Besluit van Ierse High Court: DPC moet arrest HJEU nu uitvoeren en gegevensdoorgifte Facebook EU-VS stopzetten.
Het High Court heeft vandaag beslist dat de Ierse gegevensbeschermingscommissie (DPC) het recht had om een tweede onderzoek "uit eigen beweging" tegen Facebook in te stellen. De poging van Facebook om dit tweede onderzoek tegen te houden, is mislukt. De rechter oordeelde: "Ik weiger alle door [Facebook Ierland] gevorderde voorzieningen en wijs de door haar in de procedure ingestelde vorderingen af."
Het DPC heeft nu twee open procedures om het zogenoemde "Schrems II"-arrest uit te voeren, waarin het Europees Hof van Justitie (HJEU) heeft verduidelijkt dat Facebook geen persoonsgegevens van de EU naar de VS mag doorgeven. Op grond van een afzonderlijke schikking tussen de heer Schrems en het DPC (die vandaag voor het eerst is bekendgemaakt) moet het DPC nu ook een oorspronkelijke klacht uit 2013 onderzoeken die tot het HJEU-besluit heeft geleid. De oorspronkelijke klachtenprocedure zal parallel lopen met het nieuwe "eigen wil"-onderzoek
Schrems:"Facebook heeft op alle gronden verloren. De poging om het Ierse besluit opnieuw uit te stellen heeft hen slechts een paar maanden opgeleverd. Na acht jaar moet het DPC nu de gegevensoverdrachten van Facebook tussen de EU en de VS stoppen, waarschijnlijk nog voor de zomer. Nu hebben we gewoon twee procedures in plaats van één."
Derde "vertakking" in slepende Facebook-zaak. Met de uitspraak van vandaag komt een einde aan de zevende rechtszaak in een langlopende strijd tussen Schrems, de DPC en Facebook. In 2013 diende de heer Schrems na de Snowden-onthullingen een klacht in tegen Facebook met als argument dat Facebook zijn persoonsgegevens niet mag doorgeven aan de Verenigde Staten, waar de toezichtswetten het delen van persoonsgegevens met de Amerikaanse overheid voorschrijven. De zaak werd twee keer voorgelegd aan het Hof van Justitie van de Europese Unie (HvJEU), wat leidde tot de zogenoemde "Schrems I"- en "Schrems II"-arresten, waarin het HvJEU besliste dat het DPC een onderzoek moest instellen naar Facebook en de plicht had om de gegevensoverdrachten te stoppen.
In plaats van de arresten van het HJEU snel uit te voeren, heeft het DPC drie "aftakkingen" van de hoofdklachtenprocedure gemaakt (zie onderstaande grafiek). In 2020 begon het met de derde omweg door een procedure "uit eigen beweging" te openen over precies hetzelfde onderwerp als de bestaande klachtenprocedure, terwijl de klachtenprocedure van Schrems voor onbepaalde tijd werd "gepauzeerd". Dit zou de heer Schrems uiteindelijk van zijn eigen zaak hebben beroofd.
Facebook en Schrems hebben beroep bij de rechter ingesteld. Schrems en Facebook waren het niet eens met de aanpak van de DPC en dienden twee afzonderlijke gerechtelijke herzieningen in, zij het om verschillende redenen: Facebook bracht talloze argumenten naar voren rond het recht om te worden gehoord en een vermeende "voorbarige" uitspraak van de DPC (na zeven jaar).
Tegelijkertijd voerde Schrems aan dat de aanpak van het GOG hem zou hebben buitengesloten van zijn eigen zaak, aangezien het onderwerp zou worden behandeld in een "eigen wilsbeschikking"-zaak tussen Facebook en het GOG alleen. Bovendien zou de DPC een toezegging uit 2015 om snel over zijn klacht te beslissen hebben geschonden, aangezien zij de klacht nu voor onbepaalde tijd had "gepauzeerd".
Schikking tussen DPC en Schrems zorgt voor snelle beslissing, onafhankelijk van beslissing Hooggerechtshof. Kort voordat de rechterlijke toetsing van de heer Schrems zou worden behandeld, heeft de gegevensbeschermingsautoriteit toegegeven en de zaak geschikt. In de schikking beloofde de DPC de klachtenprocedure snel uit te voeren zodra de High Court een beslissing zou hebben genomen over de rechterlijke toetsing door Facebook. Bovendien zou de heer Schrems, indien de tweede "eigen wil"-procedure door het Hooggerechtshof wordt toegestaan, daaraan kunnen deelnemen.
Kortom: de schikking garandeert dat de gegevensbeschermingsautoriteit in één of twee procedures een beslissing zal nemen over de doorgifte van gegevens door Facebook.
Volgende stappen: Ierse beschikking en EDPB-procedure. Na het arrest van vandaag zal het DPC het besluit van het HvJEU snel moeten uitvoeren en de doorgifte van Facebook tussen de EU en de VS moeten verbieden. In het najaar van 2020 voorzag het DPC in 21 dagen om de partijen te horen en nog eens 21 dagen om zijn besluit af te ronden; soortgelijke tijdschema's zijn overeengekomen in de schikking met de heer Schrems. Elk nationaal besluit van het Ierse gegevensbeschermingscollege moet waarschijnlijk worden goedgekeurd door het Europees Comité voor gegevensbescherming (EDPB), waar de gegevensbeschermingsautoriteiten van alle 28 EU-lidstaten het besluit kunnen toetsen en er bezwaar tegen kunnen maken als zij het niet eens zijn met de bevindingen van het DPC. De bezwaartermijn bedraagt vier weken en leidt tot een stemming op Europees niveau.
Schrems:"We verwachten nu dat de DPC nog voor de zomer een besluit zal nemen om de gegevensoverdrachten van Facebook stop te zetten. Dit zou betekenen dat Facebook de meeste gegevens uit Europa lokaal moet opslaan, om ervoor te zorgen dat Facebook USA geen toegang heeft tot Europese gegevens. De andere optie zou zijn dat de VS zijn surveillancewetten wijzigt."
