Högsta förvaltningsdomstolen prövar rätten att överklaga IMY:s beslut

Integritetsskyddsmyndigheten (IMY) utövar tillsyn av GDPR i Sverige. Om IMY beslutar att avsluta ett tillsynsärende utan åtgärd har det tidigare inte varit möjligt att överklaga IMY:s beslut men detta kan nu komma att ändras när Högsta förvaltningsdomstolen tar upp ett spännande fall till prövning.

Kort om de rättsliga utgångspunkterna

Utgångspunkten enligt förvaltningslagen är att beslut som kan antas påverka individens situation på ett inte obetydligt sätt får överklagas (41 §). Överklagan får ske av den som beslutet angår, om det har gått individen emot (42 §).

Av artikel 78.1 i GDPR följer att varje fysisk eller juridisk person ska ha rätt till ett effektivt rättsmedel mot ett rättsligt bindande beslut som meddelats av en tillsynsmyndighet och som rör dem. Även av skäl 143 till GDPR följer att rätten till effektivt rättsmedel inte gäller för åtgärder som tillsynsmyndigheten vidtagit som inte är rättsligt bindande. IMY:s beslut enligt GDPR får överklagas till allmän förvaltningsdomstol (7 kap. 3 § i dataskyddslagen (2018:218)).

Förvaltningsrätten

Det aktuella målet grundar sig i ett beslut från IMY där IMY hade beslutat att inte vidta några åtgärder. Tillsynsärendet grundade sig i en enskild individs klagomål (DI-2021-7696). Den enskilde överklagade IMY:s beslut, men Förvaltningsrätten i Stockholm avvisade då överklagan genom beslut den 11 februari 2022 (mål nr 180-22).

Förvaltningsrätten menade att IMY:s beslut att inte vidta någon åtgärd på grund av ett klagomål, inte är ett överklagarbart beslut, med hänvisning till tidigare praxis (RÅ 2010 ref. 29 och Kammarrätten i Stockholms dom den 9 juli 2020, mål nr 30-20).

Kammarrätten

Den enskilde överklagade förvaltningsrättens beslut. Kammarrätten i Stockholm meddelade prövningstillstånd och avgjorde frågan genom dom den 18 maj 2022 (mål nr 1426-22).

Kammarrätten konstaterade att beslutet IMY fattat innebar ett ställningstagande till den enskildes klagomål i sak och att IMY:s avslag av den enskildes klagomål utgör ett rättsligt bindande beslut. Kammarrätten ansåg därför att den enskilde därmed har rätt till effektivt rättsmedel enligt artikel 78.1 i GDPR samt att beslutet var av sådan karaktär att den enskildes situation kan antas påverkas på ett inte obetydligt sätt.

Kammarrättens slutsats blev därmed att beslutet är överklagbart till allmän förvaltningsdomstol och undanröjde förvaltningsrättens beslut. Målet visades åter till förvaltningsrätten för prövning av den enskildes överklagande.

Högsta förvaltningsdomstolen

IMY överklagade kammarrättens dom och Högsta förvaltningsdomstolen meddelade den 26 januari 2023 prövningstillstånd i frågan. Högsta förvaltningsdomstolen ska nu alltså ge sin syn på om IMY:s beslut att avsluta ett tillsynsärende utan åtgärd är överklagbart.

Det är glädjande att Högsta förvaltningsdomstolen ser ett behov av prejudikat i frågor kopplade till dataskydd och GDPR. Om Högsta förvaltningsdomstolen väljer att gå på kammarrättens linje kan det leda till att en större mängd integritetsskyddsfrågor prövas av allmän förvaltningsdomstol, då antalet överklagbara beslut från IMY blir fler. En annan intressant fråga är hur detta kommer att påverka IMY:s arbete. Delphi följer såklart detta noga!

Denna artikel är skriven av Associate Erica Thore.