstat. 1 16090/14 DATAPROTECT 180 JAI 956 MI 943 DRS 161 DAPIX 161 FREMP 218 COMIX 644 CODEC 2364. 15656/1/14 REV 1 anb/ab 4
2. Gränsöverskridande fall en enda kontaktpunkt Behandlingar med gränsöverskridande verkan innebär utmaningar för företag, enskilda personer och tillsynsmyndigheter. Mekanismen för en enda kontaktpunkt är avsedd att medföra ökad rättslig säkerhet, effektivitet för företag och faktisk närhet för enskilda personer. Mekanismen bygger på stärkt samarbete och samordning mellan en "ledande dataskyddsmyndighet" och andra berörda dataskyddsmyndigheter. 2.1. Kriterier för fall med en enda kontaktpunkt (artikel 51a) Mekanismen för en enda kontaktpunkt bör aktiveras endast i viktiga gränsöverskridande fall. I den nuvarande texten anges följande kriterier för dessa viktiga gränsöverskridande fall: 1. Behandling inom ramen för den verksamhet som bedrivs av ett verksamhetsställe för samma registeransvarige eller registerförare som är etablerad i mer än en medlemsstat: i detta fall kommer den "ledande dataskyddsmyndigheten" att vara den där den registeransvariges eller registerförarens huvudsakliga verksamhetsställe är beläget. 2. Behandling av en registeransvarig eller en registerförare som är etablerad i endast en medlemsstat vilken i väsentlig grad påverkar eller sannolikt kommer att i väsentlig grad påverka registrerade i andra medlemsstater eller i alla medlemsstater: i detta fall kommer "den ledande dataskyddsmyndigheten" att vara den där den registeransvariges eller registerförarens enda verksamhetsställe är beläget. 2.2. Kriterier för berörda dataskyddsmyndigheter (artikel 4.19a) Ett väsentligt inslag i mekanismen för en enda kontaktpunkt som ytterligare har stärkts av ordförandeskapet avser alla berörda dataskyddsmyndigheters medverkan i beslutsprocessen. Begreppet "berörd dataskyddsmyndighet" omfattar dataskyddsmyndigheter som är berörda antingen för att ett verksamhetsställe för den registeransvarige eller registerföraren är beläget i deras medlemsstat eller för att registrerade som finns i deras medlemsstat (t.ex.: klagande) i väsentlig grad påverkas av behandlingen. Beroende på vilken typ av behandling det rör sig om (t.ex.: Europaomfattande behandling eller behandling som begränsar sig till bara några medlemsstater) kan alla eller bara vissa dataskyddsmyndigheter delta i mekanismen för en enda kontaktpunkt. 15656/1/14 REV 1 anb/ab 5
Den registeransvarige eller registerföraren ska ange sitt huvudsakliga verksamhetsställe till tillsynsmyndigheten i den medlemsstat där det huvudsakliga verksamhetsstället är beläget. Tillsynsmyndigheten ska meddela Europeiska dataskyddsstyrelsen denna uppgift. Europeiska dataskyddsstyrelsen kan föra ett offentligt register över denna information. 2.3. Samarbete och gemensamt beslutsfattande (medbeslutande) (artikel 54a) Den ledande dataskyddsmyndigheten samarbetar med övriga berörda dataskyddsmyndigheter i ett försök att nå konsensus. Efter att ha utrett fallet (när så är lämpligt även med stöd av övriga berörda dataskyddsmyndigheter genom ömsesidigt bistånd och regler för gemensamma insatser) överlämnar den ledande dataskyddsmyndigheten ett utkast till beslut till alla berörda dataskyddsmyndigheter för yttrande. Det finns två möjliga resultat: antingen når den ledande dataskyddsmyndigheten och de berörda dataskyddsmyndigheterna gemensamt enighet om beslutet eller också gör en berörd dataskyddsmyndighet en motiverad invändning. Det gemensamt överenskomna beslutet bör omfatta resultaten av den utredning som har gjorts av fallet. Detta inbegriper ett fastställande av huruvida det har skett en överträdelse av förordningen eller inte, de åtgärder som ska vidtas vid överträdelse (t.ex. förbud mot en form av profilering) eller ett beslut om avslag på klagomålet om det inte har skett någon överträdelse. 2.4. Vem ger verkan åt det gemensamt överenskomna beslutet? (artikel 54a) Den nuvarande texten klargör att det gemensamt överenskomna beslutet kommer att antas av den dataskyddsmyndighet som har bäst möjlighet att ge det effektivaste skyddet både ur den registeransvariges/registerförarens och den registrerades perspektiv. Samtidigt som det garanteras att ett enda tillsynsbeslut fattas, har ordförandeskapet säkerställt att det sörjs för tillräcklig närhet också i detta skede av mekanismen för en enda kontaktpunkt. I den nuvarande texten görs det skillnad mellan situationer där det gemensamt överenskomna beslutet kommer att antas av den ledande dataskyddsmyndigheten och situationer där beslutet kommer att antas av den lokala dataskyddsmyndigheten. För det första, när det gemensamt överenskomna beslutet till fullo tillmötesgår klagomålet och avser åtgärder som ska vidtas gentemot den registeransvarige/registerföraren, kommer beslutet att ges verkan av den ledande dataskyddsmyndigheten som har bäst möjlighet att erbjuda ett effektivare och mer omfattande rättsmedel. Detta omfattar bland annat fall av förbud mot behandling, eller utövande av rätten till tillgång, rättelse och radering. 15656/1/14 REV 1 anb/ab 6
Den ledande dataskyddsmyndigheten ska anta och anmäla detta enda beslut till den registeransvariges/registerförarens huvudsakliga eller enda verksamhetsställe. Det åligger sedan den registeransvarige/registerförare som det enda beslutet riktar sig till att säkerställa att all dess behandling inom unionen uppfyller kraven. Om den registeransvarige/registerföraren inte kan godta beslutet får den vidta rättsliga åtgärder mot den ledande dataskyddsmyndigheten. De behöriga domstolarna kommer då att vara domstolarna i den medlemsstat där den registeransvariges eller registerförarens huvudsakliga eller enda verksamhetsställe är beläget. För det andra, när det gemensamt överenskomna beslutet går den enskilda personen emot, i synnerhet om hans eller hennes klagomål avslås, kommer det att vara den lokala dataskyddsmyndigheten som antar och ger verkan åt beslutet i sitt nationella rättssystem eftersom den har bäst möjlighet att sörja för ett effektivt skydd och närhet för den berörda personen. Om klaganden inte kan godta beslutet får han eller hon väcka talan vid de nationella domstolarna. De behöriga domstolarna kommer då att vara domstolarna i den medlemsstat där klagomålet har lämnats in. I samtliga fall där beslutet endast delvis tillmötesgår klaganden kommer beslutet att antas av den ledande dataskyddsmyndigheten och den lokala dataskyddsmyndigheten, varvid de behöriga domstolarna, om talan väcks mot beslutet, följaktligen kommer att vara alla berörda parters lokala domstolar. Den lokala dataskyddsmyndigheten bör också vara behörig för alla åtgärder som ska vidtas på dess territorium som en uppföljning av det gemensamt överenskomna enda beslutet. Framför allt behåller de lokala dataskyddsmyndigheterna behörigheten att övervaka och säkerställa genomförandet av det gemensamt överenskomna enda beslutet angående ett verksamhetsställe som är beläget på den egna medlemsstatens territorium. Den lokala dataskyddsmyndighet som fungerar som "en enda kontaktpunkt" för en enskild person kommer också att informera personen i fråga om det positiva resultatet av klagomålet, som framgår av det gemensamt överenskomna beslut som fattats av den ledande dataskyddsmyndigheten. Slutligen gäller att den lokala dataskyddsmyndigheten i brådskande fall också kan anta tillfälliga åtgärder för att skydda de registrerades fri- och rättigheter (artikel 61). 3. Tvistlösningssystem för gränsöverskridande fall 15656/1/14 REV 1 anb/ab 7
3.1. Kriterier för aktivering av tvistlösningssystemet Mekanismen för en enda kontaktpunkt bygger på stärkt samarbete och samordning mellan den ledande dataskyddsmyndigheten och de berörda dataskyddsmyndigheterna och syftar till att garantera en enhetlig tillämpning av förordningen. I detta sammanhang bör framväxten av en samarbetskultur och effekten av det "kollegiala trycket" leda till att konsensus uppnås i de flesta fall, vilket liknande mekanismer som införts på andra områden av EU-lagstiftningen har visat. I den nuvarande texten har man därför infört ett tvistlösningssystem som en säkerhetsmekanism för de sällsynta fall där fallet rör en viktig gränsöverskridande situation, och ingen överenskommelse kan nås mellan de dataskyddsmyndigheter som är involverade i fallet. 3.2. Scenarier för tvistlösning (artikel 57.2a) I den nuvarande texten anges tydligt fyra situationer där tvistlösning bör tillämpas: Meningsskiljaktigheter angående identifiering av den ledande dataskyddsmyndigheten. Meningsskiljaktigheter angående hur samarbetet mellan dataskyddsmyndigheterna (ömsesidigt bistånd, fall med gemensamma insatser) ska fungera. Meningsskiljaktigheter angående sakinnehållet i utkastet till enda beslut, särskilt frågan om det rör sig eller inte rör sig om en överträdelse av förordningen. Meningsskiljaktigheter som följer av en underlåtelse att begära eller följa yttrandet från Europeiska dataskyddsstyrelsen i fall som omfattas av mekanismen för enhetlighet (t.ex. bindande företagsbestämmelser eller uppförandekodexar med gränsöverskridande verkan). 3.3. Europeiska dataskyddsstyrelsens roll I den nuvarande texten föreskrivs att det lämpliga forumet för tvistlösning ska vara Europeiska dataskyddsstyrelsen, som kommer att bestå av samtliga dataskyddsmyndigheter i EU och ha en ställning som juridisk person. Härigenom säkerställs sålunda det oberoende och den sakkunskap som krävs. I den nuvarande texten föreskrivs vidare att styrelsen i de fyra ovannämnda fallen ska avgöra tvisten genom att anta ett bindande beslut. 15656/1/14 REV 1 anb/ab 8
Europeiska dataskyddsstyrelsen ska med två tredjedelars majoritet fatta beslut i den omtvistade frågan. Beslutet ska vara bindande för alla berörda dataskyddsmyndigheter. Den ledande dataskyddsmyndigheten eller den lokala dataskyddsmyndigheten, beroende på resultatet i fallet (t.ex.: avslag på klagomålet eller åtgärder mot den registeransvarige/registerföraren), ska ge verkan åt styrelsens bindande beslut. Genom att ge varje berörd dataskyddsmyndighet rätt att göra en motiverad invändning mot utkastet till beslut och därmed inleda ett tvistlösningsförfarande vid styrelsen och genom att tilldela styrelsen bindande befogenheter att avgöra tvister, stärker denna modell ytterligare alla berörda dataskyddsmyndigheters deltagande och utgör sålunda en ytterligare närhetsskapande faktor. Systemet bör säkerställa att de fysiska/juridiska personer som är inblandade i förfarandet (den registrerade liksom den registeransvarige/registerföraren) har möjlighet att få till stånd en prövning av lagenligheten i styrelsens beslut när det påverkar dem direkt. I detta avseende bör de rättsliga myndigheternas befogenheter att pröva lagenligheten i styrelsens beslut, direkt inför domstolen och/eller indirekt via nationella domstolar, fullt ut skyddas, och man bör säkerställa att parterna kan ifrågasätta lagenligheten i ett sådant beslut vid varje lämpligt skede i förfarandet, så att de grundläggande rättigheterna avseende personuppgifter får ett effektivt rättsligt skydd. I detta syfte förefaller det lämpligt att föreskriva att styrelsens beslut ska delges parterna; delgivningsmetoden får diskuteras senare på en teknisk nivå. Riktlinjedebatt Mot bakgrund av ovanstående uppmanar ordförandeskapet rådet att godkänna beståndsdelarna i den övergripande arkitekturen för mekanismen för en enda kontaktpunkt enligt ovan och att följaktligen ge den tekniska arbetsgruppen vägledning inför det fortsatta arbetet i ärendet. 15656/1/14 REV 1 anb/ab 9