62023TJ0070_RES
Forenede sager T-70/23, T-84/23 og T-11/23
(offentliggørelse i uddrag)
Data Protection Commission
mod
Det Europæiske Databeskyttelsesråd
Rettens dom af 29. januar 2025
»Beskyttelse af personoplysninger – artikel 65, stk. 1, litra a), i forordning (EU) 2016/679 – afgørelse, der pålægger en ledende tilsynsmyndighed at udvide omfanget af en undersøgelse og at udfærdige et supplerende udkast til afgørelse – Det Europæiske Databeskyttelsesråds kompetence«
Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – Det Europæiske Databeskyttelsesråds (EDPB) kompetence – omfang – afgørelse, der pålægger en ledende tilsynsmyndighed at udvide omfanget af en undersøgelse og at udarbejde et supplerende udkast til afgørelse – omfattet
[Art. 39 TEU; art. 16, stk. 1 og 2, TEUF, art. 101 TEUF og 102 TEUF; Den Europæiske Unions charter om grundlæggende rettigheder, art. 8, stk. 1 og 3; Europa-Parlamentets og Rådets forordning 2016/679, 126., 136. og 141. betragtning og art. 4, nr. 24), art. 57, stk. 1, litra a) og f), art. 58, stk. 2, art. 60, art. 65, stk. 1, litra a), art. 65, stk. 2, 3 og 6, samt art. 66]
(jf. præmis 35, 36, 38-40, 43-45, 49-54, 56-59, 62, 63, 68-75 og 77-82)
Resumé
Retten, der traf afgørelse i udvidet afdeling, frifandt Det Europæiske Databeskyttelsesråd i et søgsmål, der var anlagt af Data Protection Commission, der er den irske tilsynsmyndighed for beskyttelse af personoplysninger, med påstand om delvis annullation af de bindende afgørelser, der var truffet af Det Europæiske Databeskyttelsesråd (herefter »EDPB«). I sin dom udtalte Retten sig for første gang om EDPB’s kompetence til at pålægge en national tilsynsmyndighed at udvide sin analyse af en sag og i givet fald sin undersøgelse.
Efter drøftelser med de øvrige berørte tilsynsmyndigheder konstaterede Data Protection Commission i dens egenskab af ledende tilsynsmyndighed, at der ikke kunne opnås enighed om indsigelserne mod dens udkast til afgørelser vedrørende grænseoverskridende behandling af personoplysninger i forbindelse med anvendelsen af det sociale netværk Facebook, det sociale netværk Instagram og beskedtjenesten WhatsApp. Den forelagde derfor sagen for EDPB inden for rammerne af sammenhængsmekanismen (
1
).
Efter behandlingen af tre sager tog EDPB stilling til de spørgsmål, som de rejste, idet EDPB fandt, at størstedelen af indsigelserne mod udkastet til afgørelser var relevante og begrundede.
Den 5. december 2022 vedtog EDPB således de bindende afgørelser, hvorved Data Protection Commission blev pålagt at foretage nye undersøgelser af de behandlinger af oplysninger, der var foretaget i forbindelse med de tre ovennævnte anvendelser, og på dette grundlag at udarbejde supplerende udkast til afgørelser.
Data Protection Commission anfægtede dernæst EDPB’s kompetence til ved bindende afgørelser at pålægge den sådanne foranstaltninger.
Rettens bemærkninger
I første række præciserede Retten omfanget af EDPB’s kompetence (
2
), idet den støttede sig på en ordlyds-, kontekstuel, teleologisk og historisk fortolkning af databeskyttelsesforordningen.
I denne forbindelse bemærkede Retten indledningsvis, at EDPB ifølge en ordlydsfortolkning af de relevante bestemmelser i databeskyttelsesforordningen (
3
) har kompetence til at træffe foranstaltninger, såsom de anfægtede vedtagelser, der pålægger den ledende tilsynsmyndighed at foretage en ny undersøgelse af visse aspekter af de omhandlede sager og efterfølgende vedtage nye udkast til afgørelser i denne henseende. Eftersom EDPB’s bindende afgørelse skal vedrøre alle de spørgsmål, der er genstand for relevante og begrundede indsigelser, er databeskyttelsesforordningen ikke hinder for, at denne afgørelse – når EDPB godkender en relevant og begrundet indsigelse vedrørende en mangel eller utilstrækkelig analyse i udkastet til afgørelse af et aspekt, som gør det umuligt at fastslå, om der foreligger en overtrædelse af denne forordning – indeholder et påbud til den ledende tilsynsmyndighed om at afhjælpe denne manglende analyse og, hvis det forekommer nødvendigt i lyset af de sagsakter, som EDPB er i besiddelse af, at uddybe eller udvide den hidtil foretagne undersøgelse med henblik herpå. Hvis det viser sig, at sagsakterne er utilstrækkelige til at gennemføre den krævede analyse fuldt ud, skal dette føre til, at EDPB kan kræve, at den ledende tilsynsmyndighed foretager en supplerende undersøgelse.
Dernæst fastslog Retten i forbindelse med en kontekstuel fortolkning af de relevante bestemmelser i databeskyttelsesforordningen, at den overordnede sammenhæng for den forpligtelse til samarbejde mellem de af en sag berørte tilsynsmyndigheder, der er fastsat i databeskyttelsesforordningen, bekræfter, at EDPB har kompetence til at træffe de anfægtede foranstaltninger.
I denne henseende anførte Retten, at den procedure for samarbejde mellem de af en sag berørte tilsynsmyndigheder (
4
), der kan indebære udløsning af den i databeskyttelsesforordningen omhandlede sammenhængsmekanisme, som EDPB sikrer, ikke en »envejsprocedure«, hvor de forskellige trin altid vil blive gennemført i samme rækkefølge som fastsat i de bestemmelser, der omhandler denne mekanisme, uden mulighed for at vende tilbage til et tidligere trin eller for midlertidig opretholdelse på samme trin.
Retten bemærkede endvidere, at analysen af de betingelser, hvorunder en behandling af personoplysninger foretages, og af, om behandlingen er i overensstemmelse med databeskyttelsesforordningen, ikke skal begrænses til, hvad der er fremhævet i en klagers klage. Hvis den fulde udførelse af tilsynsmyndighedernes opgaver, der er fastsat i databeskyttelsesforordningen, og overholdelsen af denne forordning skal sikres, og hvis klager skal behandles i det omfang, det er nødvendigt (
5
), indebærer dette navnlig, at omfanget af analysen af sagen i forhold til den klage, der ligger til grund for analysen, men også i forhold til de øvrige elementer, der kan supplere den, er passende. Den relevante og begrundede indsigelse vedrører ifølge sin definition aspekter, hvis analyse falder inden for rammerne af de to ovennævnte opgaver. Den omstændighed, at en relevant og begrundet indsigelse vedrører omfanget af en analyse og i givet fald omfanget af en undersøgelse, og at EDPB handler på grundlag heraf, bringer dermed på ingen måde disse opgaver i fare.
Endelig fremhævede Retten, at undersøgelsen af formålene med databeskyttelsesforordningen ligeledes bekræfter ordlydsfortolkningen af de relevante bestemmelser i databeskyttelsesforordningen.
I denne henseende bemærkede Retten bl.a., at mekanismen for samarbejde mellem tilsynsmyndigheder, der er berørt af en sag, er afgrænset, hvor disse myndigheder ikke når til enighed. Det er i denne situation, at den ledende tilsynsmyndighed uden forudgående samtykke skal forelægge et spørgsmål for sammenhængsmekanismen, hvilket vil føre til en bindende afgørelse fra EDPB. I tilfælde af genoptagelse af en undersøgelse skal den kompetente myndighed træffe en endelig afgørelse om de materielle aspekter, der er analyseret og afgjort i en bindende afgørelse fra EDPB inden for den frist, der er fastsat i databeskyttelsesforordningen. Dette er ikke til hinder for, at EDPB foretager en supplerende undersøgelse og analyserer de aspekter af sagen, der endnu ikke er blevet undersøgt.
I anden række fandt Retten, at betingelserne for tildeling af kompetence til et EU-organ ikke er til hinder for den foretagne analyse, hvorefter EDPB har beføjelse til at pålægge en ledende tilsynsmyndighed at udvide sin analyse og om nødvendigt sin undersøgelse. Udøvelsen af en sådan beføjelse er nemlig reguleret af visse kriterier og betingelser, som begrænser EDPB’s spillerum. Det skal bemærkes dels, at denne beføjelse udøves i tilfælde af en klart påvist mangel i den ledende tilsynsmyndigheds analyse i forbindelse med behandlingen af sagen, der kan have betydelige konsekvenser, således som det fremgår af definitionen af den relevante og begrundede indsigelse, dels, at den følger af den samlede vurdering, der foretages af de tilsynsmyndigheder, der udgør EDPB.
Retten præciserede i øvrigt, at udøvelsen af denne beføjelse er underlagt domstolskontrol. Mere konkret er Unionens retsinstanser inden for rammerne af de anbringender, der gøres gældende for dem, i stand til at efterprøve den materielle lovlighed af de anfægtede vedtagelser på grundlag af omstændighederne i den konkrete sag. De kan navnlig efterprøve, om EDPB ved at vedtage vedtagelser af denne art faktisk har fulgt op på en relevant og begrundet indsigelse fra en tilsynsmyndighed. De kan dernæst efterprøve lovligheden af selve indholdet af sådanne vedtagelser, der indeholder instrukser til tilsynsmyndighederne.
I denne sammenhæng tilføjede Retten, at en bindende afgørelse fra EDPB, der pålægger den ledende tilsynsmyndighed at udvide sin analyse og undersøgelse, ikke rejser tvivl om dennes evne til at prioritere udførelsen af dens forskellige opgaver som uafhængig myndighed, hvilken opgave det alene tilkommer den nationale ret at efterprøve. Den rejser heller ikke overordnet set tvivl om EDPB’s uafhængighed (
6
).
(
1
) – I henhold til artikel 60, stk. 4, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«).
(
2
) – I henhold til databeskyttelsesforordningens artikel 65, stk. 1, litra a).
(
3
) – Databeskyttelsesforordningens artikel 65, stk. 1, litra a), sammenholdt med denne forordnings artikel 4, nr. 24), og artikel 65, stk. 6, samt 126. og 136. betragtning hertil.
(
4
) – Som omhandlet i databeskyttelsesforordningens artikel 60.
(
5
) – Databeskyttelsesforordningens artikel 57, stk. 1, litra a) og f).
(
6
) – Som fastsat i artikel 39 TEU, artikel 16, stk. 2, TEUF og artikel 8, stk. 3, i Den Europæiske Unions charter om grundlæggende rettigheder.