Två domar från Högsta förvaltningsdomstolen om individers rätt att överklaga IMY:s beslut

Bakgrund

I januari 2023 meddelade Högsta förvaltningsdomstolen (HFD) prövningstillstånd i två mål som gällde just överklagbarheten av IMY:s beslut. Det ena rörde IMY:s beslut att avsluta ett klagomålsärende, och det andra rörde att IMY hade avslutat ett klagomålsärende i samband med att ett tillsynsärende öppnades för att därefter besluta att avsluta tillsynsärendet utan åtgärd.

Enligt tidigare gällande praxis från HFD gäller att Integritetsskyddsmyndighetens (IMY:s) (tidigare Datainspektionen) beslut att inte vidta någon åtgärd med anledning av ett klagomål från en enskild eller beslut att avskriva ett tillsynsärende inte går att överklaga (RÅ 2010 ref. 29). I samband med införandet av GDPR, framfördes i svenska förarbeten till dataskyddslagen (2018:218) att det blir upp till domstolarna att ta ställning till om den tidigare gällande praxis fortsatt är relevant eller om rättsläget har förändrats genom införandet av GDPR (Prop. 2017/18:105 s. 164–165).

Den 17 november meddelade HFD dom i båda fallen och anförde att båda besluten från IMY är överklagbara. Rättsläget har därmed ändrats jämfört med tidigare. Här nedan redogör vi för HFD:s domar i korthet.

Vad säger GDPR om överklagbarhet och rätten till prövning för individer?

Av GDPR följer att varje fysisk eller juridisk person ska ha rätt till ett effektivt rättsmedel mot ett rättsligt bindande beslut rörande dem som meddelats av en tillsynsmyndighet, vilket i Sverige är IMY (art. 78.1 GDPR). I skälen till GDPR framhävs särskilt att alla registrerade bör ha rätt att lämna in klagomål och ett effektivt rättsmedel bland annat om den nationella tillsynsmyndigheten inte reagerar på ett klagomål, helt eller delvis avslår eller avvisar ett klagomål eller inte agerar när så är nödvändigt för att skydda den registrerades rättigheter (skäl 141).

HFD:s domar i korthet

Beslut att avsluta ett klagomålsärende (mål nr 6193–22)

I det ena fallet avslutade IMY ett klagomålsärende utan att vidta någon ytterligare åtgärd. Individen överklagade till förvaltningsrätten som avvisade överklagandet med grunden att IMY:s beslut att inte vidta någon åtgärd med anledning av klagomålet inte ansågs påverka individen på ett sådant sätt att det är överklagbart. Avvisningsbeslutet överklagades till kammarrätten som avslog överklagandet och anförde att tillämpliga bestämmelser inte innehåller någon uttrycklig reglering av vilka beslut av IMY i klagomålsärenden som ska kunna överklagas. Huruvida IMY:s avvisningsbeslut är överklagbart eller inte behövde därför bedömas utifrån vilka faktiska verkningar beslutet får för den som berörs (41 § förvaltningslagen (2017:900). IMY:s avvisningsbeslut ansågs inte ha sådan påverkan på den enskilde som krävs för att vara överklagbart.

HFD anförde istället med stöd av GDPR att beslut vars innebörd är att IMY inte kommer att göra vad som begärts i ett klagomål, alltså att utreda klagomålet, måste betraktas som ett rättsligt bindande beslut som är överklagbart enligt artikel 78.1 GDPR.

HFD:s dom i dess helhet går att läsa här.

Beslut att avsluta klagomålsärende och lämna tillsynsärende utan åtgärd (mål nr 3691–22)

I det andra fallet hade en individ lämnat in ett klagomål till IMY och IMY valde att inleda ett tillsynsärende med anledning av klagomålet och i samband med det avsluta individens klagomålsärende. IMY avslutade därefter tillsynsärendet utan åtgärd med anledning av att GDPR inte bedömdes vara tillämplig på frågan föremål för tillsynen.

Individen överklagade till förvaltningsrätten som avvisade beslutet då det inte ansågs påverka individen på ett sådant sätt att det var överklagbart. Kammarrätten undanröjde beslutet och återförvisade det till förvaltningsrätten igen då kammarrätten bedömde att det rörde sig om ett rättsligt bindande beslut av IMY som individen ska ha rätt att få prövat med effektivt rättsmedel. IMY överklagade därefter kammarrättens beslut om återförvisning till HFD.

HFD gick på kammarrättens linje och anförde att om IMY avslutar ett klagomålsärende för att inleda ett tillsynsärende tar myndigheten ställning till klagomålet först när tillsynsärendet behandlas. Om tillsynsärendet avviker från vad som begärts i klagomålsärendet uppstår samma situation som om klagomålsärendet hade avslutats direkt, likt i det först redogjorda fallet. Eftersom individens klagomål inte lett till de begärda åtgärderna ansågs individen även i en sådan situation ha rätt att överklaga IMY:s beslut.

HFD:s dom i dess helhet går att läsa här.

Vad kan vi förvänta oss efter HFD:s domar?

Genom HFD:s domar har rättsläget ändrats jämfört med tidigare praxis och det har nu klargjorts att individer har rätt att överklaga beslut av den typ som redogjorts för ovan.

En tänkbar effekt är att domstolarna kommer att hantera fler överklaganden från individer i olika GDPR-relaterade rättsfrågor där IMY har varit beslutande myndighet. IMY har uttryckt att myndigheten välkomnar HFD:s vägledande praxis kring frågan om enskildas rätt att överklaga beslut.

Hör gärna av dig till oss på Cederquist om du har några frågor om överklagbara beslut från IMY eller om GDPR generellt.