Il DPC sta effettivamente fermando i trasferimenti di dati UE-USA di Facebook?! ...forse a metà strada!
Il WSJ ha riferito mercoledì sera che la Commissione irlandese per la protezione dei dati ("DPC") ha presumibilmente emesso un "ordine preliminare" per Facebook per fermare i trasferimenti di dati UE-USA. All'inizio di questa settimana, abbiamo informato il DPC che abbiamo intenzione di presentare un'ingiunzione interlocutoria sulla loro decisione di avviare una "seconda" indagine sulla questione, poiché così facendo violeremmo un'ordinanza del tribunale del 2015
Allo stesso tempo, Facebook sembra aver (ancora una volta) spostato la base giuridica su cui si basa per i trasferimenti di dati UE-USA a seguito della sentenza della CGUE sulla "Privacy Shield" e l'uso delle clausole contrattuali standard ("SCC"). Facebook sta ora utilizzando una presunta "necessità" di esternalizzare le operazioni di trattamento dei dati negli Stati Uniti ai sensi dell'accordo con gli utenti e dell'articolo 49, paragrafo 1, lettera b), GDPR. Secondo le nostre conoscenze, questa nuova base giuridica non rientra nell'ambito di applicazione dell'"ordine preliminare" del DPC.
noyb sta ora pubblicando tre lettere che potrebbero consentire ai membri del pubblico di comprendere meglio i rapporti tra Facebook e il DPC.
- Scambio con Facebook da agosto 2020 (PDF)
- Lettera del CDC del 31 agosto 2020 (PDF)
- Lettera al CED del 7 settembre 2020 (PDF)
- Relazione del WSJ (paywalled)
- Commento di Facebook
Il CED ha aperto un caso "parallelo" a un reclamo in corso da 7 anni sull'uso dei CSC ai sensi dell'articolo 46, paragrafo 1, del regolamento del PILR
Abbiamo avuto una serie di scambi con il DPC in cui abbiamo chiesto una rapida attuazione della sentenza della CGUE sui trasferimenti di dati UE-USA. Il CDC non ha indicato che avrebbe adottato un'azione così rapida. Il 31 agosto 2020, il CDC ci ha informato in una lettera (PDF) che aprirà un secondo caso (indipendentemente dalla procedura di reclamo che porterà alla sentenza della CGUE) per indagare sull'affidamento di Facbeook sulle clausole contrattuali standard (SCC). Allo stesso tempo, il DPC ha deciso di sospendere la procedura di reclamo in corso avviata da Schrems sette anni fa, nonostante l'impegno assunto nei confronti della High Court irlandese a partire dal 2015 di decidere rapidamente sul caso. Il DPC ha sottolineato che questa seconda indagine è strettamente limitata all'uso che Facebook fa di SCC ai sensi dell'articolo 46, paragrafo 1, GDPR.
Max Schrems, presidente onorario di noyb.eu: "Ovviamente accogliamo con favore l'idea che il DPC irlandese si stia finalmente muovendo verso il suo lavoro dopo sette anni di procedure e cinque decisioni giudiziarie, che hanno tutte confermato la nostra posizione. Tuttavia, questa mossa del DPC potrebbe portare a un'altra decisione poco convincente, dopo tutto"
Facebook ora sostiene che la base giuridica "parallela" ai sensi dell'articolo 49 GDPR non è soggetta all'indagine limitata del DPC
Questo caso limitato del DPC è particolarmente interessante, come ha indicato Facebook in una lettera del 19 agosto 2020 (PDF, pagina 3) che (dopo la fine di Safe Harbor, Privacy Shield e SCC) si basa ora su una quarta base giuridica per il trasferimento dei dati: la presunta "necessità" di esternalizzare il trattamento agli Stati Uniti in base al contratto con i suoi utenti (cfr. articolo 49, paragrafo 1, lettera b), GDPR). Ciò significa che qualsiasi "ordine preliminare" o "seconda indagine" da parte del DPC sui soli SCC non impedirà di fatto a Facebook di sostenere che i suoi trasferimenti di dati UE-USA continuano ad essere legali. In pratica, l'articolo 49, paragrafo 1, lettera b), GDPR può costituire una base giuridica adeguata per trasferimenti di dati molto limitati (ad esempio, quando un utente dell'UE invia un messaggio a un utente statunitense), ma non può essere utilizzato per esternalizzare tutto il trattamento dei dati agli Stati Uniti.
Max Schrems: "Il DPC sta di nuovo indagando su una sola fetta del problema - come hanno già fatto due volte nelle indagini su Safe Harbor e SCC. Facebook sembra volere che anche il DPC si concentri solo sugli SCC, in modo da poter tirare fuori la prossima base giuridica alla fine di questa procedura. Questa edizione legale di "whac-a-mole" è in corso ormai da sette anni. Sospetto quindi che il presunto ordine preliminare contro Facebook sia un altro passo inutile che non risolverà completamente la questione. "
noyb sta pianificando un'ingiunzione interlocutoria per fermare la cattiva gestione da parte del DPC
In risposta a questa situazione, l'avvocato che rappresenta il signor Schrems ha inviato una lettera al RPD lunedì di questa settimana (PDF), sottolineando che anche Facebook utilizza l'articolo 49 e che il RPD è chiaramente in violazione di un'ordinanza del tribunale, mettendo (ancora una volta) in pausa la procedura di reclamo a partire dal 2013, solo per aprire un'inutile seconda indagine solo su una sotto-questione del reclamo iniziale. Secondo la legge irlandese, è probabile che il DPC sia in "disprezzo del tribunale" - una questione molto seria che può portare a gravi conseguenze per il capo del DPC.
noyb ha informato il DPC che stiamo pianificando di presentare un'ingiunzione interlocutoria per garantire che il DPC intervenga su tutte le presunte basi legali su cui si basa il trasferimento di dati da parte di Facebook (i CSC ai sensi dell'articolo 46 e il presunto "contratto" ai sensi dell'articolo 49 GDPR) e di farlo nell'ambito della procedura di reclamo in corso, come previsto dalla legge.
Schrems: "La fuga di notizie su un 'ordine preliminare' segreto contro Facebook dimostra che il DPC stava cercando di eseguire una procedura segreta senza il denunciante. Anche se un tale ordine avrebbe dovuto essere emesso nel 2013, siamo molto preoccupati che il DPC si stia nuovamente imbarcando in un'indagine limitata che non determinerà tutti gli aspetti del caso. Pertanto, intraprenderemo le azioni legali appropriate in Irlanda per garantire che i diritti degli utenti siano pienamente rispettati - a prescindere dalla base giuridica che Facebook rivendica. Dopo sette anni, tutte le carte devono essere messe sul tavolo"
Non è chiaro come la fuga di notizie sull'"ordine preliminare" si ricolleghi a questo contesto del caso. Il CDC ha accettato la notte di Wedneday di tornare sull'eventuale ingiunzione cautelare entro venerdì 11 settembre 2020. Gli avvocati del sig. Schrems richiederanno al DPC tutti i documenti che sono stati menzionati nel WSJ in esclusiva.
