¡¿El DPC realmente está deteniendo las transferencias de datos de Facebook entre la UE y los EE.UU.?! ...¡quizás a mitad de camino!
El WSJ informó el miércoles por la noche que la Comisión Irlandesa de Protección de Datos ("DPC") ha emitido presuntamente una "orden preliminar" para que Facebook detenga las transferencias de datos entre la UE y los EE.UU. A principios de esta semana, informamos a la DPC que planeamos presentar una orden interlocutoria sobre su decisión de instigar una "segunda" investigación sobre el asunto, ya que al hacerlo se violaría una orden judicial de 2015
Al mismo tiempo, Facebook parece haber cambiado (una vez más) la base jurídica en la que se apoya para las transferencias de datos entre la Unión Europea y los Estados Unidos tras la sentencia del Tribunal de Justicia de las Comunidades Europeas sobre el "Privacy Shield" y el uso de las cláusulas contractuales estándar. Facebook utiliza ahora una supuesta "necesidad" de subcontratar las operaciones de procesamiento de datos a los Estados Unidos en virtud del acuerdo de usuario y el artículo 49 1) b) de la Ley de Protección de Datos. De acuerdo a nuestro conocimiento, esta nueva base legal está fuera del alcance de la "orden preliminar" del DPC.
noyb está publicando ahora tres cartas que pueden permitir a los miembros del público entender mejor los tratos de Facebook y el DPC.
- Intercambio con Facebook a partir de agosto de 2020 (PDF)
- Carta del DPC del 31 de agosto de 2020 (PDF)
- Carta al DPC del 7 de septiembre de 2020 (PDF)
- Informe del WSJ (paywalled)
- Comentario de Facebook
El DPC abrió un caso "paralelo" a una denuncia que lleva 7 años en curso sobre la utilización de los SCC en virtud del artículo 46 1) del PIBR solamente
Tuvimos varios intercambios con el CPD en los que solicitamos una rápida aplicación de la sentencia del CJEU sobre las transferencias de datos entre la UE y los Estados Unidos. El CPD no indicó que tomaría ninguna acción tan rápida. El 31 de agosto de 2020, el CPD nos informó en una carta (PDF) que abrirá un segundo caso (independiente del procedimiento de quejas que condujo a la sentencia del CJEU) para investigar la confianza de Facbeook en las cláusulas contractuales tipo (CCE). Al mismo tiempo, el CPD decidió hacer una pausa en el procedimiento de denuncias en curso iniciado por el Sr. Schrems hace siete años, a pesar de que se comprometió ante el Tribunal Superior de Irlanda a partir de 2015 a decidir rápidamente sobre el caso. El DPC destacó que esta segunda investigación se limita estrictamente al uso de Facebook del SCC en virtud del artículo 46 (1) GDPR.
Max Schrems, presidente honorario de noyb.eu: "Obviamente acogemos con satisfacción la idea de que el DPC irlandés finalmente se mueve hacia hacer su trabajo después de siete años de procedimientos y cinco decisiones judiciales, todos los cuales mantuvieron nuestra posición. Sin embargo, este movimiento del DPC puede llevar a otra decisión poco entusiasta después de todo."
Facebook ahora argumenta una base legal "paralela" bajo el artículo 49 GDPR que no está sujeta a la investigación limitada del DPC
Este caso limitado por el CPD es especialmente interesante, ya que Facebook ha indicado en una carta del 19 de agosto de 2020 (PDF, página 3) que (tras el fin de Safe Harbor, Privacy Shield y los SCC) ahora se basa en un cuarto fundamento jurídico para las transferencias de datos: la supuesta "necesidad" de subcontratar el procesamiento a los EE.UU. en virtud del contrato con sus usuarios (véase el artículo 49 1) b) de la RPI). Esto significa que cualquier "orden preliminar" o "segunda investigación" del CPD sobre las SCC no impedirá de hecho que Facebook argumente que sus transferencias de datos entre la UE y los EE.UU. siguen siendo legales. En la práctica, el artículo 49 1) b) de la GDPR puede ser una base jurídica apropiada para transferencias de datos muy limitadas (por ejemplo, cuando un usuario de la UE envía un mensaje a un usuario de los Estados Unidos), pero no puede utilizarse para subcontratar todo el procesamiento de datos a los Estados Unidos.
Max Schrems: "El DPC está de nuevo sólo investigando una parte del problema - como ya lo han hecho dos veces en las investigaciones sobre el Puerto Seguro y los SCC. Facebook parece querer que el DPC sólo se concentre en los SCC también, para que puedan sacar la próxima base legal al final de este procedimiento. Esta edición legal de "whac-a-mole" ha estado en curso durante siete años. Por lo tanto, sospecho que la supuesta orden preliminar contra Facebook es otro paso inútil que no resolverá el problema por completo. "
noyb está planeando una orden judicial interlocutoria para detener la mala gestión del CPD
En respuesta a esta situación, el Procurador que representa al Sr. Schrems envió una carta al CPD el lunes de esta semana (PDF), en la que destaca que Facebook también utiliza el artículo 49 y que el CPD está incumpliendo claramente una orden judicial al (una vez más) detener el procedimiento de denuncias a partir de 2013, sólo para abrir una segunda investigación innecesaria sobre sólo un subtema de la denuncia inicial. Según la legislación irlandesa, es probable que el CPD esté en "desacato al tribunal", un asunto muy grave que puede acarrear graves consecuencias para el jefe del CPD.
noyb ha informado al CPD de que tenemos previsto presentar una orden judicial interlocutoria para garantizar que el CPD tome medidas sobre todos los supuestos fundamentos jurídicos en que se basan las transferencias de datos por Facebook (los SCC en virtud del artículo 46 y el supuesto "contrato" en virtud del artículo 49 de la RPI) y que lo haga en el marco del procedimiento de denuncias en curso, tal como prevé la ley.
Schrems: "La filtración sobre una 'orden preliminar' secreta contra Facebook muestra que el DPC intentaba llevar a cabo un procedimiento secreto sin el demandante. Si bien dicha orden debería haber sido emitida en 2013, estamos muy preocupados de que el DPC sólo se embarque de nuevo en una investigación limitada que no determinará plenamente todos los aspectos del caso. Por lo tanto, tomaremos las medidas legales apropiadas en Irlanda para asegurar que los derechos de los usuarios sean plenamente respetados - sin importar la base legal que Facebook reclame. Después de siete años, todas las cartas deben ser puestas sobre la mesa"
No está claro cómo la filtración de la "orden preliminar" se relaciona con estos antecedentes del caso. El DPC ha acordado la noche del miércoles volver sobre la posible orden interlocutoria para el viernes 11 de septiembre de 2020. Los abogados del Sr. Schrems solicitarán todos los documentos que se mencionaron en el WSJ en exclusiva al CPD.
