Zastavuje DPC skutečně předávání dat mezi Facebookem a USA?! ..možná napůl!
WSJ ve středu večer informoval, že irská Komise pro ochranu údajů ("DPC") údajně vydala "předběžný příkaz", aby Facebook zastavil předávání údajů mezi EU a USA. Začátkem tohoto týdne jsme DPC informovali, že máme v plánu podat předběžný soudní příkaz ohledně jejich rozhodnutí zahájit "druhé" vyšetřování v této věci, protože by tím porušili soudní příkaz z roku 2015.
Současně se zdá, že společnost Facebook (opět) změnila právní základ, o který se opírá při předávání údajů mezi EU a USA v důsledku rozsudku Soudního dvora EU o "štítu na ochranu soukromí" a používání standardních smluvních doložek ("SCC"). Facebook nyní využívá údajnou "potřebu" zadat operace zpracování údajů do USA na základě uživatelské smlouvy a čl. 49 odst. 1 písm. b) GDPR. Podle našich poznatků je tento nový právní základ mimo oblast působnosti "předběžného opatření" DPC.
společnost noyb nyní zveřejňuje tři dopisy, které mohou členům veřejnosti umožnit lepší pochopení jednání společnosti Facebook a DPC.
- Výměna se společností Facebook ze srpna 2020 (PDF)
- Dopis DPC ze dne 31. srpna 2020 (PDF)
- Dopis DPC ze dne 7. září 2020 (PDF)
- Zpráva WSJ (placená)
- Komentář společnosti Facebook
DPC zahájil "paralelní" řízení ke stížnosti, která probíhá již 7 let a týká se pouze používání SCC podle čl. 46 odst. 1 GDPR
S DPC jsme si několikrát vyměnili názory, v nichž jsme požadovali urychlené provedení rozsudku Soudního dvora EU o předávání údajů mezi EU a USA. DPC nenaznačila, že by takové rychlé opatření přijala. Dne 31. srpna 2020 nás DPC v dopise (PDF) informovala, že zahájí druhý případ (nezávislý na řízení o stížnosti, které vedlo k rozsudku SDEU), aby prošetřila, zda se společnost Facbeook spoléhá na standardní smluvní doložky (SCC). Zároveň se DPC rozhodl pozastavit probíhající řízení o stížnosti, které před sedmi lety zahájil pan Schrems , přestože se od roku 2015 zavázal irskému Nejvyššímu soudu, že ve věci rozhodne rychle. DPC zdůraznila, že toto druhé šetření je striktně omezeno na používání SCC společností Facebook podle čl. 46 odst. 1 GDPR.
Max Schrems, čestný předseda noyb.eu: "Samozřejmě vítáme představu, že irská DPC po sedmi letech řízení a pěti soudních rozhodnutích, z nichž všechna potvrdila naše stanovisko, konečně přikročila k plnění svých úkolů. Nicméně tento krok DPC může nakonec vést k dalšímu polovičatému rozhodnutí."
Facebook nyní argumentuje "paralelním" právním základem podle článku 49 GDPR, který nepodléhá omezenému šetření DPC
Tento omezený případ ze strany DPC je obzvláště zajímavý, protože Facebook v dopise z 19. srpna 2020 (PDF, strana 3) uvedl, že (po skončení platnosti Safe Harbor, Privacy Shield a SCC) se nyní opírá o čtvrtý právní základ pro předávání údajů: údajnou "nutnost" zadat zpracování do USA na základě smlouvy se svými uživateli (viz čl. 49 odst. 1 písm. b) GDPR). To znamená, že případné "předběžné nařízení" nebo "druhé šetření" ze strany DPC týkající se pouze SCC ve skutečnosti nezabrání společnosti Facebook tvrdit, že její předávání údajů mezi EU a USA je i nadále legální. V praxi může být čl. 49 odst. 1 písm. b) GDPR vhodným právním základem pro velmi omezené předávání údajů (např. když uživatel z EU posílá zprávu uživateli z USA), ale nelze jej použít k zadání veškerého zpracování údajů do USA.
Max Schrems:"Výbor pro ochranu osobních údajů opět zkoumá pouze jeden výsek problému - stejně jako to již dvakrát udělal v rámci šetření týkajícího se Safe Harboru a SCC. Zdá se, že Facebook chce, aby se DPC zaměřila také pouze na SCC, aby na konci tohoto řízení mohla prostě vytáhnout další právní základ. Toto právní vydání "whac-a-mole" trvá již sedm let. Mám proto podezření, že údajné předběžné opatření proti Facebooku je dalším zbytečným krokem, který věc plně nevyřeší."
noyb plánuje vydání předběžného opatření, aby zastavil špatné hospodaření DPC
V reakci na tuto situaci zaslal advokát zastupující pana Schremse tento týden v pondělí DPC dopis (PDF), ve kterém zdůrazňuje, že Facebook rovněž využívá článek 49 a DPC zjevně porušuje soudní příkaz, když (opět) pozastavuje řízení o stížnostech z roku 2013, jen aby zahájil zbytečné druhé šetření pouze dílčího problému původní stížnosti. Podle irského práva se DPC pravděpodobně dopustí "pohrdání soudem", což je velmi závažná záležitost, která může mít pro vedoucího DPC závažné důsledky.
společnost noyb informovala DPC, že plánujeme podat předběžný soudní příkaz, abychom zajistili, že DPC podnikne kroky ke všem údajným právním základům, na které se Facebook při předávání údajů odvolává (SCC podle článku 46 a údajná "smlouva" podle článku 49 GDPR), a to v rámci probíhajícího řízení o stížnosti, jak předpokládá zákon.
Schrems:"Únik informací o tajném "předběžném opatření" proti Facebooku ukazuje, že se DPC snažilo vést tajné řízení bez účasti stěžovatele. Ačkoli takový příkaz měl být vydán již v roce 2013, jsme velmi znepokojeni tím, že DPC opět zahajuje pouze omezené šetření, které plně nezjistí všechny aspekty případu. Proto podnikneme v Irsku příslušné právní kroky, abychom zajistili, že práva uživatelů budou plně dodržena - bez ohledu na to, jakého právního základu se Facebook dovolává. Po sedmi letech je třeba vyložit všechny karty na stůl."
Není jasné, jak únik informací o "předběžném opatření" souvisí s tímto pozadím případu. DPC se ve středu večer dohodla, že se k případnému předběžnému opatření vrátí do pátku 11. září 2020. Právníci pana Schremse si od DPC vyžádají všechny dokumenty, které byly zmíněny v exkluzivním článku WSJ.
