Stoppar DPC verkligen Facebooks dataöverföringar mellan EU och USA? ...kanske halvvägs!
WSJ rapporterade på onsdagskvällen att den irländska dataskyddskommissionen ("DPC") påstås ha utfärdat en "preliminär order" för Facebook att stoppa dataöverföringar mellan EU och USA. Tidigare i veckan informerade vi DPC om att vi planerar att lämna in ett interimistiskt föreläggande om deras beslut att inleda en "andra" utredning i ärendet, eftersom detta skulle bryta mot ett domstolsbeslut från 2015.
Samtidigt verkar Facebook (ännu en gång) ha ändrat den rättsliga grund som man förlitar sig på för dataöverföringar mellan EU och USA i efterdyningarna av EU-domstolens dom om "Privacy Shield" och användningen av standardavtalsklausuler ("SCC"). Facebook använder nu ett påstått "behov" för att lägga ut databehandling till USA enligt användaravtalet och artikel 49.1 b i GDPR. Enligt vår kännedom ligger denna nya rättsliga grund utanför tillämpningsområdet för DPC:s "preliminary order".
noyb publicerar nu tre brev som kan göra det möjligt för allmänheten att få en bättre förståelse för Facebooks och DPC:s mellanhavanden.
- Utbyte med Facebook från augusti 2020 (PDF)
- Brev från DPC av den 31 augusti 2020 (PDF)
- Brev till DPC av den 7 september 2020 (PDF)
- Rapport från WSJ (betalvägg)
- Kommentar från Facebook
DPC öppnade ett "parallellt" ärende till ett klagomål som har pågått i 7 år om användningen av SCCs enligt artikel 46.1 GDPR endast
Vi hade ett antal utbyten med DPC där vi begärde ett snabbt genomförande av EU-domstolens dom om dataöverföringar mellan EU och USA. Datainspektionen har inte angett att den kommer att vidta någon sådan snabb åtgärd. Den 31 augusti 2020 informerade DPC oss i ett brev (PDF) att man kommer att inleda ett andra ärende (oberoende av det klagomålsförfarande som ledde till EU-domstolens dom) för att undersöka Facbeooks åberopande av standardavtalsklausulerna (SCC). Samtidigt beslutade DPC att pausa det pågående klagomålsförfarandet som inleddes av Schrems för sju år sedan, trots att DPC sedan 2015 har ett åtagande gentemot Irish High Court att snabbt avgöra målet. DPC framhöll att denna andra utredning är strikt begränsad till Facebooks användning av SCC enligt artikel 46.1 i GDPR.
Max Schrems, hedersordförande för noyb.eu: "Vi välkomnar naturligtvis tanken på att den irländska dataskyddsmyndigheten äntligen börjar göra sitt jobb efter sju års förfaranden och fem domstolsbeslut, som alla har gett oss rätt. Detta steg från DPC:s sida kan dock leda till ännu ett halvhjärtat beslut trots allt."
Facebook hävdar nu en "parallell" rättslig grund enligt artikel 49 GDPR som inte är föremål för Datainspektionens begränsade utredning
Datainspektionens begränsade utredning är särskilt intressant eftersom Facebook i ett brev av den 19 augusti 2020 (PDF, sidan 3) har angett att man (efter att Safe Harbor, Privacy Shield och SCC upphörde att gälla) nu förlitar sig på en fjärde rättslig grund för dataöverföringar: den påstådda "nödvändigheten" att lägga ut behandlingen till USA enligt avtalet med användarna (se artikel 49.1 b i GDPR). Detta innebär att ett "preliminärt beslut" eller en "andra utredning" från DPC enbart avseende SCC:erna i själva verket inte kommer att hindra Facebook från att hävda att dess dataöverföringar mellan EU och USA fortsätter att vara lagliga. I praktiken kan artikel 49.1 b i GDPR vara en lämplig rättslig grund för mycket begränsade dataöverföringar (t.ex. när en användare i EU skickar ett meddelande till en användare i USA), men kan inte användas för att lägga ut all databehandling till USA.
Max Schrems:"Datainspektionen undersöker återigen bara en del av problemet - vilket de redan har gjort två gånger i undersökningarna om Safe Harbor och SCC. Facebook verkar vilja att DPC bara ska fokusera på SCC också, så att de bara kan dra ut nästa rättsliga grund i slutet av detta förfarande. Denna juridiska upplaga av "whac-a-mole" har pågått i sju år nu. Jag misstänker därför att det påstådda förhandsföreläggandet mot Facebook är ytterligare ett meningslöst steg som inte kommer att lösa frågan fullt ut."
noyb planerar ett interimistiskt föreläggande för att stoppa DPC:s misskötsel
Som svar på denna situation skickade Schrems advokat ett brev till DPC på måndagen denna vecka (PDF), där han betonade att Facebook också använder artikel 49 och att DPC tydligt bryter mot ett domstolsbeslut genom att (ännu en gång) pausa klagomålsförfarandet från 2013, bara för att inleda en onödig andra utredning av endast en delfråga i det ursprungliga klagomålet. Enligt irländsk lag är DPC sannolikt i "förakt för domstol" - en mycket allvarlig sak som kan leda till allvarliga konsekvenser för chefen för DPC.
noyb har informerat DPC om att vi planerar att lämna in ett interimistiskt föreläggande för att säkerställa att DPC vidtar åtgärder mot alla påstådda rättsliga grunder som åberopas för dataöverföringar av Facebook (SCC enligt artikel 46 och det påstådda "kontraktet" enligt artikel 49 GDPR) och att göra det inom det pågående klagomålsförfarandet, enligt vad som föreskrivs i lagen.
Schrems:"Läckan om ett hemligt "preliminärt beslut" mot Facebook visar att DPC försökte driva ett hemligt förfarande utan den klagande. Även om en sådan order borde ha utfärdats 2013 är vi mycket oroade över att DPC återigen bara inleder en begränsad utredning som inte fullt ut kommer att fastställa alla aspekter av ärendet. Vi kommer därför att vidta lämpliga rättsliga åtgärder i Irland för att säkerställa att användarnas rättigheter upprätthålls fullt ut - oavsett vilken rättslig grund Facebook åberopar. Efter sju år måste alla kort läggas på bordet."
Det är oklart hur läckan om "preliminary order" förhåller sig till denna bakgrund i målet. DPC enades på onsdagskvällen om att återkomma om ett eventuellt interimistiskt föreläggande senast fredagen den 11 september 2020. Schrems advokater kommer att begära ut alla dokument som nämndes i WSJ:s exklusiva artikel från DPC.
