Briuselis, rugsėjo 15 d. Atsižvelgdama į liepos 28 d. EDAV priimtą privalomą sprendimą dėl ginčų sprendimo, Airijos duomenų apsaugos institucija (DAI) priėmė sprendimą dėl „Instagram“ („Meta Platforms Ireland Limited“ („Meta IE“)) ir skyrė rekordinę 405 mln. EUR baudą pagal BDAR.
Galutinis vadovaujančios priežiūros institucijos (VPI) sprendimas priimtas atlikus tyrimą savo iniciatyva dėl to, kad laikotarpiu, kuris atitiko tyrimo vykdymo laiką, socialiniame tinkle „Instagram“ buvo viešai atskleidžiami vaikų e. pašto adresai ir (arba) telefono numeriai naudojantis „Instagram“ verslo paskyros funkcija ir numatytuoju viešu nustatymu asmeninėse vaikų „Instagram“ paskyrose. Ši praktika dėl VPI tyrimo buvo nutraukta. EDAV pirmininkė Andrea Jelinek sakė: „Tai istorinis sprendimas. Ne tik dėl baudos dydžio – tai antra pagal dydį bauda nuo BDAR taikymo pradžios, – bet ir dėl to, kad tai pirmas ES masto sprendimas dėl vaikų teisių į duomenų apsaugą. Šiuo privalomu sprendimu EDAV papildomai aiškiai nurodo, kad į vaikus orientuotos įmonės turi būti itin atsargios. Būtina speciali vaikų asmens duomenų apsauga.“
Privalomas EDAV sprendimas buvo priimtas remiantis BDAR 65 straipsniu po to, kai Airijos duomenų apsaugos institucija, kaip vadovaujanti priežiūros institucija, pradėjo ginčų dėl kelių susijusių priežiūros institucijų (SPI) pareikštų prieštaravimų sprendimo procedūrą. Be kita ko, tos SPI pareiškė prieštaravimus dėl teisinio duomenų tvarkymo ir baudos nustatymo pagrindo. Po ginčų sprendimo proceso duomenų apsaugos koordinatorius (DAK) savo sprendimo projektą iš dalies pakeitė.
Tai pirmas privalomas EDAV sprendimas dėl vieno iš pagrindinių ES duomenų apsaugos teisės ramsčių – duomenų tvarkymo teisėtumo pagal BDAR 6 straipsnį. Visų pirma EDAV pateikė papildomų paaiškinimų dėl „sutarties vykdymo“ ir „teisėto intereso“ teisinių pagrindų taikymo.
„Meta IE“ rėmėsi šiais dviem teisiniais pagrindais skelbdama vaikų, kurie naudojosi „Instagram“ verslo paskyromis, e. pašto adresus ir (arba) telefono numerius. EDAV nustatė, kad VPI neturi pagrindo daryti išvadą, kad atitinkamas duomenų tvarkymas buvo būtinas sutarčiai vykdyti. Todėl „Meta IE“ negalėjo remtis BDAR 6 straipsnio 1 dalies b punktu kaip šio duomenų tvarkymo teisiniu pagrindu.
Dėl teisėto intereso, kaip alternatyvaus duomenų tvarkymo teisinio pagrindo, EDAV nustatė, kad vaikų e. pašto adresų ir (arba) telefono numerių skelbimas neatitinka BDAR 6 straipsnio 1 dalies f punkte nustatytų reikalavimų, nes duomenų tvarkymas buvo arba nebūtinas, arba (jei būtų buvę laikoma, kad jis būtinas) pusiausvyros tyrimo, būtino nustatant teisėtą interesą, rezultatas buvo neigiamas.
Todėl EDAV padarė išvadą, kad „Meta IE“ be teisinio pagrindo neteisėtai tvarkė vaikų asmens duomenis, ir nurodė VPI iš dalies pakeisti savo sprendimo projektą, kad būtų nustatytas BDAR 6 straipsnio 1 dalies pažeidimas.
Be to, EDAV nurodė VPI iš naujo įvertinti savo numatomą administracinę baudą pagal BDAR 83 straipsnio 1 ir 2 dalis, kad galėtų:
- skirti veiksmingą, proporcingą ir atgrasomą administracinę baudą už papildomą pažeidimą, atsižvelgiant į pažeidimo pobūdį ir sunkumą, taip pat į paveiktų duomenų subjektų skaičių;
- užtikrinti, kad galutinės administracinių baudų sumos būtų veiksmingos, proporcingos ir atgrasančios.
Šiuo sprendimu nedaromas poveikis jokiems vertinimams, kuriuos EDAV gali būti paprašyta atlikti kitais atvejais, taip pat ir dėl tų pačių proceso šalių.
Airijos duomenų apsaugos institucijos priimtą galutinį sprendimą galima rasti Priežiūros institucijų ir teismų priimtų sprendimų dėl klausimų, kurie sprendžiami taikant nuoseklumo užtikrinimo mechanizmą, registre.
Daugiau informacijos apie Bendrojo duomenų apsaugos reglamento 65 straipsnyje nustatytą procedūrą rasite DUK 65 straipsnyje.
EDPB_Press Release_statement_2022_08
The news published here does not constitute official EDPB communication, nor an EDPB endorsement. This news item was originally published by the national supervisory authority and was published here at the request of the SA for information purposes. Any questions regarding this news item should be directed to the supervisory authority concerned.