62023TJ0070_RES
Förenade målen T‑70/23, T‑84/23 och T‑111/23
(publicering i utdrag)
Data Protection Commission
mot
Europeiska dataskyddsstyrelsen
Tribunalens dom av den 29 januari 2025
”Skydd av personuppgifter – Artikel 58.1 a i förordning (EU) 2016/679 – Bindande beslut i vilket en ansvarig tillsynsmyndighet instrueras att utvidga utredningens omfattning och att utarbeta ett kompletterande utkast till beslut – Europeiska dataskyddsstyrelsens befogenhet”
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Europeiska dataskyddsstyrelsens (EDPB) befogenhet – Räckvidd – Bindande beslut i vilket en ansvarig tillsynsmyndighet instrueras att utvidga utredningens omfattning och att utarbeta ett kompletterande utkast till beslut – Omfattas
(Artikel 39 FEU, artiklarna 16.1 och 16.2 samt 101 och 102 FEUF; Europeiska unionens stadga om de grundläggande rättigheterna, artikel 8.1 och 8.3; Europaparlamentets och rådets förordning 2016/679, skälen 126, 136 och 141 samt artiklarna 4.24, 57.1 a och f, 58.2, 60, 65.1 a, 65.2, 65.3, 65.6 och 66)
(se punkterna 35, 36, 38–40, 43–45, 49–54, 56–59, 62, 63, 68–75 och 77–82)
Resumé
Tribunalen, i utökad sammansättning, ogillar den talan som väckts av Data Protection Commission (den irländska tillsynsmyndigheten för skydd av personuppgifter) (nedan kallad DPC) om delvis ogiltigförklaring av tre bindande beslut som antagits av Europeiska dataskyddsstyrelsen (nedan kallad EDPB). I sin dom uttalar sig tribunalen för första gången om EDPB:s befogenhet att ålägga en nationell tillsynsmyndighet att utvidga granskningen av ett klagomålsärende eller att utvidga en eventuell tillsyn som inletts med anledning därav.
Bakgrunden till målet är följande. DPC hade, i egenskap av ansvarig tillsynsmyndighet, lagt fram utkast till beslut i tre ärenden angående gränsöverskridande behandling av personuppgifter i samband med användningen av det sociala nätverket Facebook, det sociala nätverket Instagram respektive meddelandetjänsten Whatsapp, med tillhörande applikationer. Därefter hade vissa invändningar framställts mot dessa beslutsutkast. Efter skriftväxling med de övriga berörda tillsynsmyndigheterna konstaterade DPC att det inte rådde enighet om de invändningar som framställts och den hänsköt därför ärendet till EDPB inom ramen för den så kallade enhetlighetsmekanismen, det vill säga den mekanism för tvistlösning som inrättats genom förordning 2016/679 (nedan kallad enhetlighetsmekanismen). (
1
)
Efter att ha granskat de tre ärendena fann EDPB att de flesta av invändningarna mot DPC:s utkast till beslut var relevanta och motiverade och beslutade att ta ställning till de frågor som invändningarna gav upphov till.
EDPB antog därefter, den 5 december 2022, tre bindande beslut, i vilka den ålade DPC att genomföra en ny tillsyn av den personuppgiftsbehandling som var kopplad till användningen av ovan nämnda applikationer och att på grundval av denna utarbeta kompletterande utkast till beslut.
DPC ansåg EDPB saknade befogenhet att genom bindande beslut ålägga en tillsynsmyndighet att vidta sådana åtgärder och väckte därför talan om delvis ogiltigförklaring av de aktuella besluten vid tribunalen.
Tribunalens bedömning
Tribunalen inleder sin bedömning med att, utifrån en bokstavlig, kontextuell och teleologisk tolkning av dataskyddsförordningen, pröva frågan om vilken räckvidd EDPB:s befogenhet har. (
2
)
I detta sammanhang påpekar tribunalen till att börja med att det vid en bokstavstolkning av de relevanta bestämmelserna i dataskyddsförordningen (
3
) framgår att EDPB har befogenhet att anta beslutsföreskrifter av det i målen aktuella slaget, i vilka den ansvariga tillsynsmyndigheten åläggs att genomföra en ny tillsyn av vissa aspekter av de berörda ärendena och att därefter anta nya utkast till beslut. Enligt dataskyddsförordningen ska EDPB:s bindande beslut avse alla frågor som är föremål för relevanta och motiverade invändningar. Det finns enligt tribunalen därmed inget som hindrar att EDPB – om den anser att det finns fog för en relevant och motiverad invändning som avser att en viss aspekt av ärendet inte alls eller otillräckligt har undersökts i den ansvariga tillsynsmyndighetens utkast till beslut, vilket gör det omöjligt att veta om det i fråga om den aspekten föreligger en överträdelse av förordningen eller inte – förenar ett bindande beslut med ett föreläggande till den ansvariga tillsynsmyndigheten att avhjälpa denna brist och, om det framstår som nödvändigt mot bakgrund av underlaget i det aktuella ärendet, att i detta syfte fördjupa eller utvidga den hittills genomförda tillsynen. Om det visar sig att det i ärendet inte finns tillräckligt underlag för att till fullo granska den aktuella aspekten, måste EDPB då nämligen anses ha möjlighet att ålägga den ansvariga tillsynsmyndigheten att utvidga tillsynen till att omfatta även en granskning av denna aspekt.
Tribunalen finner därefter att en kontextuell tolkning av de relevanta bestämmelserna i dataskyddsförordningen ger vid handen att EDPB har en sådan befogenhet. Detta framgår nämligen klart av det allmänna sammanhang i vilket samarbetsskyldigheten mellan tillsynsmyndigheter som berörs av ett ärende ingår i dataskyddsförordningen.
I detta avseende anför tribunalen följande. Förfarandet för samarbete mellan tillsynsmyndigheter som berörs av ett ärende (
4
) kan innefatta att ärendet överlämnas till EDPB för tvistlösning inom ramen för enhetlighetsmekanismen. Detta förfarande är inte ett så kallat envägsförfarande, där de olika stegen i förfarandet alltid genomförs i den ordning som följer av de bestämmelser i vilka de föreskrivs och där det inte finns möjlighet att gå tillbaka till ett tidigare skede i förfarandet eller att tillfälligt stanna kvar i samma skede.
Tribunalen noterar dessutom att bedömningen av omständigheterna kring behandlingen av personuppgifter i ett visst fall och av huruvida den är förenlig med dataskyddsförordningen inte ska begränsas till vad den som gett in det aktuella klagomålet har valt att lyfta fram. För att tillsynsmyndigheterna ska klara av att fullt ut utföra sina uppgifter enligt dataskyddsförordningen, det vill säga att säkerställa att förordningen efterlevs och att behandla inkomna klagomål i den utsträckning som är lämplig, (
5
) krävs att tillsynsmyndigheterna på lämpligt sätt avgränsar omfattningen av granskningen av ett klagomålsärende mot bakgrund av uppgifterna i det aktuella klagomålet, men även mot bakgrund av andra omständigheter som kan komplettera dessa uppgifter. En relevant och motiverad invändning avser per definition aspekter som det ankommer på en tillsynsmyndighet att undersöka inom ramen för de två uppgifter som nämns ovan. Det förhållandet att en relevant och motiverad invändning avser omfattningen av den ansvariga tillsynsmyndighetens granskning av ett klagomålsärende, eller omfattningen av en eventuell tillsyn som inletts med anledning därav, samt att EDPB vidtar åtgärder med anledning av denna invändning kan således inte på något sätt anses inkräkta på dessa uppgifter.
Tribunalen avslutar denna del av sin bedömning med att konstatera att också prövningen av de mål som eftersträvas med dataskyddsförordningen bekräftar den tidigare gjorda bokstavstolkningen av de relevanta bestämmelserna i dataskyddsförordningen.
Den påpekar i detta avseende bland annat att mekanismen för samarbete mellan berörda tillsynsmyndigheter inte är avsedd för fallet att det råder oenighet mellan myndigheterna. I det fallet ska den fråga som det råder oenighet om hänskjutas till EDPB för tvistlösning enligt enhetlighetsmekanismen, varefter styrelsen ska anta ett bindande beslut. Om den ansvariga tillsynsmyndigheten har genomfört en ny tillsyn ska den anta ett slutligt beslut om de materiella frågor som den, till följd av ett bindande beslut från EDPB, har undersökt och tagit ställning till. Ett sådant beslut ska fattas inom den frist som föreskrivs i dataskyddsförordningen. Detta utgör inte hinder för att den ansvariga tillsynsmyndigheten genomför en kompletterande tillsyn och granskar aspekter av det aktuella klagomålsärendet som ännu inte har undersökts.
Tribunalen övergår sedan till att pröva förutsättningarna för tilldelning av befogenheter till ett unionsorgan och konstaterar därvid att dessa inte utgör hinder för den ovan angivna tolkningen att EDPB har befogenhet att ålägga en ansvarig tillsynsmyndighet att utvidga granskningen av ett klagomålsärende eller att utvidga en eventuell tillsyn som inletts med anledning därav. Utövandet av en sådan befogenhet regleras nämligen av diverse kriterier och villkor som begränsar EDPB:s handlingsutrymme. Denna befogenhet används således endast i fall där det klart framgår att den ansvariga tillsynsmyndighetens granskning av ärendet är otillräcklig och detta kan få betydande konsekvenser, såsom framgår av definitionen i dataskyddsförordningen av begreppet ”relevant och motiverad invändning”. Vidare grundar sig denna befogenhet på en kollektiv bedömning som gjorts av de tillsynsmyndigheter som EDPB utgörs av.
Tribunalen preciserar dessutom att utövandet av denna befogenhet kan bli föremål för en laglighetsprövning av unionsdomstolen. Den påpekar närmare bestämt att det vid en eventuell laglighetsprövning skulle vara möjligt för unionsdomstolen att, inom ramen för i ett sådant mål åberopade grunder, göra en materiell laglighetsprövning av beslutsföreskrifter av det i målen aktuella slaget utifrån omständigheterna i det enskilda fallet. I synnerhet skulle unionsdomstolen i ett sådant mål först kunna pröva huruvida EDPB, genom att anta sådana föreskrifter, verkligen har följt en relevant och motiverad invändning från en tillsynsmyndighet. Därefter skulle den kunna göra en laglighetsprövning av själva innehållet i beslutsföreskrifter varigenom tillsynsmyndigheter åläggs att vidta vissa åtgärder.
Tribunalen påpekar även att ett bindande beslut av EDPB varigenom den ansvariga tillsynsmyndigheten åläggs att utvidga sin granskning och tillsyn i ett visst klagomålsärende inte kan anses innebära ett ifrågasättande av den ansvariga tillsynsmyndighetens förmåga att prioritera mellan de olika uppgifter som den har att utföra i sin egenskap av oberoende tillsynsmyndighet. Detta är nämligen en typ av fråga som det uteslutande ankommer på nationella domstolar att pröva. Ett sådant bindande beslut innebär inte heller ett ifrågasättande i mer allmän bemärkelse av den ansvariga tillsynsmyndighetens oberoende ställning. (
6
)
(
1
)	I enlighet med artikel 60.4 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1) (nedan kallad dataskyddsförordningen).
(
2
)	Enligt artikel 65.1 a i dataskyddsförordningen.
(
3
)	Artikel 65.1 a jämförd med artiklarna 4.24 och 65.6 samt skälen 126 och 136 i dataskyddsförordningen.
(
4
)	Detta förfarande beskrivs i artikel 60 i dataskyddsförordningen.
(
5
)	Artikel 57.1 a och f i dataskyddsförordningen.
(
6
)	Enligt artikel 39 FEU, artikel 16.2 FEUF och artikel 8.3 i Europeiska unionens stadga om de grundläggande rättigheterna.