GDPR Rättigheter i Sverige: Domstol slår fast att myndighet måste utreda klagomål.
Hittills har Svenska IMY ansett att användare inte har partsrättigheter i GDPR-förfaranden.
Förvaltningsrätten i Stockholm ansåg att en klagande enligt artikel 77 i dataskyddsförordningen har rätt att begära ett beslut från Datainspektionen (IMY) efter sex månader efter sex månader. Hittills har IMY haft uppfattningen att användare inte är part i förfaranden som rör deras egna GDPR-rättigheter. Rätten att få ett beslut inom sex månader gäller även om IMY inleder en parallell undersökning på eget initiativ av samma företag.
En månad enligt GDPR blir till tre år i verkligheten. I januari 2019 lämnade en användare in ett klagomål till den österrikiska DSB som svar på Spotifys itillräckliga svar på hans begäran om tillgång. Klagomålet vidarebefordrades till svenska IMY, som är ansvarigför Spotify. Sedan dess har inget beslut fattats i ärendet. Istället har den svenska datainspektionen hävdat att de har en bredare utredning om Spotify - i mer än tre år vid det här laget. Enligt GDPR skulle alla ha rätt att få tillgång till sina uppgifter. Tidsfristen för att svara på en begäran om tillgång till uppgifter enligt GDPR är en månad.
Begäran om att få besluta avslås. Enligt svensk lag kan en part begära ett beslutinom fyra veckor om en myndighet inte har fattat beslut inom sex månader. Efter tre års inaktivitet begärde klaganden ett formellt beslut enligt 12 § i den svenska förvaltningslagen, vilket avslogs av den svenska IMY med motiveringen att de genomför en parallell undersökning på eget initiativ av Spotify och att den klagande inte är part i förfarandet.
IMY bröt mot GDPR och svensk lag. Efter ett överklagande av noyb mot Datainspektionens passivitet fann förvaltningsrätten i Stockholm förvaltningsrätten i Stockholm att Svensk lag inte nekar klagande partsställning, vilket nyligen hävdats av svenska IMY. Följaktligen var den svenska tillsynsmyndighetens beslut att utesluta en användare från utredning av ett klagomål som han lämnat in oförenligt med dataskyddsförordningen.
Stefano Rossetti, dataskyddsjurist på noyb: "Det säger en hel del om tillämpningen av GDPR, om tillsynsmyndigheter inte ens vill ge användarna rätt att kämpa för sina rättigheter. Att neka användare status som part innebär att de inte kan hävda sina rättigheter. Vi välkomnar därför beslutet i Sverige, men det finns fortfarande myndigheter i andra EU-länder som inte beviljar partsrättigheter."
Svenska IMY ska se över sin modell. Den Svenska domstolen beordrade IMY att handlägga och utreda klagomålet. Beslutet har en bredare effekt för alla användare i Sverige, eftersom de kan förlita sig på domstolsbeslutet när de utkräver sina rättigheter via IMY.
Stefano Rossetti: "Vi är glada över att ha öppnat upp möjligheten för alla i Sverige att hävda sina rättigheter inför IMY. Vi ser över situationen i andra medlemsländer också."
