Europejska Rada Ochrony Danych Osobowych (EROD) poinformowała w ostatni wtorek (10 listopada br.) na swojej stronie internetowej o podjęciu wiążącej decyzji rozstrzygającej spór pomiędzy organami nadzorczymi. Tym samym, EROD po raz pierwszy skorzystał z narzędzia prawnego, przewidzianego w art. 65 RODO.
Podjęta przez EROD wiążąca decyzja rozstrzyga spór pomiędzy irlandzkim organem właściwym ds. ochrony danych osobowych (The Data Protection Commission – DPC), a regulatorami z innych państw członkowskich. Spór powstał w związku z projektem decyzji przygotowanym przez DPC – w ramach procedury współpracy (art. 60 RODO) – w odniesieniu do Twitter International Company. Projekt ten spotkał się ze sprzeciwami ze strony innych poszczególnych organów nadzorczych.
Postępowanie DPC
Warto zauważyć, że postępowanie irlandzkiego regulatora wobec Twitter International Company zainicjowane zostało jeszcze w pierwszej połowie 2019 r. Wówczas spółka zawiadomiła DPC o naruszeniu ochrony danych osobowych związanym z funkcjonowaniem mechanizmu tzw. prywatnych tweetów (wiadomości wysyłanych do wybranych osób). W toku postępowania organ nadzorczy ustalił, że niektóre prywatne tweety przesyłane za pośrednictwem urządzeń z systemem operacyjnym Android w latach 2014-2019, mogły zostać upublicznione. Postępowanie w tej sprawie DPC zakończył na początku bieżącego roku.
Mechanizm współpracy
W ramach postępowania prowadzonego przez DPC uruchomiony został mechanizm współpracy W jego w ramach DPC – jako wiodący organ nadzorczy – miał określone obowiązki, w tym m.in. obowiązek przedłożenia projektu decyzji innym organom nadzorczym do zaopiniowania (art. 60 ust. 3 RODO). Irlandzki regulator uczynił to ostatecznie 22 maja br. Oznacza to, że od tej daty zainteresowane organy nadzorcze miały cztery tygodnie na ewentualne wniesienie sprzeciwu wobec tego projektu (art. 60 ust. 4 RODO).
Projekt decyzji przygotowany przez DPC nie spotkał się z aprobatą innych regulatorów. Jak wskazał EROD, zastrzeżenia innych organów nadzorczych dotyczyły m.in. kwalifikacji naruszeń stwierdzonych przez DPC, roli Twitter International Company jako (jedynego) administratora oraz sposobu wyliczenia proponowanej kary pieniężnej. Co ciekawe, DPC odrzucił otrzymane sprzeciwy, uznając, że nie są one istotne i uzasadnione.
EROD rozstrzyga spór
Wobec braku porozumienia pomiędzy organami nadzorczymi, DPC zwrócił się o pomoc do EROD, inicjując tym samym po raz pierwszy procedurę rozstrzygania sporu (art. 65 RODO). Zgodnie z tą procedurą, EROD rozstrzyga zaistniały spór w formie decyzji, która dla swej skuteczności wymaga poparcia większości 2/3 swoich członków (organów nadzorczych UE). EROD poinformował, że przyjął wiążącą decyzję 9 listopada br. i niezwłocznie przekaże ją DPC oraz innym – zaangażowanych w sprawę – organom nadzorczym.
Brytyjski organ zamierza nałożyć pół miliarda złotych kary na Marriott International
Irlandzki regulator zobowiązany jest teraz podjąć ostateczną decyzję wobec Twitter International Company w ciągu miesiąca od otrzymania od EROD powiadomienia o wydaniu wiążącej decyzji. Ostateczna decyzja zostanie opublikowana na stronie internetowej EROD.
Warto zwrócić uwagę, że postępowanie prowadzone przez DPC wobec Twitter International Company jest bezprecedensowe pod wieloma względami. Doprowadziło ono z jednej strony irlandzkiego regulatora do zainicjowania po raz pierwszy w historii procedury rozstrzygania sporu (art. 65 RODO). Z drugiej strony, nie można pomijać faktu, że ostateczna decyzja wydana w tej sprawie będzie pierwszym rozstrzygnięciem DPC w sprawie transgranicznej, prowadzonej na podstawie przepisów RODO.
Będziemy monitorować tę sprawę.
Źródła:
https://edpb.europa.eu/news/news/2020/edpb-adopts-first-art-65-decision_en
https://gdpr.report/news/2020/11/11/twitter-inches-closer-to-first-cross-border-gdpr-penalty/