Je DPC skutočne zastaviť prenosy údajov Facebook EÚ-USA?! ..možno na polceste!
WSJ v stredu večer informoval, že írska komisia pre ochranu údajov (ďalej len "DPC") údajne vydala "predbežný príkaz", aby Facebook zastavil prenosy údajov medzi EÚ a USA. Začiatkom tohto týždňa sme informovali DPC, že plánujeme podať predbežný súdny príkaz v súvislosti s ich rozhodnutím začať "druhé" vyšetrovanie v tejto veci, pretože by tým porušili súdny príkaz z roku 2015.
Zároveň sa zdá, že spoločnosť Facebook (opäť) zmenila právny základ, o ktorý sa opiera pri prenose údajov medzi EÚ a USA v nadväznosti na rozsudok Súdneho dvora EÚ o "štíte na ochranu súkromia" a používaní štandardných zmluvných doložiek ("SCC"). Spoločnosť Facebook teraz využíva údajnú "potrebu" externe zadávať operácie spracovania údajov do USA na základe dohody s používateľom a článku 49 ods. 1 písm. b) GDPR. Podľa našich vedomostí tento nový právny základ nespadá do rozsahu pôsobnosti "predbežného opatrenia" DPC.
spoločnosť noyb teraz uverejňuje tri listy, ktoré môžu umožniť členom verejnosti lepšie pochopiť konanie spoločnosti Facebook a DPC.
- Výmena so spoločnosťou Facebook z augusta 2020 (PDF)
- List DPC z 31. augusta 2020 (PDF)
- List spoločnosti DPC zo 7. septembra 2020 (PDF)
- Správa WSJ (paywalled)
- Komentár spoločnosti Facebook
DPC otvoril "paralelný" prípad k sťažnosti, ktorá trvá už 7 rokov, týkajúci sa používania SCC len podľa článku 46 ods. 1 GDPR
S DPC sme si niekoľkokrát vymenili názory, v ktorých sme žiadali o urýchlené vykonanie rozsudku SDEÚ o prenose údajov medzi EÚ a USA. DPC neuviedla, že takéto rýchle opatrenie prijme. Dňa 31. augusta 2020 nás DPC listom (PDF) informovala, že začne druhé konanie (nezávislé od konania o sťažnostiach, ktoré viedlo k rozsudku SDEÚ) s cieľom prešetriť odvolávanie sa spoločnosti Facbeook na štandardné zmluvné doložky (SCC). DPC sa zároveň rozhodol pozastaviť prebiehajúce konanie o sťažnostiach, ktoré pred siedmimi rokmi inicioval pán Schrems , napriek tomu, že sa od roku 2015 zaviazal írskemu Najvyššiemu súdu, že vo veci urýchlene rozhodne. DPC zdôraznil, že toto druhé vyšetrovanie je prísne obmedzené na používanie SCC spoločnosťou Facebook podľa článku 46 ods. 1 GDPR.
Max Schrems, čestný predseda noyb.eu: "Samozrejme vítame, že írska DPC sa po siedmich rokoch konaní a piatich súdnych rozhodnutiach, ktoré všetky potvrdili naše stanovisko, konečne posúva k plneniu svojich úloh. Tento krok DPC však nakoniec môže viesť k ďalšiemu polovičatému rozhodnutiu."
Facebook teraz argumentuje "paralelným" právnym základom podľa článku 49 GDPR, ktorý nepodlieha obmedzenému prešetrovaniu DPC
Tento obmedzený prípad zo strany DPC je mimoriadne zaujímavý, keďže spoločnosť Facebook v liste z 19. augusta 2020 (PDF, strana 3) uviedla, že (po skončení platnosti dohôd Safe Harbor, Privacy Shield a SCC) sa teraz opiera o štvrtý právny základ na prenos údajov: údajnú "nevyhnutnosť" zadať spracovanie údajov do USA na základe zmluvy s používateľmi (pozri článok 49 ods. 1 písm. b) GDPR). To znamená, že akékoľvek "predbežné opatrenie" alebo "druhé vyšetrovanie" zo strany DPC týkajúce sa samotných SCC v skutočnosti nezabráni Facebooku tvrdiť, že jeho prenosy údajov medzi EÚ a USA sú naďalej zákonné. V praxi môže byť článok 49 ods. 1 písm. b) GDPR vhodným právnym základom pre veľmi obmedzené prenosy údajov (napr. keď používateľ z EÚ posiela správu používateľovi z USA), ale nemožno ho použiť na externé spracovanie všetkých údajov do USA.
Max Schrems:"DPC opäť skúma len jeden výsek problému - ako to už urobil dvakrát v rámci vyšetrovania Safe Harbor a SCC. Zdá sa, že Facebook chce, aby sa DPC zamerala aj na SCC len na to, aby na konci tohto konania mohla jednoducho vytiahnuť ďalší právny základ. Toto právne vydanie "whac-a-mole" trvá už sedem rokov. Mám preto podozrenie, že údajné predbežné opatrenie voči Facebooku je ďalším zbytočným krokom, ktorý túto otázku úplne nevyrieši."
noyb plánuje podať návrh na predbežné opatrenie, aby zastavil nesprávny postup DPC
V reakcii na túto situáciu advokát zastupujúci pána Schremsa zaslal tento týždeň v pondelok DPC list (PDF), v ktorom zdôraznil, že Facebook využíva aj článok 49 a DPC zjavne porušuje súdny príkaz, keď (opäť) pozastavuje konanie o sťažnostiach z roku 2013 len preto, aby začalo zbytočné druhé vyšetrovanie len čiastkovej záležitosti pôvodnej sťažnosti. Podľa írskeho práva sa DPC pravdepodobne dopustí "pohŕdania súdom", čo je veľmi vážna vec, ktorá môže mať pre vedúceho DPC vážne dôsledky.
spoločnosť noyb informovala DPC, že plánujeme podať predbežný súdny príkaz, aby DPC podnikla kroky vo veci všetkých údajných právnych základov, na ktoré sa Facebook odvoláva pri prenose údajov (SCC podľa článku 46 a údajná "zmluva" podľa článku 49 GDPR), a aby tak urobila v rámci prebiehajúceho konania o sťažnostiach, ako to predpokladá zákon.
Schrems:"Únik informácií o tajnom "predbežnom príkaze" proti Facebooku ukazuje, že DPC sa snažilo viesť tajné konanie bez sťažovateľa. Hoci takýto príkaz mal byť vydaný už v roku 2013, sme veľmi znepokojení tým, že DPC sa opäť púšťa len do obmedzeného vyšetrovania, ktoré úplne nezistí všetky aspekty prípadu. V Írsku preto podnikneme príslušné právne kroky, aby sme zabezpečili, že práva používateľov budú plne dodržané - bez ohľadu na to, na aký právny základ sa spoločnosť Facebook odvoláva. Po siedmich rokoch treba vyložiť všetky karty na stôl."
Nie je jasné, ako súvisí únik informácií o "predbežnom opatrení" s týmto pozadím prípadu. DPC sa v stredu večer dohodol, že sa k prípadnému predbežnému opatreniu vráti do piatka 11. septembra 2020. Právnici pána Schremsa si od DPC vyžiadajú všetky dokumenty, ktoré boli uvedené v exkluzívnom článku WSJ.
