Europeiska dataskyddsstyrelsen gav sitt avgörande i ett brådskande ärende om Facebook IE

Europeiska dataskyddsstyrelsen har den 12 juli gett sitt avgörande i Hamburgs tillsynsmyndighets begäran om ett brådskande, bindande beslut om bolaget Facebook Ireland Limited (Facebook IE). Dataskyddsstyrelsen ansåg att det är mycket sannolikt att Facebook IE behandlar uppgifter som det fått av bolaget WhatsApp Ireland Limited som personuppgiftsansvarig eller gemensamt personuppgiftsansvarig och bad irländska tillsynsmyndigheter att närmare utreda saken. Detta är det första avgörandet där dataskyddsstyrelsen tillämpat skyndsamt förfarande.

Dataskyddsstyrelsens beslut gällde Hamburgs dataskyddsmyndighets begäran att vidta åtgärder mot bolaget Facebook Ireland Limited. Hamburgs dataskyddsmyndighet lämnade in sin begäran på grund av ändringarna i användarvillkor som gäller europeiska användare och i dataskyddsbeskrivningen av meddelandetjänsten WhatsApp.

Tillsynsmyndigheten i ett EU-land kan i sitt eget område vidta provisoriska brådskande åtgärder, om myndigheten anser att de är nödvändiga för att skydda registrerades rättigheter och friheter. Genom att tillämpa skyndsamt förfarande i enlighet med den allmänna dataskyddsförordningen kan tillsynsmyndigheten begära ett brådskande bindande beslut från dataskyddsstyrelsen om slutligt godkännande av dessa provisoriska åtgärder.

Dataskyddsstyrelsen ansåg att förutsättningarna för att visa att en personuppgiftsincident har inträffat och för skyndsamhet uppfylldes emellertid inte. Således behöver den irländska dataskyddsmyndigheten inte vidta slutliga åtgärder mot bolaget Facebook Ireland Limited.
Dataskyddsstyrelsen ansåg ändå att det är mycket sannolikt att Facebook Ireland Limited behandlar uppgifter som det fått av bolaget WhatsApp Ireland Limited som personuppgiftsansvarig eller gemensamt personuppgiftsansvarig för några gemensamma ändamål såsom för säkerställande av dataskyddet och utveckling av produkterna. Enligt den erhållna utredningen kunde dataskyddsstyrelsen emellertid inte med tillräcklig säkerhet bekräfta vilka behandlingsuppgifter som faktiskt utförs och i vilken egenskap. Eftersom det ändå är fråga om en sannolik dataskyddsincident ber dataskyddsstyrelsen den irländska tillsynsmyndigheten att utreda saken närmare. Det ska särskilt redas ut huruvida uppgifter om europeiska användare av meddelandetjänsten WhatsApp har kombinerats eller jämförts med andra uppgifter som Facebook-bolagen förfogar över och om det är så, på vilken grund enligt den allmänna dataskyddsförordningen uppgifterna behandlas.

Vad gäller skyndsamheten konstaterade dataskyddsstyrelsen att skyndsamt förfarande inte är tillämpligt i ärendet eftersom Hamburgs tillsynsmyndighet inte hade visat att den irländska tillsynsmyndigheten inte hade kunnat överlämna informationen i samband med den offentliga begäran om ömsesidigt bistånd. Dessutom konstaterade dataskyddsstyrelsen att om uppdateringen av användarvillkoren innehåller samma problematiska element som den tidigare versionen av användarvillkoren utgör i sig inte någon grund för att beordra att åtgärder vidtas i ärendet genom tillämpning av skyndsamt förfarande.

Dataskyddsstyrelsens beslut där skyndsamt förfarande tillämpats kommer att publiceras på dataskyddsstyrelsens webbplats.

Europeiska dataskyddsstyrelsen beslutar i ärenden som kräver skyndsamt förfarande vid sina plenarmöten i vilka dataskyddsmyndigheterna i alla EU-länder deltar. Dataskyddsombudsmannen deltog i beslutfattandet i egenskap av den finska tillsynsmyndigheten.

Mer information:

Dataombudsman Anu Talus, anu.talus(at)om.fi, puh. 029 566 6766

Europeiska dataskyddsstyrelsens meddelande på styrelsens webbplats (på engelska): EDPB adopts urgent binding decision: Irish SA not to take final measures but to carry out statutory investigation (15.7.2021)