Το Συμβούλιο εκτιμά ότι αρκεί η έρευνα της Ιρλανδικής Αρχής
Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων εξέδωσε την πρώτη απόφασή του, επί αιτήματος του άρθρου 66 παρ.2 Γενικού Κανονισμού Προστασίας Δεδομένων για λήψη οριστικών μέτρων σε επείγουσα ανάγκη.
Σύμφωνα με το άρθρο 66 ΓΚΠΔ:
1. Σε εξαιρετικές περιπτώσεις, όταν μια ενδιαφερόμενη εποπτική αρχή θεωρεί ότι υπάρχει επείγουσα ανάγκη λήψης μέτρων για να προστατευθούν τα δικαιώματα και οι ελευθερίες των υποκειμένων των δεδομένων, δύναται, κατά παρέκκλιση από τον μηχανισμό συνεκτικότητας των άρθρων 63, 64 και 65 ή τη διαδικασία του άρθρου 60, να θεσπίσει πάραυτα προσωρινά μέτρα που προορίζονται να παράγουν νομικά αποτελέσματα εντός της επικράτειάς της, με συγκεκριμένη διάρκεια ισχύος η οποία δεν υπερβαίνει τους τρεις μήνες. Η εποπτική αρχή ανακοινώνει αμελλητί τα εν λόγω μέτρα, καθώς και την αιτιολόγηση για τη θέσπισή τους, στις υπόλοιπες ενδιαφερόμενες εποπτικές αρχές, στο Συμβούλιο Προστασίας Δεδομένων και στην Επιτροπή.
2. Εάν εποπτική αρχή έχει λάβει μέτρο δυνάμει της παραγράφου 1 και θεωρεί ότι απαιτούνται επειγόντως οριστικά μέτρα, μπορεί να ζητήσει την έκδοση επείγουσας γνώμης ή επείγουσας δεσμευτικής απόφασης από το Συμβούλιο Προστασίας Δεδομένων, αιτιολογώντας τη σχετική αίτηση για γνώμη ή απόφαση.
Στις 11 Μαΐου 2021, ο Επίτροπος Προστασίας Δεδομένων του Αμβούργου ανακοίνωσε τη λήψη προσωρινών μέτρων σε βάρος της Facebook, ασκώντας την αρμοδιότητα του άρθρου 66.
Σύμφωνα με την ανακοίνωση που εκδόθηκε, η γερμανική Αρχή αποφάσισε να απαγορεύσει στη Facebook την επεξεργασία προσωπικών δεδομένων των Γερμανών χρηστών του WhatsApp, για δικούς της σκοπούς. Η απόφαση αυτή ελήφθη μετά τις αντιδράσεις που προκάλεσε η τροποποίηση των όρων χρήσης της δημοφιλούς πλατφόρμας επικοινωνίας, όπου και γινόταν λόγος για την υποχρέωση των χρηστών να συναινέσουν σε μια τέτοια επεξεργασία.
Αυτό που κρίθηκε είναι πως η επεξεργασία αυτή είναι μη νόμιμη, όχι μόνο διότι κατοχυρώνεται μέσα από ασαφείς πολιτικές προστασίας και εκβιαστικές συγκαταθέσεις, αλλά και επειδή, ούτως ή άλλως, δεν υπάρχει έννομο συμφέρον ή άλλη νομική βάση που να τη νομιμοποιεί, ούτε και είναι αναγκαία για την παροχή της υπηρεσίας.
Παράλληλα με την απόφασή του αυτή, ο Επίτροπος του Αμβούργου υπέβαλε αίτημα προς το ΕΣΠΔ, προκειμένου να ληφθούν οριστικά μέτρα, κατ’ εφαρμογήν του 66 παρ.2 ΓΚΠΔ.
Το αίτημα δεν έγινε δεκτό, καθώς το ΕΣΠΔ δεν διεπίστωσε την τέλεση παραβίασης, αλλά ούτε και την επείγουσα ανάγκη για τη λήψη μέτρων κατά παρέκκλιση από το μηχανισμό συνεκτικότητας.
Σύμφωνα με το δελτίο τύπου που δημοσιεύτηκε,
Το Συμβούλιο, αξιολογώντας όλα τα στοιχεία που τέθηκαν ενώπιόν του, κατέληξε ότι είναι πολύ πιθανό πως η Facebook ήδη επεξεργαζόταν προσωπικά δεδομένα των χρηστών του WhatsApp, ως από κοινού υπεύθυνος επεξεργασίας, για το σκοπό της προστασίας της ασφάλειας και ακεραιότητας των πληροφοριών και τη βελτίωση των προϊόντων της εταιρείας. Παρά ταύτα, ο ΕΣΔΠ παραδέχεται ότι δεν κατάφερε να προσδιορίσει με σαφήνεια ποιες πράξεις επεξεργασίας δεδομένων διενεργούνται και υπό ποια ιδιότητα.
Ως προς το ζήτημα της επείγουσας ανάγκης για τη λήψη μέτρων, το ΕΣΠΔ εκτιμά ότι δεν τυγχάνει εφαρμογής η πρόβλεψη του άρθρου 61 παρ.8 ΓΚΠΔ, καθόσον το Αμβούργο δεν απέδειξε πως ζήτησε πληροφορίες ή συνδρομή από την Ιρλανδική Αρχή και δεν την έλαβε.
Περαιτέρω, η επικαιροποίηση ήδη προβληματικών Όρων Χρήσης μιας υπηρεσίας, με νέους όρους, που εμφανίζουν παρεμφερή προβλήματα, δεν μπορεί να δικαιολογήσει την επείγουσα ανάγκη λήψης μέτρων κατά το 66.2 ΓΚΠΔ.
Υπό τις παραδοχές αυτές, το ΕΣΠΔ έκρινε ότι αυτό που απαιτείται δεν είναι η λήψη οριστικών μέτρων κατά της Facebook, όπως ζήτησε το Αμβούργο, αλλά η διενέργεια έρευνας από την Ιρλανδική Αρχή. Το Συμβούλιο ζητά από την επικεφαλής εποπτική αρχή των δύο εταιρειών να ερευνήσει το κατά πόσον η Facebook συνδυάζει δεδομένα χρηστών του WhatsApp με άλλες βάσεις δεδομένων που τηρεί και υπό ποιες προϋποθέσεις νομιμότητας, κατά τα άρθρα 5 και 6 Γενικού Κανονισμού. Από την Ιρλανδική Αρχή ζητείται επίσης να διαπιστώσει την ιδιότητα με την οποία η Facebook εμπλέκεται στις πράξεις επεξεργασίας αυτές, ήτοι εάν εμφανίζεται ως εκτελών την επεξεργασία ή ως ανεξάρτητος υπεύθυνος επεξεργασίας.
