Vandaag om ongeveer 15.00 uur BST (16.00 uur CET) heeft het Ierse Hooggerechtshof Facebook toestemming gegeven om een rechterlijke toetsing tegen de gegevensbeschermingsautoriteit in te stellen (zaak nr. 2020/617 JR) en is het een nieuwe "ambtshalve" procedure van de gegevensbeschermingsautoriteit in de gegevensstromen tussen de EU en de VS gebleven.
Vooralsnog is Facebook erin geslaagd het onderzoek van de gegevensbeschermingsautoriteit van de EU en de VS, die niet legaal zijn op grond van een instrument dat "Standard Contractual Clauses" (SCC's) wordt genoemd, stop te zetten. Op 16 juni 2020 heeft het Hof van Justitie van de Europese Unie (HJEU) geoordeeld dat bedrijven zoals Facebook geen beroep mogen doen op de SCC's als zij onder de Amerikaanse wetgeving inzake massatoezicht vallen, zoals FISA 702. De gegevensbeschermingsautoriteit kan binnen een termijn van 72 uur tegen de onderbreking van het onderzoek optreden.
Vorige week meldde de Wall Street Journal dat Facebook werd gediend met een vertrouwelijke "inleidende beslissing" van de DPC in deze zaak.
Rechterlijke toetsing
Een rechterlijke toetsing geeft partijen de mogelijkheid om een lopende procedure door de rechtbank te laten toetsen, nog voordat een eindbeslissing wordt genomen. Facebook heeft binnen enkele weken na een nieuw "ambtshalve" onderzoek van de gegevensbeschermingsautoriteit van Facebook naar de gegevensstromen tussen de EU en de VS bij de rechtbanken een klacht ingediend. Deze nieuwe zaak is gericht op het gebruik van SCC's en beperkt zich tot dergelijke gegevensstromen - waarbij volledig wordt voorbijgegaan aan het feit dat Facebook al heeft aangekondigd dat het zich voor de gegevensoverdracht tussen de EU en de VS op een ander instrument zal baseren. De SCB was van plan deze zaak binnen 42 dagen door te verwijzen naar het Europees conformiteitmechanisme van de gegevensbeschermingsautoriteiten van alle 27 lidstaten. Deze termijn is nu niet meer haalbaar.
Ter ondersteuning van het verzoekschrift heeft Facebook aangevoerd dat een "ontwerpbesluit" van 28 augustus 2020 dat aan het begin van de procedure stond, vooruitliep op de uitkomst van de procedure en dat drie weken om te reageren niet genoeg tijd is voor de sociale-mediagigant om te reageren. Facebook zei dat het op de hoogte was van de tijdlijn, toen het de brieven van de DPC aan noyb beoordeelde, die noyb op zijn website heeft gepubliceerd. Facebook voerde ook aan dat het "oneerlijk" zou zijn dat de DPC alleen Facebook als doelgroep had en niet ook andere IT-bedrijven die gegevens van Ierland naar de Verenigde Staten uitbesteden. Facebook baseerde zich ook op een brief van de heer Schrems waarin hij aanvoert dat de bestaande klachtenprocedure moet worden voortgezet en de 101 zaken die door noyb bij verschillende gegevensbeschermingsautoriteiten zijn ingediend, om aan te voeren dat de aanpak van de gegevensbeschermingsautoriteit om een nieuw "ambtshalve" onderzoek in te stellen, onjuist is.
Max Schrems (klager in de oorspronkelijke zaak): "Het komt niet als een verrassing dat de DPC opnieuw heeft gefaald in het uitvoeren van een goede procedure en werd tegengehouden door de Ierse rechtbanken voor nu. Tegelijkertijd is het niet duidelijk of Facebook uiteindelijk zal slagen met deze zaak. Vandaag kreeg Facebook alleen toestemming om een zaak in te dienen en het onderzoek door de DPC voor de komende dagen en misschien wel weken te laten onderbreken"
Onafhankelijk optreden van noyb tegen de DPC-procedure..
Onafhankelijk van de rechterlijke toetsing door Facebook heeft noyb aangekondigd dat het deze nieuwe "ambtshalve" zaak door de gegevensbeschermingsautoriteit zal aanvechten, voor zover de gegevensbeschermingsautoriteit noyb heeft meegedeeld dat deze zaak grotendeels in de plaats zal komen van een klachtenprocedure die al meer dan zeven jaar bij de gegevensbeschermingsautoriteit loopt, ondanks het feit dat de gegevensbeschermingsautoriteit sinds 2015 onder een gerechtelijk bevel staat om snel over deze zaak te beslissen
De DPC heeft vorige week beweerd dat de inhoud van deze hangende zaak zal worden beslist in een afzonderlijk, nieuw gestart, "ambtshalve" onderzoek - zonder dat de oorspronkelijke klager wordt gehoord. De klachtenprocedure, die al zeven jaar loopt en waarover al vijf rechterlijke uitspraken zijn gedaan voordat een eerste besluit van de gegevensbeschermingsautoriteit is genomen, zou opnieuw worden "gepauzeerd".
Max Schrems (klager in de zaak): "De DPC gebruikt een zeer duistere truc om de betrokken betrokkenen uit zijn zaken te verwijderen. De gegevensbeschermingscoördinator heeft deze zaak eerst "lichtzinnig" genoemd en heeft vervolgens gefaald in zijn beoordeling van de SCC's - met het argument dat deze ongeldig zouden zijn. We hebben er geen enkel vertrouwen in dat de gegevensbeschermingscoördinator deze zaak voor elkaar krijgt zonder dat een externe klager de gebruikers vertegenwoordigt
Binnen een maand heeft de DPC (opnieuw) zulke dubieuze acties ondernomen in zijn procedures, dat zelfs de tegenstanders voor hij akkoord gaan (om verschillende redenen) dat de procedure moet worden stopgezet. Facebook heeft ermee ingestemd dat alle documentatie van het "ambtshalve" onderzoek aan de heer Schrems ter beschikking wordt gesteld.
De heer Schrems: "De gegevensbeschermingsautoriteit is berucht om haar slechte procedurele beslissingen. Tot nu toe hebben ze bijna elke zaak verloren en hebben ze zelfs tegenstanders zoals Facebook en mij zover gekregen dat ze het erover eens zijn dat hun procedures twijfelachtig zijn - ook al is dat om verschillende redenen. In de huidige zaak heeft de gegevensbeschermingsautoriteit in zeven jaar tijd geen formele beslissing genomen - ondanks vijf arresten van verschillende rechtbanken
