Irlannin korkeimman oikeuden päätös: DPC:n on nyt pantava täytäntöön EU:n tuomioistuimen tuomio ja lopetettava Facebookin EU-USA-tiedonsiirrot.
Korkein oikeus päätti tänään, että Irlannin tietosuojakomissiolla (DPC) oli oikeus aloittaa toinen "oma-aloitteinen" tutkimus Facebookia vastaan. Facebookin yritys pysäyttää tämä toinen tutkimus epäonnistui. Tuomari totesi: "Kieltäydyn kaikista [Facebook Irelandin] vaatimuksista ja hylkään sen oikeudenkäynnissä esittämät vaatimukset."
DPC:llä on nyt kaksi avointa menettelyä niin sanotun "Schrems II" -tuomion täytäntöönpanemiseksi, jossa Euroopan yhteisöjen tuomioistuin (EUT) selvensi, että Facebook ei saa siirtää henkilötietoja EU:sta Yhdysvaltoihin. Schremsin ja kuluttajansuojaneuvoston välillä tehdyn erillisen sovintoratkaisun mukaan (joka julkaistiin ensimmäisen kerran tänään) kuluttajansuojaneuvoston on nyt tutkittava myös alkuperäinen, vuonna 2013 tehty valitus, joka johti EU:n tuomioistuimen päätökseen. Alkuperäistä valitusmenettelyä jatketaan rinnakkain uuden "omasta tahdosta" tehtävän tutkimuksen kanssa
Schrems: "Facebook hävisi kaikilla perusteilla. Se yritti jälleen viivyttää Irlannin päätöstä ja sai siitä vain pari kuukautta. Kahdeksan vuoden jälkeen tietosuojaviranomaisen on nyt pysäytettävä Facebookin EU:n ja Yhdysvaltojen väliset tiedonsiirrot todennäköisesti ennen kesää. Nyt meillä on yksinkertaisesti kaksi menettelyä yhden sijaan."
Kolmas "haara" pitkäaikaisessa Facebook-asiassa. Tämänpäiväinen päätös päättää seitsemännen oikeusjutun Schremsin, DPC:n ja Facebookin välisessä pitkäaikaisessa taistelussa. Vuonna 2013 Schrems nosti Snowdenin paljastusten jälkeen Facebookia vastaan kanteen väittäen, että Facebook ei saa siirtää hänen henkilötietojaan Yhdysvaltoihin, jossa valvontalait edellyttävät henkilötietojen jakamista Yhdysvaltain hallituksen kanssa. Tapaus vietiin kahdesti Euroopan unionin tuomioistuimen (EUT) käsiteltäväksi, mikä johti niin sanottuihin Schrems I- ja Schrems II -tuomioihin, joissa EUT päätti, että tietosuojaviranomaisen oli tutkittava Facebookia ja että sillä oli velvollisuus pysäyttää tiedonsiirrot.
Sen sijaan, että tietosuojaneuvosto olisi pannut EU:n tuomioistuimen päätökset nopeasti täytäntöön, se loi kolme "haaraa" päävalitusmenettelystä (ks. kaavio alla). Vuonna 2020 se aloitti kolmannen kiertotien avaamalla "omasta tahdostaan" menettelyn, joka koskee täsmälleen samaa aihetta kuin nykyinen kantelumenettely, ja "keskeytti" samalla toistaiseksi Schremsin kantelumenettelyn. Tämä olisi lopulta poistanut Schremsin omasta asiastaan.
Facebook ja Schrems hakivat oikeuskäsittelyä. Schrems ja Facebook olivat eri mieltä kuluttajavalvontakomitean lähestymistavasta ja hakivat kahta erillistä oikeudellista uudelleentarkastelua, joskin eri syistä: Facebook esitti lukemattomia väitteitä, jotka liittyivät oikeuteen tulla kuulluksi ja DPC:n väitettyyn "ennenaikaiseen" tuomioon (seitsemän vuoden jälkeen).
Samaan aikaan Schrems väitti, että DPC:n lähestymistapa olisi sulkenut hänet ulos omasta tapauksestaan, koska asiaa käsiteltäisiin "omasta tahdostaan" vain Facebookin ja DPC:n välisessä asiassa. Lisäksi kuluttajansuojaneuvosto rikkoi vuonna 2015 annettua sitoumusta, jonka mukaan se tekee nopeasti päätöksen hänen kantelustaan, koska se nyt "keskeytti" kantelun käsittelyn määräämättömäksi ajaksi.
DPC:n ja Schremsin välinen sovinto takaa nopean päätöksen, joka on riippumaton korkeimman oikeuden päätöksestä. Vähän ennen kuin Schremsin oikeudellista uudelleenkäsittelyä olisi käsitelty, DPC antoi periksi ja sopi asian. Sovintoratkaisussa DPC sitoutui hoitamaan valitusmenettelyn ripeästi, kun korkein oikeus on tehnyt päätöksen Facebookin oikeuskäsittelystä. Lisäksi jos korkein oikeus sallii toisen "oma-aloitteisen" menettelyn, Schrems voisi osallistua siihen.
Lyhyesti sanottuna: sovinnolla varmistettiin, että tietosuojaneuvosto päättäisi Facebookin tiedonsiirroista joko yhdessä tai kahdessa menettelyssä.
Seuraavat vaiheet: Irlannin päätös ja EDPB-menettely. Tämänpäiväisen tuomion jälkeen tietosuojaviranomaisen on pantava nopeasti täytäntöön EU:n tuomioistuimen päätös ja kiellettävä Facebookin EU:n ja Yhdysvaltojen väliset tiedonsiirrot. Syksyllä 2020 DPC varasi 21 päivää aikaa kuulla osapuolia ja toiset 21 päivää päätöksensä viimeistelyyn, ja samankaltaisista aikatauluista on sovittu Schremsin kanssa tehdyssä sovintoratkaisussa. Irlannin tietosuojaneuvoston kansallisen päätöksen on todennäköisesti saatava Euroopan tietosuojaneuvoston hyväksyntä, jossa kaikkien 28 EU:n jäsenvaltion tietosuojaviranomaiset voivat tarkastella päätöstä ja vastustaa sitä, jos ne ovat eri mieltä tietosuojaneuvoston päätelmistä. Vastalauseen määräaika on neljä viikkoa, ja se käynnistää äänestyksen EU:n tasolla.
Schrems:"Odotamme nyt, että tietosuojaneuvosto tekee päätöksen Facebookin tiedonsiirtojen lopettamisesta ennen kesää. Tämä edellyttäisi, että Facebook tallentaisi suurimman osan Euroopasta peräisin olevista tiedoista paikallisesti, jotta Facebook USA:lla ei olisi pääsyä eurooppalaisiin tietoihin. Toinen vaihtoehto olisi, että Yhdysvallat muuttaisi valvontalakiaan."
