CEPD adoptă o decizie obligatorie urgentă: Autoritatea de supraveghere din Irlanda nu ia măsuri finale, ci efectuează investigații legale

15 July 2021

Bruxelles, 15 iulie — CEPD a adoptat prima sa decizie obligatorie urgentă în temeiul articolului 66 alineatul (2) din RGPD în urma unei cereri din partea autorității de supraveghere din Hamburg (AS DE-HH), după ce autoritatea de supraveghere a adoptat măsuri provizorii în ceea ce privește Facebook Ireland Ltd (Facebook IE) în temeiul articolului 66 alineatul (1) din RGPD. Autoritatea de supraveghere DE-HH a dispus interzicerea prelucrării datelor utilizatorilor WhatsApp de către Facebook IE în scopuri proprii, ca urmare a modificării condițiilor de serviciu și a politicii de confidențialitate aplicabile utilizatorilor europeni ai WhatsApp Ireland Ltd.

CEPD a decis că nu sunt îndeplinite condițiile pentru a demonstra existența unei încălcări și a unei urgențe. Prin urmare, CEPD a decis că nu este necesară adoptarea de către autoritatea de supraveghere din Irlanda a unor măsuri finale împotriva Facebook IE în acest caz.

Pe baza dovezilor furnizate, CEPD a concluzionat că există o probabilitate mare ca Facebook IE să prelucreze deja datele utilizatorilor WhatsApp IE ca operator (asociat) în scopul comun al siguranței, securității și integrității WhatsApp IE și ale altor societăți Facebook, precum și în scopul comun al îmbunătățirii produselor societăților Facebook. Cu toate acestea, având în vedere diferitele contradicții, ambiguități și incertitudini constatate în informațiile WhatsApp referitoare la utilizatori, în unele angajamente scrise adoptate de Facebook IE și WhatsApp IE, CEPD a concluzionat că nu este în măsură să determine cu certitudine care sunt operațiunile de prelucrare care sunt efectiv efectuate și în ce calitate.

În plus, nu existau suficiente informații pentru a stabili cu certitudine dacă Facebook IE a început deja să prelucreze datele utilizatorilor WhatsApp IE ca operator (asociat) în scopuri proprii de comunicații publicitare și de marketing direct, precum și de cooperare cu celelalte societăți Facebook. De asemenea, nu s-a putut stabili dacă Facebook IE a început deja sau va începe în curând prelucrarea datelor utilizatorilor WhatsApp IE în calitate de operator (asociat) pentru propriul scop în ceea ce privește API WhatsApp Business.

În ceea ce privește existența urgenței, CEPD a considerat că articolul 61 alineatul (8) din RGPD nu era aplicabil deoarece AS DE-HH nu a demonstrat că AS IE nu a furnizat informații în contextul unei cereri oficiale de asistență reciprocă în temeiul articolului 61 din RGPD. În plus, CEPD a decis că adoptarea termenilor actualizați, care conțin elemente problematice similare cu versiunea anterioară, nu poate justifica, în sine, urgența ca CEPD să oblige autoritatea de supraveghere principală să adopte măsuri finale în temeiul articolului 66 alineatul (2) din RGPD. Prin urmare, CEPD a considerat că nu este urgent ca autoritatea de supraveghere principală să adopte măsuri finale în acest caz.

Având în vedere probabilitatea mare a încălcărilor, în special în scopul siguranței, securității și integrității WhatsApp IE și celorlalte societăți Facebook, precum și în scopul îmbunătățirii produselor societăților Facebook, CEPD a considerat că această chestiune necesită investigații suplimentare imediate. În special, pentru a verifica dacă, în practică, societățile Facebook efectuează operațiuni de prelucrare care implică combinarea sau compararea datelor utilizatorilor WhatsApp IE cu alte seturi de date prelucrate de alte societăți Facebook în contextul altor aplicații sau servicii oferite de societățile Facebook, facilitate, printre altele, de utilizarea identificatorilor unici. Din acest motiv, CEPD solicită AS IE să efectueze cu prioritate o investigație legală pentru a stabili dacă astfel de activități de prelucrare au loc sau nu și, în caz afirmativ, dacă au un temei juridic adecvat conform articolului 5 alineatul (1) litera (a) și articolului 6 alineatul (1) din RGPD.

În plus, având în vedere lipsa de informații cu privire la modul în care sunt prelucrate datele în scopuri de publicitate, cooperarea cu celelalte societăți Facebook și în legătură cu WhatsApp Business API, CEPD solicită AS IE să investigheze în continuare rolul Facebook IE, și anume dacă Facebook IE acționează ca persoană împuternicită de operator sau ca operator (asociat) în ceea ce privește aceste operațiuni de prelucrare.

Următoarele etape:

Această decizie obligatorie urgentă a fost adresată AS IE, AS DE-HH și celorlalte autorități de supraveghere vizate, iar Facebook IE și WhatsApp IE au fost informate cu privire la această decizie obligatorie urgentă.

Decizia obligatorie urgentă va fi făcută publică pe site-ul CEPD după evaluarea necesității de a oculta anumite părți ale deciziei pentru a se evita divulgarea informațiilor care intră sub incidența secretului profesional.

Prezenta decizie nu aduce atingere eventualelor evaluări pe care CEPD ar putea fi solicitată să le efectueze în alte cazuri, inclusiv cu aceleași părți.

 

Notă pentru redactori:

Ce este articolul 66 din RGPD?

În circumstanțe excepționale, atunci când o autoritate de supraveghere consideră că există o nevoie urgentă de a acționa pentru a proteja drepturile și libertățile persoanelor vizate pe teritoriul său, aceasta poate adopta măsuri provizorii care au efect juridic pe teritoriul său pentru o perioadă de maximum trei luni.

Aceste măsuri sunt adoptate prin derogare de la mecanismul pentru asigurarea coerenței din RGPD (articolul 63 din RGPD) sau de la mecanismul ghișeului unic (articolul 60 din RGPD). În acest caz, articolul 66 din RGPD permite autorităților de supraveghere să adopte imediat măsuri provizorii.

Autoritatea de supraveghere care emite astfel de măsuri provizorii trebuie să comunice fără întârzieri nejustificate aceste măsuri și motivele adoptării lor celorlalte autorități de supraveghere interesate, Comitetului european pentru protecția datelor și Comisiei Europene.

Dacă autoritatea de supraveghere care a luat astfel de măsuri provizorii consideră că măsurile finale trebuie adoptate de urgență, aceasta poate solicita un aviz urgent sau o decizie obligatorie urgentă din partea CEPD, indicând motivele pentru necesitatea urgentă de a dispune adoptarea de măsuri finale prin derogare de la procedurile standard de cooperare și de asigurare a coerenței.