Bruksela, 2 września –W dniu 28 lipca EROD przyjęła decyzję w sprawie rozstrzygnięcia sporu na podstawie art. 65 RODO. Ta wiążąca decyzja ma na celu rozstrzygnięcie sporu powstałego w następstwie projektu decyzji wydanej przez organ nadzorczy Irlandii („ON IE”) w charakterze wiodącego organu nadzorczego w odniesieniu do WhatsApp Ireland Ltd. („WhatsApp IE”) oraz późniejszych sprzeciwów wyrażonych przez szereg organów nadzorczych, których sprawa dotyczy. Zgodnie z RODO wiążąca decyzja EROD została już opublikowana, po powiadomieniu spółki o ostatecznej decyzji ON IE.
W następstwie swojej oceny EROD była zdania, że ON IE powinien wprowadzić zmiany do swojego projektu decyzji w odniesieniu do naruszeń zasady przejrzystości, obliczania kary pieniężnej oraz okresu, w którym należy się zastosować do nakazu.
Jeżeli chodzi o zasadę przejrzystości, w projekcie decyzji ON IE już stwierdzono poważne naruszenie art. 12, 13 i 14 RODO. Dzięki przekazanym informacjom EROD stwierdziła dodatkowe uchybienia, które mają wpływ na zdolność użytkowników do zrozumienia, jakie prawnie uzasadnione interesy są realizowane. W związku z tym EROD zwróciła się do ON IE o uwzględnienie w swojej decyzji stwierdzenia naruszenia art. 13 ust. 1 lit. d) RODO.
Ponadto EROD wyjaśniła, że chociaż nie każde naruszenie art. 12-14 RODO koniecznie pociąga za sobą naruszenie art. 5 ust. 1 lit. a) RODO, to w tym konkretnym przypadku, w świetle wagi oraz nadrzędnego charakteru i wpływu naruszeń, doszło do naruszenia zasady przejrzystości zapisanej w art. 5 ust. 1 lit. a) RODO.
W odniesieniu do gromadzenia przez WhatsApp IE danych osób niebędących użytkownikami – kiedy użytkownicy decydują się na korzystanie z funkcji kontaktu– EROD stwierdziła, że w omawianym przypadku procedura stosowana przez WhatsApp IE nie prowadzi do anonimizacji zgromadzonych danych osobowych.
W odniesieniu do nałożonej kary pieniężnej i jej obliczania EROD stwierdziła, że obrót przedsiębiorstwa jest istotny wyłącznie dla określenia maksymalnej wysokości kary pieniężnej zgodnie z art. 83 ust. 4-6 RODO, ale może również zostać uwzględniony przy obliczaniu samej kary pieniężnej, w stosownych przypadkach, aby zapewnić skuteczność, proporcjonalność i odstraszający charakter kary pieniężnej zgodnie z art. 83 ust. 1 RODO. W tym przypadku EROD ustaliła, że skonsolidowany obrót spółki dominującej (Facebook Inc.) należy uwzględnić przy obliczaniu obrotu.
Ponadto EROD po raz pierwszy przedstawiła wyjaśnienia dotyczące wykładni art. 83 ust. 3 RODO. W obliczu wielokrotnych naruszeń dotyczących tych samych lub powiązanych operacji przetwarzania, przy obliczaniu wysokości kary pieniężnej należy wziąć pod uwagę wszystkie naruszenia. Dzieje się tak niezależnie od spoczywającego na ON obowiązku uwzględnienia proporcjonalności kary pieniężnej i przestrzegania maksymalnej wysokości kary pieniężnej określonej w RODO.
Ponadto projekt decyzji ON IE uwzględniał nakaz dostosowania operacji przetwarzania w terminie 6 miesięcy. EROD uznała, że zasadnicze znaczenie ma zapewnienie przestrzegania obowiązków w zakresie przejrzystości w możliwie najkrótszym czasie. W związku z tym zwrócono się do ON IE o skrócenie sześciomiesięcznego terminu na dostosowanie operacji przetwarzania do przepisów do trzech miesięcy.
Ta wiążąca decyzja została skierowana do organów nadzorczych, których dotyczy sprawa, a ON IE jako wiodący organ nadzorczy przyjął swoją decyzję krajową na podstawie decyzji EROD. Decyzja krajowa, wraz z załączoną do niej decyzją EROD, została notyfikowana spółce WhatsApp IE.
Obecna decyzja pozostaje bez uszczerbku dla wszelkich ocen, do przeprowadzenia których EROD może zostać wezwana w innych przypadkach, w tym w odniesieniu do tych samych stron.
Więcej informacji o procedurze określonej w art. 65 RODO można znaleźć w najczęściej zadawanych pytaniach nt. art. 65