Decisione dell'Alta Corte irlandese: DPC deve ora attuare la sentenza della CGUE e fermare i trasferimenti di dati UE-USA di Facebook.
L'Alta Corte ha deciso oggi che la Commissione irlandese per la protezione dei dati (DPC) aveva il diritto di aprire una seconda indagine "di propria volontà" contro Facebook. Il tentativo di Facebook di fermare questa seconda indagine è fallito. Il giudice ha dichiarato: "Rifiuto tutti i rilievi richiesti da [Facebook Ireland] e respingo le richieste fatte da esso nel procedimento"
Il DPC ha ora due procedure aperte per attuare la cosiddetta sentenza "Schrems II", in cui la Corte di giustizia europea (CJEU) ha chiarito che Facebook non può trasferire dati personali dall'UE agli Stati Uniti. Secondo un accordo separato raggiunto tra il signor Schrems e il DPC (pubblicato per la prima volta oggi) il DPC deve ora anche indagare su un reclamo originale del 2013 che ha portato alla decisione della CGUE. La procedura di reclamo originale funzionerà in parallelo con la nuova indagine per "propria volontà"
Schrems:"Facebook ha perso su ogni terreno. Il suo tentativo di ritardare nuovamente la decisione irlandese gli ha fatto guadagnare solo un paio di mesi. Dopo otto anni, il DPC è ora tenuto a fermare i trasferimenti di dati UE-USA di Facebook, probabilmente prima dell'estate. Ora abbiamo semplicemente due procedure invece di una"
Terzo "ramo" nell'annoso caso Facebook. La decisione di oggi mette fine alla settima causa in una lunga battaglia tra il signor Schrems, il DPC e Facebook. Nel 2013, il signor Schrems ha presentato un reclamo in seguito alle rivelazioni di Snowden contro Facebook, sostenendo che Facebook non può trasferire i suoi dati personali negli Stati Uniti, dove le leggi sulla sorveglianza richiedono la condivisione dei dati personali con il governo degli Stati Uniti. Il caso è stato deferito alla Corte di giustizia dell'Unione europea (CJEU) due volte, portando alle cosiddette sentenze "Schrems I" e "Schrems II", in cui la CJEU ha deciso che il DPC doveva indagare su Facebook e aveva il dovere di fermare i trasferimenti di dati.
Invece di attuare rapidamente le decisioni della CGUE, il DPC ha prodotto tre "rami" fuori dalla procedura di reclamo principale (vedi grafico qui sotto). Nel 2020 ha iniziato la terza deviazione aprendo una procedura di "propria volontà" esattamente sullo stesso argomento della procedura di reclamo esistente, mentre "metteva in pausa" indefinitamente la procedura di reclamo del signor Schrems. Questo avrebbe alla fine eliminato il signor Schrems dal suo stesso caso.
Facebook e Schrems hanno presentato una revisione giudiziaria. Il signor Schrems e Facebook non erano d'accordo con l'approccio del DPC e hanno presentato due distinte revisioni giudiziarie, anche se per motivi diversi: Facebook ha portato innumerevoli argomenti sul diritto di essere ascoltati e su un presunto giudizio "prematuro" del DPC (dopo sette anni).
Allo stesso tempo, il signor Schrems ha sostenuto che l'approccio del DPC lo avrebbe chiuso fuori dal suo caso, poiché l'argomento sarebbe stato trattato in un caso di "propria volontà" tra Facebook e il DPC da solo. Inoltre, il DPC ha violato un impegno del 2015 di decidere rapidamente sul suo reclamo, poiché ora ha "messo in pausa" il reclamo per un tempo indefinito.
L'accordo tra il DPC e il signor Schrems assicura una decisione rapida, indipendente dalla decisione dell'Alta Corte. Poco prima che la revisione giudiziaria del signor Schrems sarebbe stata ascoltata, il DPC ha ceduto e ha risolto il caso. Nell'accordo, il DPC si è impegnato a gestire rapidamente la procedura di reclamo una volta che l'Alta Corte ha deciso sulla revisione giudiziaria di Facebook. Inoltre, se la seconda procedura di "propria volontà" è consentita dall'Alta Corte, il signor Schrems sarebbe in grado di parteciparvi.
In breve: l'accordo assicurava che il DPC avrebbe deciso sui trasferimenti di dati di Facebook in una o due procedure.
I prossimi passi: Decisione irlandese e procedura EDPB. Dopo la sentenza di oggi, il DPC dovrà attuare rapidamente la decisione della CGUE e vietare i trasferimenti UE-USA di Facebook. Nell'autunno 2020 il DPC ha previsto 21 giorni per ascoltare le parti e altri 21 giorni per finalizzare la sua decisione, tempi simili sono concordati nell'accordo con il signor Schrems. Qualsiasi decisione nazionale del DPC irlandese dovrebbe essere approvata dal Comitato europeo per la protezione dei dati (EDPB), dove le autorità di protezione dei dati di tutti i 28 stati membri dell'UE possono rivedere la decisione e obiettare, se non sono d'accordo con le conclusioni del DPC. Il termine per un'obiezione è di quattro settimane e fa scattare un voto a livello europeo.
Schrems:"Ora ci aspettiamo che il DPC emetta una decisione per fermare i trasferimenti di dati di Facebook prima dell'estate. Questo richiederebbe a Facebook di memorizzare la maggior parte dei dati dall'Europa localmente, per garantire che Facebook USA non abbia accesso ai dati europei. L'altra opzione sarebbe che gli Stati Uniti cambiassero le loro leggi sulla sorveglianza."
