Le DPC irlandais doit payer des dizaines de milliers de dollars de frais de justice pour un retard de 47 mois dans des affaires contre WhatsApp et Instagram
Aujourd'hui, le DPC irlandais a réglé une affaire avec noyb concernant un retard important dans deux affaires contre Instagram et WhatsApp. 47 mois après le dépôt des affaires sur le "contournement du consentement" de Facebook, le DPC a accepté de payer des dizaines de milliers de dollars de frais pour une révision judiciaire sur les retards. Alors que le GDPR exige une décision "sans délai", le DPC estime que quatre ans pour produire un projet de décision est raisonnable. Dans la plupart des États membres de l'UE, la loi exige une décision dans un délai de 3 à 12 mois.
Cas simple. Le 25 mai 2018, le jour de l'entrée en vigueur du GDPR, noyb a déposé quatre plaintes pour "consentement forcé". L'une d'entre elles a conduit à une amende rapide de 50 millions d'euros contre Google en France, les trois autres cas (Facebook, Instagram et WhatsApp) ont été envoyés au CPD en tant qu'autorité principale. Aucune des affaires irlandaises n'a fait l'objet d'une décision finale jusqu'à présent. Les affaires en elles-mêmes sont simples, car elles ne concernent que des questions juridiques étroites et il existe même des lignes directrices claires du Comité européen de protection des données (CE PD) sur les questions essentielles. Ces lignes directrices ont elles-mêmes été adoptées après une tentative de la DPC de faire pression sur ses homologues européens dans l'intérêt de Facebook. Malgré la clarté de la situation juridique, le CPD n'a publié un "projet de décision" sur WhatsApp et Instragram que le 1er avril 2022, soit 46 mois après le dépôt des plaintes. Les affaires sont toujours en cours et ne seront probablement pas tranchées avant l'été 2022.
Quatre ans pour les droits fondamentaux du GDPR, c'est "sans délai" ? Le 6 juillet 2020, noyb a déposé un contrôle judiciaire auprès de la Haute Cour irlandaise, affirmant que le CPD a violé l'article 60(3) du GDPR en ne fournissant pas un projet de décision "sans délai". Le CPD a estimé qu'une période d'environ quatre ans (à ce jour) serait toujours considérée comme un "délai raisonnable". Dans de nombreux autres États membres de l'UE, la loi exige une décision dans un délai de 3 à 12 mois, comme le montre un récent tableau interne de l'EDPB.
La Haute Cour irlandaise plus lente que le DPC ? Mais il n'y a pas que le DPC qui met beaucoup de temps à se décider. La première audience de discovery devant la Haute Cour irlandaise a été fixée à aujourd'hui (28 avril 2022), toute audience sur l'affaire aurait été réaliste à l'automne 2022. La révision judiciaire sur le délai prendrait donc elle-même plus de deux ans. Étant donné la lenteur de la révision judiciaire de la Haute Cour irlandaise, la lenteur de la procédure devant le DPC a maintenant dépassé la révision judiciaire, puisque le DPC a finalement soumis son projet de décision pour révision le 1er avril 2022.
Max Schrems, président honoraire de la noyb:"Il est grotesque que la procédure légale pour traiter les retards soit si lente, que le CPH pourrait simplement continuer à une vitesse lente et être quand même plus rapide que les tribunaux. Nous sommes dans une situation où il n'y a pas vraiment de recours efficace contre le retard des affaires par le DPC irlandais. Le seul apprentissage pourrait venir des coûts de la procédure, qui devront être couverts par le CPH. Nous nous attendons à ce que les coûts se chiffrent en dizaines de milliers."
Affaires non décidées - prochaines étapes. Les "projets de décision" concernant WhatsApp et Instagram vont maintenant être examinés de près par les autres autorités européennes de protection des données, qui peuvent déposer des "objections motivées". La date limite pour ce faire est, par coïncidence, aujourd'hui. Comme le CPD ne partage plus (illégalement) les documents de procédure avec noyb , noyb ne peut pas commenter la substance de ces projets de décisions. Ces violations de procédure peuvent elles-mêmes servir de base à une contestation juridique de toute décision finale. En cas d'objections, les affaires pourraient être portées devant le PDEB dans les prochains mois.
Max Schrems :"La procédure est non seulement lente, mais aussi fondamentalement injuste. Le CPD nous a pratiquement exclus d'une grande partie de la procédure, la plupart de nos observations étant tout simplement ignorées. Dans l'avant-projet de décision, nos observations ont été largement supprimées, ce qui empêche les autres autorités de se faire une idée complète de l'affaire. Unegrande partie de nos observations a tout simplement "disparu" au CPD irlandais
Lapointe de l'iceberg. noyb a une vingtaine d'autres affaires devant le DPC, dont aucune n'est en vue d'une décision rapide. noyb va maintenant se concentrer sur les retards dans ces autres affaires et pourrait porter d'autres affaires à l'attention de la Haute Cour. Bien que le CPD dispose de l'un des plus gros budgets de toutes les autorités de protection des données de l'UE et d'un nombre considérable de personnes, il ne rend qu'une poignée de décisions par an, ce qui prend beaucoup plus de temps que les autres autorités.
Max Schrems :"Nous espérons que le CPD a appris que ses retards excessifs ont un coût que le contribuable irlandais n'acceptera pas. Le DPC a obtenu un budget énorme, mais il semble être investi dans l'obstruction des procédures - et non dans leur réalisation."
