GDPR-rechten in Zweden: Hof bevestigt dat autoriteit klachten moet onderzoeken.
Tot nu toe heeft het Zweedse IMY het standpunt ingenomen dat gebruikers geen partijrechten hebben in GDPR-procedures.
De administratieve rechtbank van Stockholm oordeelde dat een klager krachtens artikel 77 GDPR het recht heeft de Zweedse gegevensbeschermingsautoriteit (IMY) om een beslissing te verzoeken na zes maanden. Tot dusver nam de IMY het standpunt in dat gebruikers geen partij zijn in procedures betreffende hun eigen GDPR-rechten. Het recht op een besluit binnen zes maanden geldt ook indien het IMY een parallel ambtshalve onderzoek instelt naar hetzelfde bedrijf.
Een maand volgens de GDPR wordt in werkelijkheid drie jaar In januari 2019 diende een gebruiker een klacht in bij het Oostenrijkse DSB naar aanleiding van Spotify's involdoende antwoord op zijn toegangsverzoek. De klacht werd doorgestuurd naar het Zweedse IMY, dat verantwoordelijk is voor Spotifyvoor Spotify. Sindsdien is over de zaak geen uitspraak gedaan. In plaats daarvan heeft de Zweedse DPA een breder onderzoek naar Spotify - inmiddels al meer dan drie jaar. Onder de GDPR zou iedereen recht hebben op toegang tot zijn gegevens. De termijn om te reageren op een toegangsverzoek onder de GDPR is een maand.
Verzoek tot besluit afgewezen. Volgens de Zweedse wet kan een partij binnen vier weken een besluitbinnen vier weken, als een autoriteit niet binnen zes maanden een besluit heeft genomen. Na drie jaar inactiviteit verzocht klager om een formeel besluit op grond van afdeling 12 van de Zweedse bestuurswet, dat door het Zweedse IMY werd afgewezen met het argument dat het dat het een parallel ambtshalve onderzoek verricht naar Spotify en dat klager geen partij is in de procedure.
IMY heeft GDPR en Zweeds recht geschondenNa een beroep door noyb tegen het stilzitten van het CBP heeft de administratieve rechtbank van Stockholm dat de De Zweedse wet klagers niet de status van partij ontzegt, zoals onlangs door het Zweedse IMY is betoogd. Bijgevolg was de beslissing van de Zweedse toezichthouder om een gebruiker uit te sluiten van onderzoek naar een door hem ingediende klacht onverenigbaar met de GDPR.
Stefano Rossetti, advocaat gegevensbescherming bij noyb: "Het zegt veel over de handhaving van de GDPR, als toezichthouders niet zelfs gebruikers het recht willen geven om voor hun rechten te vechten. Gebruikers de status van partij ontzeggen betekent dat ze hun rechten niet kunnen afdwingen. We verwelkomen daarom het besluit in Zweden, maar er zijn nog steeds autoriteiten in andere EU-lidstaten die geen partijrechten toekennen."
Zweeds IMY moet handhavingsmodel herzien. De Zweedse rechtbank heeft het IMY opgedragen de klacht te behandelen en te onderzoeken. De beslissing heeft een breder effect voor alle gebruikers in Zweden, aangezien zij zich op de rechterlijke uitspraak kunnen beroepen wanneer zij hun rechten via het IMY afdwingen
Stefano Rossetti: "We zijn blij dat iedereen in Zweden zijn rechten kan afdwingen bij het IMY. We onderzoeken ook de situatie in andere lidstaten."
