Ierse DPC moet tienduizenden proceskosten betalen over 47 maanden vertraging in zaken tegen WhatsApp en Instagram
De Ierse DPC heeft vandaag een schikking getroffen met noyb over een grove vertraging in twee zaken tegen Instagram en WhatsApp. 47 maanden nadat de zaken over de "toestemmingsomzeiling" van Facebook waren aangespannen, stemde de DPC ermee in tienduizenden kosten te betalen voor een rechterlijke toetsing over vertragingen. Hoewel de GDPR voorschrijft dat "onverwijld" een besluit moet worden genomen, is het DPC van mening dat vier jaar om een ontwerpbesluit op te stellen redelijk is. In de meeste EU-lidstaten vereist de wet een besluit binnen 3 tot 12 maanden.
Eenvoudige zaak. Op 25 mei 2018, op de dag dat de GDPR in werking trad, diende noyb vier klachten in over "gedwongen toestemming". Eén leidde tot een snelle boete van 50 miljoen euro tegen Google in Frankrijk, de andere drie zaken (Facebook, Instagram en WhatsApp) werden naar de DPC gestuurd als de leidende autoriteit. In geen van de Ierse zaken is tot dusver een definitief besluit genomen. De zaken zelf zijn eenvoudig, aangezien ze slechts betrekking hebben op beperkte juridische kwesties en er zelfs een duidelijke richtlijn van het Europees Comité voor gegevensbescherming (EDPB) bestaat over de kern van de zaken. Deze richtsnoeren zelf zijn er gekomen na een poging van de DPC om bij zijn EU-collega's te lobbyen in het belang van Facebook. Ondanks de duidelijke juridische situatie heeft de DPC pas op 1 april 2022, 46 maanden nadat de klachten werden ingediend, een "ontwerpbesluit" over WhatsApp en Instragram uitgevaardigd. De zaken zijn nog in behandeling en zullen waarschijnlijk niet voor de zomer van 2022 worden beslist.
Vier jaar voor GDPR-basisrechten is "zonder uitstel"? Op 6 juli 2020 heeft noyb een rechterlijke toetsing ingediend bij het Ierse High Court, waarin wordt gesteld dat het DPC artikel 60, lid 3, GDPR heeft geschonden door niet "onverwijld" een ontwerp-besluit te verstrekken. Het DPC was van mening dat (inmiddels) ruwweg vier jaar nog steeds "onverwijld" zou zijn. In veel andere EU-lidstaten vereist de wet een beslissing binnen 3 tot 12 maanden, zoals blijkt uit een recente interne tabel van de EDPB.
Iers hooggerechtshof trager dan DPC? Maar niet alleen het DPC doet er erg lang over om een beslissing te nemen. De eerste hoorzitting voor het Ierse High Court is vandaag (28 april 2022), elke hoorzitting over de zaak zou realistisch zijn geweest in het najaar van 2022. Dit zou betekenen dat de rechterlijke toetsing van de vertraging zelf meer dan twee jaar in beslag zou nemen. Gezien de trage snelheid van de rechterlijke toetsing door het Ierse High Court, is de trage procedure voor het DPC de rechterlijke toetsing nu voorbijgestreefd, aangezien het DPC zijn ontwerpbeschikking uiteindelijk op 1 april 2022 ter toetsing heeft ingediend.
Max Schrems, erevoorzitter van noyb:"Het is grotesk dat de juridische procedure om vertragingen aan te pakken zo traag is, dat het DPC gewoon in een traag tempo kan doorgaan en toch sneller is dan de rechtbanken. We hebben te maken met een situatie waarin er werkelijk geen efficiënt verhaal mogelijk is tegen het Ierse DPC dat zaken vertraagt. De enige lering kan komen van de kosten van de procedure, die door het GOG zullen moeten worden gedekt. Wij verwachten dat de kosten in de tienduizenden zullen lopen."
Niet-besloten zaken - Volgende stappen. De "ontwerpbesluiten" over WhatsApp en Instagram zullen nu worden onderzocht door de andere Europese gegevensbeschermingsautoriteiten, die "met redenen omklede bezwaren" kunnen indienen. De termijn daarvoor is toevallig vandaag. Omdat de DPC de procedurestukken (illegaal) niet meer met noyb deelt, kan noyb niet inhoudelijk op deze ontwerpbesluiten ingaan. Deze procedurele schendingen kunnen zelf een basis zijn om een definitief besluit juridisch aan te vechten. Als er bezwaren zijn, kunnen de zaken in de komende maanden worden doorverwezen naar de EDPB.
Max Schrems:"De procedure is niet alleen traag, maar ook fundamenteel oneerlijk. Het DPC heeft ons in feite uit grote delen van de procedure verwijderd, de meeste van onze opmerkingen worden gewoonweg genegeerd. In het voorontwerp van beschikking werden onze opmerkingen grotendeels weggemoffeld, waardoor het voor andere instanties onmogelijk werd om een volledig beeld van de zaak te krijgen. Grote delen van onze opmerkingen zijn gewoon "verdwenen" bij het Ierse DPC."
Topje van de ijsberg. noyb heeft nog een twintigtal andere zaken bij het DPC lopen, in geen daarvan is een tijdige beslissing in zicht. noyb zal zich nu richten op de vertragingen in deze andere zaken en mogelijk nog meer zaken onder de aandacht van de High Court brengen. Ondanks het feit dat het gegevensbeschermingscollege een van de grootste budgetten van alle gegevensbeschermingsautoriteiten in de EU heeft en over een enorm aantal personeelsleden beschikt, neemt het slechts een handvol besluiten per jaar en duurt het veel langer dan andere autoriteiten.
Max Schrems:"Wij hopen dat de gegevensbeschermingsautoriteit heeft geleerd dat haar buitensporige vertragingen kosten meebrengen die de Ierse belastingbetaler niet zal aanvaarden. De GOG heeft een enorm budget gekregen, maar dat lijkt te worden geïnvesteerd in het tegenwerken van procedures - niet in het afhandelen ervan."
