A DPC valóban megállítja a Facebook EU-USA adattovábbítását?! ..talán félig-meddig!
A WSJ szerda este arról számolt be, hogy az ír adatvédelmi bizottság ("DPC") állítólag "előzetes utasítást" adott ki a Facebook számára, hogy állítsa le az EU-USA adattovábbításokat. A hét elején tájékoztattuk a DPC-t, hogy ideiglenes tiltó végzést tervezünk benyújtani a döntésük miatt, hogy "második" vizsgálatot indítanak az ügyben, mivel ezzel megszegnének egy 2015-ös bírósági végzést.
Ugyanakkor úgy tűnik, hogy a Facebook (ismét) megváltoztatta az EU-USA adattovábbítások jogalapját az EUB által az "adatvédelmi pajzsról" és a szabványos szerződési feltételek (SCC-k) alkalmazásáról hozott ítéletet követően. A Facebook most a felhasználói megállapodás és a GDPR 49. cikke (1) bekezdésének b) pontja alapján állítólagos "szükségességre" hivatkozik az adatfeldolgozási műveletek USA-ba történő kiszervezéséhez. Tudomásunk szerint ez az új jogalap kívül esik a DPC "előzetes végzésének" hatályán.
anoyb most három levelet tesz közzé, amelyek lehetővé tehetik a nyilvánosság tagjai számára, hogy jobban megértsék a Facebook és a DPC ügyleteit.
- A Facebookkal folytatott csere 2020 augusztusától (PDF)
- A DPC 2020. augusztus 31-i levele (PDF)
- A DPC 2020. szeptember 7-i levele (PDF)
- A WSJ jelentése (fizetős)
- A Facebook megjegyzése
A DPC csak a GDPR 46. cikkének (1) bekezdése szerinti SCC-k használatára vonatkozó, 7 éve folyamatban lévő panasszal "párhuzamos" ügyet nyitott
Számos eszmecserét folytattunk a DPC-vel, amelyben az EUB EU-USA adattovábbításról szóló ítéletének gyors végrehajtását kértük. A DPC nem jelezte, hogy ilyen gyors lépéseket fog tenni. 2020. augusztus 31-én a DPC levélben (PDF) tájékoztatott bennünket arról, hogy egy második (az EUB ítéletéhez vezető panaszeljárástól független) eljárást fog indítani annak kivizsgálására, hogy a Facbeook hogyan támaszkodik a standard szerződési feltételekre (SCC). Ugyanakkor a DPC úgy döntött, hogy szünetelteti a Schrems úr által hét évvel ezelőtt kezdeményezett, folyamatban lévő panaszeljárást annak ellenére, hogy 2015-től az ír Legfelsőbb Bírósággal szemben kötelezettséget vállalt az ügy gyors eldöntésére. A DPC kiemelte, hogy ez a második vizsgálat szigorúan a Facebook által a GDPR 46. cikkének (1) bekezdése alapján az SCC használatára korlátozódik.
Max Schrems, a noyb.eu tiszteletbeli elnöke: "Nyilvánvalóan üdvözöljük, hogy az ír DPC hét évnyi eljárás és öt bírósági döntés után, amelyek mindegyike a mi álláspontunknak adott igazat, végre elindult afelé, hogy elvégezze a munkáját. A DPC ezen lépése azonban végül is egy újabb félszívű döntéshez vezethet"
A Facebook most a GDPR 49. cikke szerinti "párhuzamos" jogalapra hivatkozik, amely nem tartozik a DPC korlátozott vizsgálatának hatálya alá
A DPC e korlátozott ügye különösen érdekes, mivel a Facebook 2020. augusztus 19-én kelt levelében (PDF, 3. oldal ) jelezte, hogy (a Safe Harbor, a Privacy Shield és az SCC-k megszűnése után) most egy negyedik jogalapra hivatkozik az adattovábbításokra: az állítólagos "szükségességre", hogy a felhasználóival kötött szerződés alapján az USA-ba szervezze ki az adatfeldolgozást (lásd a GDPR 49. cikke (1) bekezdésének b) pontját). Ez azt jelenti, hogy a DPC által csak az SCC-kkel kapcsolatban hozott "előzetes végzés" vagy "második vizsgálat" valójában nem fogja megakadályozni a Facebookot abban, hogy azzal érveljen, hogy az EU-USA adattovábbításai továbbra is jogszerűek. A gyakorlatban a GDPR 49. cikke (1) bekezdésének b) pontja megfelelő jogalap lehet nagyon korlátozott adattovábbításokra (pl. amikor egy uniós felhasználó üzenetet küld egy amerikai felhasználónak), de nem használható az összes adatfeldolgozás USA-ba történő kiszervezésére.
Max Schrems: "A DPC ismét csak a probléma egy szeletét vizsgálja - ahogyan azt már kétszer is megtette a Safe Harborral és az SCC-kkel kapcsolatos vizsgálatok során. Úgy tűnik, a Facebook azt szeretné, ha a DPC is csak az SCC-kre összpontosítana, hogy az eljárás végén egyszerűen előhúzhassák a következő jogalapot. A "whac-a-mole" jogi változata már hét éve tart. Ezért gyanítom, hogy a Facebook elleni állítólagos előzetes végzés egy újabb haszontalan lépés, amely nem fogja teljes mértékben megoldani az ügyet."
a noyb ideiglenes intézkedést tervez, hogy megállítsa a DPC rossz gazdálkodását
Erre a helyzetre reagálva a Schrems urat képviselő ügyvéd e hét hétfőn levelet küldött a DPC-nek (PDF), amelyben kiemelte, hogy a Facebook is él a 49. cikkel, és a DPC egyértelműen megsérti a bírósági végzést azzal, hogy (ismét) szünetelteti a 2013-as panaszeljárást, csak azért, hogy egy felesleges második vizsgálatot indítson az eredeti panasznak csak egy részkérdésében. Az ír jog szerint a DPC valószínűleg "a bíróság megsértését" követi el - ez egy nagyon súlyos ügy, amely súlyos következményekkel járhat a DPC vezetőjére nézve.
a noyb tájékoztatta a DPC-t, hogy ideiglenes intézkedés iránti kérelmet tervezünk benyújtani annak biztosítása érdekében, hogy a DPC a Facebook által az adattovábbításokra hivatkozott valamennyi állítólagos jogalap (a 46. cikk szerinti SCC-k és a GDPR 49. cikke szerinti állítólagos "szerződés") ellen fellépjen, és hogy ezt a folyamatban lévő panaszeljárás keretében tegye, ahogy azt a törvény előírja.
Schrems: "A Facebook elleni titkos "előzetes végzésről" szóló kiszivárogtatás azt mutatja, hogy a DPC a panaszos nélkül próbált titkos eljárást lefolytatni. Bár egy ilyen végzést már 2013-ban ki kellett volna adni, nagyon aggaszt bennünket, hogy a DPC ismét csak egy korlátozott vizsgálatba kezdett, amely nem fogja teljes mértékben meghatározni az ügy minden aspektusát. Ezért Írországban megtesszük a megfelelő jogi lépéseket annak érdekében, hogy a felhasználók jogait teljes mértékben tiszteletben tartsák - függetlenül attól, hogy a Facebook milyen jogalapra hivatkozik. Hét év elteltével minden kártyát fel kell teríteni az asztalra"
Nem világos, hogy az "ideiglenes végzésről" szóló kiszivárgás hogyan kapcsolódik az ügy ezen hátteréhez. A DPC szerda este megállapodott abban, hogy 2020. szeptember 11-ig, péntekig, azaz péntek 11-ig visszatér az esetleges ideiglenes intézkedésről. Schrems úr ügyvédei a WSJ exkluzívjában említett összes dokumentumot el fogják kérni a DPC-től.
