Το DPC σταματά στην πραγματικότητα τις μεταφορές δεδομένων ΕΕ-ΗΠΑ του Facebook ;! .. Ίσως στα μισά του δρόμου!
Το WSJ ανέφερε την Τετάρτη το βράδυ ότι η Ιρλανδική Επιτροπή Προστασίας Δεδομένων ("DPC") φέρεται να εξέδωσε "προκαταρκτική εντολή" για το Facebook να σταματήσει τη μεταφορά δεδομένων ΕΕ-ΗΠΑ. Νωρίτερα αυτήν την εβδομάδα, ενημερώσαμε το DPC ότι σκοπεύουμε να καταθέσουμε προσωρινή διαταγή σχετικά με την απόφασή τους να ξεκινήσουν μια "δεύτερη" έρευνα για το θέμα, καθώς κάτι τέτοιο θα παραβίαζε δικαστική απόφαση του 2015.
Ταυτόχρονα, το Facebook φαίνεται να έχει αλλάξει (για άλλη μια φορά) τη νομική βάση στην οποία βασίζεται για τη διαβίβαση δεδομένων ΕΕ-ΗΠΑ μετά την απόφαση του CJEU σχετικά με το "Privacy Shield" και τη χρήση τυπικών συμβατικών ρητρών ("SCCs") "). Το Facebook χρησιμοποιεί τώρα μια υποτιθέμενη «ανάγκη» για εξωτερική ανάθεση εργασιών επεξεργασίας δεδομένων στις ΗΠΑ βάσει της συμφωνίας χρήστη και του άρθρου 49 παράγραφος 1 στοιχείο β) του GDPR. Σύμφωνα με τις γνώσεις μας, αυτή η νέα νομική βάση δεν εμπίπτει στο πεδίο εφαρμογής της «προκαταρκτικής εντολής» του DPC.
Η noyb δημοσιεύει τώρα τρεις επιστολές που ενδέχεται να επιτρέψουν στα μέλη του κοινού να κατανοήσουν καλύτερα τις συναλλαγές του Facebook και του DPC.
- Ανταλλαγή με Facebook από τον Αύγουστο του 2020 (PDF)
- Επιστολή από το DPC της 31ης Αυγούστου 2020 (PDF)
- Επιστολή προς το DPC της 7ης Σεπτεμβρίου 2020 (PDF)
- Αναφορά από το WSJ (paywalled)
- Σχόλιο από το Facebook
Η DPC άνοιξε μια "παράλληλη" υπόθεση σε μια καταγγελία που βρίσκεται σε εξέλιξη για 7 χρόνια σχετικά με τη χρήση SCC μόνο βάσει του άρθρου 46 παράγραφος 1 του GDPR
Είχαμε αρκετές ανταλλαγές με το DPC στις οποίες ζητήσαμε την ταχεία εφαρμογή της Απόφασης από το CJEU σχετικά με τις μεταφορές δεδομένων ΕΕ-ΗΠΑ. Το DPC δεν ανέφερε ότι θα προβεί σε τέτοια γρήγορη ενέργεια. Στις 31 Αυγούστου 2020, το DPC μας ενημέρωσε με επιστολή (PDF) ότι θα ανοίξει μια δεύτερη υπόθεση (ανεξάρτητη από τη διαδικασία καταγγελιών που οδηγεί στην απόφαση του CJEU) για να διερευνήσει την εξάρτηση της Facbeook από τις τυπικές συμβατικές ρήτρες (SCCs). Ταυτόχρονα, το DPC αποφάσισε να θέσει σε παύση τη συνεχιζόμενη διαδικασία καταγγελιών που κίνησε ο κ. Schrems πριν από επτά χρόνια, παρά τη δέσμευση στο ιρλανδικό ανώτατο δικαστήριο από το 2015 να αποφασίσει γρήγορα την υπόθεση. Το DPC τόνισε ότι αυτή η δεύτερη έρευνα περιορίζεται αυστηρά στη χρήση του SCC από το Facebook σύμφωνα με το άρθρο 46 παράγραφος 1 του GDPR.
Ο Max Schrems, επίτιμος πρόεδρος του noyb.eu : "Χαιρετίζουμε προφανώς την ιδέα ότι η ιρλανδική DPC κινείται επιτέλους προς τη δουλειά της μετά από επτά χρόνια διαδικασιών και πέντε δικαστικές αποφάσεις, όλες οι οποίες επιβεβαίωσαν τη θέση μας. Ωστόσο, αυτή η κίνηση του Το DPC μπορεί τελικά να οδηγήσει σε άλλη ημι-καρδιά απόφαση. "
Το Facebook υποστηρίζει τώρα «παράλληλη» νομική βάση σύμφωνα με το άρθρο 49 του GDPR που δεν υπόκειται στην περιορισμένη έρευνα του DPC
Αυτή η περιορισμένη υπόθεση από το DPC είναι ιδιαίτερα ενδιαφέρουσα, καθώς το Facebook έχει δηλώσει σε επιστολή του από τις 19 Αυγούστου 2020 (PDF, σελίδα 3) ότι (μετά το τέλος του Safe Harbor, Privacy Shield και των SCC) βασίζεται τώρα σε ένα τέταρτο νομικό βάση για τη μεταφορά δεδομένων: η υποτιθέμενη «αναγκαιότητα» για εξωτερική ανάθεση επεξεργασίας στις ΗΠΑ βάσει της σύμβασης με τους χρήστες της (βλέπε άρθρο 49 παράγραφος 1 στοιχείο β) του GDPR). Αυτό σημαίνει ότι οποιαδήποτε «προκαταρκτική παραγγελία» ή «δεύτερη έρευνα» από το DPC μόνο στα SCC δεν θα εμποδίσει το Facebook να υποστηρίξει ότι οι διαβιβάσεις δεδομένων ΕΕ-ΗΠΑ εξακολουθούν να είναι νόμιμες. Στην πράξη, το άρθρο 49 παράγραφος 1 στοιχείο β) του GDPR μπορεί να είναι η κατάλληλη νομική βάση για πολύ περιορισμένες μεταφορές δεδομένων (π.χ. όταν ένας χρήστης της ΕΕ στέλνει ένα μήνυμα σε έναν χρήστη των ΗΠΑ), αλλά δεν μπορεί να χρησιμοποιηθεί για εξωτερική ανάθεση όλης της επεξεργασίας δεδομένων στις ΗΠΑ .
Max Schrems: " Το DPC διερευνά και πάλι μόνο ένα κομμάτι του προβλήματος - όπως έχουν κάνει ήδη δύο φορές στις έρευνες για το Safe Harbor και τα SCC. Το Facebook φαίνεται να θέλει το DPC να επικεντρώνεται μόνο στα SCCs, έτσι ώστε να μπορώ απλώς να βγάλω την επόμενη νομική βάση στο τέλος αυτής της διαδικασίας. Αυτή η νομική έκδοση του «whac-a-mole» βρίσκεται σε εξέλιξη εδώ και επτά χρόνια. Ως εκ τούτου, υποψιάζομαι ότι η υποτιθέμενη προκαταρκτική απόφαση εναντίον του Facebook είναι ένα άλλο άχρηστο βήμα που θα να μην λύσει πλήρως το ζήτημα. "
Η noyb σχεδιάζει μια προσωρινή διαταγή για να σταματήσει την κακοδιαχείριση από το DPC
Σε απάντηση σε αυτήν την κατάσταση, ο δικηγόρος που εκπροσωπεί τον κ. Schrems έστειλε επιστολή στο DPC τη Δευτέρα αυτήν την εβδομάδα (PDF) , επισημαίνοντας ότι το Facebook χρησιμοποιεί επίσης το άρθρο 49 και το DPC παραβιάζει σαφώς μια δικαστική απόφαση παύοντας (για άλλη μια φορά) διαδικασία καταγγελιών από το 2013, απλώς για να ξεκινήσει μια περιττή δεύτερη έρευνα μόνο για ένα δευτερεύον ζήτημα της αρχικής καταγγελίας. Σύμφωνα με την ιρλανδική νομοθεσία, το DPC είναι πιθανό να βρίσκεται σε «περιφρόνηση δικαστηρίου» - ένα πολύ σοβαρό ζήτημα που μπορεί να οδηγήσει σε σοβαρές συνέπειες για τον επικεφαλής του DPC.
Η noyb ενημέρωσε το DPC ότι σκοπεύουμε να υποβάλουμε ασφαλιστική απόφαση για να διασφαλίσουμε ότι το DPC θα αναλάβει δράση σε όλες τις εικαζόμενες νομικές βάσεις στις οποίες βασίζεται η μεταφορά δεδομένων από το Facebook (τα SCC σύμφωνα με το άρθρο 46 και η υποτιθέμενη "σύμβαση" σύμφωνα με το άρθρο 49 GDPR) και να το πράξει στο πλαίσιο της εν εξελίξει διαδικασίας παραπόνων, όπως προβλέπει ο νόμος.
Schrems: " Η διαρροή σχετικά με μια μυστική« προκαταρκτική παραγγελία »εναντίον του Facebook δείχνει ότι το DPC προσπαθούσε να εκτελέσει μια μυστική διαδικασία χωρίς τον καταγγέλλοντα. Ενώ μια τέτοια εντολή έπρεπε να είχε εκδοθεί το 2013, ανησυχούμε πολύ ότι το DPC είναι και πάλι μόνο ξεκινώντας μια περιορισμένη έρευνα που δεν θα καθορίσει πλήρως όλες τις πτυχές της υπόθεσης. Ως εκ τούτου, θα αναλάβουμε την κατάλληλη νομική δράση στην Ιρλανδία για να διασφαλίσουμε την πλήρη τήρηση των δικαιωμάτων των χρηστών - ανεξάρτητα από τη νομική βάση που ισχυρίζεται το Facebook . Μετά από επτά χρόνια, όλα κάρτες πρέπει να τοποθετηθούν στο τραπέζι . "
Δεν είναι σαφές πώς η διαρροή στην «προδικαστική απόφαση» σχετίζεται με αυτό το ιστορικό της υπόθεσης. Το DPC συμφώνησε την Τετάρτη το βράδυ να επανέλθει στην πιθανή παρεμβάσεις μέχρι την Παρασκευή 11 Σεπτεμβρίου 2020. Οι δικηγόροι του κ. Schrems θα ζητήσουν όλα τα έγγραφα που αναφέρονται στο WSJ αποκλειστικά από το DPC.
