Történelmi bírság a Meta számára

Az ír adatvédelmi biztos (DPC), a Meta esetében elsődlegesen illetékes európai hatóság az általános adatvédelmi rendelet (GDPR) alapján valaha jegyzett legnagyobb bírságot szabta ki, lezárva egy hosszadalmas vizsgálatot, amely 2020 augusztusában kezdődött.

A Metának a határozat kézhezvételétől számított hat hónapon belül be kell szűntetnie az uniós polgárok adatainak továbbítását és feldolgozását az Egyesült Államokban, ami egyben azt is jelenti, hogy ezen adatokat vagy törölni kell, vagy vissza kell juttatni Európába.

A döntés az Európai Unió Bíróságának Schrems II. számú ítéletén alapul, amely megállapította, hogy az amerikai jogrendszer a hírszerző szolgálatok aránytalan és megkérdőjelezhetetlen hozzáférése miatt nem nyújt az uniós normáknak megfelelő adatvédelmet.

Eközben az Európai Bizottság decemberben fogadta el az EU-USA adatvédelmi keretrendszer megfelelőségét tanúsító határozattervezetét, amelyet eredetileg még az idei év vége előtt jóvá kéne hagyni ahhoz, hogy új jogi keretet biztosítson a transzatlanti adattovábbításhoz.

A kérdés tehát, hogy sikerül-e a Metának az új keretrendszer bevezetéséig elhalasztania az adattovábbítás megszakítását. A döntésre reagáló nyilatkozatában a Meta azt mondta, hogy a Facebook európai működésében nem lesz azonnali fennakadás, de fellebbezni fog a döntés ellen, és a bíróságoktól halasztást fog kérni.

A Meta elleni vizsgálat bár 2020 augusztusában indult, de a vállalat USA-EU adattovábbításainak jogszerűségével kapcsolatos kérdések sokkal korábbra nyúlnak vissza. Uniós keretek között tavaly júliusban készült el egy határozat-javaslat, amely megállapította, hogy a vállalat adattovábbításai sértik az uniós általános adatvédelmi rendeletet, és azonnali felfüggesztést rendelt el. Ez utóbbi dokumentum azt is megállapította, hogy az általános szerződési feltételeken alapuló adattovábbításoknak olyan biztosítékokat kell tartalmazniuk, amelyek az érintettek számára lényegében a GDPR és az EU Alapjogi Chartája által garantált védelemmel egyenértékű védelmet nyújtanak. A határozat-tervezetet ezt követően benyújtották az összes európai adatvédelmi hatóságot tömörítő Európai Adatvédelmi Testületnek. Valamennyi hatóság egyetértett az ír szabályozó hatóság javaslatával, amely az adattovábbítás felfüggesztését rendelte el.

Négy hatóság azonban kifogást emelt a javasolt korrekciós hatáskörökkel szemben, azzal érvelve, hogy a Metát pénzbírsággal kellene sújtani a jogsértés miatt. A négyből kettő olyan intézkedések meghozatalát is kérte, amelyek a 2020 júliusa óta már jogellenesen az Egyesült Államokba továbbított személyes adatokra irányulnak. A DPC visszautasította ezt az érvelést, és az ügyet a testület vitarendezési mechanizmusa elé utalta, amelynek keretében a múlt hónapban kötelező érvényű határozatot hoztak. Ennek eredményeként 1,2 milliárd eurós közigazgatási bírságot szabtak ki a technológiai óriáscégre, amely a GDPR megsértéséért valaha kiszabott legnagyobb összegű bírság, és felülmúlja az Amazonra korábban kiszabott 746 millió eurós rekordot.

"A Privacy Shield 2020-as érvénytelenítését az okozta, hogy alapvető jogi konfliktus állt fenn az amerikai kormányzat adathozzáférésre vonatkozó szabályai és az európaiak adatvédelmi jogai között. Ezt a konfliktust sem a Meta, sem más vállalkozás nem tudta egyedül feloldani" – nyilatkozta a Meta. "Csalódottak vagyunk, hogy kipécéztek minket, amikor ugyanazt a jogi mechanizmust használjuk, mint több ezer más vállalat, amely Európában szeretne szolgáltatásokat nyújtani" - tette hozzá a vállalat.

A Max Schrems aktivista által vezetett NOYB adatvédelmi csoport, amely az alapító bírósági ügyet kezdeményezte, azt mondta, hogy bár a Meta fellebbezésére számítani kell, a vállalat korábbi jogsértései miatt azonban nem valószínű, hogy ez sikerrel járna, ami rávilágít az EU új adattovábbítási megállapodásának fontosságára.