Brüssel, 15. juuli – Euroopa Andmekaitsenõukogu võttis esimese kiireloomulise siduva otsuse vastavalt isikuandmete kaitse üldmääruse artikli 66 lõikele 2 vastu pärast Hamburgi järelevalveasutuse (DE-HHSA) taotlust, kui järelevalveasutus oli võtnud vastu üldmääruse artikli 66 lõike 1 alusel ajutised meetmed Facebook Ireland Ltd (Facebook IE) suhtes. Pärast WhatsApp Ireland Ltd Euroopa kasutajate suhtes kohaldatavate teenuse osutamise tingimuste ja eraelu puutumatuse põhimõtete muutmist andis DE-HH SA korralduse keelata Facebook IE-l WhatsAppi kasutajaandmete töötlemine omal eesmärkidel.
Euroopa Andmekaitsenõukogu otsustas, et rikkumise ja kiireloomulisuse tõendamise tingimused ei ole täidetud. Seetõttu otsustas Euroopa Andmekaitsenõukogu, et IE SA ei pea käesoleval juhul Facebook IE vastu lõplikke meetmeid võtma.
Esitatud tõendite põhjal järeldas Euroopa Andmekaitsenõukogu, et on suur tõenäosus, et Facebook IE töötleb juba WhatsApp IE kasutajaandmeid (kaas)vastutava töötlejana WhatsApp IE ja teiste Facebooki äriühingute ühistel ohutus-, turvalisus- ja tervikluseesmärkidel ning Facebooki äriühingute toodete parendamiseks. Võttes aga arvesse erinevaid vasturääkivusi, mitmetimõistetavusi ja ebaselgust, millele on viidatud WhatsAppi kasutajasõbralikus teabes ning Facebook IE ja WhatsApp IE kirjalikes seisukohtades võetud kirjalikes kohustustes, järeldas Euroopa Andmekaitsenõukogu, et tal ei ole võimalik määrata kindlalt, milliseid töötlemistoiminguid tegelikult tehakse ja millisel positsioonil.
Lisaks ei olnud piisavalt teavet, et kindlalt kindlaks teha, kas Facebook IE on juba alustanud WhatsApp IE kasutajaandmete töötlemist (kaas)vastutava töötlejana oma reklaami ja otseturunduse eesmärgil ning koostöös teiste Facebooki äriühingutega. Samuti ei ole võimalik kindlaks teha, kas Facebook IE on juba alustanud või alustab varsti WhatsApp IE kasutajaandmete töötlemist WhatsApp Business API-ga seotud (kaas)vastutava töötlejana oma eesmärgil.
Küsimuse kiireloomulisuse kohta leidis Euroopa Andmekaitsenõukogu, et isikuandmete kaitse üldmääruse artikli 61 lõige 8 ei ole kohaldatav, kuna DE-HH järelevalveasutus ei tõendanud, et IE järelevalveasutus ei esitanud teavet seoses isikuandmete kaitse üldmääruse artikli 61 kohase ametliku vastastikuse abi taotlusega. Lisaks otsustas Euroopa Andmekaitsenõukogu, et ajakohastatud kasutajatingimuste vastuvõtmine, mis sisaldab eelmise versiooniga sarnaseid problemaatilisi elemente, ei saa iseenesest õigustada seda, et andmekaitsenõukogu peab kiiresti nõudma juhtivalt järelevalveasutuselt lõplike meetmete võtmist isikuandmete kaitse üldmääruse artikli 66 lõike 2 alusel. Seetõttu leidis Euroopa Andmekaitsenõukogu, et juhtival järelevalveasutusel ei ole käesoleval juhul vaja võtta vastu lõplikke meetmeid.
Võttes arvesse rikkumiste suurt tõenäosust, eelkõige WhatsApp IE ja teiste Facebooki äriühingute ohutuse, turvalisuse ja terviklikkuse tagamiseks ning Facebooki äriühingute toodete täiustamiseks, leidis Euroopa Andmekaitsenõukogu, et see küsimus vajab kiiret edasist uurimist. Eelkõige selleks, et kontrollida, kas Facebooki äriühingud teevad praktikas töötlemistoiminguid, mis eeldavad WhatsApp IE kasutajaandmete kombineerimist või võrdlemist teiste Facebooki äriühingute poolt teiste Facebooki äriühingute pakutavate rakenduste või teenuste raames töödeldavate andmekogumitega, mida hõlbustab muu hulgas kordumatute tunnuste kasutamine. Seetõttu palub andmekaitsenõukogu Iirimaa järelevalveasutusel viia esmajärjekorras läbi seadusjärgne uurimine, et teha kindlaks, kas sellised töötlemistoimingud toimuvad või mitte, ning kui see on nii, siis kas neil on nõuetekohane õiguslik alus isikuandmete kaitse üldmääruse artikli 5 lõike 1 punkti a ja artikli 6 lõike 1 alusel.
Võttes lisaks arvesse teabe puudumist selle kohta, kuidas andmeid turustamise eesmärgil töödeldakse, koostööd teiste Facebooki äriühingutega ja seoses WhatsApp Business APIga, kutsub andmekaitsenõukogu Iirimaa järelevalveasutust üles täiendavalt uurima Facebook IE rolli, st kas Facebook IE tegutseb volitatud töötlejana või (kaasvastutava töötlejana) seoses nende töötlemistoimingutega.
Järgmised sammud:
See kiireloomuline siduv otsus saadeti IE SA-le, DE-HH SA-le ja teistele asjaomastele järelevalveasutustele ning Facebook IE-le ja WhatsApp IE-le on sellest kiireloomulisest siduvast otsusest teatatud.
Kiireloomuline siduv otsus avaldatakse Euroopa Andmekaitsenõukogu veebisaidil pärast seda, kui on hinnatud, kas otsuse mõned osad tuleb kustutada, et vältida ametisaladuse alla kuuluva teabe avalikustamist.
Käesolev otsus ei piira mis tahes hinnanguid, mida Euroopa Andmekaitsenõukogult võidakse nõuda muudel juhtudel, sealhulgas samade pooltega.
Märkus toimetajatele:
Mis on isikuandmete kaitse üldmääruse artikkel 66?
Erandlikel asjaoludel, kui järelevalveasutus leiab, et andmesubjektide õiguste ja vabaduste kaitsmiseks tema territooriumil on vaja kiiresti tegutseda, võib ta võtta kuni kolmeks kuuks ajutisi meetmeid, millel on õiguslik mõju tema territooriumile.
Need meetmed võetakse vastu erandina isikuandmete kaitse üldmääruse järjepidevuse mehhanismist (isikuandmete kaitse üldmääruse artikkel 63) või ühtse kontaktpunkti mehhanismist (isikuandmete kaitse üldmääruse artikkel 60). Sellisel juhul võimaldab isikuandmete kaitse üldmääruse artikkel 66 järelevalveasutustel võtta viivitamata ajutisi meetmeid.
Selliseid ajutisi meetmeid välja andev järelevalveasutus peab teatama nendest meetmetest ja nende vastuvõtmise põhjustest põhjendamatu viivituseta teistele asjaomastele järelevalveasutustele, Euroopa Andmekaitsenõukogule ja Euroopa Komisjonile.
Kui selliseid ajutisi meetmeid võtnud järelevalveasutus leiab, et lõplikud meetmed tuleb kiiresti vastu võtta, võib ta taotleda Euroopa Andmekaitsenõukogult kiireloomulist arvamust või kiireloomulist siduvat otsust, põhjendades kiireloomulist vajadust nõuda lõplike meetmete vastuvõtmist erandina standardsest koostöö- ja järjepidevuse menetlusest.