I klagomålsförfarandena rörande WhatsApp och Instagram, som båda är baserade på Irland, har den irländska dataskyddskommissionen (DPC) tagit två år på sig att ta fram ett första "utkast till utredningsrapport". Detta är bara det första av sex steg i ett brådskande GDPR-ärende innan man kommer fram till ett faktiskt beslut. Efter flera kontakter med DPC, noyb.eu av High Court idag beviljats tillstånd för en rättslig prövning av DPC:s förfarande på uppdrag av två klagande.
Klagomål den 25 maj 2018. Under de första timmarna efter att dataskyddsförordningen började tillämpas lämnade noyb.eu in fyra klagomål för enskilda användares räkning. Medan ett klagomål mot Google hanterades av den franska tillsynsmyndigheten (CNIL) inom några månader och ledde till ett bötesbelopp på 50 miljoner euro, vidarebefordrades de andra klagomålen från Österrike, Tyskland och Belgien till den irländska dataskyddsmyndigheten, där de fortfarande "behandlas".
Instagram och WhatsApp. Medan det finns en viss (långsam) process i ett klagomål som noyb.eu lämnat in mot Facebook, har de två fallen om Instagram och WhatsApp bara sett en första "Draft Inquiry Report" efter två år. Fem ytterligare steg är nödvändiga innan de berörda användarna kan få ett slutligt beslut om sina grundläggande rättigheter. DPC kunde inte ge någon tidslinje för när dessa steg ska vara slutförda. Tidigare tidsfrister har regelbundet inte hållits.
Gerard Rudden från ARQ Solicitors, som företräder noyb.eu:"I detta förfarande söker noyb.eu en förklaring om att DPC har underlåtit att genomföra en undersökning av klagomålen inom en rimlig tidsperiod, vilket de är skyldiga att göra. DPC har, enligt noyb.eu:s uppfattning, antagit ett onödigt och besvärligt sexstegsförfarande i förhållande till dessa klagomål. Under de två år som gått sedan klagomålen lämnades in har de endast slutfört det första steget."
Rättslig prövning. Idag fick noyb.eu tillstånd av Irish High Court att utmana DPC i detta extremt långsamma förfarande som de facto berövar européer deras rättigheter enligt GDPR när de klagar på ett företag som är baserat på Irland och därför "regleras" av DPC. Granskningen kommer inte att fördröja förfarandet ytterligare, utan kommer att genomföras parallellt med dessa ärenden vid DPC.
Max Schrems, hedersordförande för noyb.eu:"Strax efter det att GDPR trädde i kraft blev det uppenbart att DPC fungerar som en flaskhals för européernas rätt till integritet. Förfarandet är kafkaliknande och verkar nästan vara utformat för att fördröja användarklagomål i åratal och därigenom skydda amerikanska multinationella företag med huvudkontor på Irland. Vi är glada över att den irländska högsta domstolen nu kommer att granska detta strukturella problem."
Försenade översättningar och saknade dokument. Inte ens resultatet av detta första steg kan behandlas av noyb.eu, eftersom de berörda myndigheterna i Tyskland och Belgien inte har tillhandahållit någon översättning till tyska och franska. Dessutom verkar det som om DPC inte ens har tillhandahållit alla relevanta dokument till sina europeiska motsvarigheter, som i sin tur inte kan tillhandahålla de nödvändiga dokumenten till de klagande. Andra dokument hölls tillbaka av DPC i mer än ett år, vilket ytterligare försenade samarbetet mellan dataskyddsmyndigheterna.
Schrems:"Även om DPC nu har utfört det första av sex steg, saknar vi fortfarande dokument från det första steget. Även de handlingar som vi har fått har vi inte fått på de språk som krävs enligt lag. Enligt processlagstiftningen måste vi ta emot och arkivera handlingarna på de nationella språken - även om vi gärna skulle arkivera allt på engelska. Det verkar som om dessa dataskyddsmyndigheter i sin tur väntar på handlingar från DPC. Vi avvisar varje antydan från DPC om att dessa ytterligare förseningar orsakas av oss. Istället har DPC försenat vidarebefordran av dokument i åratal och har misslyckats med att organisera översättningar med sina europeiska motsvarigheter."
