(2)W celu zapewnienia sprawnego i skutecznego funkcjonowania współpracy i mechanizmu rozstrzygania sporów zgodnie z art. 60 i 65 rozporządzenia (UE) 2016/679 konieczne jest ustanowienie zasad prowadzenia postępowań przez organa nadzorcze w sprawach transgranicznych i przez Europejską Radę Ochrony Danych w ramach procedury rozstrzygania sporów, w tym zasad rozpatrywania skarg transgranicznych. Z tego względu konieczne jest również ustanowienie zasad wykonywania przez strony objęte postępowaniem prawa do bycia wysłuchanym przed przyjęciem decyzji przez organy nadzorcze lub, ewentualnie, przez Europejską Radę Ochrony Danych.

3.Skargi są zasadniczym źródłem informacji, pozwalających na wykrycie naruszeń przepisów o ochronie danych. Niezbędne jest określenie jasnych i skutecznych procedur rozpatrywania skarg w sprawach transgranicznych, ponieważ skargę może rozpatrywać inny organ nadzorczy niż ten, do którego ją wniesiono.

(4)Aby skarga była dopuszczalna, powinna ona zawierać pewne określone informacje. Z tego względu, aby ułatwić skarżącym powiadamianie organów nadzorczych o niezbędnych faktach, należy zapewnić formularz skargi. Informacji zawartych w tym formularzu powinno się wymagać wyłącznie w przypadkach transgranicznego przetwarzania danych w rozumieniu rozporządzenia (UE) 2016/679, choć organy nadzorcze mogą wykorzystywać ten formularz w sprawach niedotyczących przetwarzania transgranicznego. Formularz można przesłać pocztą lub drogą elektroniczną. Przekazanie informacji wymienionych w tym formularzu powinno być warunkiem traktowania skargi dotyczącej transgranicznego przetwarzania jako skargi, o której mowa w art. 77 rozporządzenia (UE) 2016/679. Do celów uznania skargi za dopuszczalną nie należy wymagać żadnych dodatkowych informacji. Organy nadzorcze powinny mieć możliwość ułatwiania wnoszenia skarg w przyjaznym dla użytkownika formacie elektronicznym, z uwzględnieniem potrzeb osób z niepełnosprawnościami, pod warunkiem że informacje wymagane od skarżącego odpowiadają informacjom wymaganym w formularzu i do uznania skargi za dopuszczalną nie wymaga się żadnych dodatkowych informacji.

(5)Organy nadzorcze są zobowiązane podejmować decyzje dotyczące skarg w rozsądnym terminie. Rozumienie pojęcia „rozsądny termin”, zależy od okoliczności sprawy, w szczególności od jej kontekstu i złożoności, od poszczególnych etapów proceduralnych realizowanych przez wiodący organ nadzorczy oraz od postawy stron w trakcie postępowania.

(6)Rozpatrywanie każdej skargi przez organ nadzorczy na podstawie art. 57 ust. 1 lit. f) rozporządzenia (UE) 2016/679 powinno przebiegać z zachowaniem odpowiedniego zakresu należytej staranności, przy czym należy mieć na uwadze, że korzystanie z uprawnień przez organ nadzorczy musi być zawsze stosowne, konieczne i proporcjonalne, aby zapewnić zgodność z rozporządzeniem (UE) 2016/679. Decyzja o tym, w jakim zakresie należy rozpatrzyć skargę, podlega uznaniu każdego właściwego organu. Przy jej podejmowaniu, organy nadzorcze powinny dążyć do zapewnienia skarżącemu zadowalającego rozstrzygnięcia, które niekoniecznie wymaga przeprowadzenia wyczerpującego postępowania w zakresie wszystkich potencjalnych elementów prawnych i faktycznych wynikających ze skargi, lecz powinno zapewniać skarżącemu skuteczną i szybką ochronę prawną. Decyzję o tym, jakie czynności należy przeprowadzić w ramach postępowania przygotowawczego, można oprzeć na informacjach o wadze potencjalnego naruszenia, jego systemowym lub powtarzalnym charakterze, bądź na tym, czy skarżący skorzystał również ze swoich praw wynikających z art. 79 rozporządzenia (UE) 2016/679.

(7)Wiodący organ nadzorczy powinien przekazywać organowi nadzorczemu, do którego wniesiono skargę, niezbędne informacje o postępach postępowania do celów przekazywania skarżącemu aktualnych informacji.

(8)Właściwy organ nadzorczy powinien zapewnić skarżącemu dostęp do dokumentów, na podstawie których organ nadzorczy podjął wstępną decyzję o odrzuceniu skargi w całości lub w części.

(9)Aby szybko powstrzymać działania naruszające przepisy rozporządzenia (UE) 2016/679 i szybko wydać skarżącemu decyzję kończącą postępowanie, organy nadzorcze powinny, w stosownych przypadkach, dążyć do rozpatrzenia skarg w drodze ugody. Fakt, że daną skargę rozpatrzono w drodze ugody, nie uniemożliwia właściwemu organowi nadzorczemu wszczęcia sprawy z urzędu, np. w przypadkach systemowych lub powtarzalnych naruszeń przepisów rozporządzenia (UE) 2016/679.

(10)Aby zapewnić skuteczne funkcjonowanie mechanizmów współpracy i spójności przewidzianych w rozdziale VII rozporządzenia (UE) 2016/679, istotne jest rozpatrywanie spraw transgranicznych w odpowiednim czasie i w duchu lojalnej i skutecznej współpracy stanowiącej podstawę art. 60 rozporządzenia (UE) 2016/679. Wiodący organ nadzorczy powinien zatem wykonywać swoje kompetencje w ścisłej współpracy z pozostałymi organami nadzorczymi, których sprawa dotyczy. Podobnie organy nadzorcze, których sprawa dotyczy, powinny aktywnie uczestniczyć we wczesnych etapach postępowania, aby osiągnąć porozumienie przy wykorzystaniu narzędzi przewidzianych w rozporządzeniu (UE) 2016/679.

(11)Jest kwestią szczególnie istotną, aby organy nadzorcze – tak szybko, jak to możliwe – porozumiały się w zakresie zasadniczych aspektów postępowania, zanim stronom objętym postępowaniem przedstawione zostaną zarzuty i przyjęty zostanie projekt decyzji, o której mowa w art. 60 rozporządzenia (UE) 2016/679, co pozwoli ograniczyć liczbę spraw poddawanych mechanizmowi rozstrzygania sporów przewidzianemu w art. 65 rozporządzenia (UE) 2016/679 i ostatecznie zapewni szybkie rozstrzyganie spraw transgranicznych.

(12)Współpraca organów nadzorczych powinna opierać się na otwartym dialogu umożliwiającym organom nadzorczym, których sprawa dotyczy, wywieranie znaczącego wpływu na przebieg postępowania w drodze wymiany doświadczeń i poglądów z wiodącym organem nadzorczym, przy należytym uwzględnieniu zakresu uznania, z którego korzysta każdy organ nadzorczy, m. in. przy ocenie, w jakim zakresie należy przeprowadzić postępowanie dotyczące sprawy, i różnych tradycji państw członkowskich. W tym celu wiodący organ nadzorczy powinien przekazać organom nadzorczym, których sprawa dotyczy, streszczenie kluczowych kwestii zawierające wstępną opinię wiodącego organu nadzorczego na temat głównych kwestii danego postępowania. Takie streszczenie należy dostarczyć na tyle wcześnie, aby umożliwić skuteczne włączenie do postępowania organów nadzorczych, których sprawa dotyczy, a jednocześnie dopiero wtedy, gdy opinia wiodącego organu nadzorczego o sprawie jest już wystarczająco utrwalona. Organy nadzorcze, których sprawa dotyczy, powinny mieć możliwość zgłoszenia uwag na temat wielu kwestii, takich jak zakres postępowania i identyfikacja złożonych ocen faktycznych i prawnych. Ponieważ od zakresu rozpatrywania danej sprawy zależy, jakie kwestie wymagają przeprowadzenia postępowania przez wiodący organ nadzorczy, organy nadzorcze powinny jak najszybciej osiągnąć porozumienie w kwestii zakresu postępowania.

(13)Do celów skutecznej inkluzywnej współpracy między wszystkimi organami nadzorczymi, których sprawa dotyczy, a wiodącym organem nadzorczym, uwagi organów nadzorczych, których sprawa dotyczy, powinny być zwięzłe i sformułowane na tyle jasno i precyzyjnie, aby wszystkie organy nadzorcze mogły je łatwo zrozumieć. Argumenty prawne należy pogrupować według części streszczenia kluczowych kwestii, do której się one odnoszą. Uwagi organów nadzorczych, których sprawa dotyczy, można uzupełnić o dodatkowe dokumenty. Odniesienie w uwagach organu nadzorczego, którego sprawa dotyczy, do dokumentów uzupełniających nie może jednak rekompensować braku istotnych argumentów prawnych lub faktycznych, które należy przedstawić w uwagach. W ramach takiej uwagi należy spójnie i zrozumiale wskazać, co najmniej w formie streszczenia, podstawowe szczegóły prawne i faktyczne, na których opierają się takie dokumenty.

(14)W sprawach niespornych szeroko zakrojona dyskusja organów nadzorczych nie jest potrzebna do osiągnięcia porozumienia, w związku z czym sprawy te można rozstrzygnąć szybciej. Jeżeli żaden z organów nadzorczych, których sprawa dotyczy, nie zgłasza uwag na temat streszczenia kluczowych kwestii, wiodący organ nadzorczy powinien w ciągu dziewięciu miesięcy przedstawić wstępne ustalenia, o których mowa w art. 14.

(15)Organy nadzorcze powinny wykorzystać wszystkie niezbędne środki w celu osiągnięcia porozumienia w duchu lojalnej i skutecznej współpracy. W razie rozbieżności opinii organów nadzorczych, których sprawa dotyczy, i wiodącego organu nadzorczego w odniesieniu do zakresu postępowania opartego na skardze, w tym do zakresu przepisów rozporządzenia (UE) 2016/679, których naruszenie będzie przedmiotem postępowania, lub jeżeli uwagi organów nadzorczych, których sprawa dotyczy, dotyczą istotnej zmiany w złożonej ocenie prawnej lub technologicznej, organ, którego sprawa dotyczy, powinien wykorzystać narzędzia przewidziane w art. 61 i 62 rozporządzenia (UE) 2016/679.

(16)Jeżeli zastosowanie tych narzędzi nie umożliwi organom nadzorczym osiągnięcia porozumienia w sprawie zakresu postępowania opartego na skardze, wiodący organ nadzorczy powinien wystąpić do Europejskiej Rady Ochrony Danych z wnioskiem o pilne wydanie wiążącej decyzji na podstawie art. 66 ust. 3 rozporządzenia (UE) 2016/679. Należy przyjąć, że w tym celu wymagane jest zastosowanie trybu pilnego. Do celów wstępnych ustaleń wiodący organ nadzorczy powinien wyciągnąć odpowiednie wnioski z wiążącej decyzji Europejskiej Rady Ochrony Danych wydanej w trybie pilnym. Taka decyzja Europejskiej Rady Ochrony Danych nie może przesądzać o wyniku postępowania prowadzonego przez wiodący organ nadzorczy ani o skuteczności prawa stron objętych postępowaniem do bycia wysłuchanym. W szczególności, Europejska Rada Ochrony Danych nie powinna z własnej inicjatywy rozszerzać zakresu postępowania.

(17)Aby umożliwić skarżącemu skorzystanie z prawa do skutecznego środka ochrony prawnej przed sądem na podstawie art. 78 rozporządzenia (UE) 2016/679, organ nadzorczy odrzucający skargę w całości lub w części powinien to uczynić w drodze decyzji podlegającej zaskarżeniu do sądu krajowego.

(18)Skarżący powinni mieć możliwość przedstawienia swojej opinii zanim podjęta zostanie decyzja, która może negatywnie wpłynąć na ich sytuację. W związku z tym, w przypadku zamiaru odrzucenia skargi w sprawie transgranicznej w całości lub w części, skarżący powinien mieć możliwość wyrażenia swojej opinii zanim przedłożone zostaną projekt decyzji na podstawie art. 60 ust. 3 rozporządzenia (UE) 2016/679, zmieniony projekt decyzji na podstawie art. 60 ust. 4 rozporządzenia (UE) 2016/679 lub wiążąca decyzja Europejskiej Rada Ochrony Danych na podstawie art. 65 ust. 1 lit. a) rozporządzenia (UE) 2016/679. Skarżący może zażądać dostępu do niepoufnej wersji dokumentów, na których opiera się decyzja o odrzuceniu skargi w całości lub w części.

(19)W przypadku odrzucenia skargi w sprawie transgranicznej konieczne jest wyjaśnienie podziału obowiązków między wiodącym organem nadzorczym a organem nadzorczym, do którego wniesiono skargę. Organ nadzorczy, do którego wniesiono skargę, jako pełniący podczas postępowania rolę punktu kontaktowego dla skarżącego, powinien uzyskać opinię skarżącego na temat proponowanego odrzucenia skargi i powinien być odpowiedzialny za wszelką wymianę informacji ze skarżącym. Powinien on udostępniać wiodącemu organowi nadzorczemu wszelkie wymieniane informacje. Ponieważ zgodnie z art. 60 ust. 8 i 9 rozporządzenia (UE) 2016/679 organ nadzorczy, do którego wniesiono skargę, jest odpowiedzialny za przyjęcie ostatecznej decyzji o odrzuceniu skargi, ten organ nadzorczy powinien być również odpowiedzialny za przygotowanie projektu decyzji zgodnie z art. 60 ust. 3 rozporządzenia (UE) 2016/679.

(21)Aby skutecznie chronić prawo do dobrej administracji oraz prawo do obrony zapisane w Karcie praw podstawowych Unii Europejskiej („Karta”), w tym prawo każdego do bycia wysłuchanym, zanim podejmie się indywidualne środki mogące negatywnie wpłynąć na sytuację danej osoby, ważne jest ustanowienie jasnych przepisów dotyczących wykonywania tego prawa.

(22)Przepisy dotyczące procedury administracyjnej stosowanej przez organy nadzorcze podczas egzekwowania rozporządzenia (UE) 2016/679 powinny zapewniać stronom objętym postępowaniem możliwość skutecznego przedstawienia opinii na temat prawdziwości i znaczenia faktów, zastrzeżeń i okoliczności przedstawionych przez organ nadzorczy w trakcie całego postępowania, co umożliwi im realizację prawa do obrony. We wstępnych ustaleniach przedstawia się – po przeprowadzeniu postępowania – wstępne stanowisko w sprawie ewentualnego naruszenia przepisów rozporządzenia (UE) 2016/679. Ustalenia te stanowią zatem istotną gwarancję proceduralną, która zapewnia przestrzeganie prawa do bycia wysłuchanym. Strony objęte postępowaniem powinny – w drodze uzyskania dostępu do akt administracyjnych – otrzymać dostęp do dokumentów niezbędnych w celu skutecznej obrony i zgłoszenia uwag do stawianych im zarzutów.

(23)We wstępnych ustaleniach określa się zakres postępowania, a tym samym zakres potencjalnej przyszłej ostatecznej decyzji (którą można podjąć na podstawie wiążącej decyzji Europejskiej Rady Ochrony Danych na podstawie art. 65 ust. 1 lit. a) rozporządzenia (UE) 2016/679), która może być skierowana do administratorów danych lub podmiotów przetwarzających dane. Wstępne ustalenia należy sformułować w sposób, który nawet jeśli jest zwięzły, jest wystarczająco jasny, aby umożliwić stronom objętym postępowaniem właściwe określenie charakteru ewentualnego naruszenia przepisów rozporządzenia (UE) 2016/679. Obowiązek udzielenia stronom objętym postępowaniem wszelkich informacji niezbędnych do umożliwienia im należytej obrony uznaje się za spełniony, jeżeli w ostatecznej decyzji nie zarzuca się stronom objętym postępowaniem naruszeń innych niż te, o których mowa we wstępnych ustaleniach, i uwzględnia się wyłącznie te fakty, wobec których strony te miały możliwość przedstawienia swojej opinii w ramach postępowania. Ostateczna decyzja wiodącego organu nadzorczego nie musi jednak powtarzać wstępnych ustaleń. Wiodący organ nadzorczy powinien mieć możliwość uwzględnienia w ostatecznej decyzji odpowiedzi stron objętych postępowaniem na wstępne ustalenia oraz, w stosownych przypadkach, zmienionego projektu decyzji na podstawie art. 60 ust. 5 rozporządzenia (UE) 2016/679 oraz decyzji na podstawie art. 65 ust. 1 lit. a) rozstrzygającej spór między organami nadzorczymi. Wiodący organ nadzorczy powinien mieć możliwość przeprowadzenia we własnym zakresie oceny faktów i kwalifikacji prawnych przedstawionych przez strony objęte postępowaniem, aby odrzucić sprzeciwy, które organ nadzorczy uzna za bezzasadne, albo uzupełnić i ponownie sformułować swoje argumenty – zarówno faktyczne, jak i prawne – popierające sprzeciwy, które podtrzymuje. Przykładowo uwzględnienie w toku procedury administracyjnej argumentu przedstawionego przez stronę objętą postępowaniem bez umożliwienia jej wyrażenia opinii w tym temacie przed przyjęciem ostatecznej decyzji nie może samo w sobie stanowić naruszenia prawa do obrony.

(24)Stronom objętym postępowaniem należy zapewnić prawo do bycia wysłuchanym zanim przedłożony zostanie zmieniony projekt decyzji na podstawie art. 60 ust. 5 rozporządzenia (UE) 2016/679 lub zanim Europejska Rada Ochrony Danych przyjmie wiążącą decyzję na podstawie art. 65 ust. 1 lit. a) rozporządzenia (UE) 2016/679.

(25)Skarżący powinni mieć możliwość uczestniczenia w postępowaniu wszczętym przez organ nadzorczy w celu zidentyfikowania lub wyjaśnienia kwestii związanych z potencjalnym naruszeniem przepisów rozporządzenia (UE) 2016/679. Fakt, że organ nadzorczy wszczął już postępowanie w sprawie przedmiotu skargi lub rozpatrzy skargę po jej otrzymaniu w ramach postępowania z urzędu, nie wyklucza kwalifikacji osoby, której dane dotyczą, jako skarżącego. Prowadzone przez organ nadzorczy postępowanie w sprawie możliwego naruszenia przepisów rozporządzenia (UE) 2016/679 przez administratora danych lub podmiot przetwarzający dane nie stanowi jednak procesu skargowego z udziałem skarżącego i stron objętych postępowaniem. Organ nadzorczy wszczyna tę procedurę z inicjatywy własnej lub na podstawie skargi w ramach wykonywania zadań wynikających z art. 57 ust. 1 rozporządzenia (UE) 2016/679. Strony objęte postępowaniem i skarżący nie znajdują się zatem w tej samej sytuacji proceduralnej i skarżący nie może powoływać się na prawo do sprawiedliwego wysłuchania, gdy decyzja nie wpływa negatywnie na jego sytuację prawną. Zaangażowanie skarżącego w postępowanie przeciwko stronom objętym postępowaniem nie może naruszać prawa tych ostatnich do bycia wysłuchanymi.

(26)Skarżący powinni mieć możliwość pisemnego wypowiedzenia się w temacie wstępnych ustaleń. Nie powinni oni mieć jednak dostępu do tajemnic handlowych lub innych informacji poufnych należących do innych stron uczestniczących w postępowaniu. Skarżący nie powinni mieć ogólnego dostępu do akt administracyjnych.

(27)Przy określaniu terminów na przedstawienie opinii w temacie wstępnych ustaleń organy nadzorcze powinny uwzględnić złożoność kwestii poruszonych w tych wstępnych ustaleniach, aby zapewnić stronom objętym postępowaniem oraz skarżącym wystarczająco dużo czasu na przedstawienie konstruktywnych opinii o poruszonych kwestiach.

(28)Wymiana poglądów przed przyjęciem projektu decyzji obejmuje otwarty dialog i szeroko zakrojoną wymianę poglądów, w ramach której organy nadzorcze powinny dołożyć wszelkich starań, aby dojść do porozumienia w sprawie dalszego postępowania. Z kolei wyrażanie różnicy zdań na podstawie art. 60 ust. 4 rozporządzenia (UE) 2016/679 w formie uzasadnionych sprzeciwów mających znaczenie dla sprawy, zwiększających potencjał rozstrzygania sporów między organami nadzorczymi na podstawie art. 65 rozporządzenia (UE) 2016/679 i opóźniających przyjęcie ostatecznej decyzji przez właściwy organ nadzorczy, powinno mieć miejsce w wyjątkowych przypadkach, gdy organy nadzorcze nie mogą dojść do porozumienia i, w razie potrzeby, zapewnić spójnej wykładni rozporządzenia (UE) 2016/679. Takie sprzeciwy powinno się stosować z umiarem, jedynie gdy w grę wchodzą kwestie spójnego wykonywania rozporządzenia (UE) 2016/679, ponieważ każde wniesienie uzasadnionego sprzeciwu mającego znaczenie dla sprawy powoduje odroczenie środka ochrony prawnej przysługującego osobie, której dane dotyczą. Ponieważ zakres postępowania i istotne fakty sprawy ustala się przed przekazaniem wstępnych ustaleń, organy nadzorcze, których sprawa dotyczy, nie powinny podnosić tych kwestii w uzasadnionych sprzeciwach mających znaczenie dla sprawy. Mogą je jednak podnosić w uwagach dotyczących streszczenia kluczowych kwestii, zgodnie z art. 9 ust. 3, przed przekazaniem wstępnych ustaleń stronom objętym postępowaniem.

(29)W celu skutecznego i inkluzywnego zakończenia procedury rozstrzygania sporów, w ramach której wszystkie organy nadzorcze mają możliwość przedstawienia opinii, przy uwzględnieniu ograniczeń czasowych obowiązujących przy rozstrzyganiu sporów, forma i struktura uzasadnionych sprzeciwów mających znaczenie dla spraw powinny spełniać określone wymogi. Sprzeciwy te nie powinny zatem przekraczać określonej długości, powinny jasno określać zastrzeżenie dotyczące projektu decyzji i być sformułowane w wystarczająco jasny, spójny i precyzyjny sposób.

(30)Dostęp do akt administracyjnych przewidziano w ramach – zapisanych w Karcie – prawa do obrony i prawa do dobrej administracji. W chwili powiadomienia stron objętych postępowaniem o wstępnych ustaleniach należy zapewnić im dostęp do akt administracyjnych oraz określić termin przedłożenia przez nie pisemnej odpowiedzi na wstępne ustalenia.

(31)Przy udzielaniu dostępu do akt administracyjnych organy nadzorcze powinny zapewnić ochronę tajemnic handlowych i innych informacji poufnych. „Inne informacje poufne” obejmują informacje inne niż tajemnice handlowe, które można uznane za poufne w zakresie, w jakim ich ujawnienie mogłoby wyrządzić istotną szkodę administratorowi danych, podmiotowi przetwarzającemu dane lub osobie fizycznej. Organy nadzorcze powinny mieć możliwość żądania od stron objętych postępowaniem, przekazujących dokumenty lub oświadczenia, wskazania informacji poufnych.

(33)Wiodący organ nadzorczy, który przekazuje sprawę do rozstrzygnięcia sporu w ramach procedury na podstawie art. 65 rozporządzenia (UE) 2016/679, powinien przekazać Europejskiej Radzie Ochrony Danych wszelkie niezbędne informacje umożliwiające jej ocenę dopuszczalności uzasadnionych sprzeciwów mających znaczenie dla sprawy oraz podjęcie decyzji na podstawie art. 65 ust. 1 lit. a) rozporządzenia (UE) 2016/679. Gdy Europejska Rada Ochrony Danych otrzyma wszystkie niezbędne dokumenty wymienione w art. 23, przewodniczący tej Rady powinien zarejestrować przekazanie sprawy w rozumieniu art. 65 ust. 2 rozporządzenia (UE) 2016/679.

(34)Wiążąca decyzja Europejskiej Rady Ochrony Danych podjęta na mocy art. 65 ust. 1 lit. a) rozporządzenia (UE) 2016/679 powinna dotyczyć wyłącznie kwestii, które doprowadziły do wszczęcia procedury rozstrzygania sporów, i powinna być sformułowana w sposób umożliwiający wiodącemu organowi nadzorczemu przyjęcie ostatecznej decyzji na podstawie decyzji Europejskiej Rady Ochrony Danych, przy jednoczesnym zachowaniu swobody uznania tego organu.

(36)Aby usprawnić przyjmowanie przez Europejską Radę Ochrony Danych opinii oraz wiążących decyzji w trybie pilnym na podstawie art. 66 ust. 2 rozporządzenia (UE) 2016/679, konieczne jest opracowanie przepisów proceduralnych dotyczących terminu złożenia wniosku o wydanie opinii lub wiążącej decyzji w trybie pilnym, dokumentów, jakie przedkłada się Europejskiej Radzie Ochrony Danych i na których opiera ona swoją opinię lub decyzję, adresatów takiej opinii lub decyzji oraz ich skutków.

(38)Zgodnie z art. 42 ust. 2 rozporządzenia (UE) 2018/1725 skonsultowano się z Europejskim Inspektorem Ochrony Danych i Europejską Radą Ochrony Danych, a organy te wydały wspólną opinię w dniu [...],

Artykuł 1

Przedmiot

W niniejszym rozporządzeniu ustanawia się przepisy proceduralne dotyczące rozpatrywania skarg i prowadzenia postępowań przez organy nadzorcze w sprawach opartych na skargach i w sprawach wszczętych z urzędu w ramach transgranicznego wykonywania rozporządzenia (UE) 2016/679.

1)„strony objęte postępowaniem” oznaczają co najmniej jednego administratora danych lub podmiot przetwarzający dane, wobec którego prowadzone jest postępowanie w związku z potencjalnym naruszeniem przepisów rozporządzenia (UE) 2016/679 dotyczącym transgranicznego przetwarzania danych;

2)„streszczenie kluczowych kwestii” oznacza streszczenie, które wiodący organ nadzorczy ma dostarczyć organom nadzorczym, których sprawa dotyczy, w którym to streszczeniu określa się główne istotne fakty i stanowisko wiodącego organu nadzorczego w danej sprawie;

3)„wstępne ustalenia” oznaczają dokument dostarczony przez wiodący organ nadzorczy stronom objętym postępowaniem, w którym przedstawia się zarzuty, istotne fakty, dowody potwierdzające, analizę prawną oraz, w stosownych przypadkach, proponowane środki naprawcze;

1.Skarga wniesiona na podstawie rozporządzenia (UE) 2016/679, dotycząca transgranicznego przetwarzania danych, powinna zawierać wymagane informacje zgodnie z formularzem określonym w załączniku. Aby uznać skargę za dopuszczalną nie są wymagane żadne dodatkowe informacje.

2.Organ nadzorczy, do którego wniesiono skargę, ustala, czy skarga dotyczy transgranicznego przetwarzania.

3.Organ nadzorczy, do którego wniesiono skargę, ustala w terminie jednego miesiąca kompletność informacji wymaganych zgodnie z formularzem.

4.Po dokonaniu oceny kompletności informacji wymaganych zgodnie z formularzem organ nadzorczy, do którego wniesiono skargę, przekazuje ją wiodącemu organowi nadzorczemu.

5.Skarżący, który przy wnoszeniu skargi domaga się zachowania poufności, powinien również przedłożyć niepoufną wersję skargi.

6.Organ nadzorczy, do którego wniesiono skargę, potwierdza jej otrzymanie w terminie jednego tygodnia. Potwierdzenie to pozostaje bez uszczerbku dla oceny dopuszczalności skargi zgodnie z ust. 3.

II Wnoszenie i rozpatrywanie skarg

Rozpatrywanie skarg

Podczas dokonywania oceny, w jakim zakresie należy rozpatrywać daną skargę, organ nadzorczy uwzględnia w każdej sprawie wszystkie jej istotne okoliczności, w tym wszystkie poniższe elementy:

a)celowość zapewnienia skarżącemu skutecznego i terminowego środka ochrony prawnej;

b)wagę ewentualnego naruszenia;

c)systemowy lub powtarzalny charakter ewentualnego naruszenia.

Skargę można rozpatrzyć w drodze ugody między skarżącym a stronami objętymi postępowaniem. Jeżeli organ nadzorczy uzna, że ustalono ugodowe rozstrzygnięcie sporu, informuje skarżącego o proponowanej ugodzie. Jeżeli skarżący w terminie jednego miesiąca nie wniesie sprzeciwu wobec ugody zaproponowanej przez organ nadzorczy, skargę uznaje się za wycofaną.

Artykuł 6

Tłumaczenia

Współpraca na podstawie art. 60 rozporządzenia (UE) 2016/679

Przepisy niniejszej sekcji dotyczą stosunków między organami nadzorczymi i nie służą przyznaniu praw osobom fizycznym ani stronom objętym postępowaniem.

1.Wiodący organ nadzorczy regularnie informuje o prowadzonym postępowaniu pozostałe organy nadzorcze, których sprawa dotyczy, i niezwłocznie przekazuje im wszystkie stosowne informacje, gdy tylko staną się one dostępne.

2.Stosowne informacje w rozumieniu art. 60 ust. 1 i 3 rozporządzenia (UE) 2016/679 obejmują w stosownych przypadkach:

a)informacje o wszczęciu postępowania w sprawie potencjalnego naruszenia przepisów rozporządzenia (UE) 2016/679;

e)streszczenie kluczowych kwestii w postępowaniu zgodnie z art. 9;

f)informacje o działaniach mających na celu stwierdzenie naruszenia rozporządzenia (UE) 2016/679, podjętych przed przygotowaniem wstępnych ustaleń;

i)opinia skarżącego na temat wstępnych ustaleń;

1.Gdy wiodący organ nadzorczy sformułuje wstępną opinię na temat głównych kwestii w postępowaniu, sporządza on streszczenie kluczowych kwestii na potrzeby współpracy zgodnie z art. 60 ust. 1 rozporządzenia (UE) 2016/679.

a)główne istotne fakty;

b)wstępne określenie zakresu postępowania, w szczególności wskazanie przepisów rozporządzenia (UE) 2016/679, których potencjalne naruszenie będzie przedmiotem postępowania;

c)wskazanie złożonych ocen prawnych i technologicznych, które są istotne dla wstępnego ukierunkowania oceny;

3.Organy nadzorcze, których sprawa dotyczy, mogą przedstawić uwagi odnośnie do streszczenia kluczowych kwestii. Uwagi takie należy przekazać w terminie czterech tygodni od otrzymania streszczenia kluczowych kwestii.

4.Uwagi przekazane zgodnie z ust. 3 muszą spełniać następujące wymogi:

a)użyty język jest wystarczająco zrozumiały i zawiera precyzyjne terminy umożliwiające wiodącemu organowi nadzorczemu bądź organom nadzorczym, których sprawa dotyczy, przygotowanie opinii;

5.Europejska Rada Ochrony Danych może określić w swoim regulaminie wewnętrznym ograniczenia maksymalnej długości uwag zgłaszanych przez organy nadzorcze, których sprawa dotyczy, w odniesieniu do streszczenia kluczowych kwestii.

6.Sprawy, w których żaden z organów nadzorczych, którego sprawa dotyczy, nie przedstawił uwag zgodnie z ust. 3 niniejszego artykułu, uznaje się za sprawy niesporne. W takich przypadkach wstępne ustalenia, o których mowa w art. 14, przekazuje się stronom objętym postępowaniem w terminie dziewięciu miesięcy od upływu terminu przewidzianego w ust. 3 niniejszego artykułu.

Odrzucanie skarg w całości lub w części

1.Organ nadzorczy, którego sprawa dotyczy, składa do wiodącego organu nadzorczego wniosek na podstawie art. 61 rozporządzenia (UE) 2016/679, art. 62 rozporządzenia (UE) 2016/679 lub obu tych przepisów, jeżeli po otrzymaniu uwag od pozostałych organów nadzorczych, których sprawa dotyczy, zgonie z art. 9 ust. 3, dany organ nadzorczy, którego sprawa dotyczy, nie zgadza się z oceną wiodącego organu nadzorczego w kwestiach:

b)wstępnych wytycznych dotyczących złożonych ocen prawnych wskazanych przez wiodący organ nadzorczy zgodnie z art. 9 ust. 2 lit. c);

c)wstępnych wytycznych dotyczących złożonych ocen technologicznych wskazanych przez wiodący organ nadzorczy zgodnie z art. 9 ust. 2 lit. c).

3.Wiodący organ nadzorczy współpracuje z organami nadzorczymi, których sprawa dotyczy, i opiera się na ich uwagach dotyczących streszczenia kluczowych kwestii oraz, w stosownych przypadkach, sporządzonych w odpowiedzi na wnioski złożone na podstawie art. 61 i 62 rozporządzenia (UE) 2016/679, w celu osiągnięcia porozumienia. Osiągnięte porozumienie służy wiodącemu organowi nadzorczemu za podstawę dalszego postępowania i sporządzenia wstępnych ustaleń lub, w stosownych przypadkach, przekazania organowi nadzorczemu, do którego wniesiono skargę, uzasadnienia wiodącego organu nadzorczego do celów określonych w art. 11 ust. 2.

4.Jeżeli w postępowaniu, którego podstawą była skarga, nie doszło do porozumienia w kwestii, o której mowa w art. 9 ust. 2 lit. b) niniejszego rozporządzenia, między wiodącym organem nadzorczym a co najmniej jednym organem nadzorczym, którego sprawa dotyczy, wiodący organ nadzorczy zwraca się do Europejskiej Rady Ochrony Danych z wnioskiem o pilne wydanie wiążącej decyzji zgodnie z art. 66 ust. 3 rozporządzenia (UE) 2016/679. W takiej sytuacji warunki zwrócenia się z wnioskiem o pilne wydanie wiążącej decyzji zgodnie z art. 66 ust. 3 rozporządzenia (UE) 2016/679 uznaje się za spełnione.

5.Zwracając się do Europejskiej Rady Ochrony Danych z wnioskiem o pilne wydanie wiążącej decyzji zgodnie z ust. 4 niniejszego artykułu, wiodący organ nadzorczy przedstawia wszystkie poniższe elementy:

a)dokumenty, o których mowa w art. 9 ust. 2 lit. a) i b);

b)uwagi organu nadzorczego, którego sprawa dotyczy, który nie zgadza się ze wstępnym określeniem zakresu postępowania dokonanym przez wiodący organ nadzorczy.

6.Europejska Rada Ochrony Danych przyjmuje wiążącą decyzję dotyczącą zakresu postępowania na podstawie uwag organów nadzorczych, których sprawa dotyczy, oraz stanowiska wiodącego organu nadzorczego w odniesieniu do tych uwag.

Artykuł 11

Wysłuchanie skarżącego przed odrzuceniem skargi w całości lub w części

Artykuł 12

Zmieniony projekt decyzji o odrzuceniu skargi w całości lub w części

Artykuł 13

Decyzja o odrzuceniu skargi w całości lub w części

Decyzje kierowane do administratorów danych i podmiotów przetwarzających dane

Wstępne ustalenia i odpowiedź na wstępne ustalenia

1.Jeżeli wiodący organ nadzorczy zamierza przedłożyć pozostałym organom nadzorczym, których sprawa dotyczy, projekt decyzji w rozumieniu art. 60 ust. 3 rozporządzenia (UE) 2016/679 stwierdzającej naruszenie przepisów rozporządzenia (UE) 2016/679, sporządza on wstępne ustalenia.

W takich wstępnych ustaleniach przedstawia się zarzuty sformułowane w sposób wyczerpujący i wystarczająco jasny tak, aby umożliwić stronom objętym postępowaniem zapoznanie się z zachowaniem będącym przedmiotem postępowania prowadzonego przez wiodący organ nadzorczy. We wstępnych ustaleniach należy w szczególności jasno przedstawić wszystkie fakty i całą ocenę prawną, które podniesiono przeciwko stronom objętym postępowaniem, tak aby strony te mogły wyrazić swoje stanowisko w temacie faktów i wniosków prawnych, które wiodący organ nadzorczy zamierza przedstawić w projekcie decyzji w rozumieniu art. 60 ust. 3 rozporządzenia (UE) 2016/679; należy w nich również wskazać wszystkie dowody, na których opiera się ten ostatni organ.

We wstępnych ustaleniach wskazuje się środki naprawcze, jakie wiodący organ nadzorczy zamierza zastosować.

Wiodący organ nadzorczy, który zamierza nałożyć karę pieniężną, we wstępnych ustaleniach wymienia istotne elementy, w oparciu o które oblicza taką karę. W szczególności wiodący organ nadzorczy wskazuje istotne fakty i kwestie prawne, które mogą skutkować nałożeniem administracyjnej kary pieniężnej, oraz elementy wymienione w art. 83 ust. 2 rozporządzenia (UE) 2016/679, w tym wszelkie mające zastosowanie czynniki obciążające lub łagodzące.

3.Wiodący organ nadzorczy powiadamia każdą ze stron objętych postępowaniem o wstępnych ustaleniach.

4.Przy powiadamianiu stron objętych postępowaniem o wstępnych ustaleniach wiodący organ nadzorczy określa termin, w którym strony te mogą wyrazić swoje stanowisko na piśmie. Wiodący organ nadzorczy nie ma obowiązku uwzględnić pisemnych opinii otrzymanych po upływie tego terminu.

5.Przy powiadamianiu stron objętych postępowaniem o wstępnych ustaleniach wiodący organ nadzorczy zapewnia im dostęp do akt administracyjnych zgodnie z art. 20.

6.Strony objęte postępowaniem mogą w pisemnej odpowiedzi na wstępne ustalenia przedstawić wszystkie znane im fakty i argumenty prawne istotne dla ich obrony przed zarzutami wiodącego organu nadzorczego. Do swojej pisemnej odpowiedzi strony dołączają wszelkie istotne dokumenty jako dowody przedstawionych faktów. Wiodący organ nadzorczy w swoim projekcie decyzji zajmuje się wyłącznie zarzutami, w tym faktami i oceną prawną opartą na tych faktach, w odniesieniu do których strony objęte postępowaniem miały możliwość przedstawienia uwag.

Artykuł 15

Przekazywanie skarżącym wstępnych ustaleń

Przyjęcie ostatecznej decyzji

Po przedłożeniu projektu decyzji organom nadzorczym, których sprawa dotyczy, zgodnie z art. 60 ust. 3 rozporządzenia (UE) 2016/679, jeżeli żaden z organów nadzorczych, których sprawa dotyczy, nie zgłosił sprzeciwu wobec projektu decyzji w terminach, o których mowa w art. 60 ust. 4 i 5 rozporządzenia (UE) 2016/679, wiodący organ nadzorczy przyjmuje decyzję i doręcza ją, na podstawie art. 60 ust. 7 rozporządzenia (UE) 2016/679, głównej bądź pojedynczej jednostce organizacyjnej administratora lub podmiotu przetwarzającego dane oraz informuje o decyzji organy nadzorcze, których sprawa dotyczy, i Europejską Radę Ochrony Danych, dołączając streszczenie stanu faktycznego i powodów podjęcia takiej decyzji.

Artykuł 17

Prawo do bycia wysłuchanym w temacie zmienionego projektu decyzji

a)muszą być oparte wyłącznie na elementach faktycznych ujętych w projekcie decyzji oraz

b)nie mogą zmieniać zakresu zarzutów w wyniku wskazania dodatkowych zarzutów naruszenia przepisów rozporządzenia (UE) 2016/679 lub zmiany charakteru zarzutów już podniesionych.

a)każdy uzasadniony sprzeciw mający znaczenie dla sprawy oraz stanowisko wiodącego organu nadzorczego w sprawie takiego sprzeciwu nie przekraczają trzech stron i nie zawierają załączników. W sprawach dotyczących szczególnie złożonych kwestii prawnych maksymalną długość powyższych dokumentów można podnieść do sześciu stron, chyba że Europejska Rada Ochrony Danych zaakceptuje szczególne okoliczności uzasadniające dodatkowe jej zwiększenie;

[...]

Przekazywanie spraw do rozstrzygnięcia sporu na podstawie art. 65 rozporządzenia (UE) 2016/679

1.Jeżeli wiodący organ nadzorczy nie przychyla się do uzasadnionych sprzeciwów mających znaczenie dla sprawy lub sądzi, że sprzeciwy te nie są uzasadnione lub nie mają znaczenia dla sprawy, przekazuje sprawę do rozstrzygnięcia sporu, zgodnie z procedurą określoną w art. 65 rozporządzenia (UE) 2016/679.

2.Przekazując sprawę do rozstrzygnięcia sporu, wiodący organ nadzorczy dostarcza Europejskiej Radzie Ochrony Danych wszystkie następujące dokumenty:

b)streszczenie istotnych faktów;

d)ewentualnych pisemnych opinii stron objętych postępowaniem wyrażonych na podstawie art. 14 lub 17;

e)ewentualne pisemne opinie skarżących wyrażone na podstawie art. 11, 12 lub 15;

f)uzasadnione sprzeciwy mające znaczenie dla sprawy, do których nie przychylił się wiodący organ nadzorczy;

g)powody, dla których wiodący organ nadzorczy nie przychylił się do uzasadnionych sprzeciwów mających znaczenie dla sprawy lub uznał, że sprzeciwy te nie są uzasadnione lub nie są istotne dla sprawy.

3.W terminie czterech tygodni od otrzymania dokumentów wymienionych w ust. 2 Europejska Rada Ochrony Danych wskazuje, które z uzasadnionych sprzeciwów mających znaczenie dla sprawy zostają podtrzymane.

Artykuł 23

Rejestracja sprawy w przypadku decyzji przyjmowanej na podstawie art. 65 ust. 1 lit. a) rozporządzenia (UE) 2016/679

Artykuł 24

Uzasadnienie decyzji przyjmowanej na podstawie art. 65 ust. 1 lit. a) rozporządzenia (UE) 2016/679 opracowywane przed jej przyjęciem

Artykuł 25

Procedura w przypadku decyzji przyjmowanej na podstawie art. 65 ust. 1 lit. b) rozporządzenia (UE) 2016/679

c)opinię Komisji lub organu nadzorczego zgłaszającego daną sprawę na temat tego, czy organ nadzorczy zobowiązany był wystąpić o opinię Europejskiej Rady Ochrony Danych na podstawie art. 64 ust. 1 rozporządzenia (UE) 2016/679, bądź czy organ nadzorczy nie zastosował się do opinii Europejskiej Rady Ochrony Danych wydanej na podstawie art. 64 rozporządzenia (UE) 2016/679.

3.Przewodniczący Europejskiej Rady Ochrony Danych rejestruje wpłynięcie sprawy nie później niż tydzień po otrzymaniu dokumentów, o których mowa w ust. 1 i 2.

a)streszczenie istotnych faktów;

b)opis środka tymczasowego przyjętego przez organ nadzorczy na terytorium jego państwa członkowskiego, czas obowiązywania tego środka i powody jego przyjęcia, w tym uzasadnienie pilnej potrzeby podjęcia działań w celu ochrony praw i wolności osób, których dane dotyczą;

c)uzasadnienie pilnej potrzeby przyjęcia na terytorium państwa członkowskiego wnioskującego organu nadzorczego środków o charakterze ostatecznym, w tym wyjaśnienie wyjątkowego charakteru okoliczności wymagających przyjęcia tych środków.

2.Opinia Europejskiej Rady Ochrony Danych wydana w trybie pilnym skierowana jest do organu nadzorczego, który wystąpił z wnioskiem. Jest ona podobna do opinii, o której mowa w art. 64 ust. 1 rozporządzenia (UE) 2016/679, i umożliwia organowi wnioskującemu podtrzymanie lub zmianę środka tymczasowego zgodnie z zobowiązaniami określonymi w art. 64 ust. 7 rozporządzenia (UE) 2016/679.

Wydawanie decyzji w trybie pilnym na podstawie art. 66 ust. 2 rozporządzenia (UE) 2016/679

1.Wniosek o wydanie przez Europejską Radę Ochrony Danych Radę decyzji w trybie pilnym na podstawie art. 66 ust. 2 rozporządzenia (UE) 2016/679 składa się nie później niż trzy tygodnie przed wygaśnięciem środków tymczasowych przyjętych na postawie art. 61 ust. 8, art. 62 ust. 7 lub art. 66 ust. 1 rozporządzenia (UE) 2016/679. Wniosek ten zawiera wszystkie następujące elementy:

a)streszczenie istotnych faktów;

b)opis środka tymczasowego przyjętego przez organ nadzorczy, który zwrócił się z wnioskiem o wydanie decyzji, na terytorium jego państwa członkowskiego, czas obowiązywania tego środka i powody jego przyjęcia, w szczególności uzasadnienie pilnej potrzeby podjęcia działań w celu ochrony praw i wolności osób, których dane dotyczą;

c)informacje o wszelkich środkach podjętych na własnym terytorium w ramach postępowania oraz odpowiedzi lokalnej jednostki organizacyjnej stron objętych postępowaniem lub wszelkie inne informacje będące w posiadaniu organu nadzorczego zwracającego się z wnioskiem;

d)uzasadnienie pilnej potrzeby przyjęcia na terytorium państwa członkowskiego wnioskującego organu nadzorczego środków o charakterze ostatecznym, przy uwzględnieniu wyjątkowego charakteru okoliczności wymagających przyjęcia środków o charakterze ostatecznym, lub dowód nieudzielenia przez organ nadzorczy odpowiedzi na wniosek złożony na podstawie art. 61 ust. 3 lub art. 62 ust. 2 rozporządzenia (UE) 2016/679;

f)w stosownych przypadkach, opinia lokalnej jednostki organizacyjnej stron objętych postępowaniem, wobec których zastosowano środki tymczasowe zgodnie z art. 66 ust. 1 rozporządzenia (UE) 2016/679.

2.Decyzja wydana w trybie pilnym, o której mowa w ust. 1, skierowana jest do organu nadzorczego, który wystąpił z wnioskiem, i umożliwi temu organowi podtrzymanie lub zmianę przyjętego przez siebie środka tymczasowego.

3.Jeżeli Europejska Rada Ochrony Danych wyda w trybie pilnym wiążącą decyzję o przyjęciu środków o charakterze ostatecznym, organ nadzorczy, do którego skierowana jest decyzja, przyjmie takie środki przed wygaśnięciem środków tymczasowych przyjętych na podstawie art. 66 ust. 1 rozporządzenia (UE) 2016/679.

4.Organ nadzorczy, który wystąpił z wnioskiem, o którym mowa w ust. 1, powiadamia jednostkę organizacyjną administratora danych lub podmiotu przetwarzającego dane, znajdującą się na terytorium państwa członkowskiego tego organu, o swojej decyzji w sprawie przyjęcia środków o charakterze ostatecznym oraz informuje o tym Europejską Radę Ochrony Danych. Jeżeli organ zwracający się z wnioskiem nie jest wiodącym organem nadzorczym, informuje on wiodący organ nadzorczy o przyjętym środku o charakterze ostatecznym.

Artykuł 29

Rozpoczęcie biegu terminów i definicja dnia roboczego

Rozdziały III i IV powinny mieć zastosowanie do postępowań wszczętych z urzędu po wejściu w życie niniejszego rozporządzenia oraz do postępowań skargowych, w przypadku gdy skargę wniesiono po wejściu niniejszego rozporządzenia w życie.

Rozdział V powinien mieć zastosowanie do wszystkich spraw poddanych procedurze rozstrzygania sporów, o której mowa w art. 65 rozporządzenia (UE) 2016/679, po wejściu w życie niniejszego rozporządzenia.

Wejście w życie

1.Dane osoby składającej lub podmiotu składającego skargę

Jeżeli skarżącym jest osoba fizyczna, należy załączyć kopię jej dokumentu tożsamości1a.

2.Dane kontaktowe 1a

Jeżeli skargę składa się drogą elektroniczną: adres e-mail.

Jeżeli skargę składa się pocztą: adres pocztowy.

3.Podmiot, którego dane osobowe przetwarzane są z naruszeniem przepisów rozporządzenia (UE) 2016/679

Proszę podać wszystkie posiadane informacje, które mogą ułatwić identyfikację podmiotu, którego dotyczy skarga.