Защо според жалбоподателя това е среден пръст за EDPB?
Комисията за защита на данните (DPC) обяви на 19 януари 2023 г., че глобата за WhatsApp Ireland е € 5,5 милиона за нарушения на GDPR. WhatsApp Ireland трябва да приведе своите операции по обработка на данни в съответствие в рамките на период от шест месеца. Според текста от сайта на DPC разследването започва след жалба, подадена на 25 май 2018 г. от немски субект на данни относно услугата WhatsApp. Преди 25 май 2018 г., датата, на която GDPR влезе в сила, WhatsApp Ireland актуализира своите Условия за ползване и информира потребителите, че ако желаят да продължат да имат достъп до услугата WhatsApp след въвеждането на GDPR, съществуващите (и нови) потребители трябва да кликнат върху „съгласен и продължи“, за да покажат, че приемат актуализираните Условия за ползване. (Услугите няма да бъдат достъпни, ако потребителите откажат да го направят).
WhatsApp Ireland счита, че с приемането на актуализираните Условия за ползване е сключен договор между WhatsApp Ireland и потребителя. Той също така заема позицията, че обработването на данните на потребителите във връзка с предоставянето на неговата услуга е необходимо за изпълнението на този договор, за да включва предоставянето на подобрение на услугата и функции за сигурност, така че такива операции по обработка са законни по отношение на член 6, параграф 1, буква б) от GDPR („договорното“ правно основание за обработка).
Жалбоподателят твърди, че противно на заявената позиция на WhatsApp Ireland, администраторът всъщност се опитва да разчита на съгласие, за да предостави законово основание за обработката на данните на потребителите. Като поставя достъпността на своите услуги в зависимост от потребителите, приемащи актуализираните Условия за ползване, WhatsApp Ireland всъщност ги „принуждава“ да се съгласят с обработката на техните лични данни за подобряване на услугата и сигурност. Жалбоподателят твърди, че това е в нарушение на GDPR.
След цялостно разследване DPC изготви проект на решение и го представи на своите партньорски регулатори в ЕС/ЕИП, известни също като заинтересовани надзорни органи (CSA) в съответствие с член 60 от GDPR. По-специално, DPC установи, че:
В нарушение на задълженията си по отношение на прозрачността, информацията във връзка с правното основание, на което се позовава WhatsApp Ireland, не е ясно очертана на потребителите, в резултат на което потребителите са нямали достатъчна яснота какви операции по обработка се извършват върху техните лични данни, за каква цел(и) и по отношение на кое от шестте правни основания, посочени в член 6 от GDPR. DPC счита, че липсата на прозрачност по такива основни въпроси противоречи на членове 12 и 13, параграф 1, буква в) от GDPR. DPC, след като вече наложи значителна глоба от 225 милиона евро на WhatsApp Ireland за нарушения на това и други задължения за прозрачност през същия период от време, не предложи налагането на допълнителни глоби или коригиращи мерки, след като го направи вече през предишно разследване.
Всички 47 CSA са се съгласили с този елемент от проекторешението на DPC.
При обстоятелства, при които DPC установи, че WhatsApp Ireland всъщност не разчита на съгласието на потребителите като предоставящо законно основание за обработката на техните лични данни, аспектът на „принудителното съгласие“ на жалбите не може да бъде поддържан. След това DPC продължи да обмисля дали WhatsApp Ireland е длъжен да разчита на съгласие като правно основание във връзка с предоставянето на услугата, включително за подобряване на услугата и за целите на сигурността. Тук DPC установи, че WhatsApp Ireland не е длъжен да разчита на съгласие. Нито един CSA не повдигна възражение срещу този анализ и съответно този елемент от жалбата беше отхвърлен. Германският надзорен орган, до който първоначално е била подадена жалбата, сега е отговорен за приемането на отделно решение за онези части, които са били отхвърлени, и уведомяването за него на жалбоподателя и информирането на WhatsApp Ireland в съответствие с член 60, параграф 9 от GDPR.
DPC е обмислял дали по принцип GDPR изключва разчитането на WhatsApp Ireland на договорното правно основание, което твърди, и заключи, че не е изключено.
Шест от 47-те CSA повдигнаха възражения и заеха становището, че WhatsApp Ireland не трябва да има право да разчита на правното основание на договора въз основа на това, че предоставянето на подобрение на услугата и сигурността не може да се счита за необходимо за изпълнение на основните елементи на това, което се казва, че е много по-ограничена форма на договор.
DPC не се съгласи, отразявайки мнението си, че услугата WhatsApp включва и наистина изглежда се основава на предоставянето на услуга, която включва подобряване на услугата и сигурност. Според DPC тази реалност е централна за сделката, сключена между потребителите и избрания от тях доставчик на услуги, и представлява част от договора, сключен в момента, в който потребителите приемат Условията за услуга.
След като се ангажирахме с CSA, стана ясно, че не може да се постигне консенсус. В съответствие със задълженията си по член 60, параграф 4 от GDPR, DPC отнесе спорните въпроси до Европейския комитет за защита на данните (EDPB/ЕКЗД).
ЕКЗД прие решението си на 5 декември 2022 г.
Определението на ЕКЗД отхвърли редица възражения, повдигнати от CSA. Те също така поддържат позицията на DPC във връзка с нарушението от страна на WhatsApp Ireland на задълженията му за прозрачност, само се добавя допълнително нарушение (на принципа на „справедливост“ по член 5, параграф 1, буква а). Въпреки това ЕКЗД възприе различно мнение спрямо DPC по въпроса за правното основание, като установи, че по принцип WhatsApp Ireland няма право да разчита на правното основание на договора като предоставящо законно основание за обработването на лични данни за целите на подобряването на услугата и сигурността.
Окончателното решение, прието от DPC на 12 януари 2023 г., отразява binding determination на ЕКЗД, както е посочено по-горе. Съответно решението на DPC включва констатации, че WhatsApp Ireland няма право да разчита на правното основание на договора за предоставяне на подобрение на услугата и сигурност (с изключение на това, което EDPB определя като „ИТ сигурност“) за услугата WhatsApp и че нейната обработка на тези данни до момента, при предполагаемо разчитане на правното основание на договора, представляват нарушение на член 6, параграф 1 от GDPR.
По отношение на санкциите и в светлината на това допълнително нарушение на GDPR, DPC наложи административна глоба от 5,5 милиона евро на WhatsApp Ireland и нареди на WhatsApp Ireland да приведе своите операции по обработка в съответствие с GDPR в рамките на период от 6 месеца.
Отделно, EDPB също така възнамерява да нареди на DPC да проведе ново разследване, което да обхване всички „операции по обработка на WhatsApp IE в неговата услуга, за да определи дали обработва специални категории лични данни (член 9 от GDPR), обработва данни за за целите на поведенческата реклама, за маркетингови цели, както и за предоставяне на показатели на трети страни и обмен на данни с дъщерни дружества за целите на подобряване на услугата и за да се определи дали тя отговаря на съответните задължения по GDPR.“
Решението на DPC естествено не включва позоваване на нови разследвания на всички операции по обработка на данни на WhatsApp, които са били насочени от EDPB в неговото обвързващо решение. ЕКЗД няма обща надзорна роля, подобна на националните съдилища по отношение на националните независими органи и не е в правомощията му да инструктира и нарежда орган да участва в open-ended and speculative investigation.
Според DPC тази посока е проблемна от гледна точка на юрисдикцията и не изглежда съвместима със структурата на договореностите за сътрудничество и последователност, определени от GDPR. „Доколкото указанието може да включва превишаване /вероятно на правомощия, бел. ред/ от страна на ЕКЗД, DPC счита за уместно да заведе иск за отмяна пред Съда на Европейския съюз, за да поиска отмяната на указанията на ЕКЗД в тази посока.“
Неправителствената организация за защита на неприкосновеността на личния живот NOYB реагира със следната илюстрация към коментара си:
WhatsApp е изправен пред глоба от 5,5 милиона евро, тъй като DPC ограничава обхвата на делото срещу WhatsApp и отхвърля искането на EDPB за разследване на въпроси като споделяне на данни в рамките на Meta.
Както беше потвърдено от ирландския DPC, Европейският комитет за защита на данните (EDPB) реши, че Meta не може да принуди потребителите на WhatsApp да се съгласят с използването на техните данни за „подобрения на услугата“ и „сигурност“. Основният въпрос за използването на данни за „целите на поведенческата реклама, за маркетингови цели, както и за предоставяне на показатели на трети страни и обмен на данни с дъщерни компании“ не беше разгледан от ирландския DPC – въпреки обвързващо решение на ЕКЗД, че тези въпроси трябва да бъдат разследвани. Решението идва 4,5 години след като първоначалните жалби бяха подадени от noyb, за заобикаляне на Meta на GDPR чрез клауза в правилата и условията.
На 25 май 2018 г. noyb подаде три жалби срещу Facebook, Instagram и WhatsApp въз основа на принудително съгласие.
През декември 2022 г. ЕКЗД отмени предишно проекторешение на ирландския DPC, което зае мнението, че заобикалянето на Meta на GDPR е законно и ЕКЗД поиска промени в решението за WhatsApp, както и допълнителни разследвания на основните нарушения на WhatsApp.
DPC сега адаптира ограниченото си решение, но отказва да разследва други въпроси, както е наредено от EDPB. DPC заплашва да заведе дело срещу европейските си партньори.
NOYB е акроним за „none of your business“.