4e Advent Lezing: Facebook's "Transfer Impact Assessment" negeert uitspraken Hof van Justitie volledig
In de laatste "Adventslezing" uit protest tegen de verwijdering van noyb door de Ierse DPC uit een procedure, bespreken we Facebook's negeren van de uitspraken van het Europese Hof van Justitie (HvJEU) over gegevensoverdrachten tussen de EU en de VS, in een naar verluidt "vertrouwelijke" 86 pagina's tellende "Transfer Impact Assessment". Sinds 2013 is de kwestie van Facebook's samenwerking met Amerikaanse overheidsinstanties op het gebied van massasurveillance aanhangig bij de Ierse Commissie voor gegevensbescherming ("DPC"). Een eerste beslissing van de Ierse DPC is nog niet eens in zicht - 8,5 jaar na de eerste klacht en 1,5 jaar na de tweede verduidelijking door het HJEU. Schrems:"Facebook negeert het Hof van Justitie volledig, ondanks twee expliciete uitspraken."
- POLITICO berichtte over het document: "Europa's hoogste gerechtshof zegt dat Washington snel en losjes speelt met Europese gegevens. Facebook is het daar niet mee eens."
- Deep Dive: Gedetailleerde beschrijving en Adventslezing uit de vier documenten (45 minuten)
"TIA": Facebook's onwetendheid van het HvJEU in drie stappen. Na de duidelijke arresten in "Schrems I" en "Schrems II" had Facebook onmiddellijk moeten stoppen met de doorgifte van gegevens van de EU naar de VS, omdat deze tot twee keer toe onwettig waren verklaard. Vandaag (1,5 jaar later) heeft Facebook geen stappen ondernomen om zijn gegevensoverdrachten te beperken. In plaats daarvan heeft het een "Transfer Impact Assessment" ("TIA") van 86 pagina's opgesteld onder clausule 14 van de nieuw ingevoerde Standard Contract Clauses ("SCC's"), met het verrassende resultaat dat het arrest van het HvJEU niet van toepassing zou zijn op Facebook en dat de doorgifte gewoon door kan gaan. Volgens de documenten die wij hebben ontvangen, heeft Facebook geen nieuwe of relevante maatregelen genomen naar aanleiding van het arrest van het HvJEU van 16.6.2020.
Max Schrems, voorzitter van noyb.eu:"Facebook negeert nu al 8,5 jaar de EU-wetgeving. Uit de onlangs vrijgegeven documenten blijkt dat zij simpelweg van mening zijn dat het Hof van Justitie ongelijk heeft - en Facebook gelijk heeft. Het is een ongelooflijke onwetendheid van de rechtsstaat, die wordt ondersteund door het gebrek aan handhavingsmaatregelen van de Ierse DPC. Geen wonder dat Facebook dit document vertrouwelijk wil houden. Het laat echter ook zien dat Facebook geen serieuze legeal defence heeft als het doorgaat met het verschepen van gegevens van Europeanen naar de VS."
Vier documenten. noyb maakt de inhoud van de vier relevante documenten inzichtelijk. Het "Overzichtsdocument" maakt duidelijk dat Facebook drie stappen zet om tot de conclusie te komen dat het gegevens mag blijven doorgeven aan de Verenigde Staten, ondanks twee uitspraken van het HvJEU: Eerst gaat het rechtstreeks in tegen twee arresten van het Hof van Justitie, waarin werd geoordeeld dat de Amerikaanse surveillancewetten in strijd zijn met de grondrechten van de EU. In plaats daarvan gaat Facebook er in zijn "gelijkwaardigheidsbeoordeling" van uit dat de wetgeving van de EU en die van de VS in feite gelijkwaardig zijn. Ten tweede zegt Facebook in zijn "Factors Assessment" dat het risico voor gebruikers minimaal is - opnieuw in directe tegenspraak met het Hof van Justitie. Als derde stap vermeldt Facebook in zijn "Record of Safeguards" diverse maatregelen die een eventuele schending van de EU-wetgeving zouden tegengaan. In feite is geen van deze maatregelen relevant voor Sectie 702 FISA surveillance. Het gaat om een lijst van minimumveiligheidsnormen voor de industrie (op grond van artikel 32 GDPR) die onafhankelijk van de Amerikaanse toezichtswetten van kracht zijn.
Hoewel de volumineuze 86 pagina's de indruk proberen te wekken van een verfijnde analyse, wordt de kern van Facebook's beoordeling samengevat in de conclusie van Facebook's TIA:
Met andere woorden: Facebook zegt gewoon dat de Amerikaanse wet "gelijkwaardig" is aan de EU-wetgeving, ondanks twee uitspraken van het Hof van Justitie tot het tegendeel.
Deeper Dive:noyb heeft vier video's gemaakt waarin samenvattingen van alle vier de documenten worden voorgelezen als onderdeel van een "deep dive" in deze documenten, waarin ook de inhoud van deze documenten in meer detail wordt uitgelegd. Klik hier voor de "deep dive". Gezien het risico dat Facebook en de Ierse DPC lichtzinnige rechtszaken gebruiken om noyb te vergelden via een "SLAPP suit", hebben we besloten om de documenten in detail te lezen en te beschrijven, dit zal iedereen in staat stellen om een goed begrip van de documenten te krijgen, terwijl het risico op lichtzinnige rechtszaken door Facebook of de DPC geminimaliseerd wordt.
Geen beslissing door Ierse DPC ondanks wettelijke plicht. De onderliggende klacht is in behandeling sinds 2013 en was het onderwerp van vijf Ierse procedures en twee procedures bij het Hof van Justitie, die meer dan 10 miljoen euro hebben gekost. Een ruw overzicht van de zaak vindt u in de grafiek hieronder. In 2020 heeft het HvJEU opnieuw uitdrukkelijk geoordeeld dat de gegevensbeschermingsautoriteit "verplicht is een doorgifte van gegevens op te schorten of te verbieden" (punt 121). Ook in de laatste schikking tussen de DPC en de heer Schrems werd een snelle beslissing op 12.1.2021 beloofd. 8,5 jaar na de eerste klacht is er nog steeds geen beslissing in zicht - ondanks het feit dat het DPC herhaaldelijk "verheugd" was over de opheldering die door elk verlies in de rechtbank werd verschaft. Zelfs wanneer een eerste beslissing van de DPC zou worden uitgevaardigd, zou deze in Ierland op meerdere niveaus in beroep kunnen gaan. Niettemin blijkt uit de documenten dat Facebook in feite geen geloofwaardige rechtsgrondslag heeft om de gegevens van Europeanen naar de VS over te dragen - met het risico op enorme boetes en een reorganisatie van het hele bedrijf.
SCC-update van de Europese Commissie misbruikt door Facebook? De basis voor Facebook's "Transfer Impact Assessment" is clausule 14 van de nieuwe "Standard Contract Clauses" die door de Europese Commissie zijn aangenomen. Deze nieuwe reeks regels is van toepassing geworden omdat het DPC niet binnen een redelijke termijn een beslissing over de zaak heeft genomen. Tot vandaag is Facebook voortdurend overgeschakeld van de ene rechtsgrond voor gegevensoverdracht naar de andere (eerst "Safe Harbor", dan "Privacy Shield" en de oude SCC's en nu de nieuwe SCC's). Naast deze meervoudige gronden voor doorgifte heeft Facebook onlangs ook "contractuele noodzaak" en "toestemming" voor alle gegevensdoorgiften op grond van artikel 49, lid 1, GDPR aan de orde gesteld. Tot dusver lijkt het er niet op dat het DPC deze nieuwe argumenten ook maar enigszins heeft onderzocht.
Schrems:"De Ierse DPC is extreem traag en heeft deze procedures niet onder controle. Facebook gaat steeds naar een ander argument, terwijl het DPC nog niet eens een beslissing heeft genomen over de beslissing uit 2013. Facebook domineert deze procedure - in plaats van de DPC."
Mogelijke "SLAPP suit" door de DPC en Facebook. Gezien de vele bedreigingen ondanks een duidelijke juridische basis voor deze publicaties, verwacht noyb nu ongefundeerde "SLAPP suits" (zie een geweldige samenvatting van John Oliver, helaas alleen op YouTube) door de DPC en/of Facebook Ireland Limited. Het is niet onwaarschijnlijk dat Facebook of de DPC zullen proberen een zaak aanhangig te maken in Ierland of het Verenigd Koninkrijk, aangezien deze rechtssystemen extreem duur zijn en een perfecte jurisdictie vormen om een NGO te ruïneren. Daarom hebben wij de relevante documenten in deze rechtsgebieden geoblocked.
