noyb har vunnit en seger mot YouTube, videoplattformen som tillhandahålls av Google. Efter fem och ett halvt år har den österrikiska dataskyddsmyndigheten (DSB) äntligen fattat ett beslut som går på noyb - och beordrat YouTube att tillmötesgå klagandens begäran om tillgång i enlighet med artikel 15 i GDPR. Fram till nu har företaget undanhållit en stor mängd data, inklusive information om syftet med behandlingen, lagringsperioder, datamottagare och de spårningscookies som används.
Åtta klagomål, inget företag uppfyllde kraven fullt ut. I januari 2019, noyb in åtta klagomål mot en rad streamingleverantörer som Amazon, Apple Music, Spotify, Netflix - och naturligtvis YouTube. Alla dessa företag misslyckades på ett eller annat sätt med att på ett adekvat sätt svara på användarnas begäran om tillgång enligt artikel 15 i GDPR. Enligt rätten till tillgång är företagen skyldiga att förse användarna med en kopia av deras personuppgifter samt ytterligare information om behandlingen, t.ex. uppgifter om källorna till och mottagarna av uppgifterna, syftet med behandlingen av uppgifterna och lagringsperioden.
Martin Baumann, dataskyddsjurist på noyb: "Det är absurt att ett teknikföretag som Google, som omsätter flera miljarder dollar, hellre inleder en långdragen rättsprocess än att ge en användare tillgång till sina personuppgifter. Även om myndigheten konstaterade en överträdelse efter flera år, lyckades Google fördröja efterlevnaden av en begäran om åtkomst i mer än ett halvt decennium. Detta skapar inte bara betydande kostnader för donationsfinansierade icke-statliga organisationer som noyb, utan berövar också de registrerade deras grundläggande rättigheter."
Fem och ett halvt år för ett tydligt fall. Fallet mot YouTube (och därmed mot Google) var enkelt och borde ha varit lätt att avgöra. Företaget hade bara tillhandahållit en bråkdel av de uppgifter som det behandlar om den klagande och undanhållit information om syftet med behandlingen, lagringsperioder, datamottagare och de spårningscookies som användes. Det tog ändå den österrikiska dataskyddsmyndigheten (DSB) fem och ett halvt år att slutligen fatta ett beslut - och beordra Google att ge den klagande full tillgång till sina uppgifter.
Flera försök att fördröja förfarandet. Google, som var väl medvetet om bristen på tillsyn i Irland, försökte (i slutändan utan framgång) hävda att den irländska tillsynsmyndigheten är behörig att hantera detta ärende. Enbart detta fördröjde ärendet avsevärt. Dessutom hävdade Google att den klagandes begäran om tillgång inte var tillräckligt precis, trots att han uttryckligen hade angett vilka uppgifter han ville få ut och trots att det inte finns någon skyldighet att specificera en begäran om tillgång.
Martin Baumann, dataskyddsjurist på noyb: "En begäran om tillgång bör göra det möjligt för de registrerade att utöva andra rättigheter, t.ex. rätten till radering eller rättelse, genom att ge dem information som gör det möjligt att bedöma om behandlingen är laglig. Om det tar mer än fem år att få tillgång till uppgifterna blir det omöjligt att utöva andra rättigheter för den registrerade."
Begäran om tillgång måste besvaras i sin helhet. Detta beslut har konsekvenser även för användare av andra plattformar. I sitt beslut klargjorde DSB återigen att företag måste besvara förfrågningar om tillgång i sin helhet och i en lättillgänglig form. Google hänvisade olagligen den klagande till flera onlineverktyg för att ladda ner hans uppgifter, samt till YouTubes integritetspolicy, som uppenbarligen inte innehåller personlig information om de uppgifter som behandlas om honom. Google har nu fyra veckor på sig att rätta sig efter beslutet, men har också möjlighet att överklaga det - och ytterligare förlänga ett lagligt svar på den registrerades begäran om tillgång.
Martin Baumann, dataskyddsjurist på noyb: "Personuppgiftsansvariga bör inte följa Googles exempel när det gäller att ge användare tillgång till sina uppgifter. Om en begäran om åtkomst inte uppfylls kan det leda till böter och skadeståndskrav från registrerade."
