EDPB: nujni zavezujoči sklep za Meto
Po nujni zavezujoči odločitvi EDPB 27. oktobra letos je irski DPA sprejel svojo končno odločitev, s katero družbi Meta Ireland Limited (Meta IE) prepove obdelavo osebnih podatkov za namene vedenjskega oglaševanja na pravnih podlagah pogodbe in zakonitega interesa. Nujna zavezujoča odločitev EDPB je sledila zahtevi norveškega organa za varstvo podatkov, da odredi končne ukrepe v tej zadevi, ki bi veljali v celotnem Evropskem gospodarskem prostoru (EGP).
»Po temeljitem premisleku je EDPB ocenil, da je treba IE DPA naročiti, naj uvede prepoved obdelave v celotnem EGP, naslovljeno na Meta IE. Že decembra 2022 so zavezujoči sklepi EDPB pojasnili, da pogodba ni ustrezna pravna podlaga za obdelavo osebnih podatkov, ki jo izvaja Meta za vedenjsko oglaševanje. Poleg tega je IE DPA ugotovil, da Meta ni dokazala skladnosti z ukazi, izdanimi konec lanskega leta. To je vodilo do uporabe člena 66 nujni postopek – odstopanje od običajnega postopka sodelovanja, ki se lahko uporabi le v izjemnih okoliščinah.”
Predsedujoča EDPB Anu Talus
Po analizi spisa je EDPB ugotovil, da se nadaljujejo kršitve GDPR in da je treba nujno ukrepati glede na tveganja za pravice in svoboščine posameznikov.
Na podlagi predloženih dokazov je EDPB ugotovil, da se nadaljuje kršitev člena 6(1) GDPR zaradi neustrezne uporabe pravnih podlag pogodbe in zakonitega interesa za obdelavo osebnih podatkov, ki jih Meta IE zbira za namen vedenjskega oglaševanja.
Poleg tega je EDPB sklenil, da obstaja tudi stalna kršitev dolžnosti družbe Meta, da spoštuje odločitve organov za varstvo osebnih podatkov, predvsem končne odločitve irskega nadzornika iz decembra 2022.
Glede obstoja nujnosti je EDPB sklenil, da rednih mehanizmov sodelovanja ni mogoče uporabiti na običajen način in da je nujna potreba po odreditvi končnih ukrepov jasna glede na tveganja resne in nepopravljive škode, povzročene posameznikom, brez sprejetja končnih ukrepov.
Poleg tega je EDPB ugotovil, da irski nadzornik ni obravnaval zahteve za medsebojno pomoč norveškega nadzornika v roku, določenem v GDPR.
EDPB se je zato odločil, da mora irski nadzornik sprejeti končne ukrepe. Menil je, da je slednjemu primerno, sorazmerno in potrebno dati navodilo, da uvede prepoved obdelave, naslovljene na Meta IE za obdelavo osebnih podatkov, zbranih v storitvah Mete za namene vedenjskega oglaševanja na podlagi pogodbe in zakonitega interesa.
