EURÓPAI BIZOTTSÁG
Brüsszel, 2023.7.4.
COM(2023) 348 final
2023/0202(COD)
Javaslat
AZ EURÓPAI PARLAMENT ÉS A TANÁCS RENDELETE
az (EU) 2016/679 rendelet végrehajtásával kapcsolatos további eljárási szabályok megállapításáról
INDOKOLÁS
1.A JAVASLAT HÁTTERE
•A javaslat indokai és céljai
Az uniós adatvédelmi szabályok hatékony végrehajtása előfeltétele a személyes adatok védelméhez való jog védelme biztosításának, amelyet az Európai Unió Alapjogi Chartájának (a továbbiakban: Charta) 8. cikkének (1) bekezdése és az Európai Unió működéséről szóló szerződés (a továbbiakban: EUMSZ) 16. cikkének (1) bekezdése rögzít.
A független nemzeti adatvédelmi hatóságok (adatvédelmi hatóságok) feladata az (EU) 2016/679 rendelet (általános adatvédelmi rendelet vagy GDPR) végrehajtása annak 2018-as hatálybalépése óta. Az „egyablakos” decentralizált végrehajtási rendszer célja a GDPR következetes értelmezésének és alkalmazásának biztosítása, a közelség elvének megőrzése mellett, ahol az egyéneknek lehetőségük van arra, hogy a helyi adatvédelmi hatósághoz forduljanak, és választ kapjanak. Ez a rendszer a „határokon átnyúló” ügyekben megköveteli az adatvédelmi hatóságok közötti együttműködést. Ilyen esetekben a „vezető” adatvédelmi hatóság (a vizsgált adatkezelő vagy adatfeldolgozó üzleti tevékenység fő helyének adatvédelmi hatósága) vezeti a vizsgálatot, és köteles együttműködni a többi „érintett” adatvédelmi hatósággal, hogy az őszinte és hatékony együttműködés szellemében folytatott párbeszéd révén konszenzusra törekedjenek. A vezető adatvédelmi hatóságnak az érintett adatvédelmi hatóságokkal való szoros együttműködés keretében kell gyakorolnia hatáskörét. Amennyiben az adatvédelmi hatóságok nem tudnak konszenzusra jutni egy határokon átnyúló ügyben, az általános adatvédelmi rendelet előírja, hogy az úgynevezett „releváns és megalapozott kifogások” által felvetett konkrét kérdésekben az Európai Adatvédelmi Testület (a továbbiakban: testület) által lefolytatott vitarendezésre kerüljön sor, amely az egyes tagállamok adatvédelmi hatóságainak vezetőiből és az európai adatvédelmi biztosból áll, és amelyben részt vesz a Bizottság is.
A GDPR alkalmazásának két évét követő jelentésében a Bizottság megállapította, hogy további előrelépésre van szükség a határokon átnyúló ügyek kezelésének hatékonyabbá és EU-szerte harmonizáltabbá tétele érdekében. A jelentés fontos különbségeket állapított meg a nemzeti közigazgatási eljárásokban és a GDPR együttműködési mechanizmusában szereplő fogalmak értelmezésében. Az Európai Parlament a Bizottság GDPR-ról szóló 2020-as jelentéséről szóló állásfoglalásában annak értékelésére sürgette a Bizottságot, hogy a nemzeti közigazgatási eljárások akadályozzák-e a GDPR 60. cikke szerinti együttműködés teljes körű hatékonyságát, valamint annak hatékony végrehajtását. Az Európai Parlament felszólította a testületet, hogy a GDPR 60. cikke alapján létrehozott együttműködés keretében állapítsa meg a határokon átnyúló ügyekben felmerülő panaszok kezelésére szolgáló közös közigazgatási eljárás alapvető elemeit. 2020-ban a testület elindította a határon átnyúló ügyekben az adatvédelmi hatóságok közötti együttműködés javításáról szóló konzultációt, amely 2022 áprilisában a végrehajtási együttműködésről szóló nyilatkozat elfogadásában csúcsosodott ki, melyben kötelezettséget vállalt az uniós jogban tovább harmonizálható eljárási szempontok listájának meghatározására. A testület 2022 októberében továbbította ezt a listát a Bizottságnak.
Ez a javaslat a Bizottság 2020. évi, a GDPR-ról szóló jelentésére, a testület 2022. októberi listájára, valamint azokra a következtetésekre támaszkodik, amelyeket a Bizottság a GDPR hatálybalépése óta a GDPR végrehajtásának nyomon követése, a GDPR több érdekelt felet tömörítő szakértői csoportja és a GDPR tagállami szakértői csoportja, valamint a Bizottság 2023 februárjában közzétett véleményezési felhívására válaszul beérkezett észrevételek alapján vont le. A jelentés a Bizottság 2023. évi éves munkaprogramjának részét képezi („Az európai demokrácia megerősítése” általános cím alatt).
A GDPR következetes alkalmazása a GDPR határokon átnyúló végrehajtási rendszerének hatékony működésétől függ. Az adatvédelmi hatóságok által alkalmazott eljárások különbségei akadályozzák a GDPR együttműködési és vitarendezési mechanizmusainak zökkenőmentes és hatékony működését a határokon átnyúló ügyekben. Ezek a különbségek fontos következményekkel járnak a vizsgálat alá vont felek és a panaszosok (mint érintettek) jogaira nézve is. A GDPR megfelelő végrehajtásának biztosítása a szélesebb körű digitalizációs folyamatba vetett közbizalom biztosításának és a személyes adatokat kezelő valamennyi szervezet számára egyenlő versenyfeltételek garantálásának előfeltétele.
A javaslat célja a következő területeken felmerülő problémák kezelése:
·Panaszok: Az adatvédelmi szabályok megsértésének felderítéséhez a panaszok alapvető információforrásul szolgálnak. Az adatvédelmi hatóságok eltérően értelmezik a panasz formájára, a panaszosok eljárásba való bevonására és a panaszok elutasítására vonatkozó követelményeket. Például: Az adatvédelmi hatóságok egy része által elfogadott panaszt más részük elutasíthat azon az alapon, hogy az nem nyújt elegendő információt; egyes adatvédelmi hatóságok a panaszosoknak a vizsgálat alá vont felekkel azonos jogokat biztosítanak, míg mások nem, vagy csak nagyon korlátozott mértékben vonják be a panaszosokat; egyes adatvédelmi hatóságok hivatalos döntést fogadnak el, amelyben elutasítják az összes olyan panaszt, amelynek nem adnak helyt, míg más adatvédelmi hatóságok ezt nem teszik meg. Ezek a különbségek azt jelentik, hogy a panaszok kezelése és a panaszosok bevonása attól függően változik, hogy hol nyújtják be a panaszt, vagy hogy az adott ügyben melyik adatvédelmi hatóság a vezető adatvédelmi hatóság. Ennek eredményeképpen a határokon átnyúló ügyekben ezek késleltetik a vizsgálat lezárását és az érintettek jogorvoslati lehetőségének biztosítását. Az Európai Parlament a Bizottság GDPR-ról szóló 2020-as jelentéséről szóló állásfoglalásában kiemelte, hogy a határokon átnyúló panaszok esetében tisztázni kell a panaszosok helyzetét.
·A vizsgálat alá vont felek eljárási jogai: A vizsgálat alá vont felek védelemhez való joga az uniós jog egyik alapelvét képezi, amelyet minden körülmények között tiszteletben kell tartani, különösen az olyan eljárásokban, amelyek magas összegű büntetéseket vonhatnak maguk után. Tekintettel a kiszabható büntetések lehetséges súlyosságára, a GDPR megsértése miatt vizsgálat alá vont feleknek a büntetőjogi jellegű eljárásokban előírtakhoz hasonló garanciákat kell élvezniük. A vizsgálat alá vont felek eljárási jogai, például a meghallgatáshoz való jog terjedelme és az iratbetekintési jog, tagállamonként jelentősen eltérnek. A felek meghallgatásának mértéke, a meghallgatás időzítése és a felek számára a meghallgatáshoz való joguk gyakorlása érdekében rendelkezésre bocsátott dokumentumok olyan elemek, amelyekkel kapcsolatban a tagállamok eltérő megközelítést alkalmaznak. Ezek a különböző megközelítések nem mindig egyeztethetők össze az általános adatvédelmi rendelet 60. cikkében előírt eljárással, amely azon a vélelmen alapul, hogy a vizsgálat alá vont felek a vezető adatvédelmi hatóság által benyújtott döntéstervezetet megelőzően gyakorolták megfelelő eljárási jogaikat. Amikor egy ügyet vitarendezés céljából a testület elé terjesztik, eltérő lehet, hogy a feleket milyen mértékben hallgatták meg a döntéstervezetben felvetett kérdésekről és az érintett adatvédelmi hatóságok kifogásairól. Emellett nem egyértelmű, hogy a vizsgálat alá vont feleket milyen mértékben kell meghallgatni az általános adatvédelmi rendelet 65. cikke szerinti, a testület általi vitarendezés során. A meghallgatáshoz való jog biztosításának elmulasztása miatt a GDPR megsértését megállapító adatvédelmi hatóságok döntései sérülékenyebbé válhatnak a jogi megtámadással szemben.
·Együttműködés és vitarendezés: A GDPR 60. cikke általánosságban vázolja az együttműködési eljárást. Határokon átnyúló esetekben az adatvédelmi hatóságok kötelesek „releváns információkat” cserélni, hogy konszenzusra törekedjenek. Amint a vezető adatvédelmi hatóság benyújtja az ügyben a döntéstervezetet, a többi adatvédelmi hatóságnak lehetősége van „releváns és megalapozott kifogásokat” emelni. Ezek a kifogások felvetik a vitarendezés lehetőségét (ha a vezető adatvédelmi hatóság nem követi őket). Bár a GDPR 65. cikkében foglalt vitarendezési eljárás alapvető eleme a GDPR következetes értelmezése biztosításának, azt olyan kivételes esetekre kell fenntartani, amikor az adatvédelmi hatóságok közötti őszinte együttműködés nem vezetett konszenzusra. A GDPR határokon átnyúló ügyekben történő végrehajtása során szerzett tapasztalatok azt mutatják, hogy a vezető adatvédelmi hatóság által benyújtott döntéstervezetet megelőzően az adatvédelmi hatóságok között nem kielégítő az együttműködés. A vizsgálat kulcsfontosságú kérdéseivel kapcsolatos megfelelő együttműködés és konszenzus kialakításának hiánya ebben a korai szakaszban azt eredményezte, hogy számos ügyet vitarendezési eljárás alá vontak.
A határokon átnyúló együttműködési eljárás során az érintett adatvédelmi hatóságok által benyújtott releváns és megalapozott kifogások formája és felépítése eltéréseket mutat. Ezek a különbségek akadályozzák a vitarendezési eljárás hatékony lezárását és valamennyi érintett adatvédelmi hatóság bevonását az eljárásba, különösen a kisebb tagállamok adatvédelmi hatóságaiét, amelyek kevesebb erőforrással rendelkeznek, mint a nagyobb tagállamok adatvédelmi hatóságai.
·A GDPR nem ír elő határidőket az együttműködési és vitarendezési eljárás különböző szakaszaira. Tekintettel a vizsgálatok változó összetettségére és az adatvédelmi hatóságok mérlegelési jogkörére a GDPR megsértésének kivizsgálása tekintetében, nem kívánatos határidőket előírni az eljárás minden egyes szakaszára. A határidők előírása azonban adott esetben segít megelőzni az ügyek lezárásának indokolatlan késedelmét.
A javaslat célja e kérdések kezelése azáltal, hogy eljárási szabályokat határoz meg a határokon átnyúló ügyekben a vizsgálati eljárás egyes szakaszaira vonatkozóan, ezáltal támogatva a GDPR együttműködési és vitarendezési mechanizmusainak zökkenőmentes működését. A javaslat különösen az alábbi módon kezeli a fentiekben azonosított problémákat:
·A panaszok formája és a panaszosok helyzete: A javaslat előír egy formanyomtatványt, amely meghatározza a GDPR 77. cikke szerinti, határokon átnyúló adatkezeléssel kapcsolatos valamennyi panaszhoz szükséges információkat, és eljárási szabályokat határoz meg a panaszosok eljárásba való bevonására vonatkozóan, beleértve a panaszosok véleménynyilvánítási jogát is. A javaslat meghatározza a határokon átnyúló esetekben a panaszok elutasítására vonatkozó eljárási szabályokat, és az ilyen esetek vonatkozásában tisztázza a fő adatvédelmi hatóság, valamint azon adatvédelmi hatóság szerepét, amelyhez a panaszt benyújtották. Elismeri a panaszalapú ügyek egyezség útján történő rendezésének fontosságát és jogszerűségét.
·Az eljárási jogok célzott harmonizációja a határokon átnyúló ügyekben: A javaslat biztosítja a vizsgálat alá vont felek számára a meghallgatáshoz való jogot az eljárás kulcsfontosságú szakaszaiban, beleértve a testület által történő vitarendezés során, és tisztázza a közigazgatási ügyirat tartalmát, valamint a felek iratbetekintési jogát. A javaslat ezáltal megerősíti a felek védelemhez való jogát, és biztosítja e jogok következetes tiszteletben tartását, függetlenül attól, hogy melyik adatvédelmi hatóság vezeti a vizsgálatot.
·Az együttműködés és a vitarendezés egyszerűsítése: A javaslat az adatvédelmi hatóságok számára biztosítja a konszenzus eléréséhez szükséges eszközöket azáltal, hogy az adatvédelmi hatóságoknak a GDPR 60. cikkében foglalt, az együttműködésre és a „releváns információk” megosztására vonatkozó követelményét további tartalommal tölti meg. Ez a rendelet keretet teremt valamennyi adatvédelmi hatóság számára, hogy érdemben befolyásolhassák a határokon átnyúló ügyeket azáltal, hogy a vizsgálati eljárás korai szakaszában ismertetik álláspontjukat, és felhasználják a GDPR által biztosított valamennyi eszközt. Ez döntően megkönnyíti a konszenzus kialakítását, és csökkenti az olyan nézeteltérések valószínűségét az eljárás későbbi szakaszában, amelyek a vitarendezési mechanizmus igénybevételét tennék szükségessé. Amennyiben az adatvédelmi hatóságok között nézeteltérés merül fel a panaszalapú ügyekben a vizsgálat hatályának kulcsfontosságú kérdésében, a javaslat szerepet biztosít a testületnek abban, hogy a nézeteltérést egy sürgősséggel elfogadott, kötelező erejű döntés elfogadásával rendezze. A testület bevonása ebbe az egyedi kérdésbe biztosítja a vezető adatvédelmi hatóság számára a vizsgálat folytatásához szükséges egyértelműséget, és biztosítja, hogy a vizsgálat hatályával kapcsolatos nézeteltérés ne tegye szükségessé a 65. cikk szerinti vitarendezési mechanizmus alkalmazását.
A javaslat részletes követelményeket állapít meg az érintett adatvédelmi hatóságok által benyújtott releváns és megalapozott kifogások formájára és szerkezetére vonatkozóan, megkönnyítve ezáltal valamennyi adatvédelmi hatóság hatékony részvételét, valamint az ügy célzott és gyors megoldását.
·A javaslat eljárási határidőket határoz meg a vitarendezési eljárásra vonatkozóan, meghatározza a vezető adatvédelmi hatóság által az ügy vitarendezésre történő benyújtásakor szolgáltatandó információkat, és tisztázza a vitarendezésben részt vevő valamennyi szereplő (vezető adatvédelmi hatóság, érintett adatvédelmi hatóságok és a testület) szerepét. Ily módon a javaslat megkönnyíti a vitarendezési eljárás gyors lefolytatását a vizsgálat alá vont felek és az érintettek számára.
•Összhang a szabályozási terület jelenlegi rendelkezéseivel
A javaslat kiegészíti a GDPR-t azáltal, hogy eljárási szabályokat határoz meg a GDPR által meghatározott vizsgálati folyamat kulcsfontosságú szakaszaira vonatkozóan. Nem érinti az érintettek jogait, az adatkezelők és adatfeldolgozók kötelezettségeit, sem a személyes adatok kezelésének a GDPR-ban meghatározott törvényes alapjait.
A javaslat a GDPR panaszokra, együttműködésre és vitarendezésre vonatkozó alapelveire épül, és ezeket a rendelkezéseket célzott kiegészítésekkel teszi teljessé a határokon átnyúló ügyekben a végrehajtás hatékonyságának és eredményességének növelése érdekében.
•Összhang az Unió egyéb szakpolitikáival
A javaslat teljes mértékben összhangban van és összeegyeztethető a más területeken meglévő uniós politikákkal.
2.JOGALAP, SZUBSZIDIARITÁS ÉS ARÁNYOSSÁG
•Jogalap
A javaslat jogalapja az Európai Unió működéséről szóló szerződés (EUMSZ) 16. cikke.
Az EUMSZ 16. cikke felhatalmazza az Európai Parlamentet és a Tanácsot a természetes személyeknek a személyes adatok kezelése tekintetében történő védelmére és az ilyen adatok szabad áramlására vonatkozó szabályok megállapítására. A javaslat a GDPR határokon átnyúló ügyekben történő végrehajtására vonatkozik. Az ilyen végrehajtás célja az érintettek személyes adataik védelméhez való jogának biztosítása. Mint ilyen, az EUMSZ 16. cikke a megfelelő jogalap a javaslat tekintetében.
•Szubszidiaritás (nem kizárólagos hatáskör esetén)
Az EU van a legjobb helyzetben a cselekvéshez, mivel a javaslat a GDPR által létrehozott, már létező eljáráshoz kapcsolódik, amelyben több uniós tagállam adatvédelmi hatósága és az Európai Adatvédelmi Testület (egy uniós szerv) vesz részt. Ennek megfelelően a fent említett problémákat az uniós tagállamok nem tudják egyedül megoldani.
•Arányosság
Ez a javaslat megfelelő egyensúlyt biztosít a GDPR határokon átnyúló végrehajtása zökkenőmentes működésének biztosítására irányuló célkitűzés teljesítése és a között, hogy nem avatkozik be indokolatlanul a nemzeti jogrendszerekbe.
A javaslat célja a GDPR által létrehozott együttműködési és vitarendezési mechanizmus zökkenőmentes működésének biztosítása. Ennek megfelelően a javaslat csak a GDPR szerinti, határokon átnyúló ügyekre vonatkozik. Az ilyen ügyek több uniós tagállam adatvédelmi hatóságait és a testületet érintik.
A vizsgálat alá vont felek meghallgatásának mértékét és a panaszosok közigazgatási eljárásba való bevonását jelenleg a nemzeti eljárási szabályok szabályozzák. Ezek az elemek befolyásolják a vizsgálat lefolytatásának módját annak elejétől a végéig. A meghallgatáshoz való jog és a panaszosok bevonásának célzott harmonizálása az eljárás kulcsfontosságú szakaszaiban, és csak a határokon átnyúló ügyekben, elengedhetetlen a javaslat céljának – a határokon átnyúló végrehajtás egyszerűsítésének – elérése érdekében, és nem lépi túl az adott körülmények között szükséges mértéket. Lényeges, hogy a vizsgálat alá vont felek meghallgatáshoz való joga már most is vonatkozik az adatvédelmi hatóságok által a GDPR alapján végzett vizsgálatokra, mivel a meghallgatáshoz való jog a védelemhez való jog és a megfelelő ügyintézéshez való jog alapvető eleme, ahogyan azt a Charta garantálja. Hasonlóképpen, a panaszost a GDPR 77. cikkének (2) bekezdése alapján tájékoztatni kell a panasza ügyének előrehaladásáról. A javaslat elsősorban ezen eljárási lépések módozatait harmonizálja és foglalja keretbe.
•A jogi aktus típusának megválasztása
A javaslat céljaira egy rendelet a megfelelő eszköz. A javaslat kiegészíti egy meglévő rendeletben, a GDPR-ban meghatározott eljárást. Célja, hogy az adatvédelmi hatóságok eltérő eljárási megközelítései problémáját az adatvédelmi hatóságok által a GDPR végrehajtása során alkalmazott közigazgatási eljárás bizonyos szempontjainak harmonizálásával kezelje. Ennek megfelelően egy (a tagállamokban közvetlenül alkalmazandó) rendeletre van szükség a jogi széttagoltság csökkentése és a GDPR által létrehozott együttműködési és az egységes alkalmazást célzó mechanizmusok zökkenőmentes működéséhez szükséges mértékű harmonizáció biztosítása, valamint a panaszosok, a vizsgálat alá vont felek és az adatvédelmi hatóságok jogbiztonságának megteremtése érdekében. Egy olyan irányelv, amely a tagállamok számára mérlegelési jogkört biztosít a kívánt eredmények elérésének módját illetően, nem biztosítaná a javaslat célkitűzéseinek eléréséhez szükséges mértékű harmonizációt.
3.AZ UTÓLAGOS ÉRTÉKELÉSEK, AZ ÉRDEKELT FELEKKEL FOLYTATOTT KONZULTÁCIÓK ÉS A HATÁSVIZSGÁLATOK EREDMÉNYEI
•A jelenleg hatályban lévő jogszabályok utólagos értékelése/célravezetőségi vizsgálata
A GDPR alkalmazásának két évét követő jelentésében a Bizottság megállapította, hogy további előrelépésre van szükség a határokon átnyúló ügyek kezelésének hatékonyabbá és EU-szerte harmonizáltabbá tétele érdekében. A jelentést kísérő szolgálati munkadokumentumban a Bizottság megállapította, hogy a következő területeken kell kezelni a különbségeket:
·nemzeti közigazgatási eljárások, különös tekintettel az alábbiakra: panaszkezelési eljárások, a panaszok elfogadhatósági feltételei, az eljárások időtartama a különböző időkeretek vagy a határidők hiánya miatt, az a pont az eljárásban, amikor megadják a meghallgatáshoz való jogot, a panaszosok tájékoztatása és bevonása az eljárás során;
·az együttműködési mechanizmussal kapcsolatos fogalmak értelmezése; valamint
·az együttműködési eljárás megindításának időpontjára vonatkozó megközelítés, az érintett adatvédelmi hatóságok bevonása és tájékoztatásuk.
Az Európai Parlament a Bizottság GDPR-ról szóló 2020-as jelentéséről szóló állásfoglalásában annak értékelésére sürgette a Bizottságot, hogy a nemzeti közigazgatási eljárások akadályozzák-e a GDPR 60. cikke szerinti együttműködés teljes körű hatékonyságát, valamint annak hatékony végrehajtását. Az Európai Parlament felszólította a testületet, hogy a GDPR 60. cikke alapján létrehozott együttműködés keretében állapítsa meg a határokon átnyúló ügyekben felmerülő panaszok kezelésére szolgáló közös közigazgatási eljárás alapvető elemeit. A testület 2020-ban vitát indított a határon átnyúló ügyekben az adatvédelmi hatóságok közötti együttműködés javításáról. Ezt követően a testület 2022 októberében továbbította a Bizottságnak az adatvédelmi hatóságok közötti együttműködés uniós szinten harmonizálható eljárási szempontjainak listáját.
A GDPR alkalmazásának két évét követő jelentésében a Bizottság megjegyezte, hogy még nem volt példa vitarendezésre a testület szintjén. A jelentés 2020-as közzététele óta a testület nyolc kötelező erejű döntést fogadott el a GDPR 65. cikke (1) bekezdésének a) pontja alapján. A Bizottságnak a testületben való részvétele lehetővé tette, hogy levonja a vitarendezési mechanizmus működésével kapcsolatos tanulságokat. A Bizottság értékelése szerint különösen a vizsgálat gyorsasága lenne javítható, és a vitarendezés lenne elkerülhető az adatvédelmi hatóságok közötti együttműködés fokozásával, mielőtt a vezető adatvédelmi hatóság benyújtja a döntéstervezetet.
•Az érdekelt felekkel folytatott konzultációk
A javaslat előkészítése az érdekeltek széles körének hozzájárulásán alapul. Az érdekeltek körében széles körű egyetértés mutatkozott abban, hogy többet lehetne tenni a GDPR határokon átnyúló végrehajtásának hatékonysága érdekében.
A Bizottság különösen a következő csatornákon kapott hozzájárulást a javaslathoz:
·A testület: A testület az adatvédelmi hatóságokból, a GDPR végrehajtóiból áll. Feladata többek között a GDPR szerinti, határokon átnyúló ügyekben felmerülő viták rendezése. A Bizottság ezért az előkészítő folyamat minden szakaszában kellően figyelembe vette a testület hozzájárulását. A javaslat elsősorban a testület által a Bizottságnak 2022 októberében továbbított, a határokon átnyúló végrehajtási eljárás uniós szinten harmonizálható szempontjait meghatározó kérdéslistára reagál. A javaslat a testület által a listán megjelölt kérdések többségével foglalkozik. Bizonyos esetekben a Bizottság úgy döntött, hogy nem foglalkozik a testület által azonosított kérdésekkel, különösen akkor, ha a Bizottság úgy vélte, hogy a kérdést a GDPR már megfelelően kezeli, vagy ha az ügyet a vezető adatvédelmi hatóság mérlegelési jogkörében kell hagyni, vagy azt a nemzeti jog körében kell eldönteni. A javaslat emellett a testület által felsoroltakon túlmenően is foglalkozik bizonyos kérdésekkel, amennyiben a Bizottság ezt szükségesnek tartotta a határokon átnyúló végrehajtás zökkenőmentes működésének és a tisztességes eljáráshoz való jog tiszteletben tartásának biztosítása érdekében. A Bizottság célzott konzultációt folytatott a javaslat egyes aspektusairól a testület határokon átnyúló együttműködéssel és végrehajtással foglalkozó alcsoportjaival a 2023. március 21-i és 2023. április 24-i ülésen, hogy felhasználja az adatvédelmi hatóságok mindennapi munkájuk során ezekkel a kérdésekkel foglalkozó szakértőinek szakértelmét. A testület teljes mértékben támogatta, hogy a Bizottság lépéseket tegyen ezen a területen, és a 2023. márciusi és áprilisi ülésen értékes hozzájárulást nyújtott a Bizottságnak.
·A GDPR több érdekelt felet tömörítő szakértői csoportja: Ezt a szakértői csoportot azért hozták létre, hogy segítse a Bizottságot a GDPR alkalmazásában. A csoport a civil társadalom, az üzleti élet, a tudományos élet és jogászok képviselőiből áll. A csoportban széles körű támogatást kapott, hogy a Bizottság jogalkotási javaslat révén tegyen lépéseket ezen a területen. A 2022. október 19-én tartott ülésen a testület 2022. októberi listájáról folytattak első megbeszélést, a 2023. április 21-i második ülésen pedig a Bizottság a javaslat konkrét szempontjairól folytatott konzultációt. Tekintettel a csoportban képviselt sokféle érdekelt félre, az érdekelt felek között a javaslat egyes szempontjairól eltérőek voltak a vélemények. Valamennyi érdekelt fél támogatta, hogy a javaslat jogi keretet biztosítson a jogviták egyezség útján történő rendezéséhez. A nem kormányzati szervezetek üdvözölték a Bizottság azon szándékát, hogy harmonizálja a panaszok formáját, és támogatták a panaszos bevonását az eljárásba, megjegyezve, hogy a panaszok kezelése a tagállamokban igen eltérő. Az adatkezelőket és adatfeldolgozókat képviselő ágazati csoportok hangsúlyozták, hogy a vizsgálat alá vont feleknek biztosítani kell a meghallgatáshoz való jogot, és ösztönözni kell az adatvédelmi hatóságok közötti nézeteltérések rendezését a vizsgálati eljárás korai szakaszában.
·A tagállamok GDPR szakértői csoportja: Ez a szakértői csoport a Bizottság és a tagállamok közötti, a GDPR alkalmazásával kapcsolatos vélemény- és információcsere fórumaként szolgál. A Bizottság a szövegezési folyamat megkezdése előtt kikérte a tagállamok véleményét a testület 2022. októberi listájáról. A tagállamok széles körben támogatták és üdvözölték a GDPR határokon átnyúló érvényesítésének fokozására irányuló jogalkotási kezdeményezésre irányuló javaslat ötletét. Egyes, valamennyi közigazgatási eljárásra alkalmazandó horizontális eljárási szabályokkal rendelkező tagállamok azonban rámutattak az e szabályokkal való lehetséges ütközésre, különösen a felek meghallgatáshoz való jogának és a panaszosok eljárásba való bevonásának harmonizációja tekintetében. Ennek megfelelően a Bizottság a javaslatban e szempontok harmonizációját gondosan a határokon átnyúló ügyekre és az együttműködési és vitarendezési mechanizmus zavartalan működésének biztosításához szükséges mértékre korlátozta. A Bizottság 2023. április 19-én külön ülést tartott a tagállamok GDPR szakértői csoportjával.
A Bizottság kérésre kétoldalú megbeszéléseket is tartott a javaslatról nem kormányzati szervezetekkel, nemzeti hatóságokkal és az ágazatot képviselő szervezetekkel.
A Bizottság 2023. február 24. és március 24. között véleményezési felhívást tett közzé, amelyre 73 válasz érkezett. A Bizottság az érdekeltek széles körétől kapott visszajelzést, többek között nem kormányzati szervezetektől és ágazati szervezetektől.
A Bizottság a javaslat előkészítése során kellően figyelembe vette az összes érdekelt fél visszajelzéseit.
•Szakértői vélemények beszerzése és felhasználása
A javaslat figyelembe veszi az előkészítő folyamat során az érdekelt felektől kapott számos hozzájárulást, különösen a testület, a GDPR több érdekelt felet tömörítő szakértői csoportja és a tagállamok GDPR szakértői csoportja által biztosított szakértelmet.
A javaslat az Európai Unió Bíróságának (EUB) ítélkezési gyakorlatára is támaszkodik, különösen a GDPR-ban szereplő együttműködési és az egységes alkalmazást célzó mechanizmus működésével kapcsolatos ítélkezési gyakorlatra, valamint a meghallgatáshoz való joggal és a Charta 41. cikkében foglalt, a megfelelő ügyintézéshez való joggal kapcsolatos ítélkezési gyakorlatra.
•Hatásvizsgálat
A javaslatra nézve nem folytattak le hatásvizsgálatot. A javaslat nem érinti az érintettek jogait, az adatkezelők és adatfeldolgozók kötelezettségeit, sem a személyes adatok kezelésének a GDPR-ban meghatározott törvényes alapjait.
A javaslat célzottan kiegészíti a GDPR-t azáltal, hogy meghatározza a GDPR VII. fejezetében létrehozott, határokon átnyúló végrehajtási eljárás eljárási szabályait. Ily módon a javaslat a GDPR által létrehozott eljárási kereten belül működik.
Így a javaslat hatása a GDPR által meghatározott, határokon átnyúló végrehajtási eljárás működésének javítására korlátozódik. A javaslat nem változtatja meg az eljárás szereplőinek – a panaszosok, a vezető adatvédelmi hatóság, az érintett adatvédelmi hatóságok és a testület – szerepét, amelyet a GDPR határoz meg. Ezért a javaslat nem fog jelentős gazdasági, környezeti vagy társadalmi hatásokkal járni, és nem von maga után jelentős kiadásokat.
Ezen eljárási szempontok harmonizációja pozitív hatással lesz az adatvédelmi hatóságok, a panaszosok, a vizsgálat alá vont felek és a GDPR-ba vetett közbizalom szempontjából:
·Adatvédelmi hatóságok – a kezdeményezés támogatni fogja az együttműködési eljárást, és egyértelművé teszi a határokon átnyúló ügyekben való együttműködés szabályait és határidőit. Ez lehetővé teszi az adatvédelmi hatóságok számára, hogy hatékonyabban használják fel erőforrásaikat. Ezen túlmenően, azáltal, hogy az adatvédelmi hatóságok számára eszközöket biztosít a határokon átnyúló ügyekben való együttműködésük fokozásához, a kezdeményezés megkönnyíti az adatvédelmi hatóságok közötti konszenzus kialakítását, csökkentve a nézeteltérések számát és előmozdítva az együttműködés szellemét.
·Panaszosok és érintettek – a GDPR végrehajtása során az adatvédelmi hatóságok közötti együttműködés egyszerűsítése támogatni fogja a vizsgálatok időben történő befejezését. Ez elősegíti a GDPR megsértésének hatékonyabb kezelését és az érintett számára gyors jogorvoslatot biztosít. Emellett a panaszosoknak a határokon átnyúló ügyekben ugyanolyan lehetőségük lesz arra, hogy részt vegyenek az eljárásban, függetlenül attól, hogy hol nyújtják be a panaszt, vagy melyik adatvédelmi hatóság a vezető adatvédelmi hatóság.
·A vizsgálat alá vont felek – a határokon átnyúló ügyekben folytatott együttműködés javítása hozzájárul a nyomozás lerövidítéséhez és a szükséges garanciák biztosításához, mint például a meghallgatáshoz és az iratbetekintéshez való jog, ezáltal biztosítva a vizsgálat alatt álló felek megfelelő ügyintézéshez való jogának (a Charta 41. cikke) és a védelemhez való jogának (a Charta 48. cikke) védelmét. E jogok harmonizációja a végleges döntést is megalapozottabbá teszi.
·A GDPR-ba vetett közbizalom – a kezdeményezés erősíteni fogja a közvélemény bizalmát a GDPR iránt azáltal, hogy megkönnyíti a vizsgálatok gyorsabb lezárását és csökkenti az adatvédelmi hatóságok közötti nézeteltérések számát a határokon átnyúló ügyekben.
•Célravezető szabályozás és egyszerűsítés
•Alapjogok
A határokon átnyúló ügyek gyors megoldásának megkönnyítésével a javaslat támogatja az érintetteknek a Charta 8. cikke szerinti személyes adataik védelméhez való jogát és a Charta 47. cikke szerinti hatékony jogorvoslathoz való jogát.
A vizsgálat alá vont felek meghallgatáshoz és az ügyiratba való betekintéshez való jogának harmonizálásával a javaslat biztosítja a felek megfelelő ügyintézéshez való jogának tiszteletben tartását a Charta 41. cikke és a védelemhez való jogának tiszteletben tartását a Charta 48. cikke alapján.
4.KÖLTSÉGVETÉSI VONZATOK
Ennek a javaslatnak nem lesz jelentős költségvetési vonzata.
5.EGYÉB ELEMEK
•Végrehajtási tervek, valamint az ellenőrzés, az értékelés és a jelentéstétel szabályai
A Bizottság a rendelet alkalmazását a GDPR alkalmazásának folyamatos ellenőrzésével együtt fogja nyomon követni.
•Magyarázó dokumentumok (irányelvek esetén)
•A javaslat egyes rendelkezéseinek részletes magyarázata
Az I. fejezet meghatározza a rendelet tárgyát és rögzíti az eszköz egészében használt fogalommeghatározásokat. A javaslatra a GDPR-ban használt fogalommeghatározásokat kell alkalmazni. A javaslat kizárólag a GDPR határokon átnyúló végrehajtásával foglalkozik.
A II. fejezet részletes szabályokat tartalmaz a panaszok benyújtására és kezelésére vonatkozóan. Előír egy formanyomtatványt, amely meghatározza a GDPR 77. cikke alapján benyújtott, határokon átnyúló panaszokhoz szükséges információkat, és meghatározza azokat a tényezőket, amelyeket az adatvédelmi hatóságoknak figyelembe kell venniük, amikor mérlegelik, hogy a panasz kivizsgálása milyen mértékben indokolt. Az összes határokon átnyúló panaszra vonatkozó közös formanyomtatvány előírása egyszerűsíti a panaszeljárást az érintettek számára, és megszünteti a panasz fogalmának széttagolt megközelítését. A 3. cikk előírja az adatvédelmi hatóságok számára, hogy a panaszosnak küldjenek visszaigazolást a panaszról. Az 5. cikk jogi keretet biztosít a panaszok egyezség útján történő rendezéséhez, hogy megkönnyítse az egyezség útján történő rendezés alkalmazását az adatvédelmi hatóságok számára, és tisztázza az egyezség útján történő rendezés jogi következményeit a panaszosok és az adatvédelmi hatóságok számára. A 6. cikk részletes szabályokat tartalmaz a dokumentumok fordítására vonatkozóan a határokon átnyúló együttműködés során.
A III. fejezet a felügyeleti hatóságok közötti, határokon átnyúló ügyekben történő együttműködéssel foglalkozik.
Az 1. szakasz további eszközöket biztosít az adatvédelmi hatóságok számára a határokon átnyúló ügyekben való konszenzus eléréséhez. Meghatározza, hogy a határokon átnyúló együttműködés során a felügyeleti hatóságok által megosztandó „releváns információk” között bizonyos dokumentumoknak szerepelniük kell, és hogy ezeket a dokumentumokat az adatvédelmi hatóságnak a lehető leghamarabb meg kell osztania. Ez a rendelkezés biztosítja, hogy az érintett adatvédelmi hatóságok minden szükséges információval rendelkezzenek ahhoz, hogy a vizsgálatról a vizsgálatot vezető adatvédelmi hatóságnak véleményt nyilváníthassanak.
A 9. cikk előírja, hogy amint a vizsgálatot vezető adatvédelmi hatóság előzetes véleményt alakított ki a vizsgálatról, „a legfontosabb kérdések összefoglalóját” elküldi az érintett adatvédelmi hatóságoknak, amelyben meghatározza a főbb ténymegállapításokat és a vizsgálatot vezető adatvédelmi hatóságnak az üggyel kapcsolatos álláspontját. A kulcsfontosságú kérdések összefoglalójának célja, hogy az érintett adatvédelmi hatóságok már korai szakaszban érdemben befolyásolhassák a vizsgálat menetét azáltal, hogy a vezető adatvédelmi hatóság értékelésével kapcsolatban kifejtik a véleményüket. Ez segíteni fogja az adatvédelmi hatóságokat abban, hogy már a korai szakaszban rendezzék például a jogi értékeléssel vagy – panaszalapú ügyekben – a vizsgálat terjedelmével kapcsolatos nézeteltéréseket, csökkentve ezzel az eljárás későbbi szakaszában a vitarendezés valószínűségét. Amennyiben ebben a szakaszban nem születik megállapodás a panaszalapú ügyekben a vizsgálat hatályát, illetve a vezető adatvédelmi hatóság által végzett összetett jogi vagy technológiai értékelést illetően, a 10. cikk előírja, hogy a vezető adatvédelmi hatósággal egyet nem értő adatvédelmi hatóságnak az általános adatvédelmi rendelet 61. cikke (kölcsönös segítségnyújtás) vagy 62. cikke (közös műveletek) alapján kérelmet kell benyújtania a vezető adatvédelmi hatósághoz. Ez a rendelkezés biztosítja, hogy az adatvédelmi hatóságok a GDPR által biztosított valamennyi eszközt felhasználják az együttműködési eljárás során a kulcsfontosságú kérdésekkel kapcsolatos nézeteltérések rendezésére. Amennyiben az adatvédelmi hatóságok panaszalapú ügyekben nem tudnak megállapodásra jutni a vizsgálat terjedelméről, a 10. cikk előírja, hogy a vezető adatvédelmi hatóság a GDPR 66. cikkének (3) bekezdése alapján sürgősségi eljárás keretében elfogadott kötelező erejű döntést kér a testülettől. Ebben az esetben vélelmezni kell, hogy a sürgős intézkedési igény teljesül. Ez a rendelkezés biztosítja, hogy a hatályra vonatkozó nézeteltérés gyorsan és hatékonyan megoldódjon, és a vizsgálat folytatásához szükséges egyértelműséget biztosítsa a vezető adatvédelmi hatóság számára.
A III. fejezet 2. szakasza részletes szabályokat tartalmaz a panaszok teljes vagy részleges elutasítására vonatkozóan. Ezek a rendelkezések biztosítják, hogy a panasz címzettjeként szereplő adatvédelmi hatóság rendelkezzen a panaszt elutasító döntés elfogadásához szükséges információkkal, és hogy a panaszt elutasító döntést minden olyan esetben elfogadják, amikor a panasz alapján nem folytatnak eljárást vagy a panaszt visszavonják. A panaszosnak is lehetőséget biztosítanak arra, hogy a panasz teljes vagy részleges elutasítása előtt ismertesse álláspontját.
A III. fejezet 3. szakasza harmonizálja a vizsgálat alá vont felek meghallgatáshoz való jogát. Előírja, hogy a vezető adatvédelmi hatóságnak be kell nyújtania a vizsgálat alá vont feleknek az előzetes megállapításait, amelyek tartalmazzák a felhozott kifogásokat, a vonatkozó tényeket, az alátámasztó bizonyítékokat, a jogi elemzést és adott esetben a javasolt korrekciós intézkedéseket. Az előzetes megállapítások lehetővé teszik a vizsgálat alá vont felek számára, hogy teljes mértékben megértsék a felhozott állításokat, és válaszoljanak az állításokra, biztosítva a védelemhez való joguk tiszteletben tartását. A 15. cikk előírja, hogy a panaszosok kapjanak lehetőséget arra, hogy az előzetes megállapításokkal kapcsolatban írásban nyújtsák be észrevételeiket. A 17. cikk előírja, hogy a vizsgálat alá vont feleknek lehetőséget kell biztosítani arra, hogy kifejtsék álláspontjukat, amennyiben a vezető adatvédelmi hatóság az érintett adatvédelmi hatóságok által megfogalmazott releváns és megalapozott kifogások fényében módosított döntéstervezetet kíván benyújtani.
A III. fejezet 4. szakasza részletes követelményeket állapít meg az érintett adatvédelmi hatóságok által benyújtott releváns és megalapozott kifogások formájára és szerkezetére vonatkozóan, megkönnyítve ezáltal valamennyi adatvédelmi hatóság hatékony részvételét, valamint az ügy gyors megoldását.
A IV. fejezet részletes szabályokat állapít meg az ügyirathoz való hozzáférésre és a bizalmas információk kezelésére vonatkozóan. Ezek a rendelkezések egyértelművé teszik, hogy a határokon átnyúló ügyekben mely dokumentumoknak kell a közigazgatási ügyirat részét képezniük, és hogy a vizsgálat alá vont felek mikor kapnak hozzáférést az ügyirathoz.
Az V. fejezet a GDPR 65. cikkében szabályozott vitarendezési eljárás eljárási szabályait határozza meg. A 22. cikk meghatározza a vezető adatvédelmi hatóság által a testületnek az ügy vitarendezési eljárás alá vonásakor nyújtandó információkat. Meghatározza a határidőket és a releváns és megalapozott kifogások testület általi elfogadhatóságának meghatározására vonatkozó szabályokat. A 24. cikk rendelkezik a vizsgálat alá vont felek, illetve – a panasz elutasítása esetén – a panaszos meghallgatásáról a testületnek a GDPR 65. cikke (1) bekezdésének a) pontja szerinti kötelező erejű döntése előtt. Ezek a rendelkezések azáltal, hogy tisztázzák az összes szereplő szerepét, és határidőket írnak elő bizonyos eljárási lépésekhez, elősegítik a vitarendezési eljárás gyors és hatékony lezárását.
A 25. és 26. cikk részletes szabályokat állapít meg az ügyek vitarendezéshez történő benyújtására vonatkozóan a GDPR 65. cikke (1) bekezdésének b) és c) pontja szerint.
A VI. fejezet a GDPR 66. cikkében foglalt sürgősségi eljárásra vonatkozó részletes eljárási szabályokat állapítja meg.
A VII. fejezet tartalmazza a rendelet záró rendelkezéseit, amelyek a határidőkre, az átmeneti rendelkezésekre és a rendelet hatálybalépésére vonatkoznak.
2023/0202 (COD)
Javaslat
AZ EURÓPAI PARLAMENT ÉS A TANÁCS RENDELETE
az (EU) 2016/679 rendelet végrehajtásával kapcsolatos további eljárási szabályok megállapításáról
AZ EURÓPAI PARLAMENT ÉS AZ EURÓPAI UNIÓ TANÁCSA,
tekintettel az Európai Unió működéséről szóló szerződésre és különösen annak 16. cikkére,
tekintettel az Európai Bizottság javaslatára,
a jogalkotási aktus tervezete nemzeti parlamenteknek való megküldését követően,
tekintettel az Európai Gazdasági és Szociális Bizottság véleményére,
tekintettel a Régiók Bizottságának véleményére,
rendes jogalkotási eljárás keretében,
mivel:
(1)Az (EU) 2016/679 európai parlamenti és tanácsi rendelet decentralizált végrehajtási rendszert hoz létre, amelynek célja az (EU) 2016/679 rendelet következetes értelmezésének és alkalmazásának biztosítása a határokon átnyúló esetekben. A személyes adatok határokon átnyúló kezelését érintő ügyekben ez a rendszer megköveteli a felügyeleti hatóságok közötti együttműködést a konszenzusra való törekvés érdekében, és rendelkezik az Európai Adatvédelmi Testület (a továbbiakban: testület) általi vitarendezésről amennyiben a felügyeleti hatóságok nem tudnak konszenzusra jutni.
(2)Az (EU) 2016/679 rendelet 60. és 65. cikkében előírt együttműködési és vitarendezési mechanizmus zökkenőmentes és hatékony működésének biztosítása érdekében meg kell határozni a felügyeleti hatóságok által a határokon átnyúló ügyekben, illetve a testület által a vitarendezés során folytatott eljárások lefolytatására vonatkozó szabályokat, beleértve a határokon átnyúló panaszok kezelését is. Emiatt szabályokat kell megállapítani a vizsgálat alá vont felek meghallgatáshoz való jogának a felügyeleti hatóságok és adott esetben a testület által hozott döntések elfogadása előtti gyakorlására vonatkozóan is.
(3)Az adatvédelmi szabályok megsértésének felderítéséhez a panaszok alapvető információforrásul szolgálnak. A határokon átnyúló ügyekben a panaszok kezelésére egyértelmű és hatékony eljárásokat kell meghatározni, mivel a panasszal más felügyeleti hatóság is foglalkozhat, mint amelyikhez a panaszt benyújtották.
(4)Ahhoz, hogy a panasz elfogadható legyen, bizonyos meghatározott információkat kell tartalmaznia. Ezért annak érdekében, hogy a panaszosokat segítsék a szükséges tények benyújtásában a felügyeleti hatóságokhoz, egy panasznyomtatványt kell biztosítani. A formanyomtatványban meghatározott információkat csak az (EU) 2016/679 rendelet értelmében vett határokon átnyúló adatkezelés esetén kell benyújtani, de a formanyomtatványt a felügyeleti hatóságok olyan esetekben is használhatják, amelyek nem határokon átnyúló adatkezeléssel kapcsolatosak. A formanyomtatványt elektronikusan vagy postai úton lehet benyújtani. A formanyomtatványban felsorolt információk benyújtása feltétele annak, hogy a határokon átnyúló adatkezeléssel kapcsolatos panaszt az (EU) 2016/679 rendelet 77. cikke szerinti panaszként kezeljék. A panasz befogadhatóvá minősítéséhez nem kérhető további információ. A felügyeleti hatóságok számára lehetővé kell tenni, hogy megkönnyítsék a panaszok felhasználóbarát elektronikus formában történő benyújtását és a fogyatékkal élők igényeinek figyelembe vételét, amennyiben a panaszos által benyújtandó információk megfelelnek azoknak az információknak, amelyeket a formanyomtatványon fel kell tüntetni, és a panasz befogadhatóságának megállapításához nincs szükség további információkra.
(5)A felügyeleti hatóságok kötelesek észszerű határidőn belül dönteni a panaszokról. Az, hogy mi számít észszerű határidőnek, az egyes ügyek körülményeitől és különösen annak kontextusától, a fő felügyeleti hatóság által követett különböző eljárási lépésektől, a feleknek az eljárás során tanúsított magatartásától, valamint az ügy összetettségétől függ.
(6)A felügyeleti hatóság által az (EU) 2016/679 rendelet 57. cikke (1) bekezdésének f) pontja alapján kezelt minden egyes panaszt a megfelelő mértékben, a kellő gondossággal kell kivizsgálni, szem előtt tartva, hogy a felügyeleti hatóság hatásköre minden egyes alkalmazásának megfelelőnek, szükségesnek és arányosnak kell lennie az (EU) 2016/679 rendeletnek való megfelelés biztosítása szempontjából. Az egyes illetékes hatóságok mérlegelési jogkörébe tartozik annak eldöntése, hogy milyen mértékben kell kivizsgálni egy panaszt. A vizsgálat megfelelő mértékének értékelése során a felügyeleti hatóságoknak arra kell törekedniük, hogy a panaszos számára kielégítő megoldást találjanak, ami nem feltétlenül igényli a panaszból eredő valamennyi lehetséges jogi és ténybeli elem kimerítő kivizsgálását, de hatékony és gyors jogorvoslatot biztosít a panaszos számára. A szükséges vizsgálati intézkedések terjedelmének megítélése során figyelembe lehet venni az állítólagos jogsértés súlyosságát, annak rendszerszintű vagy ismétlődő jellegét, illetve adott esetben azt a tényt, hogy a panaszos az (EU) 2016/679 rendelet 79. cikke szerinti jogaival is élt.
(7)A fő felügyeleti hatóságnak a panaszos tájékoztatása céljából meg kell adnia a szükséges információkat a vizsgálat előrehaladásáról annak a felügyeleti hatóságnak, amelyhez a panaszt benyújtották.
(8)Az illetékes felügyeleti hatóságnak hozzáférést kell biztosítania a panaszos számára azokhoz a dokumentumokhoz, amelyek alapján a felügyeleti hatóság a panasz teljes vagy részleges elutasítására vonatkozó előzetes következtetésre jutott.
(9)Annak érdekében, hogy a felügyeleti hatóságok gyorsan véget vessenek az (EU) 2016/679 rendelet megsértésének, és gyors megoldást találjanak a panaszosok számára, a felügyeleti hatóságoknak adott esetben törekedniük kell a panaszok egyezség útján történő rendezésére. Az a tény, hogy egy egyéni panasz egyezség útján történő rendezéssel megoldódott, nem akadályozza meg az illetékes felügyeleti hatóságot abban, hogy hivatalból eljárást indítson, például az (EU) 2016/679 rendelet rendszerszintű vagy ismétlődő megsértése esetén.
(10)Az (EU) 2016/679 rendelet VII. fejezetében foglalt együttműködési és az egységes alkalmazást célzó mechanizmusok hatékony működésének biztosítása érdekében fontos, hogy a határokon átnyúló ügyeket időben és az (EU) 2016/679 rendelet 60. cikke alapjául szolgáló őszinte és hatékony együttműködés szellemének megfelelően oldják meg. A fő felügyeleti hatóságnak a többi érintett felügyeleti hatósággal való szoros együttműködés keretében kell gyakorolnia a hatáskörét. Hasonlóképpen, az érintett felügyeleti hatóságoknak már a korai szakaszban aktívan részt kell venniük a vizsgálatban, hogy konszenzusra törekedjenek, teljes mértékben kihasználva az (EU) 2016/679 rendelet által biztosított eszközöket.
(11)Különösen fontos, hogy a felügyeleti hatóságok a lehető leghamarabb, még azelőtt konszenzusra jussanak a vizsgálat kulcsfontosságú szempontjairól, hogy a vádakat közölnék a vizsgálat alá vont felekkel, és elfogadnák az (EU) 2016/679 rendelet 60. cikkében említett döntéstervezetet, ezáltal csökkentve az (EU) 2016/679 rendelet 65. cikkében említett vitarendezési mechanizmus elé kerülő ügyek számát, és végső soron biztosítva a határokon átnyúló ügyek gyors megoldását.
(12)A felügyeleti hatóságok közötti együttműködésnek nyílt párbeszédre kell épülnie, amely lehetővé teszi az érintett felügyeleti hatóságok számára, hogy a fő felügyeleti hatósággal való tapasztalat- és véleménycserével érdemben befolyásolják a vizsgálat menetét, kellő tekintettel az egyes felügyeleti hatóságokat megillető mérlegelési jogkörre – többek között annak megítélésében, hogy milyen mértékben indokolt egy ügyet kivizsgálni –, valamint a tagállamok eltérő hagyományaira. Ebből a célból a fő felügyeleti hatóságnak az érintett felügyeleti hatóságokat el kell látnia a kulcsfontosságú kérdések összefoglalójával, amely tartalmazza a vizsgálat fő kérdéseivel kapcsolatos előzetes véleményét. Ezt kellően korai szakaszban kell biztosítani ahhoz, hogy az érintett felügyeleti hatóságokat hatékonyan be lehessen vonni, ugyanakkor olyan szakaszban, amikor a fő felügyeleti hatóságnak az ügyről alkotott nézetei már kellően kiforrottak. Az érintett felügyeleti hatóságoknak lehetőséget kell biztosítani arra, hogy a kérdések széles körével – például a vizsgálat hatályával és az összetett ténybeli és jogi értékelések meghatározásával – kapcsolatos észrevételeiket megtegyék. Mivel a vizsgálat hatóköre határozza meg azokat a kérdéseket, amelyeket a fő felügyeleti hatóságnak ki kell vizsgálnia, a felügyeleti hatóságoknak törekedniük kell arra, hogy a lehető legkorábban konszenzusra jussanak a vizsgálat hatókörét illetően.
(13)Az összes érintett felügyeleti hatóság és a fő felügyeleti hatóság közötti hatékony és átfogó együttműködés érdekében az érintett felügyeleti hatóságok észrevételeinek tömörnek kell lenniük, és azokat kellően világosan és pontosan kell megfogalmazni annak érdekében, hogy valamennyi felügyeleti hatóság számára könnyen érthetőek legyenek. A jogi érveket a fő kérdéseket tartalmazó összefoglaló azon részére való hivatkozással kell csoportosítani, amelyre vonatkoznak. Az érintett felügyeleti hatóságok észrevételei további dokumentumokkal egészíthetők ki. Az érintett felügyeleti hatóság észrevételeiben a kiegészítő dokumentumokra való puszta hivatkozás azonban nem pótolhatja a lényegi jogi vagy ténybeli érvek hiányát, amelyeknek az észrevételekben szerepelniük kellene. Az ilyen dokumentumokban hivatkozott alapvető jogi és ténybeli adatokat legalább összefoglaló formában, koherensen és érthetően kell feltüntetni magában az észrevételben.
(14)A nem vitás kérdéseket felvető ügyek nem igényelnek kiterjedt megbeszéléseket a felügyeleti hatóságok között a konszenzus elérése érdekében, és ezért gyorsabban elintézhetők. Ha az érintett felügyeleti hatóságok egyike sem tesz észrevételt a kulcsfontosságú kérdések összefoglalójával kapcsolatban, a fő felügyeleti hatóságnak kilenc hónapon belül közölnie kell a 14. cikkben előírt előzetes megállapításokat.
(15)A felügyeleti hatóságoknak az őszinte és hatékony együttműködés szellemében minden szükséges eszközt igénybe kell venniük a konszenzus eléréséhez. Ezért, ha az érintett felügyeleti hatóságok és a fő felügyeleti hatóság között véleménykülönbség áll fenn a panaszalapú vizsgálat hatókörét illetően, beleértve az (EU) 2016/679 rendelet azon rendelkezéseit, amelyek megsértését vizsgálni fogják, vagy ha az érintett felügyeleti hatóságok észrevételei a komplex jogi vagy technológiai értékelésben bekövetkezett fontos változásra vonatkoznak, az érintett hatóságnak az (EU) 2016/679 rendelet 61. és 62. cikkében előírt eszközöket kell alkalmaznia.
(16)Ha ezen eszközök alkalmazása nem teszi lehetővé, hogy a felügyeleti hatóságok konszenzusra jussanak a panaszalapú vizsgálat hatókörét illetően, a fő felügyeleti hatóságnak az (EU) 2016/679 rendelet 66. cikkének (3) bekezdése alapján sürgősségi eljárás keretében elfogadott kötelező erejű döntést kell kérnie a testülettől. E célból a sürgősség követelményét vélelmezni kell. A fő felügyeleti hatóságnak a testület sürgősségi eljárás keretében elfogadott kötelező erejű döntéséből le kell vonnia a megfelelő következtetéseket az előzetes megállapítások céljából. A testület sürgősségi eljárás keretében elfogadott kötelező erejű döntése nem előlegezheti meg a fő felügyeleti hatóság vizsgálatának eredményét vagy a vizsgálat alá vont felek meghallgatáshoz való jogának hatékonyságát. A testület különösen nem terjesztheti ki saját kezdeményezésére a vizsgálat hatókörét.
(17)Annak érdekében, hogy a panaszos élhessen az (EU) 2016/679 rendelet 78. cikke szerinti hatékony bírósági jogorvoslathoz való jogával, a panaszt részben vagy egészben elutasító felügyeleti hatóságnak ezt a nemzeti bíróság előtt megtámadható döntésben kell megtennie.
(18)A panaszosoknak lehetőséget kell biztosítani arra, hogy a rájuk nézve hátrányos döntés meghozatala előtt kifejthessék álláspontjukat. Ezért a panasz teljes vagy részleges elutasítása esetén egy határokon átnyúló ügyben a panaszosnak lehetőséget kell biztosítani arra, hogy az (EU) 2016/679 rendelet 60. cikkének (3) bekezdése szerinti döntéstervezet, az (EU) 2016/679 rendelet 60. cikkének (4) bekezdése szerinti módosított döntéstervezet vagy a testületnek az (EU) 2016/679 rendelet 65. cikke (1) bekezdésének a) pontja szerinti kötelező erejű döntése benyújtását megelőzően ismertesse álláspontját. A panaszos hozzáférést kérhet a panasz teljes vagy részleges elutasításáról szóló döntés alapjául szolgáló dokumentumok nem bizalmas változatához.
(19)A panasz elutasítása esetén egy határokon átnyúló ügyben tisztázni kell a hatáskörök megosztását a fő felügyeleti hatóság és azon felügyeleti hatóság között, amelyhez a panaszt benyújtották. A vizsgálat során, mint a panaszos kapcsolattartójának, annak a felügyeleti hatóságnak, amelyhez a panaszt benyújtották, be kell szereznie a panaszos véleményét a panasz javasolt elutasításáról, és felelős a panaszossal folytatott valamennyi kommunikációért. Minden ilyen kommunikációt meg kell osztani a fő felügyeleti hatósággal. Mivel az (EU) 2016/679 rendelet 60. cikkének (8) és (9) bekezdése értelmében a panaszt elutasító végleges döntés elfogadásáért az a felügyeleti hatóság felelős, amelyhez a panaszt benyújtották, az (EU) 2016/679 rendelet 60. cikkének (3) bekezdése szerinti döntéstervezet elkészítéséért is ennek a felügyeleti hatóságnak kell felelnie.
(20)Az uniós adatvédelmi szabályok hatékony érvényesítésének összeegyeztethetőnek kell lennie a felek védelemhez való jogának teljes körű tiszteletben tartásával, mint az uniós jog egyik alapelvével, amelyet minden körülmények között tiszteletben kell tartani, különösen a szankciókkal járó eljárásokban.
(21)A megfelelő ügyintézéshez való jog és az Európai Unió Alapjogi Chartájában (a továbbiakban: Charta) rögzített védelemhez való jog hatékony védelme érdekében – ideértve minden személynek azt a jogát, hogy az őt hátrányosan érintő egyedi intézkedés meghozatala előtt meghallgassák – fontos, hogy e jog gyakorlására vonatkozóan egyértelmű szabályokat állapítsanak meg.
(22)A felügyeleti hatóságok által az (EU) 2016/679 rendelet végrehajtása során alkalmazott közigazgatási eljárásra vonatkozó szabályoknak biztosítaniuk kell, hogy a vizsgálat alá vont feleknek az eljárás során ténylegesen lehetőségük legyen arra, hogy a felügyeleti hatóság által felhozott tények, kifogások és körülmények valóságtartalmával és helytállóságával kapcsolatos álláspontjukat az eljárás során ismertessék, és ezáltal lehetővé tegyék számukra a védelemhez való joguk gyakorlását. Az előzetes megállapítások az (EU) 2016/679 rendelet állítólagos megsértésével kapcsolatos előzetes álláspontot rögzítik a vizsgálatot követően. Ezek tehát olyan alapvető eljárási biztosítékot jelentenek, amely biztosítja a meghallgatáshoz való jog tiszteletben tartását. A vizsgálat alá vont feleknek biztosítani kell a hatékony védekezéshez szükséges dokumentumokat, és a közigazgatási ügyiratba való betekintés révén lehetőséget kell biztosítani arra, hogy az ellenük felhozott vádakkal kapcsolatban észrevételeket tegyenek.
(23)Az előzetes megállapítások határozzák meg a vizsgálat hatókörét, és így az (adott esetben a testület által az (EU) 2016/679 rendelet 65. cikke (1) bekezdésének a) pontja alapján kiadott kötelező erejű döntés alapján hozott) jövőbeli végleges döntés hatályát is, amely az adatkezelőknek vagy az adatfeldolgozóknak szólhat. Az előzetes megállapításokat olyan szóhasználattal kell megfogalmazni, amely – még ha tömör is – kellően világos ahhoz, hogy a vizsgálat alá vont felek megfelelően azonosítani tudják az (EU) 2016/679 rendelet állítólagos megsértésének jellegét. A vizsgálat alá vont felek minden szükséges tájékoztatásának kötelezettsége a megfelelő védekezésük lehetővé tétele érdekében akkor teljesül, ha a végleges döntés nem állítja, hogy a vizsgált felek az előzetes megállapításokban említetteken kívül más jogsértést követtek volna el, és csak olyan tényeket vesz figyelembe, amelyekkel kapcsolatban a vizsgált feleknek lehetőségük volt álláspontjuk ismertetésére. A fő felügyeleti hatóság végleges döntése azonban nem feltétlenül kell, hogy az előzetes megállapítások másolata legyen. A fő felügyeleti hatóság számára lehetővé kell tenni, hogy a végleges döntésben figyelembe vegye a vizsgálat alá vont feleknek az előzetes megállapításokra adott válaszait, valamint adott esetben az (EU) 2016/679 rendelet 60. cikkének (5) bekezdése szerinti módosított döntéstervezetet és a 65. cikk (1) bekezdésének a) pontja szerinti, a felügyeleti hatóságok közötti vitát lezáró döntést. A fő felügyeleti hatóságnak képesnek kell lennie arra, hogy saját maga értékelje a tényeket és a vizsgálat alá vont felek által előterjesztett jogi minősítéseket annak érdekében, hogy vagy elvesse a kifogásokat, ha a felügyeleti hatóság megalapozatlannak találja azokat, vagy kiegészítse és újrafogalmazza az általa fenntartott kifogások alátámasztására szolgáló ténybeli és jogi érveit. Például a vizsgált fél által a közigazgatási eljárás során előterjesztett érv figyelembevétele anélkül, hogy a félnek a végleges döntés meghozatala előtt lehetősége lett volna e tekintetben véleményt nyilvánítani, önmagában nem jelentheti a védelemhez való jog megsértését.
(24)Az (EU) 2016/679 rendelet 60. cikkének (5) bekezdése szerinti módosított döntéstervezet benyújtását vagy az (EU) 2016/679 rendelet 65. cikke (1) bekezdésének a) pontja szerinti kötelező erejű döntésnek a testület általi elfogadását megelőzően a vizsgálat alá vont felek számára biztosítani kell a meghallgatáshoz való jogot.
(25)A panaszosoknak lehetőséget kell biztosítani arra, hogy az (EU) 2016/679 rendelet esetleges megsértésével kapcsolatos kérdések azonosítása vagy tisztázása céljából részt vegyenek a felügyeleti hatóság által kezdeményezett eljárásban. Az a tény, hogy a felügyeleti hatóság a panasz tárgyát illetően már vizsgálatot indított, vagy a panasz beérkezését követően hivatalból indított vizsgálat keretében fog foglalkozni a panasszal, nem zárja ki az érintett panaszosnak való minősítését. Az (EU) 2016/679 rendelet adatkezelő vagy adatfeldolgozó általi esetleges megsértésének felügyeleti hatóság általi vizsgálata azonban nem minősül kontradiktórius eljárásnak a panaszos és a vizsgálat alá vont felek között. Ez egy olyan eljárás, amelyet a felügyeleti hatóság saját kezdeményezésére vagy panasz alapján indít az (EU) 2016/679 rendelet 57. cikkének (1) bekezdése szerinti feladatainak teljesítése során. A vizsgálat alá vont felek és a panaszos tehát nincsenek azonos eljárási helyzetben, és utóbbi nem hivatkozhat a tisztességes eljáráshoz való jogra, ha a döntés nem érinti hátrányosan a jogi helyzetét. A panaszosnak a vizsgálat alá vont felekkel szembeni eljárásban való részvétele nem veszélyeztetheti e felek meghallgatáshoz való jogát.
(26)A panaszosoknak lehetőséget kell adni arra, hogy írásban kifejthessék véleményüket az előzetes megállapításokkal kapcsolatban. Az eljárásban részt vevő más felekre vonatkozó üzleti titokhoz vagy más bizalmas információhoz azonban nem férhetnek hozzá. A panaszosok nem jogosultak a közigazgatási ügyiratba való általános betekintésre.
(27)Amikor határidőket szabnak meg a vizsgálat alá vont felek és a panaszosok számára az előzetes megállapításokkal kapcsolatos álláspontjuk kifejtésére, a felügyeleti hatóságoknak figyelembe kell venniük az előzetes megállapításokban felvetett kérdések összetettségét annak biztosítása érdekében, hogy a vizsgálat alá vont feleknek és a panaszosoknak elegendő lehetőségük legyen arra, hogy érdemben kifejthessék álláspontjukat a felvetett kérdésekkel kapcsolatban.
(28)A döntéstervezet elfogadását megelőző véleménycsere nyílt párbeszédet és széles körű véleménycserét foglal magában, amelynek során a felügyeleti hatóságoknak mindent meg kell tenniük annak érdekében, hogy konszenzusra jussanak a vizsgálat további menetét illetően. Ezzel szemben az (EU) 2016/679 rendelet 60. cikkének (4) bekezdése szerinti releváns és megalapozott kifogásokban kifejezett nézeteltérés, amely az (EU) 2016/679 rendelet 65. cikke szerinti, a felügyeleti hatóságok közötti vitarendezés lehetőségét felveti, és késlelteti a végleges döntés illetékes felügyeleti hatóság általi elfogadását, abban a kivételes esetben merülhet fel, ha a felügyeleti hatóságok nem jutnak konszenzusra, és ha az szükséges az (EU) 2016/679 rendelet következetes értelmezésének biztosítása érdekében. Az ilyen kifogásokat megfontoltan kell alkalmazni, ha az (EU) 2016/679 rendelet következetes végrehajtását érintő kérdések forognak kockán, mivel a releváns és megalapozott kifogások minden egyes alkalmazása késlelteti az érintett jogorvoslati lehetőségét. Mivel a vizsgálat hatóköréről és a releváns tényekről az előzetes megállapítások közlése előtt kell dönteni, ezeket a kérdéseket az érintett felügyeleti hatóságok nem vethetik fel a releváns és megalapozott kifogásokban. Az érintett felügyeleti hatóságok azonban a 9. cikk (3) bekezdése szerinti, a legfontosabb kérdések összefoglalójára vonatkozó észrevételeikben felvethetik ezeket, mielőtt az előzetes megállapításokat közlik a vizsgálat alá vont felekkel.
(29)A vitarendezési eljárás hatékony és inkluzív lezárása érdekében – amelyben valamennyi felügyeleti hatóságnak lehetőséget kell kapnia arra, hogy véleményével hozzájáruljon ahhoz –, valamint a vitarendezés időbeli korlátait szem előtt tartva, a releváns és megalapozott kifogások formájának és szerkezetének meg kell felelnie bizonyos követelményeknek. Ezért a releváns és megalapozott kifogásoknak meghatározott hosszúságra kell korlátozódniuk, világosan meg kell jelölniük a döntéstervezettel való egyet nem értést, és azokat kellően világosan, koherensen és pontosan kell megfogalmazni.
(30)A közigazgatási ügyiratba való betekintés a Chartában biztosított védelemhez való jog és a megfelelő ügyintézéshez való jog részeként biztosított. A közigazgatási ügyiratba való betekintést biztosítani kell a vizsgálat alá vont felek számára amikor értesítik őket az előzetes megállapításokról, és meg kell határozni az előzetes megállapításokra adott írásbeli válaszuk benyújtásának határidejét.
(31)A felügyeleti hatóságoknak a közigazgatási ügyiratba való betekintés lehetővé tétele során biztosítaniuk kell az üzleti titkok és egyéb bizalmas információk védelmét. Az egyéb bizalmas információk kategóriájába tartoznak az üzleti titkoktól eltérő olyan információk, amelyek bizalmasnak tekinthetők, amennyiben azok nyilvánosságra hozatala jelentős kárt okozna az adatkezelőnek, az adatfeldolgozónak vagy egy természetes személynek. A felügyeleti hatóságok számára lehetővé kell tenni annak előírását, hogy a dokumentumokat vagy nyilatkozatokat benyújtó vagy benyújtott, vizsgálat alá vont felek azonosítsák a bizalmas információkat.
(32)Amennyiben üzleti titok vagy egyéb bizalmas információ szükséges a jogsértés bizonyításához, a felügyeleti hatóságoknak minden egyes dokumentum esetében értékelniük kell, hogy az információ közlésének szükségessége nagyobb-e, mint az abból eredő esetleges kár.
(33)Amikor az (EU) 2016/679 rendelet 65. cikke alapján vitarendezési eljárásra utal egy ügyet, a fő felügyeleti hatóságnak minden szükséges információt meg kell adnia a testületnek ahhoz, hogy az értékelni tudja a releváns és megalapozott kifogások elfogadhatóságát, és meg tudja hozni az (EU) 2016/679 rendelet 65. cikke (1) bekezdésének a) pontja szerinti döntést. Miután a testület megkapta a 23. cikkben felsorolt valamennyi szükséges dokumentumot, a testület elnökének nyilvántartásba kell vennie az ügy benyújtását az (EU) 2016/679 rendelet 65. cikkének (2) bekezdése értelmében.
(34)A testület az (EU) 2016/679 rendelet 65. cikke (1) bekezdésének a) pontja szerinti kötelező erejű döntésének kizárólag a vitarendezés megindításához fő ügyekre kell vonatkoznia, és azt úgy kell megfogalmazni, hogy a fő felügyeleti hatóság a testület döntése alapján, mérlegelési jogkörének fenntartása mellett fogadhassa el végleges döntését.
(35)Az (EU) 2016/679 rendelet 65. cikke (1) bekezdésének b) és c) pontja alapján a testület elé terjesztett, a felügyeleti hatóságok közötti viták rendezésének egyszerűsítése érdekében eljárási szabályokat kell meghatározni a testülethez benyújtandó és a testület döntésének alapjául szolgáló dokumentumokra vonatkozóan. Azt is meg kell határozni, hogy a testületnek mikor kell nyilvántartásba vennie az ügy vitarendezési eljárásra történő benyújtását.
(36)Az (EU) 2016/679 rendelet 66. cikkének (2) bekezdése szerinti, sürgősségi eljárás keretében elfogadott vélemények és az ilyen kötelező erejű döntések elfogadására vonatkozó eljárás egyszerűsítése érdekében meg kell határozni a sürgősségi eljárás keretében elfogadott vélemények és az ilyen kötelező erejű döntések iránti kérelem benyújtásának időpontjára, a testülethez benyújtandó és a testület döntésének alapjául szolgáló dokumentumokra, a testület véleményének vagy döntésének címzettjére, valamint a testület véleményének vagy döntésének következményeire vonatkozó eljárási szabályokat.
(37)A III. és a IV. fejezet a felügyeleti hatóságok közötti együttműködésről, a vizsgálat alá vont felek eljárási jogairól és a panaszosok bevonásáról szólnak. A jogbiztonság biztosítása érdekében e rendelkezések nem vonatkoznak az e rendelet hatálybalépésekor már folyamatban lévő vizsgálatokra. Ezeket a rendelet hatálybalépése után hivatalból indított vizsgálatokra, valamint azokra a panaszon alapuló vizsgálatokra kell alkalmazni, amelyekben a panaszt e rendelet hatálybalépése után nyújtották be. Az V. fejezet az (EU) 2016/679 rendelet 65. cikke szerinti vitarendezés elé terjesztett ügyekre vonatkozó eljárási szabályokat tartalmazza. Szintén a jogbiztonság érdekében ezt a fejezetet nem kell alkalmazni azokra az ügyekre, amelyeket e rendelet hatálybalépése előtt nyújtottak be vitarendezési eljárásra. Ezt a fejezetet az e rendelet hatálybalépését követően vitarendezés céljából benyújtott valamennyi ügyre alkalmazni kell.
(38)Az európai adatvédelmi biztossal és az Európai Adatvédelmi Testülettel az (EU) 2018/1725 rendelet 42. cikkének (2) bekezdésével összhangban konzultációt folytattak, és [ ]-án/-én közös véleményt adtak ki,
ELFOGADTA EZT A RENDELETET:
I. fejezet
Általános rendelkezések
1. cikk
Tárgy
Ez a rendelet az (EU) 2016/679 rendelet határokon átnyúló végrehajtása során a panaszok kezelésére és a vizsgálatok lefolytatására vonatkozó eljárási szabályokat állapítja meg a felügyeleti hatóságok panaszalapú és hivatalból indított ügyeiben.
2. cikk
Fogalommeghatározások
E rendelet alkalmazásában az (EU) 2016/679 rendelet 4. cikkében foglalt fogalommeghatározások érvényesek.
Az alábbi meghatározásokat is alkalmazni kell:
1.„vizsgálat alá vont felek”: azok az adatkezelő(k) és/vagy adatfeldolgozó(k), akiket/amelyeket az (EU) 2016/679 rendelet határokon átnyúló adatkezeléssel kapcsolatos állítólagos megsértése miatt vizsgálat alá vontak;
2.„a legfontosabb kérdések összefoglalója”: a fő felügyeleti hatóság által az érintett felügyeleti hatóságoknak nyújtandó összefoglaló, amely meghatározza a főbb releváns tényeket és a fő felügyeleti hatóságnak az üggyel kapcsolatos álláspontját;
3.„előzetes megállapítások”: a fő felügyeleti hatóság által a vizsgálat alá vont feleknek átadott dokumentum, amely tartalmazza az állításokat, a releváns tényeket, az alátámasztó bizonyítékokat, a jogi elemzést és adott esetben a javasolt korrekciós intézkedéseket;
4.„elfogadott releváns és megalapozott kifogások”: a testület által az (EU) 2016/679 rendelet 4. cikkének (24) bekezdése értelmében relevánsnak és megalapozottnak minősített kifogások.
II. fejezet
Panaszok benyújtása és kezelése
3. cikk
Határokon átnyúló panaszok
(1)Az (EU) 2016/679 rendelet alapján benyújtott, határokon átnyúló adatkezelésre vonatkozó panaszban meg kell adni a mellékletben meghatározott formanyomtatványon előírt információkat. A panasz befogadhatóságához nem szükséges további információ.
(2)Az a felügyeleti hatóság, amelyhez a panaszt benyújtották, megállapítja, hogy a panasz a határokon átnyúló adatkezelésre vonatkozik-e.
(3)Az a felügyeleti hatóság, amelyhez a panaszt benyújtották, egy hónapon belül megállapítja a formanyomtatványban előírt információk teljességét.
(4)A formanyomtatványban előírt információk teljességének értékelését követően az a felügyeleti hatóság, amelyhez a panaszt benyújtották továbbítja a panaszt a fő felügyeleti hatóságnak.
(5)Amennyiben a panaszos a panasz benyújtásakor bizalmasan kezeli a panaszát, a panaszosnak a panasz nem bizalmas változatát is be kell nyújtania.
(6)Az a felügyeleti hatóság, amelyhez a panaszt benyújtották, egy héten belül visszaigazolja a panasz kézhezvételét. Ez a visszaigazolás nem érinti a panasz (3) bekezdés szerinti befogadhatóságának értékelését.
4. cikk
A panaszok kivizsgálása
Annak értékelése során, hogy a panasz kivizsgálása milyen mértékben indokolt, a felügyeleti hatóság minden egyes esetben figyelembe veszi az összes releváns körülményt, beleértve az alábbiakat:
a)a panaszosnak nyújtott hatékony és időben történő jogorvoslat célszerűsége;
b)az állítólagos jogsértés súlyossága;
c)az állítólagos jogsértés rendszerszintű vagy ismétlődő jellege.
5. cikk
A jogvita egyezség útján történő rendezése
A panasz a panaszos és a vizsgálat alá vont felek közötti egyezség útján történő rendezéssel is megoldható. Amennyiben a felügyeleti hatóság úgy ítéli meg, hogy a panasz egyezség útján történő rendezése lehetséges, a javasolt rendezésről tájékoztatja a panaszost. Ha a panaszos egy hónapon belül nem emel kifogást a felügyeleti hatóság által javasolt egyezség útján történő rendezés ellen, a panaszt visszavontnak kell tekinteni.
6. cikk
Fordítások
(1)Az a felügyeleti hatóság, amelyhez a panaszt benyújtották, felelős a következőkért:
a)a panaszok és a panaszosok véleményének lefordítása a vizsgálatot fő felügyeleti hatóság által a vizsgálat céljából használt nyelvre;
b)a fő felügyeleti hatóság által rendelkezésre bocsátott dokumentumok fordítása a panaszossal való kommunikációhoz használt nyelvre, amennyiben e rendelet vagy az (EU) 2016/679 rendelet értelmében ilyen dokumentumokat kell a panaszos rendelkezésére bocsátani.
(2)A testület eljárási szabályzatában meghatározza az érintett felügyeleti hatóságok által a vizsgálat során a fő felügyeleti hatóság által használt nyelvtől eltérő nyelven megfogalmazott észrevételek vagy releváns és megalapozott kifogások fordítására vonatkozó eljárást.
III. fejezet
Az (EU) 2016/679 rendelet 60. cikke szerinti együttműködés
1. szakasz
Az (EU) 2016/679 rendelet 60. cikke (1) bekezdésének értelmében vett konszenzus elérése
7. cikk
Felügyeleti hatóságok közötti együttműködés
Az (EU) 2016/679 rendelet 60. cikkének (1) bekezdésében előírt, konszenzus elérésére irányuló együttműködés során a felügyeleti hatóságok az (EU) 2016/679 rendeletben előírt valamennyi eszközt felhasználják, beleértve a 61. cikk szerinti kölcsönös segítségnyújtást és az (EU) 2016/679 rendelet 62. cikke szerinti közös műveleteket.
Az e szakaszban foglalt rendelkezések a felügyeleti hatóságok közötti kapcsolatokra vonatkoznak, és nem céljuk, hogy jogokat biztosítsanak az egyéneknek vagy a vizsgálat alá vont feleknek.
8. cikk
Az (EU) 2016/679 rendelet 60. cikkének (1) és (3) bekezdése szerinti releváns információk
(1)A fő felügyeleti hatóság rendszeresen tájékoztatja a többi érintett felügyeleti hatóságot a vizsgálatról, és a lehető leghamarabb a többi érintett felügyeleti hatóság rendelkezésére bocsátja az összes releváns információt, amint az rendelkezésre áll.
(2)Az (EU) 2016/679 rendelet 60. cikkének (1) és (3) bekezdése szerinti releváns információk adott esetben a következőket foglalják magukban:
a)az (EU) 2016/679 rendelet állítólagos megsértése miatti vizsgálat megindítására vonatkozó információk;
b)az (EU) 2016/679 rendelet 58. cikke (1) bekezdésének e) pontja szerinti információkérés;
c)az (EU) 2016/679 rendelet 58. cikkének (1) bekezdésében említett egyéb vizsgálati hatáskörök alkalmazásával kapcsolatos információk;
d)a panasz tervezett elutasítása esetén a fő felügyeleti hatóságnak a panasz elutasítására vonatkozó indoklása;
e)a 9. cikkel összhangban a vizsgálat legfontosabb kérdéseinek összefoglalója;
f)az (EU) 2016/679 rendelet megsértésének megállapítására irányuló lépésekre vonatkozó információk az előzetes megállapítások elkészítése előtt;
g)előzetes megállapítások;
h)a vizsgálat alá vont felek válasza az előzetes megállapításokra;
i)a panaszosnak az előzetes megállapításokkal kapcsolatos álláspontja;
j)a panasz elutasítása esetén a panaszos írásbeli beadványai;
k)a fő felügyeleti hatóság által az előzetes megállapításokra adott, a vizsgálat alá vont felek által adott válasz kézhezvételét követően és a döntéstervezet benyújtását megelőzően az (EU) 2016/679 rendelet 60. cikkének (3) bekezdése értelmében tett bármely releváns lépés.
9. cikk
A legfontosabb kérdések összefoglalója
(1)Miután a fő felügyeleti hatóság előzetes véleményt alakított ki a vizsgálat legfontosabb kérdéseiről, az (EU) 2016/679 rendelet 60. cikkének (1) bekezdése szerinti együttműködés céljából összefoglalót készít a fő kérdésekről.
(2)A legfontosabb kérdések összefoglalójának a következő elemek mindegyikét tartalmaznia kell:
a)a főbb releváns tények;
b)a vizsgálat tárgyának előzetes meghatározása, különösen az (EU) 2016/679 rendelet azon rendelkezései, amelyeket a vizsgálandó állítólagos jogsértés érint;
c)az értékelésük előzetes irányultsága szempontjából releváns komplex jogi és technológiai értékelések azonosítása;
d)a lehetséges korrekciós intézkedés(ek) előzetes meghatározása.
(3)Az érintett felügyeleti hatóságok észrevételeket tehetnek a legfontosabb kérdések összefoglalójával kapcsolatban. Ezeket az észrevételeket a legfontosabb kérdések összefoglalójának kézhezvételétől számított négy héten belül kell megtenni.
(4)A (3) bekezdés alapján benyújtott észrevételeknek meg kell felelniük a következő követelményeknek:
a)a használt nyelvezet kellően világos és pontos kifejezéseket tartalmaz ahhoz, hogy a fő felügyeleti hatóság és adott esetben az érintett felügyeleti hatóságok kialakíthassák álláspontjukat;
b)a jogi érvek tömören vannak megfogalmazva, és a legfontosabb kérdések összefoglalójának azon részére való hivatkozással vannak csoportosítva, amelyre vonatkoznak;
c)az érintett felügyeleti hatóság észrevételeihez dokumentumokat csatolhatnak, amelyek kiegészíthetik az egyes pontokra vonatkozó észrevételeket.
(5)A testület eljárási szabályzatában korlátozhatja az érintett felügyeleti hatóságok által a legfontosabb kérdések összefoglalójával kapcsolatban benyújtott észrevételek maximális hosszát.
(6)Azokat az eseteket, amelyekben az érintett felügyeleti hatóságok egyike sem tett észrevételt e cikk (3) bekezdése szerint, nem vitás ügyeknek kell tekinteni. Ilyen esetekben a 14. cikkben említett előzetes megállapításokat az e cikk (3) bekezdésében előírt határidő lejártát követő 9 hónapon belül közölni kell a vizsgálat alá vont felekkel.
10. cikk
Konszenzus eléréséhez szükséges eszközök használata
(1)Az érintett felügyeleti hatóság az (EU) 2016/679 rendelet 61. cikke, az (EU) 2016/679 rendelet 62. cikke vagy mindkettő alapján kérelmet nyújt be a fő felügyeleti hatósághoz, ha az érintett felügyeleti hatóságok 9. cikk (3) bekezdése szerinti észrevételeit követően az érintett felügyeleti hatóság nem ért egyet a fő felügyeleti hatóság értékelésével a következőkről:
a)a panaszalapú ügyekben a vizsgálat hatóköre, beleértve az (EU) 2016/679 rendelet azon rendelkezéseit, amelyeket a vizsgálandó állítólagos jogsértés érint;
b)a fő felügyeleti hatóság által a 9. cikk (2) bekezdésének c) pontja alapján meghatározott összetett jogi értékelésekkel kapcsolatos előzetes tájékozódás;
c)a fő felügyeleti hatóság által a 9. cikk (2) bekezdésének c) pontja szerint meghatározott összetett technológiai értékelésekkel kapcsolatos előzetes tájékozódás.
(2)Az (1) bekezdés szerinti kérelmet a 9. cikk (3) bekezdésében említett határidő lejártát követő két hónapon belül kell benyújtani.
(3)A fő felügyeleti hatóság a legfontosabb kérdések összefoglalójára vonatkozó észrevételeik alapján, valamint adott esetben az (EU) 2016/679 rendelet 61. és 62. cikke szerinti megkeresésekre adott válaszok alapján egyeztet az érintett felügyeleti hatóságokkal a konszenzusra való törekvés érdekében. A konszenzus alapján a fő felügyeleti hatóság folytatja a vizsgálatot, és elkészíti az előzetes megállapításokat, vagy adott esetben a 11. cikk (2) bekezdésének alkalmazásában megküldi az indoklását annak a felügyeleti hatóságnak, amelyhez a panaszt benyújtották.
(4)Amennyiben a panaszon alapuló vizsgálat során a fő felügyeleti hatóság és egy vagy több érintett felügyeleti hatóság között nincs konszenzus az e rendelet 9. cikke (2) bekezdésének b) pontjában említett kérdésben, a fő felügyeleti hatóság az (EU) 2016/679 rendelet 66. cikkének (3) bekezdése alapján sürgősségi eljárás alapján elfogadott kötelező erejű döntést kér a testülettől. Ebben az esetben az (EU) 2016/679 rendelet 66. cikkének (3) bekezdése szerinti, sürgősségi eljárás alapján elfogadott kötelező erejű döntés iránti kérelem feltételeit teljesültnek kell tekinteni.
(5)Ha a fő felügyeleti hatóság e cikk (4) bekezdése alapján sürgősségi eljárás alapján elfogadott kötelező erejű döntést kér a testülettől, a fő felügyeleti hatóságnak az alábbiakat kell megadnia:
a)a 9. cikk (2) bekezdésének a) és b) pontjában említett dokumentumok;
b)azon érintett felügyeleti hatóság észrevételei, amely nem ért egyet a vizsgálat hatókörének a fő felügyeleti hatóság általi előzetes meghatározásával.
(6)A testület az érintett felügyeleti hatóságok észrevételei és a fő felügyeleti hatóságnak az észrevételekkel kapcsolatos álláspontja alapján sürgősségi eljárás alapján kötelező erejű döntés fogad el a vizsgálat hatóköréről.
2. szakasz
A panaszok teljes vagy részleges elutasítása
11. cikk
A panaszos meghallgatása a panasz teljes vagy részleges elutasítása előtt
(1)A 9. és 10. cikkben előírt eljárást követően a fő felügyeleti hatóság a panasz teljes vagy részleges elutasítására vonatkozó előzetes álláspontjának indokait megküldi azon felügyeleti hatóság részére, amelyhez a panaszt benyújtották.
(2)Az a felügyeleti hatóság, amelyhez a panaszt benyújtották, tájékoztatja a panaszost a panasz tervezett teljes vagy részleges elutasításának okairól, és határidőt szab, amelyen belül a panaszos írásban ismertetheti álláspontját. A határidő legalább három hét. Az a felügyeleti hatóság, amelyhez a panaszt benyújtották, tájékoztatja a panaszost az álláspontja ismertetése elmulasztásának következményeiről.
(3)Ha a panaszos azon felügyeleti hatóság által meghatározott határidőn belül, amelyhez a panaszt benyújtották, nem ismerteti álláspontját, a panaszt visszavontnak kell tekinteni.
(4)A panaszos kérheti a panasz javasolt elutasításának alapjául szolgáló dokumentumok nem bizalmas változatához való hozzáférést.
(5)Ha a panaszos azon felügyeleti hatóság által meghatározott határidőn belül, amelyhez a panaszt benyújtották, ismerteti az álláspontját, és az álláspont nem vezet a panasz teljes vagy részleges elutasítására vonatkozó előzetes álláspont megváltoztatásához, az a felügyeleti hatóság, amelyhez a panaszt benyújtották, elkészíti az (EU) 2016/679 rendelet 60. cikkének (3) bekezdése szerinti döntéstervezetet, amelyet a fő felügyeleti hatóság az (EU) 2016/679 rendelet 60. cikkének (3) bekezdése szerint benyújt a többi érintett felügyeleti hatóságnak.
12. cikk
A panaszt részben vagy egészben elutasító módosított döntéstervezet
(1)Ha a fő felügyeleti hatóság úgy ítéli meg, hogy az (EU) 2016/679 rendelet 60. cikkének (5) bekezdése szerinti módosított döntéstervezet olyan elemeket vet fel, amelyekkel kapcsolatban a panaszosnak lehetőséget kell biztosítani álláspontja kifejtésére, az a felügyeleti hatóság, amelyhez a panaszt benyújtották, az (EU) 2016/679 rendelet 60. cikkének (5) bekezdése szerinti módosított döntéstervezet benyújtását megelőzően lehetőséget biztosít a panaszos számára, hogy az ilyen új elemekkel kapcsolatban kifejtse álláspontját.
(2)Az a felügyeleti hatóság, amelyhez a panaszt benyújtották, határidőt állapít meg, amelyen belül a panaszos ismertetheti álláspontját.
13. cikk
A panaszt részben vagy egészben elutasító döntés
Az (EU) 2016/679 rendelet 60. cikkének (8) bekezdése szerinti, a panaszt részben vagy egészben elutasító döntés elfogadásakor a felügyeleti hatóság, amelyhez a panaszt benyújtották, tájékoztatja a panaszost a rendelkezésére álló jogorvoslati lehetőségről az (EU) 2016/679 rendelet 78. cikkével összhangban.
3. szakasz
Az adatkezelőknek és az adatfeldolgozóknak címzett döntések
14. cikk
Előzetes megállapítások és válasz
(1)Ha a fő felügyeleti hatóság az (EU) 2016/679 rendelet 60. cikkének (3) bekezdése szerinti döntéstervezetet kíván benyújtani a többi érintett felügyeleti hatóságnak, amelyben megállapítja az (EU) 2016/679 rendelet megsértését, előzetes megállapításokat készít.
(2)Az előzetes megállapításoknak kimerítően és kellően világosan kell bemutatniuk a felhozott állításokat ahhoz, hogy a vizsgálat alá vont felek megismerhessék a fő felügyeleti hatóság által vizsgált magatartást. Az előzetes megállapításoknak különösen világosan ismertetniük kell a vizsgálat alá vont felekkel szemben felhozott valamennyi tényt és a teljes jogi értékelést, hogy a felek kifejthessék véleményüket a tényekről és azokról a jogi következtetésekről, amelyeket a fő felügyeleti hatóság az (EU) 2016/679 rendelet 60. cikkének (3) bekezdése értelmében a döntéstervezetben le kíván vonni, és fel kell sorolniuk az alapul szolgáló összes bizonyítékot.
Az előzetes megállapításokban fel kell tüntetni a fő felügyeleti hatóság által alkalmazni kívánt korrekciós intézkedéseket.
Amennyiben a fő felügyeleti hatóság bírságot kíván kiszabni, az előzetes megállapításokban felsorolja azokat a releváns elemeket, amelyekre a bírság kiszámításakor támaszkodik. A fő felügyeleti hatóság különösen azokat a lényeges tényeket és jogi kérdéseket sorolja fel, amelyek a bírság kiszabásához vezethetnek, valamint az (EU) 2016/679 rendelet 83. cikkének (2) bekezdésében felsorolt elemeket, beleértve az általa figyelembe vett súlyosbító vagy enyhítő tényezőket.
(3)A fő felügyeleti hatóság az előzetes megállapításokról értesíti a vizsgálat alá vont valamennyi felet.
(4)A fő felügyeleti hatóság az előzetes megállapítások vizsgálat alá vont felekkel való közlése során határidőt szab, amelyen belül a felek írásban kifejthetik álláspontjukat. A fő felügyeleti hatóság nem köteles figyelembe venni a határidő lejárta után beérkezett írásbeli véleményeket.
(5)Az előzetes megállapítások vizsgálat alá vont felekkel való közlése során a fő felügyeleti hatóság a 20. cikkel összhangban hozzáférést biztosít a felek számára a közigazgatási ügyirathoz.
(6)A vizsgálat alá vont felek az előzetes megállapításokra adott írásbeli válaszukban ismertethetnek minden olyan tényt és jogi érvet, amely a fő felügyeleti hatóság állításaival szembeni védekezésük szempontjából releváns. A bemutatott tények bizonyítására bármilyen vonatkozó dokumentumot csatolnak. A fő felügyeleti hatóság a döntéstervezetében csak olyan állításokkal foglalkozik, beleértve a tényeket és az ezeken alapuló jogi értékelést, amelyekkel kapcsolatban a vizsgálat alá vont felek lehetőséget kaptak észrevételeik megtételére.
15. cikk
Az előzetes megállapítások továbbítása a panaszosoknak
(1)Ha a fő felügyeleti hatóság olyan ügyre vonatkozóan tesz előzetes megállapításokat, amellyel kapcsolatban panasz érkezett hozzá, a panasz benyújtásának helye szerinti felügyeleti hatóság az előzetes megállapítások nem bizalmas változatát a panaszos rendelkezésére bocsátja, és határidőt szab, amelyen belül a panaszos írásban ismertetheti álláspontját.
(2)Az (1) bekezdést akkor is alkalmazni kell, ha a felügyeleti hatóság adott esetben több panaszt együttesen kezel, a panaszokat több részre osztja, vagy más módon gyakorolja az előzetes megállapításokban meghatározott vizsgálat hatókörére vonatkozó mérlegelési jogkörét.
(3)Amennyiben a fő felügyeleti hatóság úgy ítéli meg, hogy a panaszos rendelkezésére kell bocsátani a közigazgatási ügyiratban szereplő dokumentumokat annak érdekében, hogy a panaszos hatékonyan kifejthesse az előzetes megállapításokkal kapcsolatos álláspontját, az a felügyeleti hatóság, amelyhez a panaszt benyújtották, az (1) bekezdés szerinti előzetes megállapítások megtételekor a panaszos rendelkezésére bocsátja e dokumentumok betekinthető változatát.
(4)A panaszos az előzetes megállapítások nem bizalmas változatát csak annak a konkrét vizsgálatnak a céljaira kapja meg, amelynek során az előzetes megállapításokat kiadták.
(5)Az előzetes megállapítások nem bizalmas változatának és a (3) bekezdés szerinti dokumentumok kézhezvétele előtt a panaszosnak titoktartási nyilatkozatot kell küldenie a fő felügyeleti hatóságnak, amelyben a panaszos kötelezettséget vállal arra, hogy az előzetes megállapítások nem bizalmas változatában szereplő információkat vagy értékeléseket nem hozza nyilvánosságra, és azokat nem használja fel más célokra, mint az a konkrét vizsgálat, amelynek keretében a megállapításokat kiadták.
16. cikk
A végleges döntés elfogadása
Miután a döntéstervezetet az (EU) 2016/679 rendelet 60. cikkének (3) bekezdése szerint benyújtották az érintett felügyeleti hatóságoknak, és ha az (EU) 2016/679 rendelet 60. cikkének (4) és (5) bekezdésében említett határidőn belül egyik érintett felügyeleti hatóság sem emelt kifogást a döntéstervezet ellen, a fő felügyeleti hatóság elfogadja az (EU) 2016/679 rendelet 60. cikkének (7) bekezdése szerinti döntését és arról értesítést küld az adatkezelő vagy az adatfeldolgozó fő telephelyére vagy egyetlen telephelyére, valamint tájékoztatja az érintett felügyeleti hatóságokat és a testületet a szóban forgó döntésről, beleértve a vonatkozó tények és indokok összefoglalását.
17. cikk
Meghallgatáshoz való jog a módosított döntéstervezettel kapcsolatban
(1)Ha a fő felügyeleti hatóság úgy ítéli meg, hogy az (EU) 2016/679 rendelet 60. cikkének (5) bekezdése szerinti módosított döntéstervezet olyan elemeket vet fel, amelyekkel kapcsolatban a vizsgálat alá vont feleknek lehetőséget kell biztosítani álláspontjuk kifejtésére, a fő felügyeleti hatóság az (EU) 2016/679 rendelet 60. cikkének (5) bekezdése szerinti módosított döntéstervezet benyújtását megelőzően lehetőséget biztosít a vizsgálat alá vont feleknek, hogy az ilyen új elemekkel kapcsolatban ismertessék álláspontjukat.
(2)A fő felügyeleti hatóság határidőt állapít meg, amelyen belül a vizsgálat alá vont felek ismertethetik álláspontjukat.
4. szakasz
Releváns és megalapozott kifogások
18. cikk
Releváns és megalapozott kifogások
(1)Az (EU) 2016/679 rendelet 4. cikkének (24) bekezdése értelmében vett releváns és megalapozott kifogások:
a)kizárólag a döntéstervezetben szereplő tényállási elemeken alapulhatnak; valamint
b)nem változtatják meg az állítások körét azáltal, hogy olyan pontokat emelnek, amelyek az (EU) 2016/679 rendelet megsértésére vonatkozó további állítások azonosítását jelentik, illetve nem változtatják meg a felhozott állítások lényegi jellegét.
(2)A releváns és megalapozott kifogások formájának és szerkezetének meg kell felelnie az alábbi követelmények mindegyikének:
a)az egyes releváns és megalapozott kifogások terjedelme és a fő felügyeleti hatóságnak az ilyen kifogásokkal kapcsolatos álláspontja nem haladhatja meg a három oldalt, és nem tartalmazhat mellékleteket. Különösen összetett jogi kérdéseket érintő esetekben a maximális terjedelem hat oldalra növelhető, kivéve, ha a testület elfogadja az ennél hosszabb terjedelmet indokoló különleges körülményeket;
b)az érintett felügyeleti hatóságnak a döntéstervezettel való egyet nem értését a releváns és megalapozott kifogás elején kell kifejteni, és kellően világosan, koherensen és pontosan kell megfogalmazni ahhoz, hogy a fő felügyeleti hatóság és adott esetben az érintett felügyeleti hatóságok előkészíthessék álláspontjukat, és hogy a testület hatékonyan rendezhesse a vitát;
c)a jogi érveket a döntéstervezet azon rendelkező részére való hivatkozással kell ismertetni és csoportosítani, amelyre vonatkoznak. Minden érvet vagy érvcsoportot általában összefoglaló nyilatkozatnak kell megelőznie.
IV. fejezet
A közigazgatási ügyirathoz való hozzáférés és a bizalmas információk kezelése
19. cikk
A közigazgatási ügyirat tartalma
(1)Az (EU) 2016/679 rendelet állítólagos megsértésével kapcsolatos vizsgálat során a közigazgatási ügyirat tartalmazza az összes olyan dokumentumot, amelyet a vizsgálatot fő felügyeleti hatóság a vizsgálat során szerzett be, állított elő és/vagy állított össze.
(2)Az (EU) 2016/679 rendelet állítólagos megsértésének vizsgálata során a fő felügyeleti hatóság visszaküldheti annak a félnek, akitől azokat beszerezte, azokat a dokumentumokat, amelyekről a részletesebb vizsgálatot követően kiderül, hogy nem kapcsolódnak a vizsgálat tárgyához. Visszaküldésüket követően ezek a dokumentumok már nem képezik a közigazgatási ügyirat részét.
(3)A közigazgatási ügyiratba való betekintési jog nem terjed ki a fő felügyeleti hatóság és az érintett felügyeleti hatóságok közötti levelezésre és véleménycserére. A felügyeleti hatóságok között az egyedi ügy kivizsgálása céljából kicserélt információk belső dokumentumoknak minősülnek, és a vizsgálat alá vont felek vagy a panaszos számára nem hozzáférhetőek.
(4)Az (EU) 2016/679 rendelet 60. cikkének (4) bekezdése szerinti releváns és megalapozott kifogásokhoz való hozzáférést a 24. cikkel összhangban kell biztosítani.
20. cikk
Hozzáférés a közigazgatási ügyirathoz és a dokumentumok felhasználása
(1)A fő felügyeleti hatóság hozzáférést biztosít a közigazgatási ügyirathoz a vizsgálat alá vont felek számára, lehetővé téve számukra a meghallgatáshoz való joguk gyakorlását. A közigazgatási ügyiratba való betekintést azt követően kell biztosítani, hogy a fő felügyeleti hatóság az előzetes megállapításokról tájékoztatta a vizsgálat alá vont feleket.
(2)A közigazgatási ügyiratnak tartalmaznia kell minden terhelő és felmentő dokumentumot, beleértve a vizsgálat alá vont felek által ismert tényeket és dokumentumokat.
(3)A fő felügyeleti hatóságnak az (EU) 2016/679 rendelet 60. cikkének (3) bekezdése szerinti döntéstervezetben és az (EU) 2016/679 rendelet 60. cikkének (7) bekezdése szerinti végleges döntésben foglalt következtetései csak az előzetes megállapításokban hivatkozott dokumentumokra támaszkodhatnak, vagy olyan dokumentumokra, amelyekkel kapcsolatban a vizsgálat alá vont feleknek lehetőségük volt álláspontjuk ismertetésére.
(4)Az e cikk alapján a közigazgatási ügyiratba való betekintés révén megszerzett dokumentumok kizárólag az (EU) 2016/679 rendelet alkalmazására irányuló bírósági vagy közigazgatási eljárás céljaira használhatók fel abban a konkrét ügyben, amelyhez az ilyen dokumentumokat rendelkezésre bocsátották.
21. cikk
A bizalmas információk azonosítása és védelme
(1)Ha e rendelet másként nem rendelkezik, a felügyeleti hatóság által az (EU) 2016/679 rendelet alapján határokon átnyúló ügyekben gyűjtött vagy megszerzett információkat, beleértve az ilyen információkat tartalmazó dokumentumokat is, a felügyeleti hatóság nem adhatja át és nem teheti hozzáférhetővé, amennyiben azok bármely személy üzleti titkát vagy egyéb bizalmas információját tartalmazzák.
(2)A felügyeleti hatóság által az (EU) 2016/679 rendelet szerinti határokon átnyúló ügyekben gyűjtött vagy megszerzett információk, beleértve az ilyen információkat tartalmazó dokumentumokat is, mindaddig nem tartoznak a hivatalos dokumentumokhoz való nyilvános hozzáférésre vonatkozó jogszabályok szerinti hozzáférési kérelmek hatálya alá, amíg az eljárás folyamatban van.
(3)Amikor a vizsgálat alá vont felekkel közli az előzetes megállapításokat, és a 20. cikk alapján hozzáférést biztosít a közigazgatási ügyirathoz, a fő felügyeleti hatóság biztosítja, hogy a vizsgálat alá vont felek, akiknek hozzáférést biztosítanak az üzleti titkot vagy egyéb bizalmas információt tartalmazó információkhoz, az ilyen információkat a lehető legnagyobb mértékben bizalmasan kezeljék, és hogy az ilyen információkat ne használják fel az információ szolgáltatójának kárára. Az információ bizalmas jellegének mértékétől függően a fő felügyeleti hatóság megfelelő intézkedéseket hoz annak érdekében, hogy a vizsgálat alá vont felek védelemhez való jogát teljes mértékben érvényesítse, az információ bizalmas jellegének kellő figyelembevételével.
(4)Az általa bizalmasnak tekintett információt benyújtó szervezetnek egyértelműen meg kell jelölnie az általa bizalmasnak tekintett információt, és meg kell indokolnia a bizalmas kezelésre vonatkozó igényt. A szervezetnek külön be kell nyújtania a beadvány nem bizalmas változatát is.
(5)A (4) bekezdés sérelme nélkül, a fő felügyeleti hatóság megkövetelheti a vizsgálat alá vont felektől vagy az (EU) 2016/679 rendelet alapján dokumentumokat benyújtó bármely egyéb féltől, hogy azonosítsák azokat a dokumentumokat vagy a dokumentumok azon részeit, amelyek a megítélésük szerint rájuk vonatkozó üzleti titkokat vagy más bizalmas információt tartalmaznak, valamint azonosítsák azokat a feleket, amelyek vonatkozásában az ilyen dokumentumokat bizalmasnak kell tekinteni.
(6)A fő felügyeleti hatóság határidőt szabhat a vizsgálat alá vont felek és bármely más, bizalmas kezelés iránti kérelmet előterjesztő fél számára, hogy:
a)az üzleti titokra és egyéb bizalmas információkra vonatkozó állításaikat minden egyes dokumentumra vagy dokumentumrészre, nyilatkozatra vagy nyilatkozatrészre vonatkozóan alátámasszák;
b)a dokumentumok és nyilatkozatok nem bizalmas változatát nyújtsák be, amelyben az üzleti titkokat és egyéb bizalmas információkat törölték;
c)minden egyes törölt információról tömör, nem bizalmas jellegű leírást szolgáltassanak.
(7)Ha a vizsgálat alá vont felek vagy bármely más fél nem tesznek eleget a (4) és (5) bekezdésnek, a fő felügyeleti hatóság feltételezheti, hogy az érintett dokumentumok vagy nyilatkozatok nem tartalmaznak üzleti titkot vagy egyéb bizalmas információt.
V. FEJEZET
Vitarendezés
22. cikk
Az (EU) 2016/679 rendelet 65. cikke szerinti vitarendezési eljárásra történő utalás
(1)Ha a fő felügyeleti hatóság nem követi a releváns és megalapozott kifogásokat, vagy úgy véli, hogy a kifogások nem relevánsak vagy nem megalapozottak, a tárgyat az (EU) 2016/679 rendelet 65. cikkében meghatározott vitarendezési mechanizmus elé terjeszti.
(2)A tárgy vitarendezési eljárásra való utalásakor a fő felügyeleti hatóság a testület rendelkezésére bocsátja az összes alábbi dokumentumot:
a)a döntéstervezet vagy a módosított döntéstervezet a releváns és megalapozott kifogásokkal együtt;
b)a releváns tények összefoglalása;
c)az előzetes megállapítások;
d)a vizsgálat alá vont felek által a 14. és 17. cikk alapján írásban benyújtott álláspont;
e)adott esetben a panaszosok által a 11., 12. és 15. cikk alapján írásban benyújtott álláspontok;
f)azok a releváns és megalapozott kifogások, amelyeket a fő felügyeleti hatóság nem követett;
g)azok az okok, amelyek alapján a fő felügyeleti hatóság nem követte a releváns és megalapozott kifogásokat, vagy a kifogásokat nem tekintette relevánsnak vagy megalapozottnak.
(3)A testület a (2) bekezdésben felsorolt dokumentumok kézhezvételétől számított négy héten belül azonosítja a fenntartott releváns és megalapozott kifogásokat.
23. cikk
Az (EU) 2016/679 rendelet 65. cikke (1) bekezdésének a) pontja szerinti döntéssel kapcsolatos nyilvántartásba vétel
A testület elnöke legkésőbb egy héttel azt követően, hogy az alábbi dokumentumok mindegyikét kézhez kapta, nyilvántartásba veszi a vitás ügynek az (EU) 2016/679 rendelet 65. cikke (1) bekezdésének a) pontja szerinti vitarendezési eljárásra történő utalását:
a)a döntéstervezet vagy a módosított döntéstervezet a releváns és megalapozott kifogásokkal együtt;
b)a releváns tények összefoglalása;
c)a vizsgálat alá vont felek által a 14. és 17. cikk alapján írásban benyújtott álláspont;
d)adott esetben a panaszosok által a 11., 12. és 15. cikk alapján írásban benyújtott álláspontok;
e)a fenntartott releváns és megalapozott kifogások;
f)azok az indokok, amelyek alapján a fő felügyeleti hatóság nem követte a fenntartott releváns és megalapozott kifogásokat.
24. cikk
Az (EU) 2016/679 rendelet 65. cikke (1) bekezdésének a) pontja szerinti döntés elfogadását megelőző indokolás
(1)Az (EU) 2016/679 rendelet 65. cikke (1) bekezdésének a) pontja szerinti kötelező erejű döntés elfogadását megelőzően a testület elnöke a fő felügyeleti hatóságon keresztül indokolásban ismerteti a vizsgálat alá vont felekkel és/vagy – a panasz teljes vagy részleges elutasítása esetén – a panaszossal, hogy a testület milyen indoklást kíván elfogadni a döntésében. Amennyiben a testület olyan kötelező erejű döntést kíván elfogadni, amely a fő felügyeleti hatóságot a döntéstervezet vagy a módosított döntéstervezet módosítására kötelezi, a testület dönt arról, hogy az indokoláshoz csatolni kell-e a fenntartott releváns és megalapozott kifogásokat, amelyek alapján a testület a döntését el kívánja fogadni.
(2)A vizsgálat alá vont feleknek és/vagy – a panasz teljes vagy részleges elutasítása esetén – a panaszosnak az (1) bekezdésben említett indokolás kézhezvételétől számított egy hét áll rendelkezésére, hogy ismertesse az álláspontját.
(3)A (2) bekezdésben említett határidő egy héttel meghosszabbodik, ha a testület az (EU) 2016/679 rendelet 65. cikkének (2) bekezdésével összhangban meghosszabbítja a kötelező erejű döntés elfogadásának határidejét.
(4)Az (EU) 2016/679 rendelet 65. cikkének (2) bekezdésében előírt, a testület kötelező erejű döntésének elfogadására vonatkozó határidő szünetel a (2) és (3) bekezdésben előírt időszakok alatt.
25. cikk
Az (EU) 2016/679 rendelet 65. cikke (1) bekezdésének b) pontja szerinti döntéssel kapcsolatos eljárás
(1)Amikor az (EU) 2016/679 rendelet 65. cikke (1) bekezdésének b) pontja alapján a testület elé utal egy ügyet, a tevékenységi központ tekintetében illetékes ügyet utaló felügyeleti hatóságnak a testület rendelkezésére kell bocsátania az alábbi dokumentumok mindegyikét:
a)a releváns tények összefoglalása;
b)e tények értékelése az (EU) 2016/679 rendelet 56. cikkének (1) bekezdésében foglalt feltételek tekintetében;
c)azon adatkezelő vagy adatfeldolgozó álláspontja, akinek a tevékenységi központja az utalás tárgyát képezi;
d)az utalásban érintett más felügyeleti hatóságok álláspontja;
e)bármely más dokumentum vagy információ, amelyet az utaló felügyeleti hatóság a tárgyban való állásfoglaláshoz szükségesnek és relevánsnak tart.
(2)A testület elnöke az utalást legkésőbb egy héttel az (1) bekezdésben említett dokumentumok kézhezvételét követően nyilvántartásba veszi.
26. cikk
Az (EU) 2016/679 rendelet 65. cikke (1) bekezdésének c) pontja szerinti döntéssel kapcsolatos eljárás
(1)Amikor az (EU) 2016/679 rendelet 65. cikke (1) bekezdésének c) pontja alapján egy ügyet a testület elé utal, a tárgyat utaló felügyeleti hatóságnak vagy a Bizottságnak a testület rendelkezésére kell bocsátania a következő dokumentumok mindegyikét:
a)a releváns tények összefoglalása;
b)adott esetben a testület által az (EU) 2016/679 rendelet 64. cikke alapján kiadott vélemény;
c)a tárgyban eljáró felügyeleti hatóság vagy a Bizottság véleménye arról, hogy adott esetben a felügyeleti hatóságnak az (EU) 2016/679 rendelet 64. cikkének (1) bekezdése alapján kellett-e közölnie a döntéstervezetet a testülettel, vagy a felügyeleti hatóság nem követte a testületnek az (EU) 2016/679 rendelet 64. cikke alapján kiadott véleményét.
(2)A testület elnöke bekéri a következő dokumentumokat:
a)annak a felügyeleti hatóságnak a véleménye, amelyről azt állítják, hogy megsértette a döntéstervezetnek a testülettel való közlésére vonatkozó követelményt, vagy nem követte a testület véleményét;
b)bármely más olyan dokumentum vagy információ, amelyet a felügyeleti hatóság a tárgyban való döntéshozatal szempontjából lényegesnek és szükségesnek tart.
Ha bármelyik felügyeleti hatóság úgy nyilatkozik, hogy az előterjesztett kérdéssel kapcsolatban véleményt kell nyilvánítania, akkor azt az (1) bekezdésben említett előterjesztéstől számított két héten belül kell benyújtania.
(3)A testület elnöke a beterjesztést legkésőbb egy héttel az (1) és (2) bekezdésben említett dokumentumok kézhezvételét követően nyilvántartásba veszi.
VI. fejezet
Sürgősségi eljárás
27. cikk
Az (EU) 2016/679 rendelet 66. cikkének (2) bekezdése alapján sürgősséggel elfogadott vélemények
(1)Az (EU) 2016/679 rendelet 66. cikkének (2) bekezdése szerinti sürgősséggel elfogadott vélemény iránti kérelmet legkésőbb három héttel az (EU) 2016/679 rendelet 66. cikkének (1) bekezdése alapján elfogadott ideiglenes intézkedések lejárta előtt kell benyújtani, és annak tartalmaznia kell a következő elemek mindegyikét:
a)a releváns tények összefoglalása;
b)a saját területén elfogadott ideiglenes intézkedés leírása, időtartama és elfogadásának okai, beleértve az érintettek jogainak és szabadságainak védelme érdekében történő, sürgősséggel elfogadott fellépés szükségességének indoklását;
c)a megkereső felügyeleti hatóság tagállamának területén elfogadandó végleges intézkedések sürgős szükségességének indoklása, beleértve az érintett intézkedések elfogadását szükségessé tevő körülmények kivételes jellegének magyarázatát.
(2)A testület sürgősséggel elfogadott véleményét a kérelmet benyújtó felügyeleti hatóságnak kell címezni. A véleménynek az (EU) 2016/679 rendelet 64. cikkének (1) bekezdése szerinti véleményhez hasonlónak kell lennie, és lehetővé kell tennie a megkereső hatóság számára, hogy az (EU) 2016/679 rendelet 64. cikkének (7) bekezdésében foglalt kötelezettségekkel összhangban fenntartsa vagy módosítsa ideiglenes intézkedését.
28. cikk
Az (EU) 2016/679 rendelet 66. cikkének (2) bekezdése alapján sürgősséggel elfogadott döntések
(1)Az (EU) 2016/679 rendelet 66. cikkének (2) bekezdése szerinti sürgősséggel elfogadott döntés iránti kérelmet legkésőbb három héttel az (EU) 2016/679 rendelet 61. cikkének (8) bekezdése, 62. cikkének (7) bekezdése vagy 66. cikkének (1) bekezdése alapján elfogadott ideiglenes intézkedések lejárta előtt kell benyújtani. A kérelemnek tartalmaznia kell a következő elemek mindegyikét:
a)a releváns tények összefoglalása;
b)a döntést kérő felügyeleti hatóság tagállamának területén elfogadott ideiglenes intézkedés, annak időtartama és az ideiglenes intézkedések elfogadásának okai, különösen az érintettek jogainak és szabadságainak védelme érdekében történő sürgős cselekvés szükségességének indoklása;
c)a saját területén hozott vizsgálati intézkedésekre vonatkozó információk, valamint a vizsgálat alá vont felek helyi telephelyétől kapott válaszok vagy a megkereső felügyeleti hatóság birtokában lévő bármely más információ;
d)annak indoklása, hogy a megkereső felügyeleti hatóság területén sürgősen szükség van a végleges intézkedések elfogadására, figyelembe véve a végleges intézkedés elfogadását igénylő körülmények kivételes jellegét, vagy annak bizonyítása, hogy a felügyeleti hatóság nem válaszolt az (EU) 2016/679 rendelet 61. cikkének (3) bekezdése vagy 62. cikkének (2) bekezdése szerinti megkeresésre;
e)amennyiben a megkereső hatóság nem a fő felügyeleti hatóság, a fő felügyeleti hatóság álláspontja;
f)adott esetben azon vizsgálat alá vont felek helyi telephelyének álláspontja, amelyekkel szemben az (EU) 2016/679 rendelet 66. cikkének (1) bekezdése alapján ideiglenes intézkedéseket hoztak.
(2)Az (1) bekezdésben említett sürgősségi döntést a kérelmet benyújtó felügyeleti hatóságnak kell címezni, és lehetővé kell tenni a megkereső hatóság számára az ideiglenes intézkedés fenntartását vagy módosítását.
(3)Amennyiben a testület olyan kötelező erejű döntést fogad el sürgősséggel, amely jelzi, hogy végleges intézkedéseket kell elfogadni, a döntés címzettje szerinti felügyeleti hatóságnak az (EU) 2016/679 rendelet 66. cikkének (1) bekezdése alapján elfogadott ideiglenes intézkedések lejárta előtt el kell fogadnia ezeket az intézkedéseket.
(4)Az (1) bekezdésben említett kérelmet benyújtó felügyeleti hatóság a végleges intézkedésekről szóló döntéséről értesíti az adatkezelő vagy adatfeldolgozó tagállamának területén lévő telephelyét, és tájékoztatja a testületet. Amennyiben a fő felügyeleti hatóság nem a megkereső hatóság, a megkereső hatóság tájékoztatja a fő felügyeleti hatóságot a végleges intézkedésről.
(5)Amennyiben a sürgősséggel elfogadott kötelező erejű döntés azt jelzi, hogy a végleges intézkedések elfogadása nem sürgős, az érintett vezető és felügyeleti hatóságok az (EU) 2016/679 rendelet 60. cikkében foglalt eljárást követik.
VII. fejezet
Általános és záró rendelkezések
29. cikk
Az időszakok kezdete és a munkanap meghatározása
(1)Az (EU) 2016/679 rendelet alapján a felügyeleti hatóságok által előírt vagy rögzített határidőket az 1182/71/EGK, Euratom tanácsi rendeletnek megfelelően kell kiszámítani.
(2)A határidők az (EU) 2016/679 rendelet vagy az e rendelet vonatkozó rendelkezésében említett eseményt követő munkanapon kezdődnek.
30. cikk
Átmeneti rendelkezések
A III. és a IV. fejezetet az e rendelet hatálybalépése után hivatalból indított vizsgálatokra és a panaszon alapuló vizsgálatokra kell alkalmazni, amennyiben a panaszt e rendelet hatálybalépése után nyújtották be.
Az V. fejezetet az e rendelet hatálybalépését követően az (EU) 2016/679 rendelet 65. cikke szerinti vitarendezési eljárásra benyújtott valamennyi ügyre alkalmazni kell.
31. cikk
Hatálybalépés
Ez a rendelet az Európai Unió Hivatalos Lapjában való kihirdetését követő huszadik napon lép hatályba.
Ez a rendelet teljes egészében kötelező és közvetlenül alkalmazandó valamennyi tagállamban.
Kelt Brüsszelben, -án/-én.
az Európai Parlament részéről
a Tanács részéről
az elnök
az elnök