kom (2023) 0348 - Bilag 2: Samlenotat om forslag til forordning om supplerende procedureregler til håndhævelse af GDPR-forordningen

Europaudvalget 2023-24
KOM (2023) 0348 Bilag 2
Offentligt

Dato:

Kontor:

Sagsbeh:

Sagsnr.:

Dok.:

22. februar 2024

Databeskyttelseskontoret

Cathrine Hjortdam

2023-04632

3087322

SAMLENOTAT

Forslag til Europa-Parlamentets og Rådets forordning om sup-

plerende procedureregler til håndhævelse af forordning (EU)

2016/679 (GDPR)

KOM (2023) 348

Notatet er en opdateret version af grund- og nærhedsnotat af 7. sep-

tember 2023. Ændringer er markeret med streg i marginen.

1. Resumé

Europa-Kommissionen har den 4. juli 2023 fremsat forslag til forord-

ning om supplerende procedureregler for håndhævelse af forordning

(EU) 2016/679 (databeskyttelsesforordningen). Forordningsforslaget

har til formål at sikre en effektiv håndhævelse af EU’s

databeskyttel-

sesregler i grænseoverskridende sager. Forslaget bygger på de

grundlæggende principper i databeskyttelsesforordningen og supple-

rer disse ved at præcisere reglerne for behandling af klager, samar-

bejdet mellem tilsynsmyndigheder og tvistbilæggelsesproceduren i

grænseoverskridende sager. Forslaget er ikke omfattet af retsforbe-

holdet. Forslaget vurderes at være i overensstemmelse med nærheds-

princippet. Forslaget vurderes ikke at have at lovgivningsmæssige

konsekvenser. Forslaget skønnes at kunne medføre statsfinansielle

konsekvenser.

Side 1/9

kom (2023) 0348 - Bilag 2: Samlenotat om forslag til forordning om supplerende procedureregler til håndhævelse af GDPR-forordningen

Regeringen ser positivt på intentionen bag forordningsforslaget om at

sikre effektiv håndhævelse af databeskyttelsesreglerne i grænseover-

skridende sager. Regeringen finder det vigtigt, at der med forordnin-

gen fastsættes bestemmelser, der fremmer samarbejdet mellem tilsyns-

myndigheder. Herudover er regeringen opmærksom på at få afklaret

de udestående tvivlsspørgsmål under forhandlingerne, navnlig med

henblik på i relevant omfang at sikre beskyttelsen af fortrolige oplys-

ninger og forretningshemmeligheder.

2. Baggrund

Europa-Kommissionen fremsatte den 4. juli 2023 forslag til Europa-

Parlamentets og Rådets forordning om supplerende procedureregler

for håndhævelse af forordning (EU) 2016/679 (databeskyttelsesfor-

ordningen).

Forslaget er oversendt til Rådet i dansk sprogversion den 10. juli 2023.

Forslaget er fremsat med hjemmel i artikel 16 i Traktaten om den Eu-

ropæiske Unions Funktionsmåde (TEUF) om beskyttelse af personop-

lysninger. Forslaget skal behandles efter den almindelige lovgivnings-

procedure i TEUF artikel 294. Forslaget er ikke omfattet af retsforbe-

holdet.

Forslaget til forordning supplerer databeskyttelsesforordningen ved at

præcisere de procedureregler for behandling af grænseoverskridende

sager, der er fastsat i databeskyttelsesforordningen. Databeskyttelses-

forordningen indførte et ”one-stop-shop”-håndhævelsessystem,

som

er relevant, når en virksomhed er etableret i mere end en EU-med-

lemsstat. I den situation skal en sag mod virksomheden behandles af

den tilsynsmyndighed (den ledende tilsynsmyndighed) i den med-

lemsstat, hvor virksomheden har sit hovedsæde. One-stop-shop-ord-

ningen forudsætter, at tilsynsmyndighederne i de berørte medlemssta-

ter samarbejder om sagen. Hvis tilsynsmyndighederne ikke kan nå til

enighed i en grænseoverskridende sag, indeholder databeskyttelses-

forordningen bestemmelser om tvistbilæggelse i Det Europæiske Da-

tabeskyttelsesråd (EDPB).

Side 2/9

kom (2023) 0348 - Bilag 2: Samlenotat om forslag til forordning om supplerende procedureregler til håndhævelse af GDPR-forordningen

Baggrunden for forordningsforslaget er Kommissionens første rapport

om evaluering og revision af databeskyttelsesforordningen, hvori

Kommissionen bemærkede, at der var et behov for at gøre behandlin-

gen af grænseoverskridende sager mere effektiv og harmoniseret i hele

. I 2022 fremsendte EDPB en liste over proceduremæssige aspek-

ter, der kan drage fordel af yderligere harmonisering i EU-retten. For-

ordningsforslaget bygger således på Kommissionens rapport fra 2020

om databeskyttelsesforordningen og EDPB’s liste fra oktober

2022.

3. Formål og indhold

Forslaget har overordnet til formål at bidrage til at sikre en effektiv

håndhævelse af EU’s databeskyttelsesregler i grænseoverskridende

sager. Forslaget bygger på de grundlæggende principper i databeskyt-

telsesforordningen og supplerer disse ved at præcisere reglerne for

indgivelse og behandling af klager, samarbejdet mellem tilsynsmyn-

digheder og tvistbilæggelsesproceduren i grænseoverskridende sager.

Forslaget berører ikke de registreredes rettigheder, de dataansvarliges

og databehandlernes forpligtelser eller retsgrundlaget for behandlin-

gen af personoplysninger som fastsat i databeskyttelsesforordningen.

For det første indføres der med forslaget detaljerede regler for indgi-

velse og behandling af klager i grænseoverskridende sager.

For det andet indeholder forslaget procedureregler for behandling af

grænseoverskridende sager. Forslaget giver den part, der er genstand

for en undersøgelse, ret til at blive hørt og fremsætte sine synspunkter

under behandlingen af sagen, bl.a. under tvistbilæggelsen i EDPB.

Samtidig lægger forslaget op til at sikre, at der ikke gives adgang til

forretningshemmeligheder eller andre fortrolige oplysninger, der til-

hører andre parter involveret i sagen. Med forslaget indføres bestem-

melser om partens ret til aktindsigt i de administrative sagsakter. For-

slaget giver desuden klageren mulighed for at fremsætte sine syns-

punkter inden en klage afvises helt eller delvist samt ret til aktindsigt

Meddelelse fra Kommissionen til Europa-Parlamentet og Rådet, Databeskyttelse som en

hjørnesten i borgernes indflydelse og EU's tilgang til den digitale omstilling

—

to års an-

vendelse af den generelle forordning om databeskyttelse (KOM(2020) 264 af 24. juni

2020).

Side 3/9

kom (2023) 0348 - Bilag 2: Samlenotat om forslag til forordning om supplerende procedureregler til håndhævelse af GDPR-forordningen

i en ikkefortrolig udgave af de dokumenter, der ligger til grund for den

foreslåede afvisning af klagen.

For det tredje indføres der med forslaget bestemmelser om samarbej-

det mellem tilsynsmyndighederne i grænseoverskridende sager. For-

slaget præciserer reglerne for, hvilke oplysninger tilsynsmyndighe-

derne skal dele med hinanden. Forslaget lægger op til, at den ledende

tilsynsmyndighed skal dele et ”resumé af centrale spørgsmål”

med an-

givelse af de vigtigste faktiske omstændigheder og den ledende til-

synsmyndigheds synspunkter i sagen med de berørte tilsynsmyndig-

heder. Hvis tilsynsmyndighederne ikke kan nå til enighed om omfan-

get af undersøgelsen i en sag, giver forslaget mulighed for, at EDPB

kan bilægge tvisten ved at vedtage en hurtig bindende afgørelse i hen-

hold til databeskyttelsesforordningens artikel 66, stk. 3.

Endelig indeholder forslaget regler for tvistbilæggelsesproceduren i

databeskyttelsesforordningens artikel 65. Når den ledende databeskyt-

telsesmyndighed forelægger et udkast til afgørelse i sagen, har andre

tilsynsmyndigheder mulighed for at fremsætte relevante og begrun-

dede indsigelser mod udkastet. Med forslaget fastsættes frister og ord-

ninger for vurdering af, hvorvidt EDPB kan behandle de relevante og

begrundede indsigelser fra berørte tilsynsmyndigheder. Det præcise-

res, hvilke oplysninger den ledende tilsynsmyndighed skal give

EDPB, når den forelægger en sag til tvistbilæggelse.

Det er forventningen, at der på rådsmøde for retlige og indre anliggen-

der den 13. juni 2024 vil blive vedtaget en generel indstilling om for-

ordningsforslaget. Rådets kommende generelle indstilling vil kunne

indeholde ændringer i forhold til Kommissionens forslag.

4. Europa-Parlamentets udtalelser

Europa-Parlamentet er i henhold til den almindelige lovgivningspro-

cedure (TEUF artikel 294) medlovgiver.

Forslaget behandles i Europa-Parlamentet af Udvalget om Borgernes

Rettigheder og Retlige og Indre Anliggender (LIBE) med Sergey

Lagodinsky (EFA), som ordfører.

Side 4/9

kom (2023) 0348 - Bilag 2: Samlenotat om forslag til forordning om supplerende procedureregler til håndhævelse af GDPR-forordningen

LIBE-udvalget har den 9. november 2023 afgivet udkast til betænk-

ning, hvori udvalget hilser Kommissionens forslag velkommen og for-

slår en række ændringer. Udvalget fremhæver bl.a., at de nationale

processuelle regler fortsat bør gælde, for så vidt de ikke er i strid med

forordningsforslaget. Udvalget finder endvidere, at retten til at blive

hørt for parterne, der undersøges, og klageren skal ligestilles. Udval-

get fremhæver desuden, at brugen af mindelige ordninger bør begræn-

ses til sager om den registreredes rettigheder. Udvalget foreslår, at der

fastsættes yderligere frister, og at tilsynsmyndighedernes roller og

pligter præciseres, navnlig med hensyn til procedurerne ved udarbej-

delse af en afgørelse, for opnåelse af enighed eller for bilæggelse af

tvister ved EDPB. Udvalget finder, at der bør indføres en ret til effek-

tive retsmidler, hvis en tilsynsmyndighed ikke handler. Endelig fore-

slår udvalget en overgangsperiode på et år for at give mulighed for

nødvendige ændringer af systemer, interne regler samt eventuelle æn-

dringer af national lovgivning.

Retsudvalget (JURI) har den 29. november 2023 afgivet udkast til ud-

talelse, hvori udvalget tilslutter sig det overordnede formål om at opnå

en harmonisering af procedurereglerne. Retsudvalget henstiller til, at

klagerens rolle og rettigheder, herunder retten til aktindsigt, præcise-

res. Derudover ønsker udvalget en øget brug af frister.

Udvalget om Industri, Forskning og Energi (ITRE), Udvalget om Be-

skæftigelse og Sociale Anliggender (EMPL) samt Udvalget om Indre

Marked og Forbrugerbeskyttelse (IMCO) har besluttet ikke at ville

give udtalelse til forslaget.

5. Nærhedsprincippet

Kommissionen har om nærhedsprincippet bl.a. anført, at forslaget

vedrører en eksisterende procedure, som blev indført ved databeskyt-

telsesforordningen, og som involverer tilsynsmyndighederne i flere

medlemsstater og EDPB. Det er derfor Kommissionens opfattelse, at

problemerne vedrørende håndhævelsen af databeskyttelsesreglerne i

grænseoverskridende sager ikke kan løses af medlemsstaterne hver for

Side 5/9

kom (2023) 0348 - Bilag 2: Samlenotat om forslag til forordning om supplerende procedureregler til håndhævelse af GDPR-forordningen

sig. Kommissionen vurderer på den baggrund, at forslaget er i over-

ensstemmelse med nærhedsprincippet.

Regeringen er enig i Kommissionens vurdering af, at nærhedsprincip-

pet er overholdt.

6. Gældende dansk ret

Datatilsynet er en offentlig myndighed omfattet af bl.a. forvaltnings-

loven. Datatilsynet træffer bl.a. afgørelser om dataansvarliges behand-

ling af oplysninger om de registrerede. Datatilsynet vil skulle be-

handle grænseoverskridende sager efter reglerne i databeskyttelsesfor-

ordningen samt forordningsforslaget.

Databeskyttelsesforordningens artikel 60 regulerer samarbejdsproce-

duren mellem tilsynsmyndigheder i grænseoverskridende sager. Den

ledende tilsynsmyndighed og de berørte tilsynsmyndigheder skal ud-

veksle alle relevante oplysninger med hinanden med henblik på at nå

til enighed. Når den ledende databeskyttelsesmyndighed forelægger et

udkast til afgørelse i sagen, har andre tilsynsmyndigheder mulighed

for at fremsætte relevante og begrundede indsigelser mod udkastet.

Det følger af databeskyttelsesforordningens artikel 65, at EDPB kan

træffe bindende afgørelser, bl.a. hvis tilsynsmyndigheder, der samar-

bejder efter artikel 60 ikke kan blive enige om et udkast til en afgø-

relse.

Det følger bl.a. af forvaltningslovens § 9, stk. 1, at den, der er part i en

sag, hvori der er eller vil blive truffet afgørelse af en forvaltningsmyn-

dighed, kan forlange at blive gjort bekendt med sagens dokumenter.

Efter § 9, stk. 2, omfatter en parts ret til aktindsigt bl.a. alle dokumen-

ter, der vedrører sagen, med visse nærmere opregnede undtagelser.

Det følger endvidere af forvaltningslovens § 19, stk. 1, at hvis en part

ikke kan antages at være bekendt med, at myndigheden er i besiddelse

af bestemte oplysninger om en sags faktiske grundlag eller eksterne

faglige vurderinger, der er til ugunst for den pågældende part og er af

væsentlig betydning for sagens afgørelse, må der ikke træffes afgø-

relse, før myndigheden har gjort parten bekendt med oplysningerne

eller vurderingerne og givet denne lejlighed til at fremkomme med en

Side 6/9

kom (2023) 0348 - Bilag 2: Samlenotat om forslag til forordning om supplerende procedureregler til håndhævelse af GDPR-forordningen

udtalelse (partshøring). Myndigheden kan fastsætte en frist for afgi-

velsen af den nævnte udtalelse.

7. Konsekvenser

Lovgivningsmæssige konsekvenser

Forslaget vurderes ikke at have lovgivningsmæssige konsekvenser.

Økonomiske konsekvenser

Forslaget skønnes at kunne medføre væsentlige statsfinansielle konse-

kvenser, da der forventes øgede udgifter til Datatilsynet for 0,6 mio.

kr. årligt, svarende til ét årsværk, forbundet med administration af for-

ordningens krav, herunder behandling af grænseoverskridende sager

samt deltagelse i samarbejdet mellem tilsynsmyndighederne ved be-

handling af disse sager. Det fremgår af budgetvejledningen, at afledte

udgifter som følge af EU-retsakter afholdes inden for de berørte mini-

steriers eksisterende bevillingsramme.

Forslaget skønnes ikke at medføre samfundsøkonomiske og erhvervs-

økonomiske konsekvenser.

8. Andre konsekvenser

Forslaget giver på det foreliggende grundlag ikke anledning til at

fremhæve andre konsekvenser.

9. Høring

Forordningsforslaget har i perioden fra den 5. juli til den 23. august

2023 været sendt i høring i Specialudvalget for politimæssigt og retligt

samarbejde og Specialudvalget for konkurrenceevne, vækst og forbru-

gerspørgsmål. Der er indkommet høringssvar fra Landbrug & Føde-

varer og Finans Danmark.

Der henvises til høringssvarene i grund- og nærhedsnotat af 7. septem-

ber 2023.

Side 7/9

kom (2023) 0348 - Bilag 2: Samlenotat om forslag til forordning om supplerende procedureregler til håndhævelse af GDPR-forordningen

10. Generelle forventninger til andre landes holdninger

Forslaget har foreløbigt været behandlet på i alt 11 møder i Rådets

arbejdsgruppe vedrørende databeskyttelse. Overordnet set har der

blandt medlemsstaterne været støtte til Kommissionens forslag.

Blandt medlemsstaterne er der generel enighed om, at de manglende

harmoniserede regler for behandling af grænseoverskridende sager

udgør en hindring for håndhævelsen af databeskyttelsesreglerne. Der

er bred enighed om, at forslaget bidrager til en effektiv håndhævelse i

grænseoverskridende sager.

Der har i arbejdsgruppen været en diskussion om anvendelsesområdet

for forordningen, idet flere medlemsstater har udtrykt ønske om, at

forordningens anvendelsesområde bør begrænses til såkaldte strategi-

ske sager. Flere medlemsstater er dog kritiske for en sådan skelnen

mellem strategiske og ikke-strategiske sager.

Der er generel opbakning til, at parterne, der undersøges, skal have ret

til at blive hørt og fremsætte deres synspunkter under sagen samt have

ret til aktindsigt. Der har i arbejdsgruppen været en diskussion om kla-

gerens rolle og rettigheder. Visse medlemsstater mener, at de proces-

suelle rettigheder for klageren skal være ligestillede med de rettighe-

der, som parterne, der er genstand for en undersøgelse, har.

Der har været en diskussion af, hvorvidt der skal være mulighed for at

begrænse tilsynsmyndighedernes mulighed for at fremkomme med re-

levante og begrundede indsigelser mod et udkast til afgørelse, som

fremlægges af den ledende tilsynsmyndighed.

Endelig har der været drøftelser om beskyttelsen af fortrolige oplys-

ninger og forretningshemmeligheder. Visse medlemsstater har givet

udtryk for vigtigheden af beskyttelsen af disse oplysninger.

11. Regeringens generelle holdning

Regeringen er overordnet positiv over for Kommissionens forslag,

herunder etableringen af en ramme, der understøtter effektiv

Side 8/9

kom (2023) 0348 - Bilag 2: Samlenotat om forslag til forordning om supplerende procedureregler til håndhævelse af GDPR-forordningen

håndhævelse af databeskyttelsesreglerne i grænseoverskridende sager

og samarbejde mellem tilsynsmyndighederne i medlemsstaterne.

Regeringen har et vedvarende fokus på, at håndhævelse af databeskyt-

telsesreglerne, herunder over for tech-giganter, skal være effektiv.

Regeringen ser derfor positivt på intentionen bag forordningsforslaget

om at sikre effektiv håndhævelse af databeskyttelsesreglerne i græn-

seoverskridende sager.

Regeringen bakker op om, at forordningen får et bredt anvendelses-

område således, at der ikke sondres mellem strategiske og ikke-strate-

giske sager. Det er regeringens opfattelse, at en sådan sondring kan

skabe usikkerhed om, hvilke regler, der skal anvendes.

Regeringen finder det vigtigt, at der med forordningen fastsættes be-

stemmelser, der fremmer samarbejdet mellem tilsynsmyndigheder.

Regeringen ser derfor positivt på, at tilsynsmyndighederne forpligtes

til at dele oplysninger med hinanden, som de øvrige tilsynsmyndighe-

der kan fremsætte bemærkninger til.

Regeringen støtter, at der med forordningen sikres rettigheder for par-

terne, der undersøges, ligesom klageren skal have visse rettigheder.

Regeringen vil derfor være opmærksom på, at der opnås en passende

balance mellem hensynet til rettighederne for parterne, der undersø-

ges, over for rettighederne for klageren.

Endelig vil regeringen fortsat være opmærksom på at få afklaret de

udestående tvivlsspørgsmål under de fortsatte forhandlinger, navnlig

med henblik på i relevant omfang at sikre beskyttelsen af fortrolige

oplysninger og forretningshemmeligheder.

12. Tidligere forelæggelser for Folketingets Europaudvalg

Grund- og nærhedsnotat blev oversendt til Folketingets Europaudvalg

den 7. september 2023.

Sagen har været nævnt for Folketingets Europaudvalg den 13. oktober

2023 til orientering.

Side 9/9