V návaznosti na závazná rozhodnutí Evropského sboru pro ochranu údajů (dále také „EDPB“) o řešení sporů ze dne 5. prosince 2022 přijal irský úřad pro ochranu údajů (dále také „IE DPA“) v lednu 2023 svá rozhodnutí týkající se společností Facebook a Instagram (Meta Platforms Ireland Limited, dále také „Meta IE“). Jaké byly důsledky? Byla společnosti Meta uložena správní pokuta?
Rozhodnutí EDPB jsou výsledkem šetření činností společností Facebook a Instagram na základě stížností, zejména pokud jde o zákonnost a transparentnost zpracování údajů pro účely behaviorální reklamy. Irský úřad pro ochranu osobních údajů (IE DPA) uložil společnosti Meta IE pokutu ve výši 210 milionů EUR v rozhodnutí týkajícím se Facebooku a 180 milionů EUR v rozhodnutí týkajícím se Instagramu.
Konečná rozhodnutí irského úřadu pro ochranu osobních údajů (IE DPA) ze dne 31. prosince 2022 zahrnují právní posouzení vyjádřené Evropským sborem pro ochranu osobních údajů (EDPB) v jeho rozhodnutích ze dne 5. prosince 2022. Tato rozhodnutí byla přijata na základě čl. 65 odst. 1 písm. a) GDPR poté, co irský úřad pro ochranu osobních údajů (IE DPA) zahájil dvě řízení o řešení sporů týkající se námitek vznesených dotčenými dozorovými orgány (DPA).
EDPB rozhodl, že společnost Meta IE se nepřiměřeně spoléhala na smlouvu jako právní základ pro zpracování osobních údajů v kontextu podmínek používání služeb Facebooku a Instagramu pro účely behaviorální reklamy, jelikož to nebyl hlavní prvek těchto služeb. EDPB v obou případech shledal, že společnost Meta IE neměla pro toto zpracování právní základ, a proto tyto údaje zpracovávala protiprávně. V důsledku toho EDPB nařídil irskému dozorovému orgánu (IE DPA), aby změnil zjištění v návrzích rozhodnutí a zahrnul do nich porušení čl. 6 odst. 1 GDPR.
EDPB nařídil irskému úřadu pro ochranu osobních údajů (IE DPA), aby do svých konečných rozhodnutí zahrnul příkaz pro společnost Meta IE, aby do tří měsíců uvedla své zpracování osobních údajů pro účely behaviorální reklamy v kontextu služeb Facebook a Instagram v souladu s čl. 6 odst. 1 GDPR a služby Instagram v souladu s čl. 6 odst. 1 GDPR.
Kromě toho EDPB nařídil irskému úřadu pro ochranu osobních údajů (IE DPA), aby do obou konečných rozhodnutí zahrnul zjištění o porušení zásady spravedlnosti a přijal příslušná nápravná opatření. EDPB konstatoval, že závažná porušení povinností v oblasti transparentnosti měla dopad na oprávněná očekávání uživatelů, že společnost Meta IE prezentovala své služby uživatelům zavádějícím způsobem a že vztah mezi společností Meta IE a uživateli byl nevyvážený.
Pokud jde o pokuty, EDPB nařídil irskému úřadu pro ochranu osobních údajů (IE DPA), aby uložil správní pokutu za další porušení čl. 6 odst. 1 GDPR (chybějící právní základ pro zpracování osobních údajů) a aby uložil výrazně vyšší pokuty za zjištěná porušení transparentnosti, jelikož shledal, že navrhované pokuty nesplňují požadavky účinnosti, přiměřenosti a odrazujícího účinku. To vedlo k tomu, že irský úřad pro ochranu osobních údajů (IE DPA) ve svých konečných rozhodnutích pokuty výrazně zvýšil (z maximální výše 36 milionů EUR v případě návrhů rozhodnutí týkajících se Facebooku a 23 milionů EUR v případě Instagramu na 210 milionů EUR v případě Facebooku a 180 milionů EUR v případě Instagramu).
