Decyzja irlandzkiego High Court: DPC musi teraz wykonać wyrok TSUE i wstrzymać przekazywanie danych przez Facebooka między UE a USA.
Sąd Najwyższy orzekł dziś, że irlandzka Komisja Ochrony Danych (DPC) miała prawo wszcząć drugie dochodzenie przeciwko Facebookowi z własnej inicjatywy. Próba powstrzymania tego drugiego dochodzenia podjęta przez Facebooka nie powiodła się. Sędzia orzekł: "Odrzucam wszystkie ulgi, o które ubiega się [Facebook Ireland] i oddalam roszczenia zgłoszone przez niego w postępowaniu"
DPC ma teraz dwa otwarte postępowania w celu wykonania tzw. wyroku "Schrems II", w którym Europejski Trybunał Sprawiedliwości (TSUE) wyjaśnił, że Facebook nie może przekazywać danych osobowych z UE do USA. Zgodnie z odrębną ugodą zawartą między panem Schremsem a DPC (opublikowaną po raz pierwszy w dniu dzisiejszym) DPC musi teraz również zbadać pierwotną skargę z 2013 r., która doprowadziła do wydania decyzji przez TSUE. Pierwotne postępowanie w sprawie skargi będzie toczyć się równolegle z nowym dochodzeniem w sprawie "własnej woli"
Schrems:"Facebook przegrał na każdym polu. Próba ponownego opóźnienia decyzji irlandzkiej dała im tylko kilka miesięcy. Po ośmiu latach DPC ma teraz obowiązek wstrzymać transfer danych Facebooka między UE a USA, prawdopodobnie jeszcze przed latem. Teraz mamy po prostu dwie procedury zamiast jednej"
Trzecia "odnoga" w wieloletniej sprawie Facebooka. Dzisiejsza decyzja kończy siódmą sprawę sądową w wieloletniej batalii między p. Schremsem, DPC i Facebookiem. W 2013 r., po ujawnieniu informacji przez Snowdena, p. Schrems wniósł skargę przeciwko Facebookowi, twierdząc, że Facebook nie może przekazywać jego danych osobowych do Stanów Zjednoczonych, gdzie przepisy dotyczące nadzoru wymagają udostępniania danych osobowych rządowi USA. Sprawa była dwukrotnie kierowana do Trybunału Sprawiedliwości Unii Europejskiej (TSUE), co doprowadziło do wydania tzw. wyroków "Schrems I" i "Schrems II", w których TSUE zdecydował, że DPC musi zbadać Facebooka i ma obowiązek powstrzymać przekazywanie danych.
Zamiast szybkiego wdrożenia decyzji TSUE, DPC stworzył trzy "odgałęzienia" od głównej procedury skargowej (patrz grafika poniżej). W 2020 r. rozpoczął trzeci objazd, otwierając procedurę "z własnej woli" dotyczącą dokładnie tego samego przedmiotu, co istniejąca procedura skargowa, jednocześnie bezterminowo "wstrzymując" procedurę skargową p. Schremsa. W ten sposób p. Schrems zostałby ostatecznie odsunięty od swojej sprawy.
Facebook i Schrems złożyli odwołanie do sądu. Pan Schrems i Facebook nie zgodzili się z podejściem DPC i złożyli dwie oddzielne rewizje sądowe, aczkolwiek z różnych powodów: Facebook podniósł liczne argumenty dotyczące prawa do bycia wysłuchanym oraz rzekomego "przedwczesnego" wydania wyroku przez DPC (po siedmiu latach).
Jednocześnie p. Schrems argumentował, że podejście DPC wykluczyłoby go z jego własnej sprawy, ponieważ przedmiot sprawy byłby rozpatrywany w ramach sprawy "z własnej woli" pomiędzy Facebookiem a DPC. Ponadto DPC naruszył zobowiązanie z 2015 r. do szybkiego podjęcia decyzji w sprawie jego skargi, ponieważ obecnie "wstrzymał" skargę na czas nieokreślony.
Ugoda między DPC a panem Schremsem zapewnia szybką decyzję, niezależnie od decyzji Wysokiego Sądu. Na krótko przed rozpatrzeniem odwołania sądowego p. Schremsa, DPC poddała się i zawarła ugodę w tej sprawie. W ugodzie DPC zobowiązało się do szybkiego uruchomienia procedury składania skarg po podjęciu przez Sąd Najwyższy decyzji w sprawie kontroli sądowej Facebooka. Ponadto, jeśli druga procedura "z własnej woli" zostanie dopuszczona przez Wysoki Trybunał, pan Schrems będzie mógł w niej uczestniczyć.
W skrócie: Ugoda zapewniła, że DPC podejmie decyzję w sprawie przekazywania danych przez Facebook w jednej lub dwóch procedurach.
Kolejne kroki: Decyzja irlandzka i procedura EDPB. Po dzisiejszym wyroku DPC będzie musiał szybko wdrożyć decyzję TSUE i zakazać przekazywania danych przez Facebooka na linii UE-USA. Jesienią 2020 r. irlandzki prokurator generalny przewidział 21 dni na wysłuchanie stron i kolejne 21 dni na wydanie ostatecznej decyzji; podobne ramy czasowe zostały uzgodnione w ugodzie z panem Schremsem. Każda krajowa decyzja irlandzkiego DPC musiałaby prawdopodobnie zostać zatwierdzona przez Europejską Radę Ochrony Danych (EDPB), gdzie organy ochrony danych wszystkich 28 państw członkowskich UE mogą dokonać przeglądu decyzji i wnieść do niej sprzeciw, jeśli nie zgadzają się z ustaleniami DPC. Termin zgłaszania sprzeciwu wynosi cztery tygodnie i powoduje przeprowadzenie głosowania na szczeblu europejskim.
Schrems:"Spodziewamy się, że DPC wyda decyzję o wstrzymaniu transferu danych przez Facebooka jeszcze przed latem. Wymagałoby to od Facebooka przechowywania większości danych z Europy lokalnie, aby zapewnić, że Facebook USA nie ma dostępu do europejskich danych. Inną opcją byłaby zmiana prawa nadzoru przez USA."
