Förslag till avgörande av generaladvokat Bobek – Mål C‑645/19 Facebook Ireland m.fl.

I. Inledning

1. Tillåter den allmänna dataskyddsförordningen (The General Data Protection Regulation) (nedan kallad dataskyddsförordningen) att en tillsynsmyndighet i en medlemsstat väcker talan vid en domstol i den staten för en påstådd överträdelse av den förordningen med avseende på gränsöverskridande uppgiftsbehandling när denna myndighet inte är ansvarig tillsynsmyndighet avseende denna behandling?

2. Eller utgör den nya mekanismen för ”en enda kontaktpunkt”, som presenterades som en av de större nyheterna med dataskyddsförordningen, hinder för att detta ska inträffa? Om en personuppgiftsansvarig vore skyldig att försvara sig mot ett rättsligt angrepp rörande gränsöverskridande uppgiftsbehandling av en tillsynsmyndighet vid en domstol som ligger utanför dennes huvudsakliga verksamhetsställe, skulle detta vara ”en kontaktpunkt för mycket” och därför oförenligt med den nya mekanismen i dataskyddsförordningen?

II. Tillämpliga bestämmelser

A. Unionsrätt

3. I ingressen till dataskyddsförordningen anges bland annat att ”målen och principerna för direktiv 95/46/EG är fortfarande giltiga, men det har inte kunnat förhindra bristande enhetlighet i genomförandet av dataskyddet i olika delar av unionen [och] rättsosäkerhet” (skäl 9), en konsekvent och enhetlig tillämpning av bestämmelserna om skydd vid behandling av personuppgifter bör säkerställas i hela unionen (skäl 10), tillsynsmyndigheterna ska övervaka tillämpningen av bestämmelserna och medverka till en enhetlig tillämpning därav för att skydda fysiska personer och underlätta den fria rörligheten av personuppgifter inom den inre marknaden (skäl 123), i situationer som innebär gränsöverskridande behandling ”bör tillsynsmyndigheten för den personuppgiftsansvariges eller personuppgiftsbiträdets huvudsakliga verksamhetsställe eller för detta enda verksamhetsställe tillhörande den personuppgiftsansvarige eller personuppgiftsbiträdet agera som ansvarig myndighet” och denna myndighet bör ”samarbeta med de övriga myndigheter som berörs”(skäl 124).

4. Artikel 51.1 i dataskyddsförordningen anger att ”varje medlemsstat ska föreskriva att en eller flera offentliga myndigheter ska vara ansvariga för att övervaka tillämpningen av denna förordning, i syfte att skydda fysiska personers grundläggande rättigheter och friheter i samband med behandling samt att underlätta det fria flödet av sådana uppgifter inom unionen (nedan kallad tillsynsmyndighet).”

5. Artikel 55.1 i dataskyddsförordningen föreskriver att ”varje tillsynsmyndighet ska vara behörig att utföra de uppgifter och utöva de befogenheter som tilldelas den enligt denna förordning inom sin egen medlemsstats territorium.”

6. Artikel 56 i dataskyddsförordningen behandlar den ansvariga tillsynsmyndighetens behörighet. Punkt 1 i denna bestämmelse har följande lydelse:

”Utan att det påverkar tillämpningen av artikel 55 ska tillsynsmyndigheten för den personuppgiftsansvariges eller personuppgiftsbiträdets huvudsakliga verksamhetsställe eller enda verksamhetsställe vara behörig att agera som ansvarig tillsynsmyndighet för den personuppgiftsansvariges eller personuppgiftsbiträdets gränsöverskridande behandling i enlighet med det förfarande som föreskrivs i artikel 60.”

7. Artikel 56.2–56.5 föreskriver att genom undantag från punkt 1 ”ska varje tillsynsmyndighet vara behörig att behandla ett klagomål som lämnats in till denna eller en eventuell överträdelse av denna förordning, om sakfrågan i ärendet endast rör ett verksamhetsställe i medlemsstaten eller i väsentlig grad påverkar registrerade endast i medlemsstaten”. Dessa fall kan behandlas av de ansvariga tillsynsmyndigheterna enligt det förfarande som anges i artikel 60 i dataskyddsförordningen eller, ”om den ansvariga tillsynsmyndigheten beslutar att inte behandla ärendet”, av den lokala tillsynsmyndigheten enligt artiklarna 61 och 62 i dataskyddsförordningen.

8. Artikel 56.6 anger att ”den ansvariga tillsynsmyndigheten ska vara den personuppgiftsansvariges eller personuppgiftsbiträdets enda motpart när det gäller den registreringsansvariges eller personuppgiftsbiträdets gränsöverskridande behandling.”

9. Artikel 58.5 i dataskyddsförordningen, som rör tillsynsmyndigheternas befogenheter, föreskriver följande:

”Varje medlemsstat ska i lagstiftning fastställa att dess tillsynsmyndighet ska ha befogenhet att upplysa de rättsliga myndigheterna om överträdelser av denna förordning och vid behov att inleda eller på övrigt vis delta i rättsliga förfaranden, för att verkställa bestämmelserna i denna förordning.”

10. Kapitel VII i dataskyddsförordningen, med rubriken ”Samarbete och enhetlighet”, omfattar artiklarna 60–76. Artikel 60, med rubriken ”Samarbete mellan den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna”, fastställer det förfarandet i detalj som ska tillämpas av de ansvariga tillsynsmyndigheterna när de handlägger gränsöverskridande behandling av uppgifter.

11. Artikel 61.2 i dataskyddsförordningen som rör ömsesidigt bistånd kräver att varje tillsynsmyndighet ska vidta ”lämpliga åtgärder som krävs för att besvara en begäran från en annan tillsynsmyndighet utan onödigt dröjsmål och inte senare än en månad efter det att den tagit emot begäran”. Artikel 61.8 i dataskyddsförordningen anger att om en tillsynsmyndighet inte tillhandahåller den begärda informationen får den begärande myndigheten anta en provisorisk åtgärd på sin medlemsstats territorium, varvid brådskande behov av att agera enligt artikel 66.1 anses vara uppfyllt.

12. Artikel 65.1 a i dataskyddsförordningen, med rubriken ”Tvistlösning genom styrelsen”, föreskriver att för att säkerställa en korrekt och enhetlig tillämpning av denna förordning i enskilda fall ska Europeiska dataskyddsstyrelsen (nedan kallad styrelsen) anta ett bindande beslut bland annat om en berörd tillsynsmyndighet har gjort en relevant och motiverad invändning mot ett utkast till beslut av den ansvariga myndigheten, eller om den ansvariga myndigheten har avslagit denna invändning med motiveringen att den inte var relevant eller motiverad.

13. Artikel 66.1, som rör skyndsamt förfarande, föreskriver att under exceptionella omständigheter får en berörd tillsynsmyndighet med avvikelse från mekanismerna för konsekvens och enhetlighet ”omedelbart vidta provisoriska åtgärder avsedda att ha rättsverkan på det egna territoriet och med förutbestämd varaktighet som inte överskrider tre månader”, om den anser att det finns ett brådskande behov av att agera för att skydda registrerades rättigheter och friheter.

14. Kapitel VIII i dataskyddsförordningen, som har rubriken ”Rättsmedel, ansvar och sanktioner”, omfattar artiklarna 77–84. Artikel 77.1 ger varje registrerad rätten att lämna in ett klagomål till en tillsynsmyndighet rörande överträdelser av förordningen avseende behandlingen av personuppgifter som rör honom eller henne, ”särskilt i den medlemsstat där han eller hon har sin hemvist eller sin arbetsplats eller där det påstådda intrånget begicks”. Artikel 78.1 och 78.2 i dataskyddsförordningen ger varje fysisk eller juridisk person rätt till ett effektivt rättsmedel mot bland annat ett rättsligt bindande beslut rörande dem som meddelats av en tillsynsmyndighet och mot en tillsynsmyndighet som underlåter att behandla ett klagomål.

B. Nationell rätt

15. Wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (lag av den 8 december 1992 om skydd för privatlivet vid behandling av personuppgifter) (nedan kallad WVP), i ändrad lydelse, införlivade Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. Bland annat inrättade denna lag den belgiska kommissionen för skydd av privatlivet. Enligt artikel 32.3 i denna lag ”får ordföranden [i kommissionen för skydd av privatlivet], utan att det påverkar de allmänna domstolarnas behörighet avseende tillämpningen av allmänna principer om skydd för privatlivet, hänskjuta tvist om tillämpningen av denna lag och dess genomförandebestämmelser till domstol i första instans”.

16. Genom artikel 3 i Wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit (lag av den 3 december 2017 om inrättande av den belgiska dataskyddsmyndigheten (nedan kallad DSM-lagen), som trädde i kraft den 25 maj 2018, inrättades en dataskyddsmyndighet (nedan kallad DSM) som efterträdde kommissionen till skydd för privatlivet. I enlighet med artikel 6 i denna lag föreskrivs att DSM ”har befogenhet att fästa de rättsliga myndigheternas uppmärksamhet på varje överträdelse av de grundläggande principerna om skydd för personuppgifter inom ramen för denna lag, och andra lagar som innehåller bestämmelser om skydd för behandling av personuppgifter, och om det är lämpligt, vidta rättsliga åtgärder för upprätthållande av dessa principer.”

17. DSM-lagen innehöll ingen specifik bestämmelse med avseende på rättsliga förfaranden som inletts på grund av artikel 32.3 WVP, vilka fortfarande pågick den 25 maj 2018.

18. WVP upphävdes genom Wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens (lag av den 30 juli 2018 om skydd för enskilda personer med avseende på behandling av personuppgifter). Denna lag genomför bestämmelserna i dataskyddsförordningen vilka ålägger eller tillåter medlemsstaterna att införa mer detaljerade regler i tillägg till de gemensamma reglerna.

III. De faktiska omständigheterna, det nationella förfarandet och tolkningsfrågorna

19. Den 11 september 2015 inledde ordföranden i den belgiska kommissionen för skydd av privatlivet, som senare blev DSM, ett förfarande mot Facebook Inc., Facebook Ireland Ltd och Facebook Belgium BVBA (nedan gemensamt kallade Facebook) vid Nederlandstalige rechtbank van eerste aanleg Brussel (nederländskspråkiga förstainstansdomstolen i Bryssel, Belgien). Detta förfarande rör Facebooks påstådda överträdelser av dataskyddslagstiftningen bestående i bland annat lagstridig insamling och användning av uppgifter om internetanvändares privata surfvanor i Belgien med användning av teknik som kakor (cookies), sociala insticksprogram (social plug ins) och pixlar (pixels).

20. DSM har i huvudsak påstått att Facebook använder olika tekniker för att övervaka och följa personer när de surfar från en webbplats till en annan för att sedan använda dessa insamlade uppgifter för att göra en profil över deras surfvanor och utifrån dessa skicka riktad reklam till dem utan att i korrekt utsträckning informera dem om detta och utan att inhämta deras samtycke. DSM har gjort gällande att Facebook tillämpar denna praxis oavsett om den berörda personen var medlem i Facebooks sociala nätverk.

21. DSM yrkade att Facebook skulle förpliktas att i förhållande till varje internetanvändare som var etablerad inom belgiskt territorium upphöra med att utan dennes samtycke placera kakor som förblir verksamma under två år på den utrustning som dessa personer använder när de surfar på en webbsida inom Facebook.com:s domän eller på en webbplats som tillhör tredje man och att i överdriven omfattning samla in uppgifter med hjälp av sociala insticksprogram (social plug ins) och pixlar (pixels) på webbplatser tillhörande tredje man. Därutöver yrkade DSM att samtliga personuppgifter, som erhållits med hjälp av kakor och insticksprogram avseende varje internetanvändare som var etablerad inom Belgiens territorium, skulle utplånas.

22. Genom ett interimistiskt beslut av den 9 november 2015 förklarade ordföranden i Nederlandstalige rechtbank van eerste aanleg Brussel (nederländskspråkiga förstainstansdomstolen i Bryssel) att den var behörig att pröva målet och att talan kunde upptas till prövning i sak såvitt gällde samtliga tre svarande. Denna domstol förpliktade också svarandena interimistiskt att upphöra med viss verksamhet med avseende på internetanvändare som var etablerade inom belgiskt territorium.

23. Den 2 mars 2016 gav Facebook in ett överklagande av detta beslut till Hof van beroep te Brussel (Appellationsdomstolen i Bryssel, Belgien). Genom dom av den 29 juni 2016 ändrade denna domstol förstainstansdomstolens beslut. I synnerhet förklarade denna domstol att den inte var behörig att pröva talan mot Facebook Inc. och Facebook Ireland Ltd men att den var behörig i fråga om talan mot Facebook Belgium BVBA. Det nationella målet begränsades således till talan mot Facebook Belgium. Denna domstol förklarade också att målet inte var brådskande.

24. Jag har uppfattat att det mål som för närvarande är anhängigt vid Hof van beroep te Brussel (Appellationsdomstolen i Bryssel) rör överklagandet av ett efterföljande beslut i sak som meddelats av förstainstansdomstolen. I överklagandet gör Facebook Belgium gällande bland annat att DSM i och med ikraftträdandet av det nya systemet med en enda kontaktpunkt förlorade sin behörighet att föra talan i det nationella målet då den inte är ansvarig tillsynsmyndighet. Med avseende på den gränsöverskridande behandlingen i fråga är den irländska dataskyddsmyndigheten ansvarig tillsynsmyndighet. Den personuppgiftsansvariges huvudsakliga verksamhetsställe i Europeiska unionen är beläget i Irland (Facebook Ireland Ltd).

25. Mot denna bakgrund beslutade Hof van beroep te Brussel (Appellationsdomstolen i Bryssel,) att vilandeförklara målet och hänskjuta följande frågor till EU-domstolen för förhandsavgörande:

”1) Ska artiklarna [55.1], 56–58 och 60–66 i förordning 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG, jämförda med artiklarna 7, 8 och 47 i Europeiska unionens stadga om de grundläggande rättigheterna, tolkas så, att en tillsynsmyndighet som enligt den nationella lagstiftning som har antagits för att genomföra artikel [58.5] i nämnda förordning har befogenhet att inleda ett rättsligt förfarande mot överträdelser av förordningen vid en domstol i den egna medlemsstaten, inte kan utöva denna befogenhet i samband med gränsöverskridande behandling om den inte är ansvarig tillsynsmyndighet för den gränsöverskridande behandlingen?

2) Gör det någon skillnad om den personuppgiftsansvarige för den gränsöverskridande behandlingen inte har sitt huvudsakliga verksamhetsställe i den medlemsstaten, men har ett annat verksamhetsställe där?

3) Gör det någon skillnad om den nationella tillsynsmyndigheten inleder ett rättsligt förfarande mot den personuppgiftsansvariges huvudsakliga verksamhetsställe eller mot verksamhetsstället i den egna medlemsstaten?

4) Gör det någon skillnad om den nationella tillsynsmyndigheten inledde det rättsliga förfarandet före det datum då den aktuella förordningen blev tillämplig (den 25 maj 2018)?

5) För det fall den första frågan ska besvaras jakande, har artikel [58.5] i den allmänna dataskyddsförordningen direkt effekt, så att en nationell tillsynsmyndighet kan åberopa denna artikel till stöd för att inleda eller fortsätta ett rättsligt förfarande mot enskilda, även om artikel [58.5] i den allmänna dataskyddsförordningen inte specifikt har införlivats med medlemsstaternas lagstiftning, trots att så krävs?

6) För det fall föregående frågor ska besvaras jakande, skulle resultatet av sådana förfaranden kunna utgöra hinder för en motsatt slutsats från den ansvariga tillsynsmyndigheten om den ansvariga tillsynsmyndigheten utreder samma eller liknande gränsöverskridande behandling i enlighet med den mekanism som avses i artiklarna 56 och 60 i den allmänna dataskyddsförordningen?”

26. Skriftliga yttranden har getts in av Facebook, DSM, de belgiska, tjeckiska, italienska, polska portugisiska och finländska regeringarna samt av Europeiska kommissionen. Facebook, DSM och kommissionen har också yttrat sig muntligen vid förhandlingen den 5 oktober 2020.

IV. Bedömning

27. Den centrala fråga som föreligger i det nationella målet är i ett nötskal huruvida DSM kan fortsätta det rättsliga förfarandet mot Facebook Belgium avseende gränsöverskridande personuppgiftsbehandling som skedde efter det att dataskyddsförordningen blev tillämplig mot bakgrund av att den uppgiftsbehandlande enheten är Facebook Ireland Ltd

28. För att behandla denna fråga är det nödvändigt att bedöma tillämpningsområdet och funktionen för vad dataskyddsförordningen själv i skäl 127 benämner ”mekanismen för en enda kontaktpunkt”. Denna mekanism består i ett antal regler som vid gränsöverskridande uppgiftsbehandling anvisar en central punkt för genomförande genom en ansvarig tillsynsmyndighet som införts i det system för samarbete och enhetlighet tillsammans med de berörda tillsynsmyndigheterna som är utformat för att säkerställa deltagande av samtliga intresserade tillsynsmyndigheter.

29. Enligt artikel 56.1 i dataskyddsförordningen ska tillsynsmyndigheten för den personuppgiftsansvariges eller personuppgiftsbiträdets huvudsakliga verksamhetsställe eller enda verksamhetsställe vara behörig att agera som ansvarig tillsynsmyndighet för den personuppgiftsansvariges eller personuppgiftsbiträdets gränsöverskridande behandling. Enligt artikel 4.22 i dataskyddsförordningen handlar en tillsynsmyndighet som en berörd tillsynsmyndighet om ett av följande alternativa villkor är uppfyllt: ”a)| den personuppgiftsansvarige eller personuppgiftsbiträdet är etablerad på tillsynsmyndighetens medlemsstats territorium, b) registrerade som är bosatta i den tillsynsmyndighetens medlemsstat i väsentlig grad påverkas eller sannolikt i väsentlig grad kommer att påverkas av behandlingen, eller c) |ett klagomål har lämnats in till denna tillsynsmyndighet”.

30. Innan jag behandlar tolkningsfrågorna i sak krävs några inledande kommentarer (A). Jag övergår sedan till prövning av de rättsliga frågor som väckts av den hänskjutande domstolen. Jag kommer att i synnerhet inrikta mig på den första tolkningsfrågan, eftersom den frågan utgör kärnan i tvisten vid den hänskjutande domstolen (B). Sedan kommer jag att endast i korthet behandla övriga tolkningsfrågor mot bakgrund av att om svaret på den första frågan blir det som föreslås i detta förslag till avgörande blir ett svar på dessa frågor antingen onödigt eller ganska självklart (C).

A. Inledande kommentarer

31. Jag konstaterar inledningsvis att vissa delar i det nationella målet är svåra att förstå till fullo.

32. För det första måste jag medge att relevansen av tolkningsfrågorna i det nationella målet inte är helt uppenbar för mig mot bakgrund av förhållandet att av de parter mot vilka DSM väckte talan förefaller endast Facebook Belgium fortfarande vara kvar som svarande i det nationella målet. Det framgår av handlingarna i målet att detta bolag varken är den personuppgiftsansvariges ”huvudsakliga verksamhetsställe” vid tillämpningen av artikel 4.16 i dataskyddsförordningen eller, eftersom det förefaller vara ett verksamhetsställe för samma företag, eventuellt ”gemensamt personuppgiftsansvarig” i den mening som avses i artikel 26 i dataskyddsförordningen.

33. Frågor som hänskjuts till förhandsavgörande presumeras emellertid vara relevanta. Domstolen avböjer att meddela ett förhandsavgörande endast under begränsade förhållanden, i synnerhet när kraven enligt artikel 94 i domstolens rättegångsregler inte är uppfyllda eller när det är uppenbart att tolkningen av unionsrätten inte har något samband med målet eller när frågorna är (helt) hypotetiska. Förevarande mål är enligt min uppfattning inte ett sådant mål. Bedömningen av ”vem som är vem” och ”vem som ska svara för exakt vad” är inte endast en bedömning av omständigheterna som slutligt ankommer på den nationella domstolen utan är också, på ett sätt, en av aspekter som avses med de ställda frågorna.

34. För det andra är det inte heller helt lätt att få grepp om det nationella målet i tidshänseende. Talan väcktes medan direktiv 95/46 var i kraft. Den har sedan vidhållits när dataskyddsförordningen trädde i kraft. Emellertid rör målet tydligen nu endast åtgärder som vidtagits efter det att denna nya lagstiftning blev tillämplig. Frågan huruvida DSM:s fortsatta handläggning av målet är förenlig med bestämmelserna i dataskyddsförordningen föreligger visserligen, vilket är ett förhållande som tas upp i den fjärde frågan. Denna fråga skulle emellertid endast ha betydelse i det nationella målet om en nationell myndighet avsåg slutföra ett pågående förfarande med avseende på påstådda överträdelser som ligger i tiden före den dag då det nya regelverket blev tillämpligt. Om emellertid det pågående förfarandet nu skulle röra endast påstådd lagstridighet som ägt rum efter det att dataskyddsförordningen blev tillämplig, eventuellt i förening med en (med nödvändighet framtida) förbudstalan mot sådant agerande, är det inte lätt att förstå varför DSM, som anser sig vara behörig att ingripa, inte avslutade det pågående målet och inte gick vidare enligt de relevanta bestämmelserna i dataskyddsförordningen.

35. För det tredje hänvisade DSM vid förhandlingen till en diskussion som den hade med den irländska tillsynsmyndigheten och styrelsen rörande en av de tekniker som används av Facebook för att samla in uppgifter (kakor). Det har nämnts att de två tillsynsmyndigheterna hade olika uppfattningar om huruvida den tekniken omfattades av det materiella tillämpningsområdet för dataskyddsförordningen.

36. I detta sammanhang och såvitt förevarande mål är berört kan det vara värt att påpeka att viss uppgiftsbehandlingsverksamhet kan omfattas av tillämpningsområdet för mer än en unionsrättsakt i vilket fall samtliga dessa rättsakter är tillämpliga samtidigt om inte annat föreskrivs. I andra fall är dataskyddsförordningen uppenbart inte tillämplig, exempelvis när behandlingen inte innefattar personuppgifter i den mening som avses i artikel 4.1 i dataskyddsförordningen.

37. När viss uppgiftsbehandlings lagstridighet följer av andra bestämmelser (i unionsrätten eller i nationell rätt) är de förfaranden och mekanismer som anges i dataskyddsförordningen således inte tillämpliga. dataskyddsförordningen kan inte användas som en inkörsport till att låta handlande omfattas av ”mekanismen för en enda kontaktpunkt” vilket, fastän det innefattar vissa uppgiftsflöden eller till och med behandling, inte strider mot någon av de skyldigheter som anges däri.

38. För att bedöma huruvida ett visst fall omfattas av det materiella tillämpningsområdet för dataskyddsförordningen bör en nationell domstol, inbegripet varje hänskjutande domstol, fastställa den exakta grunden för den rättsliga skyldighet som åvilar en ekonomisk aktör och som denne påstås ha åsidosatt. Om grunden för denna skyldighet inte är dataskyddsförordningen, är det förfarande som fastställs i denna rättsakt och som har samband med denna rättsakts materiella tillämpningsområde logiskt sett inte heller tillämpligt.

B. Den första frågan

39. Genom sin första fråga vill den hänskjutande domstolen i huvudsak få klarhet i huruvida bestämmelserna i dataskyddsförordningen tolkade mot bakgrund av artiklarna 7, 8 och 47 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan) tillåter att tillsynsmyndigheten i en medlemsstat för talan vid en domstol i denna medlemsstat beträffande en påstådd överträdelse av dataskyddsförordningen med avseende på gränsöverskridande uppgiftsbehandling trots att denna myndighet inte är ”den ansvariga tillsynsmyndigheten”.

40. I detta avseende har DSM och de belgiska, italienska, polska och portugisiska regeringarna föreslagit att domstolen ska ge ett jakande svar medan Facebook, de tjeckiska och finländska regeringarna samt kommissionen intagit en motsatt ståndpunkt.

41. I det följande avsnittet kommer jag att förklara varför jag inte anser att den tolkning av dataskyddsförordningen som föreslås av DSM och de belgiska, italienska, polska och portugisiska regeringarna är övertygande: både en bokstavlig och systematisk (1) och även en teleologisk och historisk (2) tolkning av dataskyddsförordningen går i motsatt riktning. Dessutom medför varken en tolkning av förordningen med stöd i stadgan (3) eller påstådda risker för eventuellt bristande genomförande av dataskyddsförordningen (4) att den enligt min uppfattning rätta tolkningen av dataskyddsförordningen kan ifrågasättas, förvisso inte för närvarande.

42. Följderna av denna tolkning av förordningen är enligt min uppfattning inte så extrema som de som föreslås av Facebook, de tjeckiska och finländska regeringarna samt av kommissionen. Jag kommer därför att förklara varför svaret till den hänskjutande domstolen bör ligga mellan de två uppfattningar som framförts i detta mål: tillsynsmyndigheten i en medlemsstat har rätt att föra talan vid en domstol i denna stat beträffande en påstådd överträdelse av dataskyddsförordningen med avseende på gränsöverskridande uppgiftsbehandling trots att den inte är ansvarig myndighet förutsatt att den gör det i situationer och enligt det förfarande som anges i dataskyddsförordningen (5).

1. En bokstavlig och systematisk tolkning av dataskyddsförordningen

43. Till att börja med förefaller ordalydelsen i bestämmelserna i fråga, särskilt när de tolkas i sitt sammanhang, ge stöd för tolkningen av dataskyddsförordningen att den ansvariga tillsynsmyndigheten har generell behörighet i fråga om gränsöverskridande behandling och att berörda tillsynsmyndigheter därför har en begränsad befogenhet att agera i detta avseende.

44. Enligt artikel 56.1 i dataskyddsförordningen ”ska tillsynsmyndigheten för den personuppgiftsansvariges eller personuppgiftsbiträdets huvudsakliga verksamhetsställe eller enda verksamhetsställe vara behörig att agera som ansvarig tillsynsmyndighet för den personuppgiftsansvariges eller personuppgiftsbiträdets gränsöverskridande behandling i enlighet med det förfarande som föreskrivs i artikel 60.”. I artikel 56.6 i dataskyddsförordningen anges att ”den ansvariga tillsynsmyndigheten ska vara den personuppgiftsansvariges eller personuppgiftsbiträdets enda motpart när det gäller den registreringsansvariges eller personuppgiftsbiträdets gränsöverskridande behandling”. Skäl 124 återger dessa bestämmelser genom att i huvudsak ange att när det gäller gränsöverskridande behandling ”bör tillsynsmyndigheten för den personuppgiftsansvariges eller personuppgiftsbiträdets huvudsakliga verksamhetsställe eller för detta enda verksamhetsställe tillhörande den personuppgiftsansvarige eller personuppgiftsbiträdet agera som ansvarig myndighet”.

45. De ansvariga tillsynsmyndigheternas generella behörighet i fråga om gränsöverskridande behandling bekräftas ytterligare av den omständigheten att de situationer i vilka behörighet ges till andra tillsynsmyndigheter beskrivs som undantag från huvudregeln. I synnerhet utesluter artikel 55.2 i dataskyddsförordningen behörighet för ansvarig tillsynsmyndighet i fråga om viss uppgiftsbehandling som ”utförs av myndigheter”. Artikel 56.2 i dataskyddsförordningen anger dessutom att genom undantag från principen att behörighet tillkommer den ansvariga myndigheten ska ”varje tillsynsmyndighet vara behörig att behandla ett klagomål som lämnats in till denna eller en eventuell överträdelse av denna förordning, om sakfrågan i ärendet endast rör ett verksamhetsställe i medlemsstaten eller i väsentlig grad påverkar registrerade endast i medlemsstaten”.

46. Vidare ger artikel 66 i dataskyddsförordningen, som rör ”skyndsamt förfarande”, varje berörd tillsynsmyndighet rätt att ”under exceptionella omständigheter” omedelbart vidta provisoriska åtgärder avsedda att ha rättsverkan på det egna territoriet och med förutbestämd varaktighet som inte överskrider tre månader, om den anser att det finns ett brådskande behov av att agera för att skydda registrerades rättigheter och friheter ”med avvikelse” från den mekanism för enhetlighet som avses i artiklarna 60, 63, 64 och 65 i dataskyddsförordningen.

47. Därför förefaller det mig ganska klart framgå av ordalydelsen i dataskyddsförordningen att såvitt gäller gränsöverskridande behandling är den ansvariga tillsynsmyndigheten i regel behörig medan övriga tillsynsmyndigheters behörighet utgör undantag.

48. DSM och vissa regeringar har emellertid bestritt denna tolkning av dataskyddsförordningen. Enligt deras uppfattning anger ordalydelsen i de relevanta bestämmelserna en (nästan obegränsad) rätt för varje tillsynsmyndighet att inleda rättsligt förfarande mot möjliga överträdelser som påverkar dess territorium oavsett om behandlingen är av gränsöverskridande karaktär. De har i huvudsak åberopat två argument.

49. I första hand har de anfört att uttrycket ”utan att det påverkar tillämpningen av artikel 55” som inleder artikel 56.1 innebär att den behörighet som tilldelas den ansvariga tillsynsmyndigheten genom den sistnämnda bestämmelsen inte kan påverka eller begränsa de befogenheter som ges genom den förstnämnda bestämmelsen till varje tillsynsmyndighet inbegripet befogenheten att inleda rättsligt förfarande.

50. Jag är inte övertygad av detta argument.

51. Artikel 55.1 fastställer principen att varje tillsynsmyndighet ”ska vara behörig att utföra de uppgifter och utöva de befogenheter som tilldelas den enligt denna förordning inom sin egen medlemsstats territorium”. Dessa uppgifter förtecknas sedan i artikel 57 i dataskyddsförordningen. Befogenheterna anges i artikel 58 däri. Främst bland de uppgifter som tilldelas är att övervaka och verkställa tillämpningen av dataskyddsförordningen (artikel 57.1 a). Tillsynsmyndigheterna ges i artikel 58 utredningsbefogenheter (punkt 1), korrigerande befogenheter (punkt 2), befogenheter att utfärda tillstånd och att ge råd (punkt 3) samt befogenhet att delta i rättsligt förfarande (punkt 5).

52. Dessa bestämmelser, som artikel 55 underförstått hänvisar till, omfattar samtliga uppgifter och befogenheter som tillsynsmyndigheter ges genom dataskyddsförordningen. Om man skulle godta den tolkning som förts fram av DSM och vissa regeringar skulle praktiskt taget ingenting återstå av den generella behörigheten för den ansvariga tillsynsmyndigheten och därigenom beröva artikel 56 all betydelse. Den ansvariga tillsynsmyndigheten skulle varken vara ”enda” motpart eller kunna ”leda” de andra tillsynsmyndigheterna på något sätt. Dess roll skulle kunna sägas bli reducerad till ett ”informationsställe” utan ett tydligt definierat uppdrag.

53. Betydelsen av den roll som getts till den ansvariga tillsynsmyndigheten och underförstått mekanismen för en enda kontaktpunkt framträder ännu mer tydligt när dessa bestämmelser betraktas tillsammans och i det sammanhang i vilket de ingår.

54. Den framträdande plats som ges artikel 56 i uppbyggnaden av dataskyddsförordningen är ett första tecken på detta. Artikel 56 är den andra bestämmelsen i det relevanta avsnittet i dataskyddsförordningen (kapitel VI, ”Oberoende tillsynsmyndigheter”, avsnitt 2, ”Behörighet, uppgifter och befogenheter”) och kommer omedelbart efter den allmänna bestämmelsen om ”behörighet” och före övriga bestämmelser om ”uppgifter” och ”befogenheter”. Unionslagstiftaren har således valt att framhålla den ansvariga tillsynsmyndighetens centrala betydelse till och med innan den i detalj redogör för samtliga tillsynsmyndigheters specifika uppgifter och befogenheter.

55. Betydelsen av den ansvariga tillsynsmyndighetens roll mer grundläggande sett framgår också av bestämmelserna som ingår i kapitel VII i dataskyddsförordningen (med rubriken ”Samarbete och enhetlighet”) som anger de olika förfaranden och mekanismer som tillsynsmyndigheter ska tillämpa för att säkerställa enhetlig tillämpning av dataskyddsförordningen. I synnerhet artikel 60, som inleder kapitlet och som artikel 56.1 hänvisar till, fastställer förfarandet för ”samarbete mellan den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna”.

56. Det är klart att detta avses vara det viktigaste förfarande som ska följas när verkställighetsåtgärder mot gränsöverskridande behandling är nödvändiga. Detta förfarande, i likhet med övriga förfaranden som föreskrivs i kapitel VII i dataskyddsförordningen, är inte valfritt. De tvingande villkoren däri, i synnerhet i artikel 51.2 och artikel 63 i dataskyddsförordningen, visar otvetydigt att tillsynsmyndigheter ska samarbeta och ska göra det genom den (obligatoriska) användningen av de förfaranden och mekanismer som fastställts för detta ändamål.

57. Uttrycket ”utan att det påverkar tillämpningen av artikel 55” som finns i artikel 56.1 har därför en annan innebörd än den som föreslagits av DSM. Enligt min uppfattning betyder denna formulering i dess sammanhang endast att även om det i ett enskilt fall är den ansvariga tillsynsmyndigheten som är behörig för detta fall rörande gränsöverskridande behandling enligt artikel 56 i dataskyddsförordningen behåller samtliga tillsynsmyndigheter naturligtvis de generella befogenheter som tilldelats dem enligt artikel 55 (och artikel 58) i dataskyddsförordningen.

58. Enligt artikel 55.1 i dataskyddsförordningen ska medlemsstaterna se till att tillsynsmyndigheterna kan utföra de uppgifter och utöva de befogenheter som föreskrivs i förordningen. Denna bestämmelse tilldelar således tillsynsmyndigheterna en generell befogenhet (eller behörighet) att agera med avseende på deras territorium och detta gäller oavsett (”utan att det påverkar”) om behandlingen är gränsöverskridande eller inte och, om det förstnämnda fallet föreligger, myndigheten i fråga agerar som den ansvariga tillsynsmyndigheten eller som den berörda tillsynsmyndigheten. Men artikel 55 i dataskyddsförordningen gäller inte de situationer och det sätt på vilket denna befogenhet att agera utövas i ett enskilt fall. Dessa aspekter regleras av andra bestämmelse i dataskyddsförordningen, särskilt av dem som återfinns i kapitel VII däri. Enligt dessa bestämmelser beror huruvida en tillsynsmyndighet kan utöva den generella befogenheten att agera och sättet därför bland annat på huruvida denna myndighet med avseende på en viss personuppgiftsansvarig eller visst personuppgiftsbiträde är den ansvariga tillsynsmyndigheten eller den berörda tillsynsmyndigheten.

59. I detta avseende och avslutningsvis delar jag därför styrelsens uppfattning, som i ett yttrande på senare tid hänvisade till artikel 56.1 i dataskyddsförordningen som en ”övergripande regel” och som lex specialis: denna bestämmelse ”har företräde [framför den generella regeln i artikel 55 i dataskyddsförordningen] närhelst som en behandlingssituation föreligger som uppfyller villkoren som specificeras däri”.

60. Jag anser följaktligen att DSM och vissa regeringar feltolkar artiklarna 55 och 56.1 i dataskyddsförordningen. Dessa intervenienter tar den första delen av meningen i artikel 56.1 ur sitt sammanhang för att kasta om förhållandet mellan regel och undantag. Att göra detta resulterar i en urvattning av det normativa innehållet i flera bestämmelser i dataskyddsförordningen och omintetgör syftet som framhålls bland annat i skäl 10 däri att säkerställa en mer konsekvent och enhetlig tillämpning av reglerna för dataskydd. Det skulle i huvudsak utgöra en återgång till den tidigare ordningen enligt direktiv 95/46.

61. DSM och vissa regeringar har i andra hand gjort gällande att det framgår av själva ordalydelsen i artikel 58.5 i dataskyddsförordningen att alla tillsynsmyndigheter måste kunna inleda rättsligt förfarande mot varje eventuell överträdelse av dataskyddsbestämmelserna som påverkar deras territorium oavsett behandlingens karaktär (lokal eller gränsöverskridande). Följden härav är enligt deras uppfattning att även om man skulle tolka att mekanismen för en enda kontaktpunkt begränsar övriga tillsynsmyndigheters befogenheter med avseende på gränsöverskridande behandling kan dessa begränsningar endast gälla administrativa förfaranden och inte talan vid domstol.

62. Även detta argument i andra hand är enligt min uppfattning ohållbart. Det går i samma ”fälla” som det föregående argumentet: tolkning av en specifik bestämmelse i dataskyddsförordningen i ”klinisk isolering” från resten av förordningen samtidigt som alltför mycket tolkas in i den.

63. Artikel 58.5 i dataskyddsförordningen anger följande: ”Varje medlemsstat ska i lagstiftning fastställa att dess tillsynsmyndighet ska ha befogenhet att upplysa de rättsliga myndigheterna om överträdelser av denna förordning och vid behov att inleda eller på övrigt vis delta i rättsliga förfaranden, för att verkställa bestämmelserna i denna förordning.”

64. Denna bestämmelse kräver å ena sidan att medlemsstaterna ska tillåta att tillsynsmyndigheterna upprätthåller nära förbindelser med rättsliga myndigheter (inbegripet eventuellt straffrättsliga myndigheter) och å andra sidan att tillsynsmyndigheterna ska beviljas (inte endast passiv utan även aktiv) talerätt vid deras nationella domstolar. Med andra ord ska tillsynsmyndigheterna kunna ha kontakt med rättsliga myndigheter och om nödvändigt inleda rättsliga förfaranden. Jag har uppfattat att en sådan uttrycklig bestämmelse ansågs nödvändig av unionslagstiftaren då, trots ordalydelsen i artikel 28.3 i direktiv 95/46, betydande skillnader mellan medlemsstaternas lagstiftning i denna fråga förelåg, vilket i sin tur föranledde frågor rörande bristande verkställighet. Förevarande mål, som inleddes när det direktivet fortfarande var i kraft, utgör ett belysande exempel: målet har föranlett frågor enligt nationell rätt rörande talerätt för kommissionen för skydd av privatlivet och om lämpligheten av den rättsliga grunden för den talan som förs av dess ordförande.

65. På samma sätt som redan har nämnts ovan anger artikel 58.5 i dataskyddsförordningen befogenheter som utan undantag ska tilldelas samtliga tillsynsmyndigheter på detta stadium, oberoende av (eller före) fastställandet av huruvida i ett enskilt fall denna myndighet skulle vara den behöriga ansvariga tillsynsmyndigheten, den berörda tillsynsmyndigheten eller eventuellt inte alls vara berörd. Artikel 58.5 i dataskyddsförordningen reglerar inte de situationer eller det sätt på vilket befogenheten att väcka talan ska utövas. Detta förklarar förmodligen också varför denna bestämmelse innehåller uttrycket ”vid behov”. Detta är föremål för andra bestämmelser i dataskyddsförordningen.

66. Dessutom antyder varken ordalydelsen i eller uppbyggnaden av artikel 58 i dataskyddsförordningen att en åtskillnad kan göras som DSM har gjort gällande mellan administrativa befogenheter för myndigheterna (som skulle vara föremål för begränsningar till följd av mekanismen för en enda kontaktpunkt) och befogenheten att inleda rättsliga förfaranden (som inte skulle vara föremål för dessa begränsningar). Denna bestämmelse förtecknar i punkt efter punkt de olika befogenheter som tillsynsmyndigheter ska tilldelas indelade efter deras syften (utredande, korrigerande, rådgivande och så vidare). Ordalydelsen i dessa punkter är ganska lika, den anger i huvudsak att varje tillsynsmyndighet ska ha de befogenheter som anges däri.

67. Jag ser därför inte någon grund för att tolka punkt 5 i artikel 58 på annat sätt än punkterna 1–3 i samma bestämmelse. Av dessa två kan endast en vara riktig: antingen innehar var och en av tillsynsmyndigheterna alla dessa befogenheter obundna av mekanismen för en enda kontaktpunkt eller ska alla dessa befogenheter utövas enligt det förfarande och med de begränsningar som anges i förordningen.

68. Av de skäl som förklarats i punkterna 51 och 52 ovan kan inte den förstnämnda hypotesen godtas. När artikel 58 i dataskyddsförordningen tolkas i dess sammanhang blir det nämligen tydligt att, om något, motsatsen till vad DSM och vissa regeringar gjort gällande är riktig.

69. Varje tillsynsmyndighet ska bidra till den rätta och enhetliga tillämpningen av förordningen. I detta syfte ska varje tillsynsmyndighet oberoende av dess roll som ansvarig eller berörd tillsynsmyndighet i det särskilda fallet exempelvis granska klagomål som ges in till den med vederbörlig omsorg. Även om den påstådda överträdelsen rör gränsöverskridande behandling och en myndighet inte är ansvarig myndighet ska faktiskt andra tillsynsmyndigheter kunna granska ärendet för att kunna lämna meningsfulla bidrag när de ombeds göra det inom ramen för mekanismerna för samarbete och enhetlighet, eller vidta brådskande åtgärder. Det ankommer emellertid i allmänhet sedan på den ansvariga tillsynsmyndigheten att fatta bindande beslut för tillämpning av dataskyddsförordningen i förhållande till den personuppgiftsansvarige eller personuppgiftsbiträdet. Som framgår av den nyligen meddelade domen i målet Facebook Ireland och Schrems ska i synnerhet den ”behöriga nationella tillsynsmyndigheten … i förekommande fall, inleda ett förfarande vid nationella domstolar”. Förslaget att tillsynsmyndigheter kan underlåta att tillämpa mekanismerna för enhetlighet och samarbete när de avser föra talan kan därför inte förenas med ordalydelsen i dataskyddsförordningen och domstolens praxis.

70. I ett mer praktiskt perspektiv skulle det vidare vara ologiskt att förbjuda en myndighet att inleda ett administrativt förfarande för att diskutera den förmodade överträdelsen av reglerna om dataskydd med de berörda aktörerna men tillåta att samma myndighet omedelbart inleder rättsligt förfarande vid en domstol i samma fråga. En rättegång är ofta en sista utväg som en myndighet tillgriper först när en fråga inte kan lösas genom (formella eller informella) diskussioner och beslutsfattande på administrativ nivå.

71. Den åtskillnad som föreslagits av DSM som inte skulle tillåta en tillsynsmyndighet att (i administrativ ordning) undersöka, förbereda, behandla och besluta, men i stället tillåta den att omedelbart väcka talan vid en domstol i stället, är farligt nära att göra administrativa myndigheter till ganska tvivelaktiga Vilda västern-figurer som skjuter först och (kanske) talar sedan, om alls (”när man måste skjuta, skjut, tala inte”). Jag är inte säker på att detta skulle vara vare sig ett rimligt eller lämpligt sätt för de administrativa myndigheterna att behandla förmodade överträdelser av reglerna om dataskydd.

72. Av större vikt är att om tillsynsmyndigheter fritt kan vända sig till sina nationella domstolar när de inte kan utöva sina administrativa befogenheter utan att tillämpa mekanismerna för samarbete och enhetlighet som anges i förordningen skulle detta bereda vägen för ett enkelt kringgående av dessa mekanismer. I synnerhet för det fall oenighet föreligger om ett utkast till beslut kunde både den ansvariga tillsynsmyndigheten och (varje) berörd tillsynsmyndighet ”ta saken i egna händer” och inleda ett förfarande vid nationell domstol och således gå förbi det förfarande som föreskrivs i artikel 60.4 och artikel 65 i dataskyddsförordningen.

73. Detta skulle i sin tur också göra en av styrelsens huvuduppgifter meningslös. Styrelsen är ett organ som inrättats genom dataskyddsförordningen som består av chefen för en tillsynsmyndighet per medlemsstat och av Europeiska datatillsynsmannen. En av styrelsens uppgifter är just att övervaka och säkerställa korrekt tillämpning av förordningen när oenighet uppstår mellan olika tillsynsmyndigheter. I dessa fall agerar styrelsen som ett forum för tvistlösning och ett beslutsfattande organ. Om den tolkning som förordas av DSM och vissa regeringar skulle godtas kunde den mekanism som anges i artikel 65 i dataskyddsförordningen helt åsidosättas: varje myndighet kunde gå sin egen väg och gå förbi styrelsen.

74. Den situation som skulle följa därav förefaller vara motsatsen till vad unionslagstiftaren avsåg att uppnå med det nya systemet, vilket kommer att förklaras i nästa avsnitt.

2. En teleologisk och historisk tolkning av dataskyddsförordningen

75. Det framgår av skäl 9 i dataskyddsförordningen att unionslagstiftaren ansåg att ”målen och principerna för direktiv 95/46/EG är fortfarande giltiga men det har inte kunnat förhindra bristande enhetlighet i genomförandet av dataskyddet i olika delar av unionen, rättsosäkerhet eller allmänt spridda uppfattningar om att betydande risker kvarstår för fysiska personer”.

76. Behovet att säkerställa enhetlighet blev således ”vad det handlade om” för den rättsakt som avsågs ersätta direktiv 95/46. Detta mål ansågs vara viktigt i två avseenden: å ena sidan för att säkerställa en enhetlig och hög skyddsnivå för fysiska personer, och å andra sidan för att avlägsna hinder för den fria rörligheten av personuppgifter i unionen och skapa rättslig säkerhet och öppenhet för ekonomiska aktörer.

77. Den senare aspekten bör framhållas. Enligt direktiv 95/46 var ekonomiska aktörer som var verksamma i hela unionen skyldiga att iaktta olika uppsättningar av nationella regler som införlivade direktivet och att samtidigt samverka med alla nationella dataskyddsmyndigheter. Denna situation var inte endast kostsam, betungande och tidskrävande för de ekonomiska aktörerna utan även en oundviklig källa till osäkerhet och konflikter för dessa aktörer och deras kunder.

78. Begränsningarna i det system som inrättats genom direktiv 95/46 har också framträtt i ett antal av domstolens domar. I målet Weltimmo förklarade domstolen att dataskyddsmyndigheternas befogenheter strikt begränsades av territorialitetsprincipen: dessa myndigheter kan endast ingripa mot överträdelser som äger rum på deras eget territorium och måste i övriga fall be myndigheterna i de andra medlemsstaterna att ingripa. I målet Wirtschaftsakademie Schleswig-Holstein förklarade domstolen att i fråga om gränsöverskridande behandling kan varje tillsynsmyndighet utöva sina befogenheter avseende en enhet som är etablerad på dess territorium fristående från de uppfattningar och åtgärder som uttalats och vidtagits av tillsynsmyndigheten i den medlemsstat där den enhet som svarar för denna behandling har sitt säte.

79. I den virtuella databehandlingsvärlden är emellertid uppdelning av behörigheten för olika myndigheter längs territoriella gränser ofta problematisk. Bristen på tydliga samordningsmekanismer mellan nationella myndigheter var också en källa till inkonsekvens och osäkerhet.

80. Införandet av mekanismen för en enda kontaktpunkt med den betydelsefulla roll som gavs till den ansvariga tillsynsmyndigheten och mekanismerna för samarbete som inrättades för att engagera andra tillsynsmyndigheter avsåg således att ta hand om just dessa problem. I målet Google (Territoriell räckvidd för borttagande av länkar) framhöll domstolen betydelsen av mekanismerna för samarbete och enhetlighet för den rätta och enhetliga tillämpningen av dataskyddsförordningen och deras bindande karaktär. På senare tid framhöll också generaladvokaten Saugmandsgaard Øe i målet Facebook Ireland och Schrems att mekanismerna för samarbete och enhetlighet som anges i kapitel VII i dataskyddsförordningen är utformade för att förhindra risken att olika tillsynsmyndigheter intar olika ståndpunkter med avseende på gränsöverskridande behandling.

81. Det är visserligen riktigt att som DSM har påpekat både rådet och parlamentet i lagstiftningsförfarandet ville begränsa den behörighet för den ansvariga tillsynsmyndigheten som ursprungligen åsyftades av kommissionen. De ändringar som slutligen infördes i den slutliga texten i dataskyddsförordningen föranleder emellertid inte tvivel beträffande den tolkning av förordningen som beskrivits ovan utan bekräftar den snarare.

82. Enligt kommissionens ursprungliga förslag innebar mekanismen för en enda kontaktpunkt att med avseende på gränsöverskridande behandling skulle en enda tillsynsmyndighet svara för övervakningen av den personuppgiftsansvariges eller personuppgiftsbiträdets verksamhet i hela Europeiska unionen och för att fatta därtill knutna beslut. Detta förslag föranledde emellertid diskussioner i rådet och parlamentet.

83. Rådet enades till slut om en text på grundval av ett förslag som lagts fram av ordförandeskapet. Detta förslag ifrågasatte på inget sätt mekanismen för en enda kontaktpunkt som sådan som rådet kallade ”en av de viktigaste pelarna” i det nya regelverket. Ordförandeskapets förslag ledde slutligen till två uppsättningar av ganska specifika ändringar.

84. För det första ville rådet införa vissa undantag från den ansvariga tillsynsmyndighetens allmänna behörighet med avseende på behandling som utförs av offentliga myndigheter och lokala fall. Rådet föreslog således införande av två bestämmelser som inte återfanns i kommissionens förslag och som nu är artikel 55.2 och artikel 56.2 i dataskyddsförordningen.

85. För det andra avsåg rådet att begränsa den ansvariga tillsynsmyndighetens roll och behörighet genom att göra förfarandet mer gemensamt. Formuleringen av kommissionens förslag ansågs vara något oklar på denna punkt och kunde möjligen föranleda en exklusiv behörighet för den ansvariga tillsynsmyndigheten i fråga om gränsöverskridande uppgiftsbehandling. Ett antal ändringar gjordes i texten för att förstärka ”närheten” mellan registrerade och tillsynsmyndigheterna. Bland annat ökades betydligt övriga tillsynsmyndigheters deltagande i beslutsprocessen.

86. Europaparlamentet stödde för sin del också införandet av mekanismen för en enda kontaktpunkt med en förstärkt roll för den ansvariga tillsynsmyndigheten men föreslog att systemet för samarbete mellan tillsynsmyndigheterna skulle stärkas. Både motiveringen till parlamentets betänkande och Europaparlamentets lagstiftningsresolution av den 12 mars 2014 är ganska tydliga i detta avseende.

87. Mekanismen för en enda kontaktpunkt, som tidigare vilade tungt på den ansvariga tillsynsmyndigheten, förvandlades i huvudsak i och med rådets och parlamentets ingripande till en mer avvägd mekanism på två pelare: den ansvariga tillsynsmyndighetens ledande roll med avseende på gränsöverskridande behandling har behållits men åtföljs nu av en förstärkt roll för övriga tillsynsmyndigheter som aktivt tar del i processen genom mekanismer för samarbete och enhetlighet medan styrelsen har getts rollen som domare och vägledare vid oenighet.

88. En teleologisk och historisk tolkning av dataskyddsförordningen bekräftar därför betydelsen av mekanismen för en enda kontaktpunkt och som en följd därav den ansvariga tillsynsmyndighetens generella behörighet med avseende på gränsöverskridande behandling. Den tolkning av bestämmelserna i dataskyddsförordningen som framförts av DSM och vissa regeringar kan inte förenas med unionslagstiftarens avsikter som den framgår av ingressen och bestämmelserna i förordningen samt förarbeten.

89. Min slutsats är således att en tolkning av de relevanta bestämmelserna i dataskyddsförordningen efter ordalydelsen, sammanhanget, ändamålet och förarbetena bekräftar att tillsynsmyndigheterna är skyldiga att iaktta reglerna om behörighet och om mekanismerna och förfaranden för samarbete och enhetlighet som fastställs i förordningen. När de ställs inför gränsöverskridande behandling ska dessa myndigheter agera inom det ramverk som fastställs i dataskyddsförordningen.

90. DSM och vissa regeringar har emellertid anfört ytterligare två uppsättningar av argument som enligt deras uppfattning talar för en förstärkning av samtliga tillsynsmyndigheters befogenheter att agera ensidigt även med avseende på gränsöverskridande behandling. I följande avsnitt kommer jag att förklara varför dessa argument inte bör ifrågasätta den tolkning av dataskyddsförordningen som jag har föreslagit ovan, förvisso inte för närvarande.

3. En stadgeinriktad tolkning av dataskyddsförordningen

91. DSM har uppfattningen att en obegränsad behörighet för tillsynsmyndigheterna att väcka talan mot personuppgiftsbiträden och personuppgiftsansvariga även när behandlingen är gränsöverskridande krävs för att säkerställa iakttagande av artiklarna 7, 8 och 47 i stadgan. Två huvudsakliga problem förefaller ligga bakom DSM:s argument i denna fråga, fastän inget av dem har fullt ut uttryckts i dess yttranden.

92. DSM:s första problem förefaller ha samband med minskningen av det antal myndigheter som kan agera i anledning av en viss handling. Det förefaller föreligga ett tyst antagande i denna tanke, nämligen att en hög skyddsnivå förutsätter flera myndigheter som kan verka för efterlevnad av dataskyddsförordningen även om de agerar tillsammans. Enkelt uttryckt, ju fler myndigheter som är inblandade, desto högre skyddsnivå.

93. Jag tror inte att detta nödvändigtvis är fallet, i vart fall inte såvitt gäller skyddsnivån.

94. Det är visserligen riktigt, som domstolen har förklarat, att unionslagstiftningen om dataskydd jämförd med artiklarna 7 och 8 i stadgan eftersträvar en hög skyddsnivå för bland annat den grundläggande rätten till respekt för privatlivet med avseende på behandling av personuppgifter.

95. Unionslagstiftaren har ändå intagit ståndpunkten att för att säkerställa en ”hög skyddsnivå för fysiska personer” krävs en ”stark och mer sammanhängande ram för dataskyddet”. I detta syfte är den ram som fastställs genom dataskyddsförordningen avsedd att säkerställa enhetlighet på alla nivåer: för fysiska personer, för ekonomiska aktörer, för personuppgiftsansvariga och personuppgiftsbiträden och för tillsynsmyndigheter i samma mån. Beträffande de sistnämnda myndigheterna eftersträvar dataskyddsförordningen, som bekräftas i skäl 116, att främja ”närmare samarbete” mellan dem.

96. Till skillnad från vad DSM påstått är strävan efter en hög skyddsnivå för rättigheterna och friheterna för de registrerade i unionslagstiftarens ögon följaktligen helt i linje med tillämpningen av mekanismen för en enda kontaktpunkt som beskrivits ovan. Genom att tillåta en mer enhetlig, effektiv och öppen inställning i frågan borde mekanismerna för samarbete och enhetlighet som fastställs i dataskyddsförordningen bidra till ett starkare främjande och tillvaratagande av de rättigheter som fastställs bland annat i artiklarna 7 och 8 i stadgan.

97. Annorlunda uttryckt utesluter en sammanhängande och enhetlig skyddsnivå förvisso inte att skyddet kan läggas på en hög nivå. Detta är endast en fråga om var denna enhetliga måttstock ska placeras. Det är trots allt tveksamt att samtidig förekomst av talan av tillsynsmyndigheterna i flera fristående och eventuellt motstridiga förfaranden verkligen skulle främja målet att säkerställa en hög skyddsnivå för enskilda personers rättigheter. Samstämmighet och klarhet som säkerställs av tillsynsmyndigheterna som agerar i samförstånd kan sägas bättre tjäna detta mål.

98. Det andra problemet som påtalats av DSM rör frågor om närhet mellan personer som framställer ett klagomål och de myndigheter som slutligen kommer att vidta åtgärder som svar på detta klagomål. Frågan är i huvudsak huruvida enskilda personer verkligen kan föra talan mot tillsynsmyndigheternas agerande eller brist på agerande med avseende på deras klagomål.

99. Artikel 78 i dataskyddsförordningen bekräftar fysiska och juridiska personers rätt till ett effektivt rättsmedel mot tillsynsmyndighetens beslut. För att vara förenliga med artikel 47 i stadgan kan dessutom inte de rättsmedel som föreskrivs i dataskyddsförordningen kräva att registrerade ska uppfylla detaljerade regler som med hänsyn till deras ställning som fysiska personer kan på ett oproportionerligt sätt påverka deras rätt till domstolsprövning (exempelvis genom att öka kostnaderna eller att talan fördröjs).

100. Inget av de (ganska vaga) argument som framförts av parterna i denna fråga förklarar emellertid klart varför den tolkning av dataskyddsförordningen som föreslagits av Facebook, de tjeckiska och finländska regeringarna samt av kommissionen skulle stå i strid med artikel 47 i stadgan.

101. Till att börja med föreskriver dataskyddsförordningen uttryckligen rätten för registrerade att inleda ett klagomålsförfarande mot både personuppgiftsansvariga och personuppgiftsbiträden och mot tillsynsmyndigheter. Det är därför inte uppenbart att dataskyddsförordningen till sin struktur inte skulle vara förenlig med artikel 47 i stadgan.

102. Vad gäller registrerades rätt att inleda ett rättsligt förfarande mot personuppgiftsansvariga och personuppgiftsbiträden har de getts möjligheten att inleda ett förfarande vid domstolen i den medlemsstat där personuppgiftsansvariga eller personuppgiftsbiträden är etablerade eller där den registrerade har sitt hemvist. Denna regel tycks vara ganska förmånlig eller åtminstone oproblematisk för de registrerade.

103. Såvitt gäller de registrerades rätt att inleda rättsligt förfarande mot tillsynsmyndigheter är situationen mer komplicerad. Till att börja med har de registrerade getts rätten att angripa både tillsynsmyndigheternas agerande och brist på agerande. I synnerhet kan de agera mot en tillsynsmyndighet om tillsynsmyndigheten ”inte reagerar på ett klagomål, helt eller delvis avslår eller avvisar ett klagomål eller inte agerar när så är nödvändigt för att skydda den registrerades rättigheter”.

104. Talan mot en tillsynsmyndighet ska emellertid väckas vid domstolarna i den medlemsstat där tillsynsmyndigheten har sitt säte till skillnad från talan mot den personuppgiftsansvarige och personuppgiftsbiträdet. Fastän denna regel kan förefalla vara mindre förmånlig för enskilda personer ska det erinras om att enligt artikel 60.8 och 60.9 i dataskyddsförordningen antas det relevanta beslutet och delges med den registrerade av den tillsynsmyndighet till vilken han eller hon gett in klagomålet för det fall ett klagomål som getts in av den registrerade helt eller delvis avslås eller avvisas. Detta är fallet oavsett huruvida denna myndighet är ansvarig tillsynsmyndighet varigenom (i förekommande fall) den registrerade tillåts att inleda rättsligt förfarande i sin egen medlemsstat.

105. Dessa mekanismer för att flytta behörigheten att anta besluten och om nödvändigt eventuellt anta beslut i två led (ansvarig tillsynsmyndighet i förhållande till den personuppgiftsansvarige eller personuppgiftsbiträdet och lokal myndighet i förhållande till klaganden) förefaller vara specifikt avsedda för att förhindra att registrerade tvingas ”turnera” bland domstolssalarna i unionen för att föra talan mot inaktiva tillsynsmyndigheter.

106. Jag inser ändå att en sådan lösning kan föranleda ett antal praktiska frågor. Vilket blir det exakta innehållet i ettvart av dessa beslut? Skulle detta innehåll vara identiskt eller olika? Skulle en registrerad tillåtas angripa alla de frågor som han eller hon anser höra till hans eller hennes fall, även dem som faktiskt är en del av den ansvariga tillsynsmyndighetens beslut? Eller skulle beslutet av den tillsynsmyndighet till vilken den registrerade gett in ett klagomål till stor del vara ett tomt skal som endast behandlar det enskilda klagomålet på ett formellt sätt medan det faktiska innehållet finns i den ansvariga tillsynsmyndighetens beslut? Skulle den registrerade i detta fall för att få tillgång till ett verkligt ”effektivt rättsmedel” i den mening som avses i artikel 78 i dataskyddsförordningen och artikel 47 i stadgan ändå tvingas väcka talan vid domstolarna i den medlemsstat där den ansvariga tillsynsmyndigheten är etablerad? Hur skulle reglerna om tillgång till ett effektivt rättsmedel tillämpas med avseende på prövning av bakomliggande beslut, antingen på horisontell nivå (bland tillsynsmyndigheter som agerar tillsammans) eller vertikal nivå (beträffande en prövning av ett yttrande eller ett beslut av styrelsen inom ramen för mekanismen för enhetlighet som föregår och i själva verket sannolikt bestämmer det slutliga beslutet av en tillsynsmyndighet)?

107. Det råder ingen brist på tillgång till besvärliga frågor. Framtida erfarenheter kan komma att avslöja verkliga problem med kvalitén eller till och med den rättsliga skyddsnivån som är inbyggd i det nya systemet. För närvarande befinner sig dessa frågor emellertid på gissningsstadiet. På detta stadium och förvisso inte i detta mål har någon utredning presenterats för domstolen som tyder på sådana faktiska förhållanden.

4. En möjlig bristande tillämpning av dataskyddsförordningen

108. DSM har i huvudsak gjort gällande att tillämpningen av dataskyddsförordningen i gränsöverskridande situationer inte nästan uteslutande kan överlämnas till den ansvariga tillsynsmyndigheten och till de registrerade som kan påverkas av behandlingen. Det är själva uppgiften för varje tillsynsmyndighet att verka för att skydda enskildas rättigheter som kan påverkas av uppgiftsbehandling. I synnerhet kan inte en tillsynsmyndighet korrekt utföra sitt uppdrag som beslutet huruvida åtgärder ska vidtas mot en misstänkt överträdelse och sättet varje gång överlåts på en annan myndighet att avgöra.

109. Enligt min uppfattning utgör detta argument i huvudsak ett direkt angrepp på den nya mekanismen för samarbete som införts genom dataskyddsförordningen. Mitt svar till bemötande därav är utformat i två lager: å ena sidan såvitt gäller gällande rätt kan dataskyddsförordningen sägas innehålla mekanismer med syfte att undvika sådana scenarier. Å andra sidan såvitt gäller den verkliga tillämpningen och effekterna av de nya systemen är sådana farhågor på detta stadium förhastade och hypotetiska.

110. För det första bör det inledningsvis klarläggas att förhållandet att en tillsynsmyndighet inte är den ansvariga tillsynsmyndigheten i fråga om en viss personuppgiftsansvarig eller ett visst personuppgiftsbiträde på intet sätt betyder, som påstås av DSM, att överträdelser av dataskyddsförordningen som innebär en brottslig handling inte i vederbörlig ordning kan lagföras. Befogenheten att ”upplysa de rättsliga myndigheterna om överträdelser av denna förordning” som anges i artikel 58.5 innefattar uppenbarligen en befogenhet att samverka med straffrättsliga myndigheter såsom allmänna åklagare. Denna befogenhet är förenlig med tillsynsmyndigheternas uppgift att övervaka och verkställa tillämpningen av dataskyddsförordningen på deras territorium och hindrar inte den effektiva tillämpningen av mekanismerna för samarbete och enhetlighet som anges i kapitel VII i dataskyddsförordningen. I detta sammanhang behöver det knappast påpekas att medan dessa mekanismer är obligatoriska för tillsynsmyndigheterna är de inte tillämpliga på myndigheterna i andra medlemsstater, i synnerhet inte dem som har till uppgift att lagföra brottsliga handlingar.

111. För det andra, och mer betydelsefullt, är det vid betraktande av systemet i dess helhet som inrättas genom dataskyddsförordningen ganska klart att den ansvariga tillsynsmyndigheten inte är den som ensam tillämpar dataskyddsförordningen i gränsöverskridande situationer. Den ansvariga tillsynsmyndigheten är snarare en primus inter pares (den främste bland likar). En ansvarig tillsynsmyndighet kan i allmänhet endast agera (administrativt eller rättsligt) efter samtycke från de berörda tillsynsmyndigheterna. I det förfarande som anges i artikel 60 i dataskyddsförordningen ska den ansvariga tillsynsmyndigheten uppnå samförstånd. Den kan inte bortse från de berörda tillsynsmyndigheternas synpunkter. Den ansvariga tillsynsmyndigheten är inte endast skyldig att ”ta vederbörlig hänsyn” till dessa synpunkter men formella invändningar som görs av en berörd tillsynsmyndighet hindrar tillfälligt antagandet av den ansvariga tillsynsmyndighetens utkast till beslut. Bestående meningsskiljaktighet mellan myndigheterna löses slutligt av ett särskilt organ (styrelsen) som består av representanter för samtliga tillsynsmyndigheter inom unionen. Den ansvariga tillsynsmyndighetens ställning är därför i detta avseende inte starkare än övriga myndigheters.

112. Som den förra Europeiska datatillsynsmannen P. Hustinx har uttryckt det ska en ansvarig tillsynsmyndighets roll inom ramen för systemet i dataskyddsförordningen ”inte ses som en exklusiv behörighet utan som ett strukturerat sätt för samarbete med andra lokalt behöriga tillsynsmyndigheter”. dataskyddsförordningen föreskriver ett delat ansvar för att bevaka tillämpningen av dataskyddsförordningen och säkerställa dess enhetliga tillämpning. För detta syfte har tillsynsmyndigheterna tilldelats uppgifter och erhållit vissa befogenheter och de har beviljats vissa rättigheter men även ålagts vissa skyldigheter. Bland dessa skyldigheter föreligger främst skyldigheten att iaktta vissa förfaranden och mekanismer som har utformats för att säkra enhetlighet. En myndighets önskan att inta en ”göra-det-själv”-attityd med avseende på den (rättsliga) tillämpningen av dataskyddsförordningen utan samarbete med de andra myndigheterna kan inte förenas med vare sig denna förordnings bokstav eller anda.

113. Som nämnts i punkterna 76 och 77 ovan bygger dataskyddsförordningen på en känslig avvägning mellan behovet att säkerställa en hög skyddsnivå för fysiska personer och behovet att undanröja hindren för flöden av personuppgifter inom unionen. Dessa två mål är oupplösligt sammankopplade som framgår i synnerhet av skäl 10 och artikel 1.1 i dataskyddsförordningen. Nationella tillsynsmyndigheter måste därför säkerställa en riktig avvägning mellan dem, som domstolen konsekvent har betonat från dess första domar på dataskyddsområdet. Artikel 51.1 i dataskyddsförordningen återspeglar denna inställning vid definitionen av tillsynsmyndigheternas uppdrag.

114. För det tredje innehåller dataskyddsförordningen inte endast mekanismer för att lösa meningsskiljaktigheter med avseende på det sätt varpå tillämpningen ska utföras, det vill säga medling mellan motstridiga uppfattningar och åsikter som uttryckts av tillsynsmyndigheterna. Den innehåller också mekanismer för att övervinna fall av administrativ tröghet. Sådana fall är i synnerhet när en ansvarig tillsynsmyndighet på grund av brist på kunskaper och/eller personal eller av vilken orsak som helst inte vidtar någon meningsfull åtgärd för att utreda eventuella överträdelser av dataskyddsförordningen och i förekommande fall tillämpa dess bestämmelser.

115. dataskyddsförordningen kräver som en princip att den ansvariga tillsynsmyndigheten i fall rörande gränsöverskridande behandling ska agera omedelbart. I synnerhet ska en ansvarig tillsynsmyndighet enligt artikel 60.3 i dataskyddsförordningen ”utan dröjsmål meddela de andra berörda tillsynsmyndigheterna den relevanta informationen i ärendet. Den ska utan dröjsmål lägga fram ett utkast till beslut för de andra berörda tillsynsmyndigheterna så att de kan avge ett yttrande och ta vederbörlig hänsyn till deras synpunkter.”

116. Om en ansvarig tillsynsmyndighet skulle brista i fullgörandet av denna skyldighet, eller mer generellt inte agera när det krävs, undrar man huruvida det finns någon möjlighet för berörda tillsynsmyndigheter att ändå genomföra en utredning och eventuellt vidta verkställighetsåtgärder? Jag tror att det finns åtminstone två olika vägar, som dessa myndigheter kan följa, vilka inte utesluter varandra.

117. Å ena sidan kan en tillsynsmyndighet enligt artikel 61.1 och 61.2 i dataskyddsförordningen begära att en annan tillsynsmyndighet ska lämna ”information och ge ömsesidigt bistånd i arbetet för att genomföra och tillämpa [dataskyddsförordningen]”. Denna begäran kan ha formen av en begäran om information om ”genomförandet av en pågående utredning” eller andra biståndsåtgärder (såsom att genomföra inspektioner och utredningar eller införande av åtgärder som bidrar till ett verkningsfullt samarbete). En sådan begäran ska besvaras av den myndighet som mottagit den ”utan onödigt dröjsmål och inte senare än en månad efter det att den tagit emot begäran”.

118. Enligt artikel 61.5 och 61.8 i dataskyddsförordningen medför underlåtenhet att svara inom den angivna tiden, eller en vägran att efterkomma en begäran, att den begärande myndigheten får ”anta en provisorisk åtgärd på sin medlemsstats territorium i enlighet med artikel 55.1”. I sådana fall ”ska det brådskande behovet av att agera enligt artikel 66.1 anses vara uppfyllt och kräva ett brådskande bindande beslut från styrelsen i enlighet med artikel 66.2”.

119. Det förefaller som att denna mekanism också kan användas (och är förmodligen avsedd att användas) av en berörd tillsynsmyndighet gentemot en ansvarig tillsynsmyndighet. En ansvarig tillsynsmyndighets underlåtenhet att agera i ett specifikt fall av gränsöverskridande behandling trots en begäran därom av en berörd tillsynsmyndighet kan således ge denna rätt att anta brådskande åtgärder som anses vara nödvändiga för att skydda den registrerades intressen. Och förekomsten av exceptionella omständigheter som motiverar det brådskande behovet att agera presumeras och behöver inte styrkas.

120. Å andra sidan tillåter artikel 64.2 i dataskyddsförordningen en tillsynsmyndighet (eller ordföranden i styrelsen eller kommissionen) att ”begära att styrelsen granskar en fråga med allmän räckvidd eller som har följder i mer än en medlemsstat, i synnerhet om en behörig myndighet inte uppfyller sina skyldigheter i fråga om ömsesidigt bistånd i enlighet med artikel 61 …”

121. Det är inte helt klart huruvida styrelsens beslut skulle vara rättsligt bindande för den berörda ansvariga tillsynsmyndigheten. I artikel 65.1 c i dataskyddsförordningen anges att om en behörig tillsynsmyndighet inte följer ett yttrande som styrelsen avger enligt artikel 64 får varje berörd tillsynsmyndighet (eller kommissionen) översända ärendet till styrelsen och således inleda förfarandet för tvistlösning som föreskrivs för detta ändamål. Det senare förfarandet skulle slutligen leda till ett bindande beslut.

122. Det måste ändå konstateras att de två ovan beskrivna mekanismerna (artiklarna 61 och 66 i dataskyddsförordningen å ena sidan och artiklarna 64 och 65 i dataskyddsförordningen å den andra sidan) är något ohanterliga. Deras faktiska funktionssätt är inte alltid kristallklart. Även om de nämnda bestämmelserna förefaller lämpade på pappret att förhindra dessa problem kommer därför endast den framtida tillämpningen av dessa bestämmelser ange huruvida dessa bestämmelser i praktiken visar sig vara ”papperstigrar”.

123. Detta för mig tillbaka till det andra lagret av det argument som framförts med avseende på bristande tillämpning och dess ganska hypotetiska och icke underbyggda karaktär, särskilt för närvarande. Jag måste medge att om de faror beträffande bristande tillämpning av dataskyddsförordningen, som beskrivits eller snarare insinuerats av DSM och vissa andra intervenienter, skulle komma att realiseras skulle hela systemet, enligt min uppfattning, vara moget för en mer omfattande omarbetning.

124. Sett ur en strukturell synvinkel kunde detta faktiskt bli fallet om den nya strukturen skulle leda till att vissa aktörer, som i praktiken själva valt sin nationella regleringsmyndighet genom att förlägga sitt huvudsakliga verksamhetsställe inom unionen i det syftet, gavs ett tryggt ”bo” i regulatoriskt hänseende, där de inte blir kontrollerade utan snarare skyddas av en viss ansvarig tillsynsmyndighet gentemot övriga regleringsmyndigheter. Få personer skulle bestrida att regulatorisk konkurrens i formen av en kapplöpning till botten mellan medlemsstaterna skulle vara lika ohälsosamt och lika farligt som regulatorisk brist på samstämmighet, den typ av brist på samordning och enhetlighet som var kännetecknande för den tidigare utformningen. Regulatoriska nätverkssystem kan förhindra bristande samstämmighet och skiljaktigheter genom att främja samförstånd och samarbete. Priset för samförstånd förefaller dock vara att de myndigheter som är aktiva hindras, särskilt i ett system där ökat samråd krävs för att komma till beslut. I sådana system kan kollektivt ansvar leda till kollektiv oansvarighet och i slutänden till passivitet.

125. Med avseende på sådana faror är emellertid det rättsliga ramverk som inrättats genom dataskyddsförordningen fortfarande i sin linda. Det är inte lätt att förutsäga, särskilt inte för en domstol i samband med ett enda eller snarare unikt förfarande, hur de mekanismer som inrättats genom denna förordning kommer att fungera i praktiken och hur effektiva de kommer att bli. I ett sådant ramverk är försiktighet tillrådlig på samma sätt som gäller potentiella frågor som har samband med skydd av grundläggande rättigheter och den stadgekonforma tolkningen.

126. Enligt min uppfattning skulle det vara en dålig idé att domstolen betydligt ändrar detta ramverk, vilket är det (komplicerade och omsorgsfullt utformade) resultatet av ett utdraget och intensivt lagstiftningsförfarande, genom tolkning av enskilda meningar som tagits ur deras sammanhang och, för närvarande, på grundval av förmodanden och spekulationer. Detta gäller i ännu högre grad om tolkningen som föreslagits av vissa parter endast består i att i huvudsak tolka bort vissa centrala delar från förordningen och därigenom de facto återvända till det gamla systemet i direktiv 95/46, vilket vad gäller dess institutionella dimension uttryckligt och tydligt har förkastats av unionslagstiftaren.

127. Denna med råge tydliga utformning av lagstiftningen som framgår, som anges i föregående avsnitt av detta förslag till avgörande, av ordalydelsen och strukturen i dataskyddsförordningen och av lagstiftningens dokumenterade avsikt, ger också ett svar på andra eventuella strukturella problem såsom den rätta avvägningen av offentlig och privat tillämpning av dataskyddsbestämmelserna och dataskyddsförordningen. Är det klokt att begränsa offentlig tillämpning till en enda myndighet och således till en enda medlemsstat som kommer till stånd först efter ett utdraget och ohanterligt administrativt förfarande, medan privat tillämpning av samma regler sannolikt inträffar tidigare i praktiken vid (civila) domstolar i alla medlemsstater? Ska nationella tillsynsmyndigheter ha sämre tillgång till domstolarna än en enskild privat konsument? Kommer inte de flesta mål om dataskydd hamna i nationella domstolar (och eventuellt i EU-domstolen genom mål om förhandsavgörande) där talan förs direkt av privata parter med fullständigt förbigående av nationella myndigheter, som inrättats för detta ändamål, då dessa nationella myndigheter fortfarande ägnar sig åt samarbete och samordning av deras uppgifter? Finns det inte en fara i ett sådant system för att privat tillämpning helt kommer att ta över den offentliga?

128. Må därmed var hursomhelst, unionslagstiftaren har gjort ett tydligt institutionellt och strukturellt val och det föreligger enligt min uppfattning inget tvivel om vad denne ville uppnå. Under dessa omständigheter bör man, uttryckt i en metafor, om tvivel råder hellre fria än fälla spädbarnet, åtminstone för tillfället. Om spädbarnet emellertid börjar uppföra sig illa – vilket skulle behöva styrkas med fakta och starka argument – tror jag inte att domstolen skulle blunda för den brist i skyddet av grundläggande rättigheter som garanteras av stadgan och deras effektiva tillämpning av de berörda myndigheterna som skulle uppstå därigenom. Huruvida detta fortfarande då skulle vara en fråga om stadgekonform tolkning av bestämmelser i sekundärrätten eller en fråga om giltigheten av bestämmelserna i fråga eller till och med avsnitt av en sekundär rättsakt är en fråga för ett annat mål.

5. Slutsats i denna del

129. Samtliga beskrivna tolkningsdata pekar på ett och samma resultat: den ansvariga tillsynsmyndigheten har generell behörighet i fråga om gränsöverskridande behandling. Samtliga tillsynsmyndigheter (oberoende av deras roll som ansvarig eller berörd tillsynsmyndighet) ska, särskilt när det gäller gränsöverskridande behandling, agera enligt den ordning och de mekanismer som anges i dataskyddsförordningen.

130. Är mot denna bakgrund följden att en tillsynsmyndighet som inte är en ansvarig tillsynsmyndighet alltid är i princip förhindrad att agera inför de inhemska domstolarna mot en personuppgiftsansvarig eller ett personuppgiftsbiträde när det är fråga om gränsöverskridande behandling?

131. Nej, det är den inte.

132. För det första får tillsynsmyndigheter naturligtvis vända sig till en nationell domstol när de agerar utanför det materiella tillämpningsområdet för dataskyddsförordningen, förutsatt att detta är tillåtet enligt nationell rätt och inte förhindras av unionsrätten, exempelvis på grund av att behandlingen inte rör personuppgifter eller på grund av att behandlingen av personuppgifter utförs i samband med den verksamhet som anges i artikel 2.2 i dataskyddsförordningen.

133. För det andra förblir den regulatoriska behörigheten hos den lokala tillsynsmyndigheten, som naturligtvis också innefattar att vid behov väcka talan vid domstol trots den gränsöverskridande karaktären av behandlingen, i de situationer som anges i artikel 55.2 i dataskyddsförordningen (behandling som utförs av offentliga myndigheter men även behandling som utförs i det allmänna intresset eller vid myndighetsutövning).

134. För det tredje finns det fall i vilka, trots att de gäller gränsöverskridande behandling av personuppgifter som omfattas av tillämpningsområdet för dataskyddsförordningen, ingen tillsynsmyndighet ska agera som ansvarig tillsynsmyndighet. Då mekanismen för samarbete och enhetlighet som anges i dataskyddsförordningen endast är tillämplig på personuppgiftsansvariga som har ett eller flera verksamhetsställen inom unionen finns det inte någon ansvarig tillsynsmyndighet med avseende på gränsöverskridande behandling som utförs av personuppgiftsansvariga som inte är etablerade i unionen. Detta betyder att personuppgiftsansvariga som inte har något verksamhetsställe i unionen måste vända sig till lokala tillsynsmyndigheter i varje medlemsstat där de är verksamma.

135. För det fjärde får varje tillsynsmyndighet vidta brådskande åtgärder när villkoren därför är uppfyllda. Det finns vidare situationer i vilka åtgärdernas brådskande karaktär presumeras. Detta kan vara fallet exempelvis när en berörd tillsynsmyndighet eventuellt ställs inför att den ansvariga tillsynsmyndigheten är ihållande overksam. Då artikel 66.1 i dataskyddsförordningen avser den situationen att det föreligger ett omfattande åsidosättande av mekanismen för enhetlighet är det rimligt att anta att i en sådan exceptionell situation samtliga de befogenheter som tillkommer en tillsynsmyndighet (men som under normala förhållanden inte ska utövas på grund av att hinder däremot föreligger genom de speciella reglerna om behörighet för en ansvarig tillsynsmyndighet avseende gränsöverskridande behandling) återupplivas och tillfälligtvis får utövas. Detta innefattar därför naturligtvis befogenhet att inleda rättsligt förfarande enligt artikel 58.5 i dataskyddsförordningen.

136. För det femte kan det för fullständighetens skull nämnas att möjligheten också finns att en tillsynsmyndighet som underrättade den ansvariga tillsynsmyndigheten också kan erhålla (eller snarare behålla) befogenhet att vända sig till domstol i ett fall där den ansvariga tillsynsmyndigheten beslutar att inte behandla ärendet enligt artikel 56.5 i dataskyddsförordningen. Det förefaller som att denna bestämmelse mycket väl kan rymma ett faktiskt avtal mellan de båda tillsynsmyndigheterna om vem av dem som bäst kan behandla ärendet.

137. Sammantaget innehåller inte bestämmelserna i dataskyddsförordningen något generellt hinder för andra tillsynsmyndigheter, särskilt inte för berörda tillsynsmyndigheter, att inleda rättsligt förfarande mot eventuella överträdelser av dataskyddsbestämmelserna. Däremot förutsätter dataskyddsförordningen uttryckligt eller underförstått olika situationer i vilka de har befogenhet att göra det.

138. Allmänt sett är det emellertid av yttersta vikt att när de förfaranden och mekanismer som föreskrivs i dataskyddsförordningen (särskilt de som återfinns i kapitlen VI och VII däri) är tillämpliga dessa vederbörligen iakttas av både ansvariga och berörda tillsynsmyndigheter. Bestämmelserna i dataskyddsförordningen är mycket tydliga i att ingen av dessa myndigheter får agera utanför eller utan iakttagande av detta ramverk.

139. Huruvida DSM har tillämpat dessa förfaranden och mekanismer i detta mål, vilket var en fråga som föranledde viss diskussion vid förhandlingen men som förblir något oklar med hänsyn till den underliga processuella bakgrunden i förevarande mål, ankommer emellertid på den hänskjutande domstolen att kontrollera.

140. Svaret på den första frågan ska följaktligen vara att bestämmelserna i dataskyddsförordningen tillåter att tillsynsmyndigheten i en medlemsstat inleder rättsligt förfarande vid en domstol i den staten beträffande en påstådd överträdelse av dataskyddsförordningen med avseende på gränsöverskridande uppgiftsbehandling trots att den inte är den ansvariga myndigheten, förutsatt att den gör det i de situationer och enligt de förfaranden som anges i dataskyddsförordningen.

C. Övriga tolkningsfrågor

1. Den andra frågan

141. Genom sin andra fråga vill den hänskjutande domstolen få besked huruvida svaret på den första frågan skulle vara ett annat om den personuppgiftsansvariga för den gränsöverskridande behandlingen inte har sitt huvudsakliga verksamhetsställe i den medlemsstaten men har ett annat verksamhetsställe där.

142. Mot bakgrund av det svar som föreslås på den första frågan är det svar som ska ges på den andra frågan ganska klart: i princip nej, förutsatt att det ”huvudsakliga verksamhetsstället” i den mening som avses i artikel 4.16 i dataskyddsförordningen faktiskt är beläget i en annan medlemsstat.

143. Förhållandet att en personuppgiftsansvarig har ett sekundärt verksamhetsställe i en medlemsstat påverkar inte i princip den lokala tillsynsmyndighetens befogenhet att inleda ett domstolsförfarande enligt artikel 58.5 i dataskyddsförordningen med avseende på en viss gränsöverskridande behandling. Med andra ord beror inte, när det gäller gränsöverskridande uppgiftsbehandling, omfattningen av de befogenheter som tillkommer en tillsynsmyndighet och sättet varpå dessa befogenheter ska utövas, generellt på huruvida den personuppgiftsansvarige eller personuppgiftsbiträdet, som har sitt huvudsakliga verksamhetsställe i en annan medlemsstat, också har ett verksamhetsställe i denna myndighets medlemsstat.

144. I likhet med vad som redan har anförts ovan ska en nationell domstol emellertid först som ett inledande moment i denna slutsats fastställa vilket verksamhetsställe som faktiskt är det huvudsakliga verksamhetsstället såvitt gäller en viss behandlingsåtgärd. I detta avseende innehåller artikel 4.16 i dataskyddsförordningen en dynamisk uppfattning om vad som anses vara det huvudsakliga verksamhetsstället, som inte nödvändigtvis sammanfaller med ett företags statiska bolagsstruktur.

145. Förhållandet att den personuppgiftsansvarige eller personuppgiftsbiträdet har ett (sekundärt) verksamhetsställe inom tillsynsmyndighetens territorium betyder dessutom att denna myndighet är en berörd tillsynsmyndighet i den mening som avses i artikel 4.22 i dataskyddsförordningen. Berörda tillsynsmyndigheter har getts betydande befogenheter med avseende på de förfaranden som anges i kapitel VII i dataskyddsförordningen.

146. Dessutom föreskrivs i artikel 56.2 i dataskyddsförordningen ett undantag från den ansvariga tillsynsmyndighetens generella behörighet beträffande gränsöverskridande behandling: ”varje tillsynsmyndighet [ska] vara behörig att behandla ett klagomål som lämnats in till denna eller en eventuell överträdelse av denna förordning, om sakfrågan i ärendet endast rör ett verksamhetsställe i medlemsstaten eller i väsentlig grad påverkar registrerade endast i medlemsstaten”. Denna behörighet ska i sin tur utövas i enlighet med det förfarande som fastställs i punkterna 3–5 i samma bestämmelse.

2. Den tredje frågan

147. Genom sin tredje fråga vill den hänskjutande domstolen få klarhet i huruvida svaret på den första frågan skulle bli ett annat om den nationella tillsynsmyndigheten inleder det rättsliga förfarandet mot den personuppgiftsansvariges huvudsakliga verksamhetsställe eller verksamhetsstället i dess egen medlemsstat.

148. Mot bakgrund av det svar som föreslagits på den första frågan och till den del som den tredje frågan faktiskt inte överlappar den andra frågan kräver också den tredje frågan ett nekande svar.

149. Förutsatt återigen att det på grund av omständigheterna i ett mål har klarlagts att det huvudsakliga verksamhetsstället för en viss behandlingsåtgärd enligt artikel 4.16 i dataskyddsförordningen faktiskt är beläget i en annan medlemsstat, är den nationella tillsynsmyndigheten i den medlemsstat i vilken ett verksamhetsställe för den personuppgiftsansvarige är beläget inte den ansvariga tillsynsmyndigheten men kan bli en berörd tillsynsmyndighet. Men vid denna bedömning beror inte tillsynsmyndighetens behörighet att agera på huruvida det rättsliga förfarandet genomförs mot den personuppgiftsansvariges huvudsakliga verksamhetsställe eller mot verksamhetsstället i dess egen medlemsstat.

150. För fullständighetens skull kan det tilläggas att artikel 58.5 i dataskyddsförordningen är allmänt formulerad och inte specificerar de enheter mot vilka tillsynsmyndigheterna ska eller kan agera. Detta föranledde en intressant diskussion i vissa parters yttranden i en fråga som visserligen inte är oviktig men som enligt min uppfattning domstolen inte behöver behandla i förevarande mål. Frågan är huruvida tillsynsmyndigheter under förutsättning att de är behöriga enligt bestämmelserna i dataskyddsförordningen endast kan agera mot den personuppgiftsansvariges eller personuppgiftsbiträdets etableringsställe(n) som ligger inom deras territorium eller huruvida de också kan agera mot etableringsställen belägna utomlands?

151. Å ena sidan betonar de belgiska, italienska och polska regeringarna att artikel 55.1 i dataskyddsförordningen begränsar varje tillsynsmyndighets territoriella behörighet till dess territorium. De drar därav slutsatsen att tillsynsmyndigheterna endast kan agera mot lokala etableringsställen.

152. Texten är emellertid enligt min uppfattning inte så tydlig: den talar om att utöva befogenheterna enligt förordningen ”inom sin egen medlemsstats territorium”. Jag tolkar inte denna bestämmelse så att den nödvändigtvis utesluter talan mot ett verksamhetsställe som är beläget i en annan medlemsstat. Det territoriella inslaget i artikel 55.1 i dataskyddsförordningen, jämfört med det övergripande tillämpningsområdet för dataskyddsförordningen i dess artikel 1.1 och artikel 3 däri, som grundar behörigheten för en tillsynsmyndighet i ett visst fall, avser verkningarna av uppgiftsbehandling inom en medlemsstats territorium. Detta inslag verkar inte som en begränsning av talan mot personuppgiftsansvariga eller personuppgiftsbiträden som är etablerade utanför nationsgränserna.

153. DSM å andra sidan har föreslagit att varje myndighet har befogenhet att agera mot samtliga överträdelser av dataskyddsförordningen som begås inom dess territorium oavsett om den personuppgiftsansvarige eller personuppgiftsbiträdet har ett verksamhetsställe inom dess territorium. Detta betyder att en myndighet också ska kunna väcka talan mot verksamhetsställen belägna utomlands. I detta sammanhang hänvisar DSM till domstolens dom i målet Wirtschaftsakademie Schleswig-Holstein. I detta avgörande fann domstolen att artiklarna 4 och 28 i direktiv 95/46 tillät att tillsynsmyndigheten i en medlemsstat utövar befogenheten att föra talan avseende ett företags verksamhetsställe beläget inom denna medlemsstats territorium. Detta var fallet även om detta verksamhetsställe endast ansvarade för försäljning av reklamplats och annan marknadsföring inom den medlemsstatens territorium medan ansvaret för insamling och behandling av personuppgifter inom hela Europeiska unionen uteslutande ankom på ett verksamhetsställe beläget i en annan medlemsstat.

154. DSM har rätt när den påstår att såvitt dataskyddsförordningen innehåller liknande bestämmelser som direktiv 95/46 i denna fråga ska de principer som domstolen fastställde i målet Wirtschaftsakademie Schleswig-Holstein äga motsvarande tillämpning med avseende på dataskyddsförordningen. Den domen förklarade emellertid endast när myndigheten kan föra talan mot ett lokalt verksamhetsställe trots att (huvuddelen av) behandlingen utförs av ett verksamhetsställe som är beläget på annan plats inom unionen. Denna dom varken bekräftade eller uteslöt, åtminstone inte uttryckligen, att tillsynsmyndigheten också kunde agera mot det sistnämnda verksamhetsstället.

155. Det förefaller mig dock som att den nya mekanismen för en enda kontaktpunkt genom att den skapar en central punkt för tillämpning med nödvändighet förutsätter att en tillsynsmyndighet också kan agera mot verksamhetsställen belägna utomlands. Jag är inte säker på att det nya systemet kan fungera på rätt sätt om det skulle utesluta möjligheten att myndigheterna och i synnerhet den ansvariga tillsynsmyndigheten agerar mot verksamhetsställen belägna på annan plats.

3. Den fjärde frågan

156. Genom sin fjärde fråga vill den hänskjutande domstolen få klarhet i huruvida svaret på den första frågan skulle bli ett annat om den nationella tillsynsmyndigheten redan hade inlett det rättsliga förfarandet innan dataskyddsförordningen trädde i kraft.

157. Inledningsvis måste det framhållas att dataskyddsförordningen saknar övergångsbestämmelser eller andra regler om hur domstolsförfaranden som pågår vid tiden för det nya ramverkets ikraftträdande ska behandlas.

158. Mot bakgrund av vad som anförts ovan ska svaret på frågan enligt min uppfattning vara ”det beror på”.

159. Å ena sidan vad beträffar personuppgiftsansvarigas och personuppgiftsbiträdens överträdelser av regler om dataskydd som begicks före den dag då dataskyddsförordningen blev tillämplig tror jag att sådana förfaranden kan fortsätta. Jag kan inte se något gott skäl att myndigheterna skulle tvingas avsluta verkställighetsåtgärder som avser tidigare beteende som var (påstått) lagstridigt när det ägde rum och mot vilket de (vid den tiden) var behöriga att agera. En annan lösning skulle leda till en form av amnesti med avseende på vissa överträdelser av dataskyddslagstiftningen.

160. Å andra sidan föreligger en annan situation med avseende på talan som inletts mot överträdelser som inte fått några verkningar då de inträder efter den dag då dataskyddsförordningen blev tillämplig. I detta avseende, som i varje annat fall när nya regler blir tillämpliga på situationer som uppkommer enligt den nya rättsliga ordningen, blir de nya materiella reglerna tillämpliga endast på omständigheter som inträffar efter den dag då den nya rättsakten blev tillämplig.

161. Det är den hänskjutande domstolens uppgift att fastställa vilket av de två scenarier som faktiskt föreligger i det nationella målet. Vad gäller det första scenariot vill jag föreslå att det pågående förfarandet genomförs från unionsrättslig synpunkt förutsatt att det begränsas till ett eventuellt fastställande av tidigare överträdelser. I det andra scenariot bör det nationella förfarandet avslutas. Det var ju så att det nya ramverket inrättade en annan ordning för behörighet och befogenheter med den följden att en berörd tillsynsmyndighet inte kan agera mot överträdelser i fråga om gränsöverskridande behandling utanför de specifika situationer och utan att de förfaranden och mekanismer som föreskrivs för det ändamålet följs.

162. Den motsatta lösningen skulle innebära en förlängning i praktiken av det system som inrättades genom direktiv 95/46 trots det faktum att både unionsrätten och nationell rätt uttryckligt har upphävt det och ersatt det med ett nytt. Om DSM faktiskt skulle erhålla ett förbud som hindrade Facebook att i framtiden (och för övrigt för hur lång tid?) vidta de åtgärder som är i fråga i det nationella målet, skulle inte detta stå i strid med den behörighet i fråga om (samma) beteende som dataskyddsförordningen från den 25 maj 2018 gett till den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna, eventuellt i förening med motstridiga avgöranden (eller domstolsbeslut) som härrör från olika medlemsstater?

4. Den femte frågan

163. Genom sin femte fråga, som ställs för det fall den första frågan besvaras jakande, vill den hänskjutande domstolen få klarhet i huruvida artikel 58.5 i dataskyddsförordningen har direkt effekt på det sättet att en nationell tillsynsmyndighet kan åberopa den för att inleda eller fortsätta rättsligt förfarande mot enskilda parter även om denna bestämmelse inte specifikt har införlivats med nationell rätt.

164. Lydelsen av artikel 58.5 upprepas: ”Varje medlemsstat ska i lagstiftning fastställa att dess tillsynsmyndighet ska ha befogenhet att upplysa de rättsliga myndigheterna om överträdelser av denna förordning och vid behov att inleda eller på övrigt vis delta i rättsliga förfaranden, för att verkställa bestämmelserna i denna förordning.”

165. Facebook och de tjeckiska och portugisiska regeringarna har framhållit att denna bestämmelse tydligt kräver att medlemsstaterna gör något: att införa bestämmelser som gör det möjligt för myndigheterna att väcka talan. För att befogenheten att väcka talan ska vara fullt verksam kan också krävas vissa nationella bestämmelser om bland annat behöriga domstolar, förutsättningarna för att väcka talan och utformningen av förfarandet.

166. Med hänsyn till det svar jag föreslagit på den första frågan finns det alls inget behov att besvara den femte frågan. För fullständighetens skull ser jag för min del inte något problem med att hålla med DSM att det normativa innehållet i denna särskilda unionsrättsliga bestämmelse är ganska otvetydigt och direkt tillämpbart. I detta avseende ska det erinras om att en unionsrättslig bestämmelse har direkt effekt när den, med hänsyn till sitt innehåll, är tillräckligt klar, precis och ovillkorlig för att kunna åberopas gentemot en motstridande nationell bestämmelse eller i den mån som bestämmelserna fastställer rättigheter som enskilda kan göra gällande gentemot staten.

167. Helt bortsett från den omständigheten att bestämmelsen ingår i en förordning (ett instrument som enligt artikel 288 FEUF ”ska ha allmän giltighet. Den ska till alla delar vara bindande och direkt tillämplig i varje medlemsstat”) förefaller det mig som att en specifik och omedelbart tillämplig regel kan utläsas ur artikel 58.5 i dataskyddsförordningen. Denna regel är mycket enkel: tillsynsmyndigheter ska ha talerätt vid nationella domstolar, de har getts rätten att inleda rättsligt förfarande i nationell rätt. Talan som väckts vid en nationell domstol kan inte avvisas på grund av avsaknad av ställning som rättssubjekt.

168. Medan jag håller med Facebook och de tjeckiska och portugisiska regeringarna om att medlemsstaterna får föreskriva speciella regler, villkor eller behörighet för talan som förs av tillsynsmyndigheter är sådana regler på intet sätt nödvändiga för tillämpning av den direkt verksamma regeln enligt artikel 58.5 i dataskyddsförordningen. I avsaknad av ad hoC‑bestämmelser som införts av den nationella lagstiftaren blir standardregler i den lämpliga nationella processlagstiftningen (antingen förvaltningsrättslig lagstiftning eller standardregler i civilprocessrätt) naturligtvis tillämpliga på talan som förs av tillsynsmyndigheterna. Om det således exempelvis saknas specifika genomföranderegler om behörig domstol kan det antas att den tillämpliga allmänna standardregeln, som sannolikt finns i varje (civil)processrättslig lagstiftning, är regeln att behörig domstol, om inte annat föreskrivs, är domstolen där svaranden har sitt hemvist.

5. Den sjätte frågan

169. Genom sin sjätte och sista fråga vill den hänskjutande domstolen få besked huruvida för det fall den nationella tillsynsmyndigheten har befogenhet att agera utgången av sådant förfarande hindrar att den ansvariga tillsynsmyndigheten kommer till en motsatt slutsats för det fall att den ansvariga tillsynsmyndigheten utreder samma eller liknande gränsöverskridande behandlingsåtgärder i enlighet med den mekanism som fastläggs i artiklarna 56 och 60 i dataskyddsförordningen.

170. Mot bakgrund av det svar som föreslagits på den första frågan behöver inte denna fråga besvaras.

171. Föremålet för denna fråga visar emellertid än en gång varför den första frågan ska besvaras som föreslagits ovan. Om den tvingande karaktären av mekanismen för enhetlighet och samarbete som fastställs i dataskyddsförordningen skulle avskaffas och därigenom göra mekanismen för en enda kontaktpunkt ”valfri” eller i realiteten ganska obefintlig, skulle samstämmigheten i hela systemet allvarligt påverkas. Behörighetsbestämmelser som dataskyddsförordningen nu innehåller skulle i huvudsak ersättas av en parallell ”kapplöpning till den första domen” mellan samtliga tillsynsmyndigheter. Detta skulle innebära att vem som än ”går i mål först” med en slutlig dom inom sitt ansvarsområde skulle bli den faktiska ansvariga tillsynsmyndigheten för återstående del av Europeiska unionen på sätt underförstått framgår av den sjätte frågan.

V. Förslag till avgörande

172. Jag föreslår att domstolen ska lämna följande svar på de tolkningsfrågor som ställts av Hof van beroep te Brussel (Appellationsdomstolen i Bryssel, Belgien): Bestämmelserna i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) tillåter att tillsynsmyndigheten i en medlemsstat inleder rättsligt förfarande vid en domstol i den staten beträffande en påstådd överträdelse av denna förordning med avseende på gränsöverskridande uppgiftsbehandling trots att den inte är den ansvariga myndigheten, förutsatt att den gör det i de situationer och enligt de förfaranden som anges i samma förordning. Den allmänna dataskyddsförordningen utgör hinder för en tillsynsmyndighet att fortsätta rättsligt förfarande som inletts före den dag då denna förordning blev tillämplig men som rör åtgärder som inträffar efter den dagen. Artikel 58.5 i den allmänna dataskyddsförordningen har direkt effekt såtillvida som en nationell tillsynsmyndighet kan åberopa den i syfte att inleda eller fortsätta rättsligt förfarande vid nationella domstolar även om denna bestämmelse inte har specifikt införlivats med nationell rätt.

1 Originalspråk: engelska.

2 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) EUT L 119, 2016, s. 1.

3 EGT L 281, 1995, s. 31.

4 Av de skäl som angetts ovan, se punkt 23 i detta förslag till avgörande.

5 I detta avseende har domstolen konsekvent förklarat att begreppet ”registeransvarig” enligt direktiv 95/46 ska ges en vid tolkning, se, till exempel, på senare tid dom av den 29 juli 2019, Fashion ID ( C‑40/17, EU:C:2019:629, punkterna 65, 66 och 70) och dom av den 10 juli 2018, Jehovan todistajat ( C‑25/17, EU:C:2018:551, punkt 66). Jag ser inte något skäl till varför detsamma inte också skulle gälla med avseende på dataskyddsförordningen.

6 Se, till exempel, dom av den 25 juli 2018, Confédération paysanne m.fl. ( C‑528/16, EU:C:2018:583, punkterna 72 och 73 och där angiven rättspraxis) eller dom av den 1 oktober 2019, Blaise m.fl. ( C‑616/17, EU:C:2019:800, punkt 35).

7 Exempelvis har jag i mitt förslag till avgörande i målet Fashion ID förklarat skälen till att både reglerna i dåvarande direktivet 95/46 och i det så kallade e‑integritetsdirektivet (Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) (EGT L 201, 2002, s. 37) kunde eventuellt vara tillämpliga i ett mål som rörde placering av kakor ( C‑40/17, EU:C:2018:1039, punkterna 111–115). Se i denna fråga mer generellt Europeiska dataskyddsstyrelsens yttrande 5/2019 om samspelet mellan e-integritetsdirektivet och dataskyddsförordningen, i synnerhet rörande tillsynsmyndigheternas behörighet, uppgifter och befogenheter, av den 12 mars 2019. Se även Artikel 29-arbetsgruppens yttrande 2/2013 av den 2 oktober 2013 med vägledning om inhämtande av samtycke för kakor 1676/13/EN WP 208, av den 2 oktober 2013.

8 Min kursivering.

9 Min kursivering.

10 Min kursivering.

11 I juridisk doktrin, se Bensoussan, A. (red.), Règlement européen sur la protection des données – Textes, commentaires et orientations pratiques, 2a uppl., Bruylant, Bruxelles, 2017, s. 363.

12 På samma sätt, Hijmans, H., ”Comment to Article 56 of the dataskyddsförordningen”, i Kuner, C., Bygrave, L., Docksey, C. (red.), The EU General Data Protection Regulation (dataskyddsförordningen) – A Commentary, Oxford University Press, Oxford, 2020, s. 921.

13 I analogi med allmän förvaltningsrätt (eller rättegångsregler) kan ett organ ha den (generella) befogenheten att agera i vissa avseenden men kanske inte nödvändigtvis har behörigheten (i materiellt, personligt, tidsmässigt eller lokalt hänseende …) att utöva denna befogenhet för att avgöra ett enskilt fall. Exempelvis betyder inte det förhållandet att en domstol har befogenhet att meddela dom i brottmål att den också nödvändigtvis såvitt gäller ett visst brott som begåtts av en viss person är behörig att göra det (eftersom det kan omfattas av en annan domstols behörighet).

14 Europeiska dataskyddsstyrelsen, yttrande 8/2019 om behörigheten för en tillsynsmyndighet vid förändring av omständigheterna rörande huvudsakligt eller enda verksamhetsställe, av den 9 juli 2019, punkterna 19 och 20.

15 Denna bestämmelse har i relevant del följande lydelse: ”Varje tillsynsmyndighet skall särskilt ha …. befogenhet att inleda rättsliga förfaranden när de nationella bestämmelser som antagits till följd av detta direktiv har överträtts eller att uppmärksamma de rättsliga myndigheterna på dessa överträdelser.”

16 Se Europeiska kommissionen, Första rapporten om genomförandet av dataskyddsdirektivet (95/46/EG) av den 15 maj 2003, COM(2003) 265 final, s. 12 och 13, och dess bilaga ”Analysis and impact study on the implementation of Directive EC 95/46 in Member States”, s. 40. Se också Europeiska unionens byrå för grundläggande rättigheter, Access to data protection remedies in EU Member States – Rapport, 2012, särskilt s. 20–22.

17 Se ovan punkterna 51, 57 och 58 i detta förslag till avgörande.

18 Dom av den 6 oktober 2015, Schrems ( C‑362/14, EU:C:2015:650, punkt 63) och dom av den 16 juli 2020, Facebook Ireland och Schrems ( C‑311/18, EU:C:2020:559, punkt 109).

19 I vissa fall har en berörd tillsynsmyndighet rätt (och ska således kunna) lämna in ett utkast till beslut till den ansvariga tillsynsmyndigheten: se artikel 56.2–56.4 i dataskyddsförordningen.

20 Se, för ett liknande resonemang, skäl 125 i dataskyddsförordningen.

21 Dom av den 16 juli 2020 ( C‑311/18, EU:C:2020:559, punkt 120) (min kursivering). På samma sätt, beträffande klarläggande av att det ankommer på den behöriga tillsynsmyndigheten att ingripa mot en överträdelse av dataskyddsförordningen och att välja det lämpligaste medlet därför, se förslag till avgörande av generaladvokaten Saugmandsgaard Øe i målet Facebook Ireland och Schrems ( C‑311/18, EU:C:2019:1145, punkterna 147 och 148). Jämför dessa uttalanden med domen av den 6 oktober 2015, Schrems ( C‑362/14, EU:C:2015:650, punkt 65) i vilken domstolen förklarade att (varje) nationell tillsynsmyndighet enligt direktiv 95/46 ska kunna inleda rättsliga förfaranden.

22 Som den berömda repliken i ”Den gode, den onde och den fule” uttryckte det (en film från 1966 i regi av Sergio Leone med Clint Eastwood, Lee Van Cleef och Eli Wallach, producerad av Produzioni Europee Associate och United Artists).

23 Artikel 68 i dataskyddsförordningen.

24 Se, i synnerhet, artikel 70.1 a i dataskyddsförordningen.

25 Se motivering till kommissionens förslag till Europaparlamentets och rådets förordning om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (allmän uppgiftsskyddsförordning), COM(2012) 11 final. Se också skäl 10, 13 och 123 i dataskyddsförordningen.

26 I denna fråga, se generellt Giurgiu, A. och Larsen, T., Roles and Powers of National Data Protection Authorities – Moving from Directive 95/46/EC to the dataskyddsförordningen: Stronger and More ”European” DPAs as Guardians of Consistency? European Data Protection Law Review, 2016, s. 342–352, på 349, och Voigt, P., von dem Bussche, A., The EU General Data Protection Regulation (dataskyddsförordningen) – A Practical Guide, Springer, 2017, s. 190–192.

27 Dom av den 1 oktober 2015 ( C‑230/14, EU:C:2015:639, punkterna 42–60).

28 Dom av den 5 juni 2018 ( C‑210/16, EU:C:2018:388, punkterna 65–74).

29 Se, till exempel, Miglio, A., The Competence of Supervisory Authorities and the One-stop-shop Mechanism, i EU Law Live – Weekend edition, No. 28, 2020, s. 10–14, på s. 11.

30 Se förslag till avgörande av generaladvokaten Bot i målet Wirtschaftsakademie Schleswig-Holstein ( C‑210/16, EU:C:2017:796, punkt 103).

31 Dom av den 24 september 2019 ( C‑507/17, EU:C:2019:772, punkt 68).

32 C‑311/18, EU:C:2019:1145, punkt 155.

33 Se skäl 97 och 98 i kommissionens förslag (se ovan fotnot 25).

34 Se rådets dokument 15656/1/14 REV 1, av den 28 november 2014 och 16526/14, av den 4 och 5 december 2014, s. 2, 8 och 9.

35 Ibidem, s. 1.

36 Se rådets dokument 5419/1/16 REV 1 av den 8 april 2016, s. 203–205.

37 Se ovan punkt 45 i detta förslag till avgörande.

38 Rådets dokument 15656/1/14 REV 1 av den 28 november 2014, s. 2.

39 Se dokument A7–0402/2013 av den 22 november 2013, som omnämnde mekanismen för en enda kontaktpunkt som ”ett stort steg mot en sammanhängande tillämpning av uppgiftsskyddslagstiftningen i hela EU”.

40 Dokument EP-PE_TC1-COD(2012)0011 av den 12 mars 2014 (se särskilt ändringarna 148, 149, 158, 159 och 167).

41 På samma sätt förmodar jag helt enkelt att dessa bestämmelser i stadgan och åberopade rättigheter är de som tillkommer de registrerade som en tillsynsmyndighet har i uppgift att skydda och inte att tillsynsmyndigheten själv skulle vara innehavare av dessa rättigheter. Tanken att de administrativa myndigheterna, det vill säga utflöden av staten, skulle ha tillerkänts grundläggande (mänskliga) rättigheter som de skulle kunna åberopa mot staten (eller snarare mot varandra eller i fall av horisontell direkt effekt till och med mot enskilda) är faktiskt ganska egenartad. Enligt min uppfattning bör svaret vara klart nekande men jag erkänner att det finns olika synsätt i medlemsstaterna. Hursomhelst kan denna fråga lämnas därhän i förevarande mål.

42 Se, för ett liknande resonemang, dom av den 6 oktober 2015, Schrems ( C‑362/14, EU:C:2015:650, punkt 39).

43 Se skäl 7, 9 och 10 i dataskyddsförordningen (min kursivering).

44 Se, för ett liknande resonemang, skäl 10, 11 och 13 i dataskyddsförordningen

45 Min kursivering.

46 Se, för ett liknande resonemang, dom av den 27 september 2017, Puškár ( C‑73/16, EU:C:2017:725, punkterna 54–76 och där angiven rättspraxis).

47 Se artikel 79 och även skäl 145 i dataskyddsförordningen.

48 Det ska även beaktas att praktiskt sett sammanfaller denna lösning med vad som typiskt skulle vara det (skydds) forum (kärandens) i konsumentavtal enligt lösningen i Bryssel-förordningen, se, i allmänhet, dom av den 25 januari 2018, Schrems ( C‑498/16, EU:C:2018:37).

49 Se skäl 141 och 143 i dataskyddsförordningen och dom av den 16 juli 2020, Facebook Ireland och Schrems ( C‑311/18, EU:C:2020:559, punkt 110).

50 Se skäl 143 och artikel 78 i dataskyddsförordningen.

51 Beträffande en sådan inställning i ett annat (decentraliserat) regulatoriskt sammanhang, se mitt förslag till avgörande i målet Astellas Pharma ( C‑557/16, EU:C:2017:957).

52 I den senare frågan anger artikel 78.4 att ”om talan väcks mot ett beslut som fattats av en tillsynsmyndighet och som föregicks av ett yttrande från eller beslut av styrelsen inom ramen för mekanismen för enhetlighet ska tillsynsmyndigheten vidarebefordra detta yttrande eller beslut till domstolen.” I praktiken är detta sannolikt det enda sättet att åstadkomma domstolsprövning av styrelsens beslut, eftersom skäl 143 i dataskyddsförordningen olycksbådande bekräftar att ”varje fysisk eller juridisk person” har rätt att väcka ogiltighetstalan mot styrelsens beslut vid unionsdomstolarna när de villkor som föreskrivs i artikel 263 FEUF är uppfyllda. Med hänsyn emellertid till domstolens restriktiva tolkning av villkoren för talerätt för enskilda som fastställs i artikel 263 FEUF är det inte lätt att finna situationer i vilka enskilda kan anses vara direkt berörda av styrelsens beslut, eftersom dessa i vart fall måste ”tillämpas” på situationen för en viss registrerad genom ett efterföljande beslut av en ansvarig tillsynsmyndighet eller en berörd tillsynsmyndighet. I en sådan situation liksom på många andra områden i unionsrätten (beträffande kritik i detta avseende, se mitt förslag till avgörande i målet Région de Bruxelles-Capitale/kommissionen ( C‑352/19 P, EU:C:2020:588, punkterna 137–147) skulle det enda sättet att angripa ett beslut av styrelsen till slut vara genom ett förhandsavgörande enligt artikel 267 FEUF, begränsat till fall i vilka en mer frågvis nationell domstol önskar ”lyfta på slöjan” över dess egen rättsliga prövning, som lagts på den av den nationella tillsynsmyndigheten i form av det ”vidarebefordrade” yttrandet från styrelsen enligt artikel 78.4 i dataskyddsförordningen.

53 Se särskilt artikel 60.1 i dataskyddsförordningen.

54 Hijmans, H., Comment to Article 56 of the dataskyddsförordningen, i Kuner, C., Bygrave, L., Docksey, C. (red.), The EU General Data Protection Regulation (dataskyddsförordningen) – A Commentary, Oxford University Press, Oxford, 2020, s. 918

55 Hustinx, P., EU Data Protection Law: The Review of Directive 95/46/EC and the General Data Protection Regulation, i Cremona, M. (red.), New Technologies and EU Law, 2017, Oxford University Press, Oxford, s. 123.

56 Beträffande detta uttryck, se Rådet, Riktlinjedebatt om mekanismen för en enda kontaktpunkt, 10139/14 av den 26 maj 2014, s. 4.

57 Se, till exempel, dom av den 9 mars 2010, kommissionen/Tyskland ( C‑518/07, EU:C:2010:125, punkt 24). På senare tid, se dom av den 6 oktober 2015, Schrems ( C‑362/14, EU:C:2015:650, punkt 42).

58 Se ovan, punkt 4 i detta förslag till avgörande.

59 Min kursivering.

60 I detta sammanhang vill jag endast tillägga att tillsynsmyndigheter som mottar ett klagomål oberoende av om de är ansvariga eller berörda tillsynsmyndigheter inte endast är skyldiga att granska detta klagomål med vederbörlig omsorg (se ovan i punkt 69 i detta förslag till avgörande) utan också att se till att ”[dataskyddsförordningen] iakttas fullt ut med all erforderlig omsorg”(se, för ett liknande resonemang, dom av den 16 juli 2020, Facebook Ireland och Schrems ( C‑311/18, EU:C:2020:559, punkt 112) (min kursivering).

61 Min kursivering.

62 Min kursivering.

63 Se Tosoni, L., ”Comment to Article 60 of dataskyddsförordningen”, i Kuner, C., Bygrave, L., Docksey, C. (red.), The EU General Data Protection Regulation (dataskyddsförordningen) – A Commentary, Oxford University Press, Oxford, 2020, s. 969.

64 Min kursivering.

65 Beroende på vilken typ av åtgärd som det är fråga om, vilket klarläggs av skäl 138 i dataskyddsförordningen. Det skulle emellertid realistiskt sett vara ganska förvånande om en ansvarig tillsynsmyndighet skulle välja att inte beakta ett beslut av styrelsen även om det inte var formellt bindande enligt dataskyddsförordningen (i synnerhet eftersom vad som inte är bindande i första omgången verkligen kan bli det i nästa omgång).

66 På samma sätt, mer i detalj, se Van Eecke, P., Šimkus, A., ”Comment to Article 64”, i Kuner, C., Bygrave, L., Docksey, C. (red.), The EU General Data Protection Regulation (dataskyddsförordningen) – A Commentary, Oxford University Press, Oxford, 2020, s. 1011.

67 Se ovan punkterna 106 och 107 i detta förslag till avgörande.

68 Se ovan punkterna 35–38 i detta förslag till avgörande.

69 Se också Artikel 29-arbetsgruppen för skydd av personuppgifter, Riktlinjer om fastställande av ansvarig tillsynsmyndighet för personuppgiftsansvariga eller personuppgiftsbiträden, WP 244 rev.01, av den 5 april 2017, s. 10.

70 Jag påstår vidare inte att de exempel som nu getts är de enda exemplen. Kan det inte finnas en ytterligare situation i vilken det slutliga beslut som fattats i ett visst fall av gränsöverskridande behandling, oavsett om det fattats enligt överenskommelse mellan den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna eller i anledning av ett tvistlösningsbeslut av styrelsen, kan anförtro en eller fler berörda tillsynsmyndigheter att genomföra vissa verkställighetsåtgärder på deras respektive territorium inbegripet exempelvis inledande av rättsligt förfarande?

71 Som anförts ovan i punkterna 31–38 i detta förslag till avgörande.

72 Ovan, punkterna 32–33 i detta förslag till avgörande.

73 Som i allmänhet bör vara fallet med varje behandling som sådan och definitionen av den (gemensamma) personuppgiftsansvarige därför. Det faktiska bestämmandet över ändamålen och medlen för behandlingen ska bedömas med avseende på en viss behandlingsåtgärd och inte i abstrakta, statiska termer i förhållande till odefinierad ”behandling”, se dom av den 29 juli 2019, Fashion ID ( C‑40/17, EU:C:2019:629, punkterna 71–74).

74 Se ovan punkterna 111 och 112 i detta förslag till avgörande.

75 Se ovan punkterna 45 och 84 i detta förslag till avgörande.

76 Indirekt kommer man därvid tillbaka till den ursprungliga frågan vad exakt det är som ett sådant verksamhetsställe åtalas för i en sådan medlemsstat efter ikraftträdandet av dataskyddsförordningen, vilket diskuterats ovan i punkterna 32–34 i detta förslag till avgörande.

77 Dom av den 5 juni 2018 ( C‑210/16, EU:C:2018:388).

78 Jämför i synnerhet den nya artikeln 3.1 med den gamla artikeln 4.1 a och den nya artikeln 58.6 med den gamla artikeln 28.3 tredje strecksatsen.

79 Som föreslagits ovan i fotnot 70 är det emellertid lika troligt att samordnat beslutsfattande kan medföra samordnade verkställighetsåtgärder.

80 Se, analogt, dom av den 14 februari 2012, Toshiba Corporation m.fl. ( C‑17/10, EU:C:2012:72, särskilt punkt 60).

81 Beträffande en detaljerad diskussion med exempel, se mitt förslag till avgörande i målet Nemec ( C‑256/15, EU:C:2016:619, punkterna 27–44).

82 Se också ovan, punkt 34 i detta förslag till avgörande.

83 Mer i detalj, se mitt förslag till avgörande i målet Klohn ( C‑167/17, EU:C:2018:387, punkterna 36–46).

84 Medan naturligtvis direkt tillämplighet inte är direkt effekt och samma villkor för direkt effekt är tillämpliga med avseende på bestämmelser i förordningar som förutser eller kräver deras genomförande, se till exempel dom av den 11 januari 2001, Monte Arcosu ( C‑403/98, EU:C:2001:6, punkterna 26–28), dom av den 28 oktober 2010, SGS Belgium m.fl. ( C‑367/09, EU:C:2010:648, punkterna 33 och följande punkter) eller dom av den 14 april 2011, Vlaamse Dierenartsenvereniging och Janssens ( C‑42/10, C‑45/10 and C‑57/10, EU:C:2011:253, punkterna 48–50).