
Брюксел, 15 юли — ЕКЗД прие първото си спешно решение със задължителен характер съгласно член 66, параграф 2 от ОРЗД по искане на надзорния орган в Хамбург, Германия (НО на Хамбург), след като въпросният надзорен орган прие временни мерки спрямо Facebook Ireland Ltd (Facebook IE) въз основа на член 66, параграф 1 от ОРЗД. НО на Хамбург постанови забрана срещу обработването от Facebook IE на данни на потребители на WhatsApp за собствени цели, в резултат на промяна в условията за ползване и политиката за поверителност, приложими за европейските потребители на WhatsApp Ireland Ltd.
ЕКЗД реши, че не са изпълнени условията за доказване на наличието на нарушение и спешна нужда от мерки. Поради това Комитетът реши, че в конкретния случай не е необходимо ирландският НО да приема окончателни мерки срещу Facebook IE.
Въз основа на представените доказателства ЕКЗД стигна до заключението, че е много вероятно Facebook IE вече да обработва данни на потребители на WhatsApp IE като (съвместен) администратор за общите цели на безопасността, сигурността и целостта на WhatsApp IE и другите компании на Facebook, както и за да се подобряват продуктите на компаниите на Facebook. Същевременно, предвид множеството противоречия, двусмислия и неясноти в информацията за потребителите на WhatsApp, в някои писмени ангажименти, приети от Facebook IE, и в писмените изявления на WhatsApp IE, ЕКЗД заключи, че не е в състояние да определи със сигурност кои операции по обработване се извършват действително и в какво качество.
Освен това няма достатъчно информация, за да се установи със сигурност дали Facebook IE вече е започнал да обработва данни на потребители на WhatsApp IE като (съвместен) администратор за собствени цели във връзка с маркетингови съобщения и директен маркетинг, както и за сътрудничество с другите компании на Facebook. Също така не е възможно да се установи дали Facebook IE вече е започнал или скоро ще започне да обработва данни на потребители на WhatsApp IE като (съвместен) администратор за собствени цели във връзка с WhatsApp Business API.
Що се отнася до наличието на спешна нужда, ЕКЗД счете, че член 61, параграф 8 от ОРЗД не е приложим, тъй като НО на Хамбург не е доказал, че ирландският НО не е предоставил информация във връзка с официалното искане за взаимопомощ съгласно член 61 от ОРЗД. Освен това, ЕКЗД реши, че приемането на актуализирани условия, съдържащи проблемни елементи, подобни на тези в предходната версия, не може само по себе си да обоснове наличието на спешна нужда, въз основа на която да бъде разпоредено на водещия надзорен орган (ВНО) да приеме окончателни мерки съгласно член 66, параграф 2 от ОРЗД. Поради това, ЕКЗД счете, че в конкретния случай няма спешна нужда ВНО да приема окончателни мерки.
Като се има предвид голямата вероятност от нарушения, по-специално, при обработването за целите на безопасността, сигурността и целостта на WhatsApp IE и другите компании на Facebook, както и за да се подобряват продуктите на компаниите на Facebook, ЕКЗД счете, че въпросът изисква бърза допълнителна проверка. Най- вече за да се провери дали компаниите на Facebook извършват на практика операции по обработване, за които се предполага, че включват комбиниране или сравняване на данни на потребители на WhatsApp IE с други набори от данни, обработвани от други компании на Facebook чрез други приложения или предлагани услуги, като и чрез използването, наред с другото, на уникални идентификатори. С оглед на това ЕКЗД изисква ирландският НО да проведе приоритетно задължителна проверка, за да се определи дали се извършват такива дейности по обработване, и ако случаят е такъв, дали за тях има подходящо правно основание съгласно член 5, параграф 1, буква а) и член 6, параграф 1 от ОРЗД.
Освен това, като се има предвид липсата на информация относно начина, по който данните се обработват за маркетингови цели, сътрудничеството с другите компании на Facebook и във връзка с WhatsApp Business API, ЕКЗД призовава ирландския НО да проучи допълнително ролята на Facebook IE, т.е. дали Facebook IE действа като обработващ лични данни или като (съвместен администратор) по отношение на тези операции по обработване.
Следващи стъпки:
Адресат на настоящото спешно обвързващо решение са ирландският НО, НО на Хамбург, Германия и други засегнати НО, а Facebook IE и WhatsApp IE са информирани за него.
Решението ще бъде оповестено публично на уебсайта на ЕКЗД, след като се прецени дали някои части от него следва да бъдат заличени, за да се избегне разкриването на информация, която е предмет на професионална тайна.
Настоящото решение не засяга оценките, които ЕКЗД може да бъде призован да направи в други случаи, включително със същите страни.
Бележка за редакторите:
Какво гласи член 66 от ОРЗД?
При изключителни обстоятелства, когато надзорен орган счита, че е налице спешна нужда от предприемане на действия, за да се защитят правата и свободите на субектите на данни на неговата територия, той може да приеме временни мерки, които имат правни последици на собствената му територия, за максимален срок от три месеца.
Тези мерки се приемат чрез дерогация от механизма за съгласуваност на ОРЗД (член 63 от ОРЗД) или механизма за обслужване на едно гише (член 60 от ОРЗД). В този случай член 66 от ОРЗД дава възможност на надзорните органи незабавно да приемат временни мерки.
Надзорен орган, който издава такива временни мерки, трябва да съобщи за тях и за основанията за приемането им без ненужно забавяне до другите засегнати надзорни органи, Европейския комитет по защита на данните и Европейската комисия.
Ако надзорният орган, предприел такива временни мерки, счита, че е необходимо спешно да бъдат приети окончателни мерки, той може да поиска спешно становище или спешно решение със задължителен характер от ЕКЗД, като посочи причините за спешната нужда да се разпореди приемането на окончателни мерки чрез дерогация от стандартните процедури за сътрудничество и съгласуваност.