noybovo tretie "adventné čítanie": Záznam o spracovateľských činnostiach Facebooku (ROPA)
Vo svojom treťom "adventnom čítaní" (na protest proti nezákonnému vyradeniu noyb z prebiehajúceho konania) noyb zverejňuje hlavný dokument Facebooku o súlade s GDPR: "Záznam o činnostiach spracovania" spoločnosti Facebook podľa článku 30 GDPR (skrátene: "ROPA"). Takýto zákonom vyžadovaný dokument by mal umožniť jednoduché posúdenie súladu Facebooku s GDPR, v skutočnosti má však len smiešne štyri strany. Obvykle majú inak takéto dokumenty stovky strán. Schrems:"Základný dokument spoločnosti Facebook o súlade s GDPR je príznačný pre jej neznalosť zákona - má iba štyri strany. Zvyčajne by takýto dokument mal stovky strán. Írsky úrad DPC vie o nedostatočnej dokumentácii od roku 2018, ale nepodnikol žiadne kroky."
Súlad s GDPR na štyroch stranách? Dokument v skutočnosti hovorí len veľmi málo, namiesto podrobného opisu tisícov operácií spracovania sa Facebook odvoláva najmä na svoje zásady ochrany osobných údajov a inak pridal niekoľko všeobecných riadkov. Pre hlbší ponor sa k noyb pripojil Peter Hense, partner v advokátskej kancelárii Spirit Legal, ktorý už pracoval na stovkách takýchto dokumentov. Ťažko mohol uveriť, že že ROPA spoločnosti Facebook sa obmedzuje na štyri strany a v adventnom čítaní noyb komentoval:"Každý futbalový klub má podrobnejšie ROPA". Ďalej zdôraznil, že ako audítor by musel túto ROPA považovať za neexistujúcu a že spracovanie spoločnosťou Facebook je preto "nezákonné".
DPC si je toho vedomá od roku 2018. Írska komisia pre ochranu údajov (ďalej len "DPC") dostala tento smiešny "Záznam o činnostiach spracovania" 27. 9. 2018 od spoločnosti Facebook, ale pokiaľ je noybovi známe, nepodnikla žiadne kroky v súvislosti so zjavným porušením článku 30 GDPR.
Max Schrems, predseda noyb.eu:"Írska DPC vedela, že spoločnosť Facebook Ireland nemá v poriadku ani tie najzákladnejšie dokumenty o dodržiavaní predpisov, a nič s tým neurobila."
Hrozba pre noyb v roku 2019. Namiesto toho, aby DPC podnikol kroky voči spoločnosti Facebook, vydal sa po noyb: akonáhle bol dokument poskytnutý noyb v auguste 2019 prostredníctvom rakúskeho úradu na ochranu údajov (ďalej len "DSB"), Max Schrems sa na Twitteri podelil o skutočnosť, že ROPA obsahuje len štyri strany, spolu s obrázkom zadnej strany dokumentov. To podnietilo úrad DPC, aby zaslal spoločnosti noyb nahnevané listy, v ktorých požadoval vymazanie tohto tweetu.
"Fan mail" od DPC a Facebooku. Ako noyb informuje všetky relevantné strany pred našimi adventnými čítaniami, opäť sme dostali výhražné listy (nazývame ich "fanúšikovská pošta") od právnickej firmy Facebook Mason Hayes and Curran a írska DPC - v podstate sa vyhrážajú právnymi krokmi proti noyb, napriek tomu, že na to nemajú žiadny právny základ, ako sme zdôraznili v našich odpovediach Facebooku a v našej odpovedi írskej DPC.
Právny základ pre zverejnenie. Ako sme zdôraznili v našom prvom adventnom čítaní, štyri adventné čítania noyb sú protestom proti nezákonnému odstráneniu noyb zo strany DPC v prebiehajúcom konaní. Všetky dokumenty boli poskytnuté prostredníctvom Rakúskej DSB. Rakúsky DSB rozhodol, že tieto dokumenty nie sú chránené podľa príslušného ustanovenia (§ 17 Abs 3 AVG) a noyb ich môže voľne používať podľa platných rakúskych právnych predpisov. Ani podľa (neuplatniteľného) írskeho zákona o ochrane údajov z roku 2018 neexistuje žiadny právny základ na to, aby strany zadržiavali alebo inak obmedzovali používanie dokumentov. Hoci sa DPC zvyčajne odvoláva na § 26 zákona, toto ustanovenie sa jednoznačne vzťahuje len na zamestnancov DPC ("príslušné osoby"), a nie na tretie strany.
Potenciálna "SLAPP žaloba" zo strany DPC a Facebooku. Vzhľadom na nepodložené vyhrážky, napriek jasnému právnemu základu týchto publikácií, noyb teraz očakáva nepodložené "SLAPP žaloby" (pozri skvelé zhrnutie Johna Olivera, žiaľ len na YouTube) zo strany DPC a/alebo Facebook Ireland Limited. Nie je nepravdepodobné, že by sa Facebook alebo DPC pokúsili podať žalobu v Írsku alebo v Spojenom kráľovstve, keďže tieto právne systémy sú mimoriadne drahé a sú dokonalou jurisdikciou na zničenie mimovládnej organizácie. Preto sme príslušné dokumenty v týchto jurisdikciách geoblokovali.
Dnešné dokumenty. Dokument ROPA je súčasťou nášho súdneho sporu "GDPR bypass" a je k dispozícii tu:
- ROPA spoločnosti Facebook na štyroch stranách (nemusí byť dostupný vo všetkých krajinách)
Výmena informácií o zákonnosti tohto zverejnenia:
- List DPC o zverejnení ROPA
- Odpoveď noyb o tom, prečo sú body DPC nesprávne
- List právnickej kancelárie spoločnosti Facebook o uverejnení ROPA
- Odpoveď spoločnosti noyb o tom, prečo "zámer" spoločnosti Facebook nie je relevantným faktorom
Týždeň v prehľade. Pre všetkých, ktorých zaujíma, čo sa stalo od minulotýždňového adventného čítania, odporúčame tento článok od POLITICO o tom, ako sa DPC snažila pretlačiť "obchádzanie GDPR" spoločnosťou Facebook do dokumentov EDPB. To vyvolalo množstvo zaujímavých článkov, až po výzvy v rámci Írska na výmenu vedenia DPC. Koncom tohto týždňa o námietke podľa článku 60 proti návrhu rozhodnutia DPC o "obchádzaní GDPR" zo strany nórskeho orgánu na ochranu údajov informoval portál POLITICO, pričom zdôraznil, že návrh rozhodnutia DPC by "ukončilo právo na súkromie" podľa nórskeho orgánu DPA. To viedlo k ďalším diskusiám v Írsku o DPC, ako napríklad k tejto správe denníka Irish Times.
