导读
当地时间2023年3月24日，欧洲消费者组织（BEUC）发布了关于协调和优化GDPR法域下数据跨境传输程序性规则的建议性文件（BEUC’S RECOMMENDATIONS ON HARMONISING CROSS-BORDER PROCEDURAL MATTERS IN THE GDPR，以下称“《建议文件》”）。
为了在各成员国之间建立更加高效的数据跨境传输机制，促进各成员国达成更为团结紧密的合作，该《建议文件》列举性描述了三类欧盟《通用数据保护条例》（General Data Protection Regulation，“GDPR”）项下开展数据跨境传输活动所面临的程序性现实困境，并据此向欧洲数据保护委员会（European Data Protection Board，“EDPB”）提出了三点立法建议。
此外，该《建议文件》还详细阐释了发布此立法倡议的核心理念和基本立场：数据保护相关的程序和制度应具备连贯性、一致性和标准性，因此程序协调和优化工作应被视为GDPR适用和执行中的重要组成部分。该《建议文件》的发布旨在确保数据主体能以公平、高效、可负担的方式行使其合法权利，最大限度保障数据主体的法益。
本文汇总梳理了该《建议文件》文本的核心内容及要点如下，供相关企业参考。
困境一：重复投诉
GDPR第77条第1款明确规定如果数据主体认为针对其个人数据的相关处理活动违反了GDPR项下的规定，有权向其惯常居所、工作地或涉嫌侵权地点所在成员国的监督机构提出投诉。根据GDPR第80条第2款规定， 即使在未获得数据主体授权的情况下，成员国内的机构、组织或协会仍有权在该成员国内就该数据主体权利受到侵犯的情形向相关监督机构提出投诉。
基于上述规定，数据主体个人及相关组织或协会均有权就个人数据法益受到侵害的情形提出投诉，而不同投诉方就相同事项向不同监督机构所提出的投诉均需经过相应的审查处理流程，由此引发了广泛存在的“重复投诉”问题。
BEUC建议：
为避免投诉及审查程序的重复和资源浪费，BEUC针对上述困境建议“相互承认原则”应适用于代表数据主体提交的投诉及其受理程序。具体如下：
消费者组织或其他代表数据主体的非政府组织所提出的投诉只应由收到投诉的监督机构审查一次；
投诉的可接受性只应由收到投诉的监督机构评估一次。
困境二：程序性权利不对等
监督机构在接到数据主体或代表数据主体提出投诉的机构/组织/协会提出的数据主体法益受到侵害的投诉时，可以选择直接处理或启动自主调查。而在当下的某些司法辖区，若监督机构启动自主调查，投诉方（数据主体或代表数据主体提出投诉的机构/组织/协会）并不具备在投诉被直接处理情况下相同的陈述权及文件查阅权，进而导致了投诉方和被投诉方程序性权利不对等的问题。
BEUC建议：
为避免上述程序性权利不对等的问题及潜在的司法不公隐患，BEUC提出建议如下：
投诉方应被视为程序的当事方，并拥有与被投诉方相同的听证和查阅文件的权利；
在自主调查和投诉程序同时启动时，监督机构应确保自主调查程序不会以任何方式损害投诉方的合法权益；
当涉及多个监督机构协同合作，当局就该投诉做出的决定仅通知了其中一个监督机构时，该机构须将该决定通知其他参与机构。
困境三：投诉处理流程效率低
在处理个人数据主体法益受到侵害的投诉的相关司法实践中，在程序层面存在以下亟待解决的时效性问题：
指定主管监督机构不够及时；
针对投诉的处理、审查及决定做出不够及时；
部分投诉人可以通过主管监督机构及其他相关监督机构获取案件进展，而在另外一些司法辖区的投诉人仅能通过其他相关监督机构的途径获知案件进展，无法直接与主管监督机构取得联系，因此会出现案件信息更新不及时的情形。
BEUC建议：
针对上述问题，BEUC提出建议如下：
设定指定主管监督机构的截止期限；
设定针对投诉进行处理及做出决定的合理时间线及截止期限；
加强主管监督机构及其他监督机构的信息共享和交流合作，确保投诉人可以及时获取案件进展并在时效内行使其程序性权利。
正文
当地时间2023年3月24日，欧洲消费者组织（BEUC）发布了关于协调和优化GDPR法域下数据跨境传输程序性规则的建议性文件（BEUC’S RECOMMENDATIONS ON HARMONISING CROSS-BORDER PROCEDURAL MATTERS IN THE GDPR，以下称“《建议文件》”）。
为了在各成员国之间建立更加高效的数据跨境传输机制，促进各成员国达成更为团结紧密的合作，该《建议文件》列举性描述了三类欧盟《通用数据保护条例》（General Data Protection Regulation，“GDPR”）项下开展数据跨境传输活动所面临的程序性现实困境，并据此向欧洲数据保护委员会（European Data Protection Board，“EDPB”）提出了三点立法建议。
此外，该《建议文件》还详细阐释了发布此立法倡议的核心理念和基本立场：数据保护相关的程序和制度应具备连贯性、一致性和标准性，因此程序协调和优化工作应被视为GDPR适用和执行中的重要组成部分。该《建议文件》的发布旨在确保数据主体能以公平、高效、可负担的方式行使其合法权利，最大限度保障数据主体的法益。
本文汇总梳理了该《建议文件》文本的核心内容及要点如下，供相关企业参考。
困境一：重复投诉
GDPR第77条第1款明确规定如果数据主体认为针对其个人数据的相关处理活动违反了GDPR项下的规定，有权向其惯常居所、工作地或涉嫌侵权地点所在成员国的监督机构提出投诉。根据GDPR第80条第2款规定， 即使在未获得数据主体授权的情况下，成员国内的机构、组织或协会仍有权在该成员国内就该数据主体权利受到侵犯的情形向相关监督机构提出投诉。
基于上述规定，数据主体个人及相关组织或协会均有权就个人数据法益受到侵害的情形提出投诉，而不同投诉方就相同事项向不同监督机构所提出的投诉均需经过相应的审查处理流程，由此引发了广泛存在的“重复投诉”问题。
BEUC建议：
为避免投诉及审查程序的重复和资源浪费，BEUC针对上述困境建议“相互承认原则”应适用于代表数据主体提交的投诉及其受理程序。具体如下：
消费者组织或其他代表数据主体的非政府组织所提出的投诉只应由收到投诉的监督机构审查一次；
投诉的可接受性只应由收到投诉的监督机构评估一次。
困境二：程序性权利不对等
监督机构在接到数据主体或代表数据主体提出投诉的机构/组织/协会提出的数据主体法益受到侵害的投诉时，可以选择直接处理或启动自主调查。而在当下的某些司法辖区，若监督机构启动自主调查，投诉方（数据主体或代表数据主体提出投诉的机构/组织/协会）并不具备在投诉被直接处理情况下相同的陈述权及文件查阅权，进而导致了投诉方和被投诉方程序性权利不对等的问题。
BEUC建议：
为避免上述程序性权利不对等的问题及潜在的司法不公隐患，BEUC提出建议如下：
投诉方应被视为程序的当事方，并拥有与被投诉方相同的听证和查阅文件的权利；
在自主调查和投诉程序同时启动时，监督机构应确保自主调查程序不会以任何方式损害投诉方的合法权益；
当涉及多个监督机构协同合作，当局就该投诉做出的决定仅通知了其中一个监督机构时，该机构须将该决定通知其他参与机构。
困境三：投诉处理流程效率低
在处理个人数据主体法益受到侵害的投诉的相关司法实践中，在程序层面存在以下亟待解决的时效性问题：
指定主管监督机构不够及时；
针对投诉的处理、审查及决定做出不够及时；
部分投诉人可以通过主管监督机构及其他相关监督机构获取案件进展，而在另外一些司法辖区的投诉人仅能通过其他相关监督机构的途径获知案件进展，无法直接与主管监督机构取得联系，因此会出现案件信息更新不及时的情形。
BEUC建议：
针对上述问题，BEUC提出建议如下：
设定指定主管监督机构的截止期限；
设定针对投诉进行处理及做出决定的合理时间线及截止期限；
加强主管监督机构及其他监督机构的信息共享和交流合作，确保投诉人可以及时获取案件进展并在时效内行使其程序性权利。
正文