Beslut från irländska High Court: DPC måste nu genomföra EU-domstolens dom och stoppa Facebooks dataöverföringar mellan EU och USA.
High Court beslutade idag att den irländska dataskyddskommissionen (DPC) hade rätt att inleda en andra utredning "på eget initiativ" mot Facebook. Facebooks försök att stoppa denna andra utredning misslyckades. Domaren höll: "Jag avslår alla de yrkanden som [Facebook Ireland] har framställt och avvisar de yrkanden som Facebook Ireland har framställt i målet."
DPC har nu två öppna förfaranden för att genomföra den så kallade "Schrems II"-domen, i vilken EU-domstolen klargjorde att Facebook inte får överföra personuppgifter från EU till USA. Enligt en separat uppgörelse mellan Schrems och DPC (först publicerad idag) måste DPC nu även utreda ett ursprungligt klagomål från 2013 som ledde till EU-domstolens beslut. Det ursprungliga klagomålsförfarandet kommer att löpa parallellt med den nya utredningen om "egen vilja".
Schrems:"Facebook förlorade på alla punkter. Deras försök att återigen fördröja det irländska beslutet gav dem bara ett par månader. Efter åtta år måste nu dataskyddsmyndigheten stoppa Facebooks dataöverföringar mellan EU och USA, sannolikt före sommaren. Nu har vi helt enkelt två förfaranden i stället för ett."
Tredje "grenen" i långvarigt Facebook-fall. Dagens beslut innebär att det sjunde domstolsärendet i en långvarig strid mellan Schrems, DPC och Facebook avslutas. Schrems lämnade 2013 in ett klagomål mot Facebook med anledning av Snowdens avslöjanden och hävdade att Facebook inte får överföra hans personuppgifter till USA, där övervakningslagar kräver att personuppgifter delas med den amerikanska regeringen. Målet hänsköts till EU-domstolen två gånger, vilket ledde till de så kallade "Schrems I"- och "Schrems II"-domarna, där EU-domstolen beslutade att DPC skulle utreda Facebook och hade en skyldighet att stoppa dataöverföringarna.
I stället för att snabbt genomföra EU-domstolens beslut skapade dataskyddsmyndigheten tre "förgreningar" av det huvudsakliga klagomålsförfarandet (se grafiken nedan). Under 2020 påbörjades den tredje omvägen genom att inleda ett förfarande "på eget initiativ" i exakt samma ärende som det befintliga klagomålsförfarandet, samtidigt som Schrems klagomålsförfarande "pausades" på obestämd tid. Detta skulle i slutändan ha avlägsnat Schrems från hans eget ärende.
Facebook och Schrems lämnade in en begäran om rättslig prövning. Schrems och Facebook var inte överens om DPC:s tillvägagångssätt och lämnade in två separata ansökningar om rättslig prövning, om än av olika skäl: Facebook anförde otaliga argument rörande rätten att bli hörd och en påstådd "för tidig" dom från DPC (efter sju år).
Samtidigt hävdade Schrems att DPC:s tillvägagångssätt skulle ha utestängt honom från hans eget mål, eftersom ämnet skulle behandlas i ett mål "på eget initiativ" mellan Facebook och DPC ensamt. Dessutom bröt DPC mot ett åtagande från 2015 om att snabbt fatta beslut om hans klagomål, eftersom man nu "pausade" klagomålet på obestämd tid.
Förlikning mellan DPC och Schrems säkerställer ett snabbt beslut, oberoende av High Courts beslut. Strax innan Schrems rättsliga prövning skulle ha prövats gav DPC med sig och ingick en förlikning i målet. I förlikningen åtog sig DPC att skyndsamt genomföra klagomålsförfarandet efter det att High Court fattat beslut om Facebooks rättsliga prövning. Dessutom, om det andra förfarandet "på egen begäran" tillåts av High Court, skulle Schrems kunna delta i det.
Kort sagt: Förlikningen innebar att DPC skulle fatta beslut om Facebooks dataöverföringar i antingen ett eller två förfaranden.
Nästa steg: Irländskt beslut och EDPB-förfarande. Efter dagens dom måste DPC snabbt genomföra EU-domstolens beslut och förbjuda Facebooks överföringar mellan EU och USA. Under hösten 2020 förutsåg DPC 21 dagar för att höra parterna och ytterligare 21 dagar för att slutföra sitt beslut, liknande tidslinjer är överenskomna i uppgörelsen med Schrems. Alla nationella beslut som fattas av den irländska dataskyddsmyndigheten måste sannolikt godkännas av Europeiska dataskyddsstyrelsen (EDPB), där dataskyddsmyndigheterna i EU:s 28 medlemsländer kan granska beslutet och invända mot det om de inte håller med om dataskyddsmyndighetens slutsatser. Tidsfristen för en invändning är fyra veckor och utlöser en omröstning på europeisk nivå.
Schrems:"Vi förväntar oss nu att DPC kommer att fatta ett beslut om att stoppa Facebooks dataöverföringar före sommaren. Detta skulle kräva att Facebook lagrar de flesta uppgifter från Europa lokalt, för att säkerställa att Facebook USA inte har tillgång till europeiska uppgifter. Det andra alternativet skulle vara att USA ändrar sina övervakningslagar."
