Förslag till GDPR-reform ifrågasätts

Den 8 april 2024 publicerade EU-parlamentets forskningstjänst (EPRS) en studie som granskar de nya förslagen från EU-kommissionen. Dessa förslag syftar till att optimera hanteringen av gränsöverskridande tillsynsärenden inom ramen för GDPR. Studien lyfter fram flera oroande aspekter; i synnerhet kan de nya regleringarna komplicera processerna och öka risken för tvister mellan EU:s dataskyddsmyndigheter.

Vad är EPRS?

European Parliamentary Research Service (EPRS) är Europaparlamentets egna tankesmedja, utredningstjänst och forskningsorgan som förser parlamentsledamöterna med oberoende och tillförlitliga politiska analyser i EU-frågor. EPRS bidrar även till en faktabaserad samhällsdebatt genom att göra sin forskning tillgänglig för allmänheten.

Översikt över förslaget

Målet med EU-kommissionens förslag från juli 2023 är att stärka tillsynen av GDPR i gränsöverskridande ärenden. Kommissionens förhoppning är att införa en effektivare och snabbare handläggning, men en rapport från Europaparlamentet ifrågasätter både förslagets effektivitet och varnar för höga implementeringskostnader.

Hur gränsöverskridande ärenden ska inledas

Enligt EPRS fokuserar förslaget på att förbättra den gränsöverskridande tillsynen enligt GDPR men missar samtidigt att ta upp andra problem, såsom otydliga bestämmelser, resursbrist hos tillsynsmyndigheterna eller tillsynsproblem som inte är relaterade till hur myndigheter handlägger ärenden.

Vidare syftar förslaget till att förbättra det gränsöverskridande tillsynsförfarandet, men rapporten konstaterar att förslaget inte levererar en fullständig lösning på alla problem med tillämpningen av GDPR. Utöver detta påpekar utredningen att förslaget inte tillräckligt hanterar hur berörda tillsynsmyndigheter ska kunna starta ärenden när den ansvariga tillsynsmyndigheten inte agerar.

Rapporten föreslår att det införs en officiell process där berörda tillsynsmyndigheter kan begära utredningar av gränsöverskridande ärenden från den ansvariga myndigheten.

Tidig bedömning av yttre ramar

I rapporten beskrivs att kommissionens förslag introducerar ett krav på att tillsynsmyndigheterna i olika EU-länder, tidigt i tillsynsärendet kommer överens om vad som ska granskas. Syftet är att främja tidig konsensus mellan tillsynsmyndigheterna genom att införa formella samråds- och samarbetsskyldigheter när det finns vissa meningsskiljaktigheter.

Rapporten konstaterar dock att detta förslag har kritiserats för att det potentiellt begränsar berörda tillsynsmyndigheters möjligheter att intervenera och för att det inte säkrar en effektiv handläggning.

Skyldighet att höra berörda parter

EU-kommissionens förslag inför en ny regel som säkerställer att berörda parter har rätt att yttra sig innan tillsynsmyndigheterna presenterar ett förslag till beslut. Denna rätt inkluderar även fall där myndigheten planerar att avvisa ett klagomål eller fastställa att en personuppgiftsansvarig brutit mot GDPR.

Rapporten varnar för att det fortfarande råder förvirring kring tidpunkter och ansvarsfördelning mellan berörda tillsynsmyndigheter och den ansvariga tillsynsmyndigheten. Det är nämligen den berörda tillsynsmyndigheten som sköter kontakten med den registrerade medan det är den ansvariga tillsynsmyndigheten som i många fall beslutar om utfallet i tillsynsärendet.

Nytt krav på “Relevanta och motiverade” invändningar

EU-kommissionens förslag om att strama åt tillsynsmyndigheternas roll i gränsöverskridande ärenden väcker oro. Rapporten från EPRS pekar på risker för minskad dialog och ökad felmarginal i beslut, då de berörda tillsynsmyndigheterna endast kan framföra ’relevanta och motiverade invändningar’ i senare skeden av processen, vilket kan inskränka deras inflytande.

Slutligen kan man läsa i rapporten att kritiker hävdar att proceduren i onödan begränsar berörda tillsynsmyndigheters möjligheter att ingripa. Detta utan att kommissionen i tillräcklig utsträckning motiverar varför.