(2)For at sikre, at den samarbejds- og tvistbilæggelsesmekanisme, der er omhandlet i artikel 60 og 65 i forordning (EU) 2016/679, fungerer gnidningsfrit og effektivt, er det nødvendigt at fastsætte regler for tilsynsmyndighedernes gennemførelse af procedurer i grænseoverskridende sager og for Databeskyttelsesrådet i forbindelse med tvistbilæggelse, herunder behandling af grænseoverskridende klager. Det er derfor også nødvendigt at fastsætte regler for, hvordan de parter, der er genstand for en undersøgelse, kan udøve deres ret til at blive hørt, inden tilsynsmyndighederne og i givet fald Databeskyttelsesrådet træffer afgørelse.

(3)Klager udgør en vigtig informationskilde, når det drejer sig om at opdage overtrædelser af databeskyttelsesreglerne. Det er nødvendigt at fastlægge klare og effektive procedurer for behandling af klager i grænseoverskridende sager, da en klage kan blive behandlet af en anden tilsynsmyndighed end den, klagen er indgivet til.

(4)For at en klage kan antages til behandling, bør den indeholde visse nærmere angivne oplysninger. For at hjælpe klagerne med at indgive de nødvendige oplysninger til tilsynsmyndighederne bør der derfor stilles en klageformular til rådighed. De oplysninger, der er angivet i formularen, bør kun kræves i tilfælde af grænseoverskridende behandling som omhandlet i forordning (EU) 2016/679, selv om formularen kan anvendes af tilsynsmyndighederne i sager, der ikke vedrører grænseoverskridende behandling. Formularen kan indsendes elektronisk eller pr. post. Det bør være en betingelse for, at en klage vedrørende grænseoverskridende behandling kan behandles som en klage, jf. artikel 77 i forordning (EU) 2016/679, at de oplysninger, der kræves i denne formular, indgives. Der bør ikke kræves yderligere oplysninger, for at en klage kan antages til behandling. Det bør være muligt for tilsynsmyndighederne at gøre det lettere at indgive klager i et brugervenligt elektronisk format og under hensyntagen til behovene hos personer med handicap, så længe de oplysninger, der kræves af klageren, svarer til de oplysninger, der kræves i formularen, og der ikke er behov for yderligere oplysninger, for at klagen kan antages til behandling.

(5)Tilsynsmyndighederne er forpligtet til at træffe afgørelse om klager inden for en rimelig frist. Hvad der er en rimelig frist, afhænger af omstændighederne i den enkelte sag og navnlig af konteksten, den ledende tilsynsmyndigheds forskellige proceduremæssige skridt, parternes adfærd under proceduren og sagens kompleksitet.

(6)Enhver klage, der behandles af en tilsynsmyndighed i henhold til artikel 57, stk. 1, litra f), i forordning (EU) 2016/679, skal undersøges med den fornødne omhu, i det omfang det er hensigtsmæssigt, under hensyntagen til at enhver brug af tilsynsmyndighedens beføjelser skal være hensigtsmæssig, nødvendig og forholdsmæssig med henblik på at sikre overholdelse af forordning (EU) 2016/679. Det er op til den enkelte kompetente myndighed at afgøre, i hvilket omfang en klage skal undersøges. Når tilsynsmyndighederne vurderer, i hvilket omfang en undersøgelse vil være hensigtsmæssig, bør de sigte mod at nå frem til en for klageren tilfredsstillende løsning, som ikke nødvendigvis kræver en udtømmende undersøgelse af alle mulige retlige og faktuelle elementer i forbindelse med klagen, men som giver klageren effektive og hurtige retsmidler. Vurderingen af de nødvendige undersøgelsesforanstaltningers omfang kan baseres på den påståede overtrædelses grovhed, dens systemiske eller gentagne karakter eller det forhold, at klageren også har udnyttet sine rettigheder i henhold til artikel 79 i forordning (EU) 2016/679.

(7)Den ledende tilsynsmyndighed bør give den tilsynsmyndighed, som klagen er indgivet til, de nødvendige oplysninger om forløbet af undersøgelsen med henblik på at give klageren opdateringer.

(8)Den kompetente tilsynsmyndighed bør give klageren adgang til de dokumenter, på grundlag af hvilke tilsynsmyndigheden er nået frem til en foreløbig konklusion om helt eller delvist at afvise klagen.

(9)For at tilsynsmyndighederne hurtigt kan bringe overtrædelser af forordning (EU) 2016/679 til ophør og sikre en hurtig løsning for klagere, bør tilsynsmyndighederne, hvor det er relevant, bestræbe sig på at opnå en mindelig løsning af klagesager. Det forhold, at der er fundet en mindelig løsning på en individuel klage, forhindrer ikke den kompetente tilsynsmyndighed i at forfølge en sag på eget initiativ, f.eks. i tilfælde af systemiske eller gentagne overtrædelser af forordning (EU) 2016/679.

(10)For at sikre, at samarbejds- og sammenhængsmekanismerne i kapitel VII i forordning (EU) 2016/679 fungerer effektivt, er det vigtigt, at grænseoverskridende sager afgøres rettidigt og i overensstemmelse med den ånd af loyalt og effektivt samarbejde, der ligger til grund for artikel 60 i forordning (EU) 2016/679. Den ledende tilsynsmyndighed bør udøve sin kompetence i tæt samarbejde med de øvrige berørte tilsynsmyndigheder. På samme måde bør de berørte tilsynsmyndigheder aktivt deltage i undersøgelsen på et tidligt tidspunkt med henblik på at nå til enighed og gøre fuld brug af de værktøjer, der er fastsat i forordning (EU) 2016/679.

(11)Det er navnlig vigtigt for tilsynsmyndighederne at nå til enighed om centrale aspekter af undersøgelsen så tidligt som muligt og forud for fremsendelsen af påstandene til de parter, der er genstand for en undersøgelse, og for vedtagelsen af det udkast til afgørelse, der er omhandlet i artikel 60 i forordning (EU) 2016/679, for derved at reducere antallet af sager, der forelægges tvistbilæggelsesmekanismen, jf. artikel 65 i forordning (EU) 2016/679, og i sidste ende sikre en hurtig løsning af grænseoverskridende sager.

(12)Samarbejdet mellem tilsynsmyndighederne bør være baseret på en åben dialog, der giver de berørte tilsynsmyndigheder mulighed for på meningsfuld vis at påvirke undersøgelsens forløb ved at dele deres erfaringer og synspunkter med den ledende tilsynsmyndighed under behørig hensyntagen til den enkelte tilsynsmyndigheds skønsmargen, herunder ved vurderingen af, i hvilket omfang det er hensigtsmæssigt at undersøge en sag, og til medlemsstaternes forskellige traditioner. Med henblik herpå bør den ledende tilsynsmyndighed give de berørte tilsynsmyndigheder et resumé af de centrale spørgsmål med en foreløbig vurdering af de vigtigste spørgsmål i en undersøgelse. Resuméet bør gives på et så tidligt tidspunkt, at det er muligt at inddrage de berørte tilsynsmyndigheder effektivt, men samtidig på et tidspunkt, hvor den ledende tilsynsmyndigheds synspunkter om sagen er tilstrækkeligt nuancerede. De berørte tilsynsmyndigheder bør have mulighed for at fremsætte bemærkninger til en bred vifte af spørgsmål såsom undersøgelsens omfang og kortlægningen af komplekse faktuelle og retlige vurderinger. Da undersøgelsens omfang er afgørende for, hvilke spørgsmål den ledende tilsynsmyndighed skal undersøge, bør tilsynsmyndighederne bestræbe sig på at nå til enighed om undersøgelsens omfang så tidligt som muligt.

(13)For at sikre et effektivt og inkluderende samarbejde mellem alle berørte tilsynsmyndigheder og den ledende tilsynsmyndighed bør bemærkningerne fra de berørte tilsynsmyndigheder være kortfattede og formuleret tilstrækkelig klart og præcist til, at de er let forståelige for alle tilsynsmyndigheder. De retlige argumenter bør grupperes efter den del af resuméet af de centrale spørgsmål, som de vedrører. De berørte tilsynsmyndigheders bemærkninger kan suppleres med yderligere dokumenter. Det kan imidlertid ikke kompensere for det forhold, at bemærkningerne ikke indeholder de krævede væsentlige retlige eller faktiske argumenter, at en berørt tilsynsmyndighed i sine bemærkninger blot henviser til supplerende dokumenter. De væsentlige faktiske og retlige omstændigheder, der lægges til grund i disse dokumenter, skal, i det mindste kortfattet, fremgå af selve bemærkningerne på en sammenhængende og forståelig måde.

(14)Sager, der ikke rejser stridsspørgsmål, kræver ikke omfattende drøftelser mellem tilsynsmyndighederne for, at de kan nå til enighed, og kan derfor behandles hurtigere. Hvis ingen af de berørte tilsynsmyndigheder fremsætter bemærkninger til resuméet af de centrale spørgsmål, bør den ledende tilsynsmyndighed inden for ni måneder meddele de foreløbige konklusioner, jf. artikel 14.

(15)Tilsynsmyndighederne bør benytte alle de midler, der er nødvendige for at opnå enighed i en ånd af loyalt og effektivt samarbejde. Hvis der er holdningsforskelle mellem de berørte tilsynsmyndigheder og den ledende tilsynsmyndighed om omfanget af en klagebaseret undersøgelse, herunder om bestemmelserne i forordning (EU) 2016/679, hvis overtrædelse skal undersøges, eller hvis bemærkningerne fra de berørte tilsynsmyndigheder vedrører en vigtig ændring i den komplekse juridiske eller teknologiske vurdering, bør den berørte myndighed anvende de værktøjer, der er fastsat i artikel 61 og 62 i forordning (EU) 2016/679.

(16)Hvis anvendelsen af disse værktøjer ikke gør det muligt for tilsynsmyndighederne at nå til enighed om omfanget af en klagebaseret undersøgelse, bør den ledende tilsynsmyndighed anmode om en hurtig bindende afgørelse fra Databeskyttelsesrådet, jf. artikel 66, stk. 3, i forordning (EU) 2016/679. Med henblik herpå bør det formodes, at der er krav om uopsættelighed. Den ledende tilsynsmyndighed bør drage passende konklusioner af Databeskyttelsesrådets hurtige bindende afgørelse med henblik på de foreløbige konklusioner. Databeskyttelsesrådets hurtige bindende afgørelse kan ikke foregribe resultatet af den ledende tilsynsmyndigheds undersøgelse eller påvirke overholdelsen af de berørte parters ret til at blive hørt. Databeskyttelsesrådet bør navnlig ikke udvide undersøgelsens omfang på eget initiativ.

(17)For at gøre det muligt for klageren at udøve sin ret til effektive retsmidler i henhold til artikel 78 i forordning (EU) 2016/679 bør tilsynsmyndigheden, når den helt eller delvis afviser en klage, gøre det ved en afgørelse, der kan anfægtes ved en national domstol.

(18)Klagere bør have mulighed for at give udtryk for deres synspunkter, inden der træffes en afgørelse, der går dem imod. Ved hel eller delvis afvisning af en klage i en grænseoverskridende sag bør klageren derfor have mulighed for at fremsætte sine synspunkter forud for forelæggelsen af et udkast til afgørelse, jf. artikel 60, stk. 3, i forordning (EU) 2016/679, et revideret udkast til afgørelse, jf. artikel 60, stk. 4, i forordning (EU) 2016/679, eller en bindende afgørelse fra Databeskyttelsesrådet, jf. artikel 65, stk. 1, litra a), i forordning (EU) 2016/679. Klageren kan anmode om aktindsigt i den ikkefortrolige udgave af de dokumenter, der ligger til grund for afgørelsen om helt eller delvis at afvise klagen.

(19)Det er nødvendigt at præcisere ansvarsfordelingen mellem den ledende tilsynsmyndighed og den tilsynsmyndighed, som klagen er indgivet til, i tilfælde af afvisning af en klage i en grænseoverskridende sag. Den tilsynsmyndighed, som klagen er indgivet til, og som er kontaktpunkt for klageren under undersøgelsen, bør indhente klagerens synspunkter om den foreslåede afvisning af klagen og være ansvarlig for al kommunikation med klageren. Al sådan kommunikation bør deles med den ledende tilsynsmyndighed. Eftersom den tilsynsmyndighed, som klagen er indgivet til, jf. artikel 60, stk. 8 og 9, i forordning (EU) 2016/679, har ansvaret for at træffe den endelige afgørelse om afvisning af klagen, bør denne tilsynsmyndighed også have ansvaret for at udarbejde udkastet til afgørelse, jf. artikel 60, stk. 3, i forordning (EU) 2016/679.

(21)For effektivt at sikre retten til god forvaltning og retten til et forsvar som fastsat i Den Europæiske Unions charter om grundlæggende rettigheder ("chartret"), herunder retten for enhver til at blive hørt, inden der træffes en individuel foranstaltning over for den pågældende, som måtte berøre vedkommende negativt, er det vigtigt at fastsætte klare regler for udøvelsen af denne ret.

(22)Reglerne vedrørende den administrative procedure, som tilsynsmyndighederne anvender i forbindelse med håndhævelsen af forordning (EU) 2016/679, bør sikre, at de parter, der er genstand for en undersøgelse, reelt har mulighed for at fremsætte deres synspunkter med hensyn til rigtigheden og relevansen af de kendsgerninger, indsigelser og omstændigheder, som tilsynsmyndigheden har fremført under hele proceduren, og dermed sætte dem i stand til at udøve deres ret til et forsvar. De foreløbige konklusioner indeholder den foreløbige holdning til den påståede overtrædelse af forordning (EU) 2016/679 efter en undersøgelse. De udgør dermed en meget vigtig proceduremæssig garanti, der sikrer, at retten til at blive hørt respekteres. De parter, der er genstand for en undersøgelse, bør modtage de dokumenter, der er nødvendige for at forsvare sig effektivt og fremsætte bemærkninger til de påstande, der gøres gældende mod dem, ved at få aktindsigt i de administrative sagsakter.

(23)I de foreløbige konklusioner fastlægges undersøgelsens omfang og dermed omfanget af enhver fremtidig endelig afgørelse (som alt efter omstændighederne træffes på grundlag af en bindende afgørelse truffet af Databeskyttelsesrådet, jf. artikel 65, stk. 1, litra a), i forordning (EU) 2016/679)), der kan rettes til de dataansvarlige eller databehandlerne. De foreløbige konklusioner bør formuleres således, at de, selv om de er kortfattede, er tilstrækkeligt klare til, at de parter, der er genstand for en undersøgelse, på korrekt vis kan fastslå arten af den påståede overtrædelse af forordning (EU) 2016/679. Forpligtelsen til at give de parter, der er genstand for en undersøgelse, alle de oplysninger, der er nødvendige for, at de kan forsvare sig, er opfyldt, hvis det i den endelige afgørelse ikke gøres gældende, at de parter, der er genstand for en undersøgelse, har begået andre overtrædelser end dem, der er nævnt i de foreløbige konklusioner, og der kun tages hensyn til de faktiske omstændigheder, som de parter, der er genstand for en undersøgelse, har haft lejlighed til at udtale sig om. Den ledende tilsynsmyndigheds endelige afgørelse er imidlertid ikke nødvendigvis en kopi af de foreløbige konklusioner. Den ledende tilsynsmyndighed bør i den endelige afgørelse kunne tage hensyn til svarene fra de parter, der er genstand for en undersøgelse, på de foreløbige konklusioner og, hvor det er relevant, det reviderede udkast til afgørelse, jf. artikel 60, stk. 5, i forordning (EU) 2016/679, og afgørelsen om bilæggelse af tvisten mellem tilsynsmyndighederne, jf. artikel 65, stk. 1, litra a). Den ledende tilsynsmyndighed bør kunne foretage sin egen vurdering af de faktiske omstændigheder og de retlige vurderinger, som de parter, der er genstand for en undersøgelse, har fremført, enten for at opgive indsigelserne, når tilsynsmyndigheden finder dem ubegrundede, eller for at supplere og omformulere sine argumenter, både de jure eller de facto, til støtte for de indsigelser, den fastholder. Eksempelvis kan det forhold, at der tages hensyn til et argument, der er fremført af en part, der er genstand for en undersøgelse under den administrative procedure, uden at denne part har haft mulighed for at udtale sig herom inden vedtagelsen af den endelige afgørelse, ikke i sig selv udgøre en tilsidesættelse af retten til et forsvar.

(24)De parter, der er genstand for en undersøgelse, bør have ret til at blive hørt forud for forelæggelsen af et revideret udkast til afgørelse, jf. artikel 60, stk. 5, i forordning (EU) 2016/679, eller Databeskyttelsesrådets vedtagelse af en bindende afgørelse, jf. artikel 65, stk. 1, litra a), i forordning (EU) 2016/679.

(25)Klagere bør have mulighed for at blive inddraget i de procedurer, der indledes af en tilsynsmyndighed med henblik på at kortlægge eller afklare spørgsmål vedrørende en potentiel overtrædelse af forordning (EU) 2016/679. Det forhold, at en tilsynsmyndighed allerede har indledt en undersøgelse vedrørende klagens genstand eller vil behandle klagen i en undersøgelse på eget initiativ efter modtagelsen af klagen, udelukker ikke, at en registreret kan betragtes som klager. En tilsynsmyndigheds undersøgelse af en dataansvarligs eller databehandlers eventuelle overtrædelse af forordning (EU) 2016/679 udgør imidlertid ikke en kontradiktorisk procedure mellem klageren og de parter, der undersøges. Det er en procedure, der indledes af en tilsynsmyndighed på eget initiativ eller på grundlag af en klage som led i udførelsen af dens opgaver i henhold til artikel 57, stk. 1, i forordning (EU) 2016/679. De parter, der er genstand for en undersøgelse, og klageren befinder sig derfor ikke i samme proceduremæssige situation, og sidstnævnte kan ikke påberåbe sig retten til at blive hørt, når afgørelsen ikke påvirker vedkommendes retsstilling negativt. Klagerens inddragelse i sagen mod de parter, der er genstand for en undersøgelse, kan ikke bringe disse parters ret til at blive hørt i fare.

(26)Klagerne bør have mulighed for at fremsætte deres synspunkter vedrørende de foreløbige konklusioner skriftligt. De bør imidlertid ikke have adgang til forretningshemmeligheder eller andre fortrolige oplysninger, der tilhører andre parter, der er involveret i sagen. Klagere bør ikke have ret til generel aktindsigt i de administrative sagsakter.

(27)Når tilsynsmyndighederne fastsætter frister for parter, der er genstand for en undersøgelse, og klagere til at fremsætte deres synspunkter vedrørende de foreløbige konklusioner, bør de tage hensyn til kompleksiteten af de spørgsmål, der rejses i de foreløbige konklusioner, for at sikre, at de parter, der er genstand for en undersøgelse, og klagerne har tilstrækkelig mulighed for på meningsfuld vis at fremsætte deres synspunkter vedrørende de rejste spørgsmål.

(28)Udvekslingen af synspunkter forud for vedtagelsen af et udkast til afgørelse omfatter en åben dialog og en omfattende udveksling af synspunkter, hvor tilsynsmyndighederne bør gøre deres yderste for at nå til enighed om vejen frem i en undersøgelse. Omvendt bør den uenighed, der er givet udtryk for i relevante og begrundede indsigelser, jf. artikel 60, stk. 4, i forordning (EU) 2016/679, som forbedrer muligheden for tvistbilæggelse mellem tilsynsmyndighederne, jf. artikel 65 i forordning (EU) 2016/679, og forsinker den kompetente tilsynsmyndigheds vedtagelse af en endelig afgørelse, kun undtagelsesvis opstå i tilfælde af, at tilsynsmyndighederne ikke opnår enighed, og hvor det er nødvendigt for at sikre en konsekvent fortolkning af forordning (EU) 2016/679. Sådanne indsigelser bør kun anvendes i beskedent omfang, når det drejer sig om at sikre en konsekvent håndhævelse af forordning (EU) 2016/679, eftersom enhver anvendelse af relevante og begrundede indsigelser forsinker den registreredes adgang til retsmidler. Da omfanget af undersøgelsen og de relevante faktiske omstændigheder bør fastlægges, inden de foreløbige konklusioner meddeles, bør de berørte tilsynsmyndigheder ikke rejse disse spørgsmål i relevante og begrundede indsigelser. De kan dog tages op af de berørte tilsynsmyndigheder i deres bemærkninger til resuméet af centrale spørgsmål, jf. artikel 9, stk. 3, inden de foreløbige konklusioner meddeles de parter, der er genstand for en undersøgelse.

(29)For at sikre en effektiv og inkluderende afslutning på tvistbilæggelsesproceduren, hvor alle tilsynsmyndigheder bør kunne bidrage med deres synspunkter, og under hensyntagen til tidspresset i forbindelse med tvistbilæggelse, bør relevante og begrundede indsigelsers form og struktur opfylde visse krav. Derfor bør relevante og begrundede indsigelser begrænses til en fastsat længde, klart kortlægge uenigheden i udkastet til afgørelse og formuleres tilstrækkelig klart, sammenhængende og præcist.

(30)Aktindsigt i administrative sagsakter er fastsat som en del af retten til et forsvar og retten til god forvaltning, der er nedfældet i chartret. De parter, der er genstand for en undersøgelse, bør have aktindsigt i de administrative sagsakter, når de underrettes om de foreløbige konklusioner, og der bør fastsættes en frist for indgivelsen af deres skriftlige svar på de foreløbige konklusioner.

(31)Når tilsynsmyndighederne giver aktindsigt i de administrative sagsakter, bør de sikre, at forretningshemmeligheder og andre fortrolige oplysninger beskyttes. Kategorien "andre fortrolige oplysninger" omfatter andre oplysninger end forretningshemmeligheder, der kan betragtes som fortrolige, for så vidt som det vil være til betydelig skade for en registeransvarlig, en databehandler eller en fysisk person, hvis de videregives. Tilsynsmyndighederne bør kunne anmode de parter, der er genstand for en undersøgelse, og som fremlægger eller har fremlagt dokumenter eller erklæringer, om at udpege de fortrolige oplysninger.

(33)Når et spørgsmål henvises til tvistbilæggelse, jf. artikel 65 i forordning (EU) 2016/679, bør den ledende tilsynsmyndighed give Databeskyttelsesrådet alle de oplysninger, der er nødvendige for, at det kan vurdere, om de relevante og begrundede indsigelser kan antages, og træffe afgørelse i henhold til artikel 65, stk. 1, litra a), i forordning (EU) 2016/679. Når Databeskyttelsesrådet har modtaget alle de nødvendige dokumenter, der er anført i artikel 23, bør formanden for Databeskyttelsesrådet registrere forelæggelsen af spørgsmålet, jf. artikel 65, stk. 2, i forordning (EU) 2016/679.

(34)Databeskyttelsesrådets bindende afgørelse i henhold til artikel 65, stk. 1, litra a), i forordning (EU) 2016/679 bør udelukkende vedrøre de spørgsmål, der førte til indledning af tvistbilæggelsesproceduren, og være udformet på en måde, der gør det muligt for den ledende tilsynsmyndighed at træffe sin endelige afgørelse på grundlag af Databeskyttelsesrådets afgørelse, samtidig med at den bevarer sin skønsbeføjelse.

(36)For at strømline proceduren for Databeskyttelsesrådets vedtagelse af hasteudtalelser og hurtige bindende afgørelser, jf. artikel 66, stk. 2, i forordning (EU) 2016/679, er det nødvendigt at fastsætte procedureregler for tidsplanen for anmodningen om en hasteudtalelse eller en hurtig bindende afgørelse, de dokumenter, der skal forelægges Databeskyttelsesrådet, og som Databeskyttelsesrådet bør basere sin afgørelse på, hvem Databeskyttelsesrådets udtalelse eller afgørelse skal rettes til, og konsekvenserne af Databeskyttelsesrådets udtalelse eller afgørelse.

(38)Den Europæiske Tilsynsførende for Databeskyttelse og Det Europæiske Databeskyttelsesråd er blevet hørt i overensstemmelse med artikel 42, stk. 2, i forordning (EU) 2018/1725 og afgav en fælles udtalelse den [...] —

Artikel 1

Genstand

I denne forordning fastsættes procedurereglerne for tilsynsmyndighedernes behandling af klager og gennemførelse af undersøgelser i sager indledt på baggrund af klager eller på eget initiativ i forbindelse med grænseoverskridende håndhævelse af forordning (EU) 2016/679.

(1)"parter, der er genstand for en undersøgelse": dataansvarlig(e) og/eller databehandler(e), der undersøges for en påstået overtrædelse af forordning (EU) 2016/679 i forbindelse med grænseoverskridende behandling

(2)"resumé af centrale spørgsmål": resumé, som skal fremlægges for de berørte tilsynsmyndigheder af den ledende tilsynsmyndighed, og hvoraf de primære relevante omstændigheder og den ledende tilsynsmyndigheds synspunkter i sagen fremgår

(3)"foreløbige konklusioner": det dokument, som den ledende tilsynsmyndighed skal fremlægge for de parter, der er genstand for en undersøgelse, og hvoraf påstande, relevante omstændigheder, dokumentation, den retlige analyse og, hvis det er relevant, foreslåede korrigerende foranstaltninger fremgår

1.En klage på baggrund af forordning (EU) 2016/679, der vedrører grænseoverskridende behandling, skal indeholde de oplysninger, der kræves i den formular, som er angivet i bilaget. Der kræves ikke yderligere oplysninger for, at klagen kan antages.

2.Den tilsynsmyndighed, til hvilken klagen er indgivet, fastslår, om klagen vedrører grænseoverskridende behandling.

3.Den tilsynsmyndighed, til hvilken klagen er indgivet, afgør inden for en måned, om de oplysninger, som kræves i formularen, er fuldstændige.

4.Efter vurdering af om de oplysninger, som kræves i formularen, er fuldstændige, videregiver den tilsynsmyndighed, til hvilken klagen er indgivet, klagen til den ledende tilsynsmyndighed.

5.Hvis klageren ved indgivelse af klagen anfører, at den indeholder forretningshemmeligheder, skal klageren også indgive en ikkefortrolig udgave af klagen.

6.Den tilsynsmyndighed, til hvilken klagen er indgivet, bekræfter modtagelsen af klagen inden for en uge. Denne bekræftelse vedrører ikke vurderingen af klagens antagelighed i henhold til stk. 3.

Kapitel II Indgivelse og behandling af klager

Undersøgelse af klager

Ved vurdering af i hvilket omfang den enkelte klage bør undersøges, tager tilsynsmyndigheden hensyn til alle relevante omstændigheder, herunder alle de følgende:

a)det hensigtsmæssige ved rettidigt at sikre klageren et effektivt retsmiddel

b)den påståede overtrædelses grovhed

c)den påståede overtrædelses systemiske eller gentagne karakter.

En klage kan bilægges ved en mindelig løsning mellem klageren og de parter, der er genstand for en undersøgelse. Hvis tilsynsmyndigheden finder, at klagen er bilagt ved mindelig løsning på klagen, underretter den klageren om den foreslåede løsning. Hvis klageren ikke inden for en måned gør indsigelse mod den mindelige løsning, som tilsynsmyndigheden har foreslået, betragtes klagen som tilbagetrukket.

Artikel 6

Oversættelser

Samarbejde i henhold til artikel 60 i forordning (EU) 2016/679

Bestemmelserne i denne afdeling vedrører forbindelserne mellem tilsynsmyndigheder og har ikke til formål at tillægge fysiske personer eller parter, der er genstand for en undersøgelse, rettigheder.

1.Den ledende tilsynsmyndighed informerer regelmæssigt de andre berørte tilsynsmyndigheder om undersøgelsen og giver snarest muligt de andre berørte tilsynsmyndigheder alle relevante oplysninger, når de er tilgængelige.

2.Relevante oplysninger i henhold til artikel 60, stk. 1 og 3, i forordning (EU) 2016/679 omfatter, hvor det er relevant:

a)oplysninger om indledning af en undersøgelse af en påstået overtrædelse af forordning (EU) 2016/679

e)resumé af centrale spørgsmål i en undersøgelse i henhold til artikel 9

f)oplysninger om skridt med henblik på at fastslå, om der er tale om en overtrædelse af forordning (EU) 2016/679, forud for udarbejdelsen af de foreløbige konklusioner

i)klagerens synspunkter om de foreløbige konklusioner

1.Når den ledende tilsynsmyndighed først har dannet sig et foreløbigt overblik over undersøgelsens hovedspørgsmål, udarbejder den et resumé af centrale spørgsmål med henblik på samarbejde, jf. artikel 60, stk. 1, i forordning (EU) 2016/679.

a)de primære relevante omstændigheder

b)en foreløbig fastlæggelse af undersøgelsens omfang, navnlig af de bestemmelser i forordning (EU) 2016/679, som er berørt af den påståede overtrædelse, der skal undersøges

c)kortlægning af komplekse retlige og teknologiske vurderinger, som er relevante for, i hvilken retning den foreløbige vurdering af dem går

3.De berørte tilsynsmyndigheder kan fremsætte bemærkninger til resuméet af de centrale spørgsmål. Disse bemærkninger skal fremsættes senest fire uger efter modtagelsen af resuméet af de centrale spørgsmål.

4.Bemærkninger i henhold til stk. 3 skal opfylde følgende krav:

a)det brugte sprog skal være tilstrækkelig klart og indeholde præcise begreber, der gør den ledende tilsynsmyndighed og, alt efter omstændighederne, de berørte tilsynsmyndigheder i stand til at forberede deres holdninger

5.Databeskyttelsesrådet kan i sin forretningsorden fastsætte begrænsninger for den maksimale længde på de bemærkninger til resuméet af centrale spørgsmål, som kan fremsættes af de berørte tilsynsmyndigheder.

6.Sager, hvor ingen af de berørte tilsynsmyndigheder har fremsat bemærkninger i henhold til denne artikels stk. 3, betragtes som sager, hvor ingen af myndighederne har bestridt de faktiske forhold. I disse sager formidles de foreløbige konklusioner, som er omhandlet i artikel 14, til de parter, der er genstand for en undersøgelse, senest ni måneder efter udløbet af den frist, der er fastsat i denne artikels stk. 3.

Hel eller delvis afvisning af klager

1.En berørt tilsynsmyndighed indgiver en anmodning til den ledende tilsynsmyndighed i henhold til artikel 61 i forordning (EU) 2016/679, artikel 62 i forordning (EU) 2016/679, eller begge, hvis en berørt tilsynsmyndighed efter bemærkninger fra de berørte tilsynsmyndigheder i henhold til artikel 9, stk. 3, er uenig med den ledende tilsynsmyndigheds vurdering for så vidt angår:

b)vurderingens foreløbige retning i lyset af de komplekse retlige vurderinger som fastslået af den ledende tilsynsmyndighed i henhold til artikel 9, stk. 2, litra c)

c)vurderingens foreløbige retning i lyset af de komplekse teknologiske vurderinger som fastslået af den ledende tilsynsmyndighed i henhold til artikel 9, stk. 2, litra c).

3.Den ledende tilsynsmyndighed indgår i dialog med de berørte tilsynsmyndigheder på baggrund af deres bemærkninger til resuméet af de centrale spørgsmål og, hvor det er relevant, som svar på anmodninger i henhold til artikel 61 og 62 i forordning (EU) 2016/679 med henblik på at nå til enighed. Enigheden skal danne grundlag for, at den ledende tilsynsmyndighed kan fortsætte undersøgelsen og udarbejde de foreløbige konklusioner eller, hvor det er relevant, stille sit ræsonnement til rådighed for den tilsynsmyndighed, som klagen er indgivet til, med henblik på artikel 11, stk. 2.

4.Hvis der i en klagebaseret undersøgelse ikke opnås enighed mellem den ledende tilsynsmyndighed og en eller flere berørte tilsynsmyndigheder om den sag, der er henvist til i denne forordnings artikel 9, stk. 2, litra b), anmoder den ledende tilsynsmyndighed Databeskyttelsesrådet om at træffe en hurtig bindende afgørelse i henhold til artikel 66, stk. 3, i forordning (EU) 2016/679. I så fald betragtes betingelserne for at anmode om en hurtig bindende afgørelse i henhold artikel 66, stk. 3, i forordning (EU) 2016/679 som opfyldt.

5.Når den ledende tilsynsmyndighed anmoder Databeskyttelsesrådet om at træffe en hurtig bindende afgørelse i henhold denne artikels stk. 4, stiller den samtlige af følgende elementer til rådighed:

a)de dokumenter, der er henvist til i artikel 9, stk. 2, litra a) og b),

b)bemærkningerne fra den berørte tilsynsmyndighed, der er uenig i den ledende tilsynsmyndigheds foreløbige fastlæggelse af undersøgelsens omfang.

6.Databeskyttelsesrådet vedtager en hurtig bindende afgørelse om undersøgelsens omfang på grundlag af bemærkningerne fra de berørte tilsynsmyndigheder og den ledende tilsynsmyndigheds holdning til disse bemærkninger.

Artikel 11

Høring af klageren forud for hel eller delvis afvisning af en klage

Artikel 12

Revideret udkast til afgørelse om helt eller delvis at afvise en klage

Artikel 13

Afgørelse om helt eller delvis at afvise en klage

Afgørelser rettet til dataansvarlige og databehandlere

Foreløbige konklusioner og svar

1.Når den ledende tilsynsmyndighed agter at forelægge et udkast til afgørelse i henhold til artikel 60, stk. 3, i forordning (EU) 2016/679 for de andre berørte tilsynsmyndigheder med konklusioner vedrørende en overtrædelse af forordning (EU) 2016/679, udarbejder den et udkast til foreløbige konklusioner.

I de foreløbige konklusioner fremlægges de fremførte påstande på en udtømmende og tilstrækkelig klar måde, der gør de parter, der er genstand for en undersøgelse, i stand at tage stilling til den adfærd, som undersøges af den ledende tilsynsmyndighed. De skal navnlig indeholde en beskrivelse af alle faktiske omstændigheder og hele den retlige vurdering af sagen vedrørende de parter, der er genstand for en undersøgelse, så de kan give udtryk for deres synspunkter vedrørende de faktiske omstændigheder og de retlige konklusioner, som den ledende tilsynsmyndighed agter at drage i udkastet til afgørelse i henhold til artikel 60, stk. 3, i forordning (EU) 2016/679, og en oversigt over al den dokumentation, der lægges til grund.

De foreløbige konklusioner skal omfatte de korrigerende foranstaltninger, som den ledende tilsynsmyndighed har til hensigt at gøre brug af.

Hvis den ledende tilsynsmyndighed agter at pålægge en bøde, skal den i de foreløbige konklusioner anføre de relevante elementer, som den lægger til grund ved beregning af bødens størrelse. Den ledende tilsynsmyndighed anfører navnlig de væsentlige faktiske og retlige omstændigheder, som kan resultere i et bødepålæg, og de elementer, der er anført i artikel 83, stk. 2, i forordning (EU) 2016/679, herunder eventuelt skærpende eller formildende omstændigheder, den vil tage hensyn til.

3.Den ledende tilsynsmyndighed underretter hver af de parter, der er genstand for en undersøgelse, om de foreløbige resultater.

4.Når den ledende tilsynsmyndighed underretter de parter, der er genstand for en undersøgelse, om de foreløbige konklusioner, fastsætter den en frist, inden hvilken parterne skriftligt kan fremsætte deres synspunkter. Den ledende tilsynsmyndighed er ikke forpligtet til at tage hensyn til skriftlige synspunkter modtaget efter fristens udløb.

5.Når den ledende tilsynsmyndighed underretter de parter, der er genstand for en undersøgelse, om de foreløbige konklusioner, giver den parterne aktindsigt i de administrative sagsakter i henhold til artikel 20.

6.De parter, der er genstand for en undersøgelse, kan i deres skriftlige svar på de foreløbige konklusioner anføre alle faktiske omstændigheder og retlige argumenter, de har kendskab til, og som er relevante for deres forsvar over for den ledende tilsynsmyndigheds påstande. De skal vedlægge alle relevante dokumenter som bevis for de faktiske omstændigheder. Den ledende tilsynsmyndighed behandler i sit udkast til afgørelse kun påstande, herunder faktiske omstændigheder og retlige vurderinger baseret på disse faktiske omstændigheder, som de parter, der er genstand for en undersøgelse, har haft mulighed for at fremsætte bemærkninger til.

Artikel 15

Fremsendelse af de foreløbige konklusioner til klagerne

Vedtagelse af en endelig afgørelse

Efter forelæggelse af udkastet til afgørelse for de berørte tilsynsmyndigheder i henhold til artikel 60, stk. 3, i forordning (EU) 2016/679, og forudsat at ingen af de berørte tilsynsmyndigheder har gjort indsigelse mod udkastet til afgørelse inden for de frister, der er omhandlet i artikel 60, stk. 4 og 5, i forordning (EU) 2016/679, vedtager og meddeler den ledende tilsynsmyndighed sin afgørelse i henhold til artikel 60, stk. 7, i forordning (EU) 2016/679, til den dataansvarliges eller databehandlerens hovedvirksomhed eller eneste etableringssted, alt efter omstændighederne, og underretter de andre berørte tilsynsmyndigheder og Databeskyttelsesrådet om den pågældende afgørelse, herunder ved hjælp af et resumé af de relevante faktiske omstændigheder og begrundelser.

Artikel 17

Retten til at blive hørt i forbindelse med det reviderede udkast til afgørelse

a)alene er baseret på faktuelle elementer i udkastet til afgørelse, og

b)ikke ændrer omfanget af påstandene ved at indeholde nye punkter, som kan give indtryk af, at der foreligger yderligere påstande om overtrædelse af forordning (EU) 2016/679, eller som ændrer de fremsatte påstandes art.

a)længden på hver relevant og begrundet indsigelse og den ledende tilsynsmyndigheds holdning til hver indsigelse må ikke overstige tre sider og må ikke omfatte bilag. I sager med særligt komplekse retlige spørgsmål kan den maksimale længde øges til seks sider, medmindre specifikke omstændigheder, som berettiger en øget længde, accepteres af Databeskyttelsesrådet

[...]

Forelæggelse til tvistbilæggelse i henhold til artikel 65 i forordning (EU) 2016/679

1.Hvis den ledende tilsynsmyndighed ikke følger de relevante og begrundede indsigelser eller er af den opfattelse, at indsigelserne ikke er relevante eller begrundede, forelægger den spørgsmålet for den tvistbilæggelsesmekanisme, som er fastsat i artikel 65 i forordning (EU) 2016/679.

2.Når den forelægger spørgsmålet til tvistbilæggelse, stiller den ledende tilsynsmyndighed samtlige af følgende dokumenter til rådighed for Databeskyttelsesrådet:

b)et sammendrag af de relevante omstændigheder

d)synspunkter fremsat skriftligt af de parter, der er genstand for en undersøgelse, hvis det er relevant, jf. artikel 14 og 17

e)synspunkter fremsat skriftligt af klagerne, hvis det er relevant, jf. artikel 11, 12 og 15

f)de relevante og begrundede indsigelser, som ikke blev fulgt af den ledende tilsynsmyndighed

g)begrundelserne for, at den ledende tilsynsmyndighed ikke har fulgt de relevante og begrundede indsigelser eller har anset indsigelserne for ikke være relevante eller begrundede.

3.Databeskyttelsesrådet udpeger senest fire uger efter modtagelsen af de dokumenter, der fremgår af stk. 2, de fastholdte relevante og begrundede indsigelser.

Artikel 23

Registrering i forbindelse med en afgørelse i henhold til artikel 65, stk. 1, litra a), i forordning (EU) 2016/679

Artikel 24

Begrundelse forud for vedtagelsen af en afgørelse i henhold til artikel 65, stk. 1, litra a), i forordning (EU) 2016/679

Artikel 25

Procedure i forbindelse med afgørelse i henhold til artikel 65, stk. 1, litra b), i forordning (EU) 2016/679

c)synspunkterne hos den tilsynsmyndighed, der forelægger spørgsmålet, eller Kommissionen, alt efter omstændighederne, med hensyn til spørgsmålet om, hvorvidt der var behov for, at en tilsynsmyndighed sendte udkastet til afgørelse i henhold til artikel 64, stk. 1, i forordning (EU) 2016/679 til Databeskyttelsesrådet, eller hvorvidt en tilsynsmyndighed ikke fulgte en udtalelse fra Databeskyttelsesrådet afgivet i henhold til artikel 64 i forordning (EU) 2016/679.

3.Formanden for Databeskyttelsesrådet registrerer senest forelæggelsen en uge efter modtagelse af samtlige de i stk. 1 og 2 omhandlede dokumenter.

a)et sammendrag af de relevante omstændigheder

b)en beskrivelse af den foreløbige foranstaltning, der er vedtaget for dens eget område, dens varighed og begrundelsen for at vedtage den, herunder begrundelsen for, at det er nødvendigt at handle omgående for at beskytte registreredes rettigheder og frihedsrettigheder

c)en begrundelse for, at det haster at vedtage den endelig foranstaltning for den anmodende tilsynsmyndigheds medlemsstats område, herunder en redegørelse for de ekstraordinære omstændigheder, der nødvendiggør vedtagelsen af de pågældende foranstaltninger.

2.Databeskyttelsesrådets hasteudtalelse er rettet til den tilsynsmyndighed, der indgav anmodningen. Den skal svare til en udtalelse, jf. artikel 64, stk. 1, i forordning (EU) 2016/679, og give den anmodende myndighed mulighed for at fastholde eller ændre sin foreløbige foranstaltning i overensstemmelse med forpligtelserne i artikel 64, stk. 7, i forordning (EU) 2016/679.

Hurtige afgørelser i henhold til artikel 66, stk. 2, i forordning (EU) 2016/679

1.En anmodning om en hurtig afgørelse fra Databeskyttelsesrådet i henhold til artikel 66, stk. 2, i forordning (EU) 2016/679 kan indgives senest tre uger inden udløbet af de foreløbige foranstaltninger, der er vedtaget i henhold til artikel 61, stk. 8, artikel 62, stk. 7, eller artikel 66, stk. 1, i forordning (EU) 2016/679. Denne anmodning skal indeholde samtlige af følgende oplysninger:

a)et sammendrag af de relevante omstændigheder

b)den foreløbige foranstaltning, der er vedtaget for den anmodende tilsynsmyndigheds medlemsstats område, dens varighed og begrundelsen for at vedtage den foreløbige foranstaltning, navnlig begrundelsen for, at det er nødvendigt at handle omgående for at beskytte registreredes rettigheder og frihedsrettigheder

c)oplysninger om eventuelle undersøgelsesforanstaltninger truffet på dens område og svar modtaget fra det lokale etableringssted tilhørende de parter, der er genstand for en undersøgelse, eller eventuelle andre oplysninger i den anmodende tilsynsmyndigheds besiddelse

d)en begrundelse for, at det er nødvendigt at vedtage de endelige foranstaltninger omgående på den anmodende tilsynsmyndigheds område under hensyntagen til de ekstraordinære omstændigheder, der nødvendiggør vedtagelsen af den endelige foranstaltning, eller dokumentation for, at en tilsynsmyndighed har forsømt at reagere på en anmodning i henhold til artikel 61, stk. 3, eller artikel 62. stk. 2, i forordning (EU) 2016/679

f)hvor det er relevant, synspunkterne fra det lokale etableringssted for de parter, der er genstand for en undersøgelse, og over for hvem der er truffet foreløbige foranstaltninger i henhold til artikel 66, stk. 1, i forordning (EU) 2016/679.

2.Den hurtige afgørelse, der er omhandlet i stk. 1, skal rettes til den tilsynsmyndighed, der indgav anmodningen, og sætte den anmodende myndighed i stand til at fastholde eller ændre sin foreløbige foranstaltning.

3.Hvis Databeskyttelsesrådet vedtager en hurtig bindende afgørelse, hvoraf det fremgår, at de endelige foranstaltninger bør vedtages, vedtager den tilsynsmyndighed, som afgørelsen er rettet til, disse foranstaltninger inden udløbet af de foreløbige foranstaltninger, som er vedtaget i henhold til artikel 66, stk. 1, i forordning (EU) 2016/679.

4.Den tilsynsmyndighed, der indgav den i stk. 1 omtalte anmodning, meddeler den dataansvarliges eller databehandlerens etableringssted på dens medlemsstats område og Databeskyttelsesrådet sin afgørelse om de endelige foranstaltninger. Hvis den ledende tilsynsmyndighed ikke er den anmodende myndighed, underretter den anmodende myndighed den ledende myndighed om den endelige foranstaltning.

Artikel 29

Fristers begyndelse og definition af arbejdsdag

Kapitel III og IV finder anvendelse på undersøgelser på eget initiativ, der indledes efter denne forordnings ikrafttræden, og på klagebaserede undersøgelser, hvor klagen blev indgivet efter nærværende forordnings ikrafttræden.

Kapitel V finder anvendelse på alle sager, der forelægges til tvistbilæggelse i henhold til artikel 65 i forordning (EU) 2016/679 efter nærværende forordnings ikrafttræden.

Ikrafttræden

1.Identifikation af den person eller enhed, der indgiver klagen

Hvis klageren er en fysisk person, skal der indgives en form for identifikationsdokument2.

2.Kontaktoplysninger3

E-mailadresse, hvis klagen indgives elektronisk.

Postadresse, hvis klagen indgives pr. post.

3.Enhed, hvis behandling af dine personoplysninger overtræder forordning (EU) 2016/679

Angiv alle de oplysninger, du har kendskab til, med henblik på at lette identifikationen af den enhed, som din klage vedrører.