Brusel 15. júla - EDPB prijal prvé naliehavé záväzné rozhodnutie podľa článku 66 ods. 2 všeobecného nariadenia o ochrane údajov na žiadosť hamburského dozorného orgánu (DE-HH SA) potom, ako dozorný orgán schválil predbežné opatrenia voči spoločnosti Facebook Ireland Ltd (ďalej len „Facebook IE“) podľa článku 66 ods. 1 všeobecného nariadenia o ochrane údajov. Hamburský dozorný orgán vydal zákaz spracúvania údajov používateľov platformy WhatsApp spoločnosťou Facebook IE na jej vlastné účely v súlade so zmenou podmienok používania a ochrany údajov, ktorá sa týka európskych používateľov služby WhatsApp Ireland Ltd.
EDPB rozhodol, že podmienky na preukázanie existencie porušenia právnych predpisov a naliehavosti nie sú splnené. EDPB preto rozhodol, že v tomto prípade írsky dozorný orgán nemusí prijať konečné opatrenia voči Facebook IE.
Na základe poskytnutých dôkazov EDPB dospel k záveru, že je veľmi pravdepodobné, že Facebook IE spracúva údaje používateľov WhatsApp IE ako (spoločný) prevádzkovateľ na spoločný účel zaručenia bezpečnosti, ochrany a integrity WhatsApp IE a iných spoločností Facebook, ako aj na spoločný účel zlepšenia produktov spoločnosti Facebook. Vzhľadom na rôzne rozpory, nejednoznačnosti a neistoty zistené v používateľských údajoch WhatsApp a vzhľadom na písomné záväzky prijaté spoločnosťou Facebook IE a písomné vyhlásenia WhatsApp IE EDPB dospel k záveru, že nedokáže s istotou určiť, ktoré spracovateľské operácie skutočne prebiehajú a kto ich vykonáva.
Okrem toho nebol k dispozícii dostatok informácií nato, aby sa dalo jednoznačne usúdiť, či Facebook IE už spracúval údaje používateľov WhatsApp IE ako (spoločný) prevádzkovateľ na svoje vlastné účely marketingovej komunikácie a priameho marketingu, ako aj na spoluprácu s inými spoločnosťami Facebook. Nebolo možné určiť, či Facebook IE už začal alebo čoskoro začne spracúvať údaje používateľov WhatsApp IE ako (spoločný) prevádzkovateľ na svoje vlastné účely v súvislosti s WhatsApp Business API.
EDPB usúdil že neexistuje naliehavá potreba konať a že článok 61 ods. 8 všeobecného nariadenia o ochrane údajov sa neuplatňuje, pretože hamburský dozorný orgán nepreukázal, že írsky dozorný orgán neposkytol informácie v súvislosti s formálnou žiadosťou o vzájomnú pomoc podľa článku 61 všeobecného nariadenia o ochrane údajov. EDPB rozhodol, že prijatie aktualizovaných podmienok používania, ktoré obsahujú podobné problematické prvky ako ich predchádzajúca verzia, nemôže samo o sebe odôvodňovať, aby EDPB naliehal na vedúci dozorný orgán, aby prijal konečné opatrenia podľa článku 66 ods. 2 všeobecného nariadenia o ochrane údajov. EDPB preto usúdil, že neexistuje naliehavá potreba, aby vedúci dozorný orgán prijal konečné opatrenia.
Keďže je veľmi pravdepodobné, že môže dôjsť k porušeniu právnych predpisov predovšetkým pokiaľ ide o účel zaručenia bezpečnosti, ochrany a integrity WhatsApp IE a iných spoločností Facebook, ako aj o účel zlepšenia produktov spoločností Facebook, EDPB usúdil, že táto záležitosť si promptne vyžaduje ďalšie vyšetrovanie. Ide hlavne o overenie toho, či v praxi spoločnosti Facebook uskutočňujú spracovateľské operácie, čo znamená kombinovanie alebo porovnávanie údajov používateľov WhatsApp IE s inými dátovými súbormi spracúvanými ostatnými spoločnosťami Facebook v súvislosti s inými aplikáciami alebo službami, ktoré ponúkajú spoločnosti Facebook, okrem iného s pomocou jedinečných identifikátorov. Z tohto dôvodu EDPB žiada írsky dozorný orgán, aby prioritne vykonal zákonné vyšetrovanie a zistil, či sa uskutočňujú uvedené spracovateľské činnosti, a ak áno, či majú riadny právny základ podľa článku 5 ods. 1 a článku 6 ods. 1 všeobecného nariadenia o ochrane údajov.
Vzhľadom na nedostatok informácií o spôsobe spracúvania údajov na marketingové účely, o spolupráci s inými spoločnosťami Facebook a v súvislosti s WhatsApp Business API EDPB vyzýva írsky dozorný orgán, aby hlbšie preskúmal úlohu Facebook IE, t. j. či Facebook IE pôsobí v úlohe sprostredkovateľa alebo (spoločného) prevádzkovateľa, pokiaľ ide o tieto spracovateľské operácie.
Ďalšie kroky:
Toto naliehavé záväzné rozhodnutie bolo oznámené írskemu dozornému orgánu, hamburskému dozornému orgánu a iným dotknutým dozorným orgánom a Facebook IE a WhatsApp IE boli informované o tomto naliehavom rozhodnutí.
Naliehavé záväzné rozhodnutie bude zverejnené na webovom sídle EDPB po posúdení, či si niektoré časti rozhodnutia nevyžadujú redakčnú úpravu, aby sa predišlo zverejneniu informácií chránených profesijným tajomstvom.
Rozhodnutím nie sú dotknuté posúdenia, na vykonanie ktorých môže byť EDPB vyzvaný v iných veciach, a to aj vo veciach týkajúcich sa tých istých strán.
Poznámky pre redaktorov:
Čo je článok 66 všeobecného nariadenia o ochrane údajov?
Za výnimočných okolností, keď sa dotknutý dozorný orgán domnieva, že je naliehavo potrebné konať s cieľom chrániť práva a slobody dotknutých osôb, môže prijať predbežné opatrenia, ktoré majú mať právne účinky na jeho území najviac počas troch mesiacov.
Tieto opatrenia sa príjmu odchylne od mechanizmu konzistentnosti podľa všeobecného nariadenia o ochrane údajov (článku 63) alebo mechanizmu jednotného kontaktného miesta (One-Stop-Shop) (článku 60). V takom prípade môžu dozorné orgány bezodkladne prijať predbežné opatrenia podľa článku 66 všeobecného nariadenia o ochrane údajov.
Dozorný orgán, ktorý vydá predbežné opatrenia, bezodkladne oznámi tieto opatrenia a dôvody ich prijatia iným dotknutým dozorným orgánom, Európskemu výboru pre ochranu údajov a Komisii.
Ak dozorný orgán prijal predbežné opatrenia a domnieva sa, že je naliehavo potrebné prijať konečné opatrenia, môže požiadať EDPB o naliehavé stanovisko alebo naliehavé záväzné rozhodnutie, pričom uvedie dôvody, prečo takéto stanovisko alebo rozhodnutie požaduje odchylne od štandardných postupov spolupráce a konzistentnosti.