Czy DPC rzeczywiście zatrzymuje transfer danych z Facebooka między UE a USA?! ...może w połowie drogi!
WSJ poinformował w środę wieczorem, że irlandzka Komisja Ochrony Danych ("DPC") rzekomo wydała "wstępny nakaz", aby Facebook zaprzestał przekazywania danych UE-USA. Na początku tego tygodnia poinformowaliśmy DPC, że planujemy złożyć wniosek o wydanie nakazu tymczasowego w sprawie decyzji o wszczęciu "drugiego" dochodzenia w tej sprawie, ponieważ złamałoby to nakaz sądowy z 2015 roku
Jednocześnie wydaje się, że Facebook (po raz kolejny) zmienił podstawę prawną, na której opiera się w odniesieniu do przekazywania danych UE-USA w następstwie wyroku TSUE w sprawie "ochrony prywatności" i stosowania standardowych klauzul umownych ("SCC"). Facebook wykorzystuje obecnie domniemaną "potrzebę" outsourcingu operacji przetwarzania danych do USA na mocy umowy z użytkownikiem i art. 49 ust. 1 lit. b) PKBR. Zgodnie z naszą wiedzą ta nowa podstawa prawna znajduje się poza zakresem "wstępnego zamówienia" DPC.
noyb publikuje obecnie trzy listy, które mogą umożliwić obywatelom lepsze zrozumienie działalności Facebooka i DPC.
- Wymiana z Facebookiem od sierpnia 2020 r. (PDF)
- Pismo DPC z dnia 31 sierpnia 2020 r. (PDF)
- List do DPC z 7 września 2020 r. (PDF)
- Raport WSJ (płatny)
- Komentarz Facebooka
Komitet Ochrony Socjalnej wszczął "równoległą" sprawę w odniesieniu do skargi, która trwała przez siedem lat i dotyczyła korzystania z usług SPK na mocy art. 46 ust. 1 rozporządzenia (WE) nr 1049/2001
Przeprowadziliśmy szereg rozmów z DPC, w ramach których zwróciliśmy się z prośbą o szybkie wdrożenie wyroku TSUE w sprawie przekazywania danych między UE a USA. DPC nie wskazał, że podejmie takie szybkie działania. W dniu 31 sierpnia 2020 r. DPC poinformowała nas pismem (PDF), że otworzy drugą sprawę (niezależną od procedury składania skarg, która doprowadziła do wydania wyroku przez TSUE) w celu zbadania, czy Facbeook opiera się na standardowych klauzulach umownych (SCC). Jednocześnie DPC podjął decyzję o wstrzymaniu toczącego się postępowania w sprawie skarg wszczętego przez pana Schremsa siedem lat temu, mimo że od 2015 r. zobowiązał się on do szybkiego rozpatrzenia sprawy przez irlandzki sąd najwyższy (High Court). DPC podkreślił, że to drugie dochodzenie jest ściśle ograniczone do korzystania przez Facebook z SCC na podstawie art. 46 ust. 1 PKBR.
Max Schrems, honorowy przewodniczący noyb.eu: "Oczywiście z zadowoleniem przyjmujemy fakt, że po siedmiu latach procedur i pięciu decyzjach sądowych irlandzki DPC w końcu zmierza w kierunku wykonania swojej pracy, co podtrzymało nasze stanowisko. Jednak to posunięcie DPC może doprowadzić do kolejnej, połowicznej decyzji"
Facebook wskazuje obecnie na "równoległą" podstawę prawną na mocy art. 49 PKBR, która nie jest przedmiotem ograniczonego dochodzenia prowadzonego przez DPC
Ten ograniczony przypadek DPC jest szczególnie interesujący, ponieważ Facebook wskazał w piśmie z dnia 19 sierpnia 2020 r. (PDF, s. 3), że (po zakończeniu funkcjonowania "Safe Harbor", "Privacy Shield" i SCC) opiera się obecnie na czwartej podstawie prawnej dla przekazywania danych: domniemanej "konieczności" zlecania przetwarzania danych Stanom Zjednoczonym na podstawie umowy z ich użytkownikami (zob. art. 49 ust. 1 lit. b) PKBR). Oznacza to, że jakikolwiek "wstępny nakaz" lub "drugie dochodzenie" DPC w sprawie samych tylko SCC w rzeczywistości nie powstrzyma Facebooka przed twierdzeniem, że przekazywanie danych do UE-USA jest nadal legalne. W praktyce art. 49 ust. 1 lit. b) PKBR może stanowić odpowiednią podstawę prawną dla bardzo ograniczonych transferów danych (np. gdy użytkownik z UE wysyła wiadomość do użytkownika z USA), ale nie może być wykorzystywany do zlecania przetwarzania danych na zewnątrz do USA.
Max Schrems: "DPC ponownie bada tylko jeden wycinek problemu - jak to już dwukrotnie robili w badaniach nad Safe Harbor i SCC. Wydaje się, że Facebook chce, aby DPC skupiło się również na SCC, tak aby po zakończeniu tej procedury mogli po prostu wyciągnąć następną podstawę prawną. To prawne wydanie "whac-a-mole" trwa już od siedmiu lat. Podejrzewam zatem, że rzekomy wstępny nakaz przeciwko Facebookowi jest kolejnym bezużytecznym krokiem, który nie rozwiąże w pełni tej kwestii. "
noyb planuje wydanie tymczasowego nakazu zaprzestania niewłaściwego zarządzania przez DPC
W odpowiedzi na tę sytuację, solicitor reprezentujący pana Schremsa wysłał w poniedziałek w tym tygodniu pismo do DPC (PDF), w którym podkreślił, że Facebook również korzysta z art. 49 i DPC wyraźnie narusza postanowienie sądu poprzez (ponowne) wstrzymanie procedury składania skarg od 2013 r., tylko po to, aby rozpocząć niepotrzebne drugie dochodzenie tylko w odniesieniu do podtekstu pierwotnej skargi. Zgodnie z prawem irlandzkim DPC może znajdować się w "pogardzie dla sądu" - jest to bardzo poważna sprawa, która może prowadzić do poważnych konsekwencji dla szefa DPC.
noyb poinformował DPC, że planujemy złożyć wniosek o wydanie nakazu tymczasowego w celu zapewnienia, że DPC podejmie działania w oparciu o wszystkie domniemane podstawy prawne, na których opiera się przy przekazywaniu danych przez Facebook (SCC na mocy art. 46 oraz domniemana "umowa" na mocy art. 49 PKBR), oraz w ramach trwającej procedury składania skarg, jak przewiduje prawo.
Schrems: "Wyciek o tajnym "wstępnym zamówieniu" na Facebooku pokazuje, że DPC próbowało przeprowadzić tajne postępowanie bez skarżącego. Chociaż takie zarządzenie powinno było zostać wydane w 2013 r., jesteśmy bardzo zaniepokojeni, że DPC ponownie rozpoczyna jedynie ograniczone dochodzenie, które nie określi w pełni wszystkich aspektów sprawy. W związku z tym podejmiemy odpowiednie działania prawne w Irlandii w celu zapewnienia pełnego przestrzegania praw użytkowników - bez względu na to, jaka będzie podstawa prawna roszczeń Facebooka. Po siedmiu latach wszystkie karty muszą zostać odłożone na stół"
Nie jest jasne, w jaki sposób wyciek dotyczący "wstępnego nakazu" odnosi się do tego kontekstu sprawy. W środę w nocy DPC zgodził się na powrót do piątku 11 września 2020 r. w sprawie ewentualnego nakazu tymczasowego. Prawnicy pana Schremsa zwrócą się do DPC o wszystkie dokumenty, które zostały wymienione w WSJ, wyłącznie do DPC.
