Zweden: Gebruikers zijn geen partij in hun eigen privacyrechten?
De Zweedse gegevensbeschermingsautoriteit weigert een beslissing te nemen over een GDPR-klacht, met als argument dat de gebruiker geen partij is in zijn eigen rechten. In wezen lijkt het IMY van mening te zijn dat het "recht op een klacht" onder artikel 77 GDPR, dat iedereen vrije toegang tot handhaving zou moeten geven, alleen een recht is om een "verzoekschrift" bij de autoriteit in te dienen. noyb gaat vandaag in beroep bij de administratieve rechtbank in Stockholm.
Een maand GDPR wordt in werkelijkheid drie jaar. Volgens de GDPR heeft iedereen recht op toegang tot zijn gegevens, inclusief een kopie van alle gegevens en een verklaring over het gebruik van de gegevens. De wettelijke termijn voor het reageren op een toegangsverzoek is één maand. In 2019 heeft noyb , in het kader van een project over streamingbedrijven, ook een klacht ingediend tegen Spotify over een onvolledig antwoord op een toegangsverzoek. De klacht, ingediend in Oostenrijk, werd doorgestuurd naar het Zweedse IMY, dat verantwoordelijk is voor Spotify. Sindsdien is nog geen uitspraak gedaan in de zaak. In plaats daarvan beweert de Zweedse gegevensbeschermingsautoriteit dat er een breder onderzoek naar Spotify loopt - al meer dan drie jaar. De betrokken gebruiker wacht echter nog steeds op alle relevante informatie
Verzoek om te beslissen afgewezen. Volgens de Zweedse wet kan een partij binnen vier weken om een beslissing vragen, als een autoriteit niet binnen zes maanden een beslissing heeft genomen. In juni 2022 heeft noyb een dergelijk verzoek naar het Zweedse IMY gestuurd. Verrassend genoeg wees het Zweedse IMY het verzoek af met het argument dat de betrokkene geen deel uitmaakte van de procedure over zijn recht op toegang.
"Stel je voor dat je geen partij bent in een zaak over je bouwvergunning of je recht op vrije meningsuiting. Het idee dat we in de EU een fundamenteel recht op gegevensbescherming hebben, maar dat je dat in Zweden niet afgedwongen kunt krijgen, is gewoon verbijsterend. De GDPR is duidelijk over het recht om een klacht in te dienen en het recht om in beroep te gaan als er geen besluit wordt genomen - Max Schrems, voorzitter van noyb.eu
Administratieve inactiviteit wordt willekeurig. De situatie waarin de betrokkene zich bevindt, is dus paradoxaal. Zowel de GDPR als de Oostenrijkse wetgeving kennen aan de klager de rol van partij in de geschillenprocedure toe. Wanneer de procedure echter op grond van de GDPR naar een andere leidende autoriteit wordt gestuurd, lijken deze garanties in werkelijkheid te verdwijnen. Volgens IMY's interpretatie van de Zweedse wet heeft een klager geen mogelijkheid om deel te nemen aan de procedure of om zijn of haar rechten afgedwongen te krijgen. Het zou dus een volstrekt arbitraire beslissing van bureaucraten zijn of mensen hun rechten al dan niet kunnen laten afdwingen - zonder enige beroepsmogelijkheid als het IMY geen zin heeft zijn werk te doen.
"Het komt erop neer dat het IMY zegt dat het de rechten van Europeanen uit hoofde van de GDPR gewoon kan negeren. Dat is noch wat de GDPR zegt, noch wat de rechtsstaat vereist." - Max Schrems, voorzitter van noyb.eu
Beroep tegen het stilzitten van de DPA. Om deze redenen heeft noyb besloten in beroep te gaan tegen het besluit van het IMY. Samengevat verwerpt het beroep het idee dat een betrokkene geen deel uitmaakt van een procedure over zijn of haar eigen rechten. Als de zaak succesvol is, zal het IMY de rechten van de gebruikers moeten afdwingen, zoals bepaald in de GDPR.
