Podczas 53. posiedzenia plenarnego, które odbyło się 28 lipca 2021 r., Europejska Rada Ochrony Danych (EROD) przyjęła decyzję rozstrzygającą spór w sprawie WhatsApp Ireland Ltd. zgodnie z art. 65 RODO[1]. Wiążąca decyzja przyjęta przez EROD ma na celu rozwiązanie kwestii braku porozumienia w odniesieniu do niektórych aspektów projektu decyzji wydanej w tej sprawie przez irlandzki organ nadzorczy, pełniący w tym przypadku rolę organu wiodącego, oraz późniejszych sprzeciwów zgłoszonych przez inne organy nadzorcze, których sprawa dotyczy.

Stosownie do art. 65 ust. 1 lit. a RODO, aby zapewnić właściwe i spójne stosowanie niniejszego RODO, EROD przyjmuje wiążące decyzje m.in. wtedy, gdy w przypadku, o którym mowa w art. 60 ust. 4 RODO[2], organ nadzorczy, którego sprawa dotyczy, zgłosił mający znaczenie dla sprawy i uzasadniony sprzeciw wobec projektu decyzji wiodącego organu nadzorczego, a wiodący organ nadzorczy odrzucił taki sprzeciw jako niemający znaczenia dla sprawy lub nieuzasadniony. Wiążąca decyzja dotyczy wszystkich spraw, które są przedmiotem mającego znaczenie dla sprawy i uzasadnionego sprzeciwu, w szczególności zaś odnosi się do tego, czy doszło do naruszenia RODO.

W niniejszej sprawie wiodący organ nadzorczy po przeprowadzeniu postępowania wyjaśniającego w sprawie WhatsApp Ireland Ltd. sporządził projekt decyzji, która dotyczyła spełnienia obowiązków w zakresie przejrzystości zgodnie z art. 12, 13 i 14 RODO przez WhatsApp Ireland Ltd.

Dnia 24 grudnia 2020 r. wiodący organ nadzorczy, działając zgodnie z procedurą, o której mowa w art. 60 ust. 3 RODO, przedłożył projekt decyzji organom nadzorczym, których sprawa dotyczy. Organy nadzorcze, których sprawa dotyczy, zgłosiły sprzeciwy zgodnie z art. 60 ust. 4 RODO, dotyczące m.in. stwierdzonych naruszeń RODO, tego, czy konkretne dane należy uznać za dane osobowe, i konsekwencji z tym związanych, a także adekwatności przewidywanych środków naprawczych.

Po rozpatrzeniu sprzeciwów organów nadzorczych, których sprawa dotyczy, irlandzki organ nadzorczy nie był w stanie osiągnąć konsensusu, w związku z czym poinformował EROD, że nie zamierza się przychylać do zgłoszonych sprzeciwów. W konsekwencji zgodnie z art. 65 ust. 1 lit. a RODO irlandzki organ nadzorczy skierował sprawę do EROD w celu jej rozstrzygnięcia.

W dniu 28 lipca 2021 r. EROD przyjęła wiążącą decyzję, która dotyczy podstaw sprzeciwów uznanych za „mające znaczenie dla sprawy i uzasadnione” w rozumieniu art. 4 pkt 24 RODO[3]. EROD zapowiedziała, że wkrótce dokona formalnej notyfikacji decyzji organom nadzorczym, których sprawa dotyczy.

Zgodnie z art. 65 ust. 6 RODO irlandzki organ nadzorczy zobowiązany będzie do przyjęcia ostatecznej decyzji względem administratora (WhatsApp Ireland Ltd.), na podstawie decyzji wydanej przez EROD, bez zbędnej zwłoki i najpóźniej miesiąc po notyfikacji decyzji przez EROD. Po notyfikacji administratorowi decyzji krajowej przez irlandzki organ nadzorczy EROD opublikuje decyzję na swojej stronie internetowej.

Źródło: https://edpb.europa.eu/news/news/2021/edpb-adopts-art-65-decision-regarding-whatsapp-ireland_pl.

[1] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).

[2] Art. 60 ust. 3 RODO stanowi, że: „Wiodący organ nadzorczy niezwłocznie przekazuje innym organom nadzorczym, których sprawa dotyczy, stosowne informacje dotyczące danej sprawy. Niezwłocznie przedkłada innym organom, których sprawa dotyczy, nadzorczym projekt decyzji w celu uzyskania ich opinii i należytego uwzględnienia ich uwag”. „Jeżeli w terminie czterech tygodni od otrzymania wniosku o opinię zgodnie z [art. 60] ust. 3 […] inny organ nadzorczy, którego sprawa dotyczy, zgłosi mający znaczenie dla sprawy i uzasadniony sprzeciw wobec projektu decyzji, wiodący organ nadzorczy – jeżeli nie przychyla się do mającego znaczenie dla sprawy i uzasadnionego sprzeciwu lub sądzi, że sprzeciw nie ma znaczenia dla sprawy lub nie jest uzasadniony – przekazuje sprawę w ramach mechanizmu spójności, o którym mowa w art. 63 RODO” (art. 60 ust. 4 RODO).

[3] „Mający znaczenie dla sprawy i uzasadniony sprzeciw” oznacza sprzeciw wobec projektu decyzji dotyczącej tego, czy doszło do naruszenia niniejszego rozporządzenia lub czy planowane działanie wobec administratora lub podmiotu przetwarzającego jest zgodne z niniejszym rozporządzeniem, który to sprzeciw musi jasno wskazywać wagę wynikającego z projektu decyzji ryzyka naruszenia podstawowych praw lub wolności osób, których dane dotyczą, oraz gdy ma to zastosowanie – wagę ryzyka zakłócenia swobodnego przepływu danych osobowych w Unii.