Fógraíonn an Coimisiún um Chosaint Sonraí gur cuireadh clabhsúr le fiosrúchán ar WhatsApp
19th Mí Eanair 2023
D’fhógair an Coimisiún um Chosaint Sonraí (“an Coimisiún”) inniu gur cuireadh clabhsúr le fiosrúchán ar an bpróiseáil a rinne WhatsApp Ireland Limited (“WhatsApp Ireland”) i ndáil le soláthar sheirbhís WhatsApp a n-oibríonn sé í, inar fhorchuir sé fíneáil €5.5 milliún ar WhatsApp Ireland (as sáruithe ar GDPR a bhaineann lena sheirbhís). Chomh maith leis sin, tugadh ordú do WhatsApp Ireland a oibríochtaí próiseála sonraí a chur i gcomhréir laistigh de thréimhse sé mhí.
Bhain an fiosrúchán le gearán a rinne ábhar sonraí Gearmánach an 25 Bealtaine 2018 faoi sheirbhís WhatsApp. Roimh an 25 Bealtaine 2018, arbh é an dáta a tháinig GDPR i ngníomh é, nuashonraigh WhatsApp Ireland a Théarmaí Seirbhíse agus chuir sé in iúl d’úsáideoirí gurbh amhlaidh, dá mba rud é gur mhaith leo leanúint le rochtain a bheith acu ar sheirbhís WhatsApp tar éis thabhairt isteach GDPR, a bheadh ar úsáideoirí a bhí ann cheana (agus ar úsáideoirí nua) cliceáil ar “glac leis agus lean ar aghaidh” chun a chur in iúl go nglacann siad leis na Téarmaí Seirbhíse nuashonraithe. (Ní bheadh rochtain ag úsáideoirí ar na seirbhísí dá mba rud é gur dhiúltaigh siad do dhéanamh amhlaidh).
Bhí WhatsApp Ireland den tuairim gurbh amhlaidh, ar ghlacadh don úsáideoir leis na Téarmaí Seirbhíse nuashonraithe, a chuathas isteach i gconradh idir WhatsApp Ireland agus an t-úsáideoir. Bhí sé den tuairim freisin gurbh é a bhí i bpróiseáil sonraí úsáideoirí i ndáil le soláthar a sheirbhíse ná cuid riachtanach de chomhlíonadh an chonartha sin, lena n-áirítear feabhsú seirbhíse agus gnéithe slándála a sholáthar, chun go mbeadh oibríochtaí próiseála den sórt sin dleathach faoi threoir Airteagal 6(1)(b) GDPR (an bunús dlí “conartha” don phróiseáil).
Contrártha do sheasamh sonraithe WhatsApp Ireland, d’áitigh an gearánach go raibh WhatsApp Ireland ag iarraidh i ndáiríre brath ar thoiliú chun bunús dleathach a sholáthar don phróiseáil a dhéanann sé ar shonraí úsáideoirí. D’áitigh an gearánach gurbh amhlaidh, toisc go ndearna sé inrochtaineacht a sheirbhísí coinníollach ar úsáideoirí a bheith ag glacadh leis na Téarmaí Seirbhíse nuashonraithe, a bhí WhatsApp Ireland, i ndáiríre, ag “cur iallach” orthu toiliú le próiseáil a sonraí pearsanta le haghaidh feabhsú seirbhíse agus le haghaidh slándála. D’áitigh an gearánach gur sháraigh sé sin GDPR.
Ag teacht sna sála ar imscrúdú cuimsitheach, d’ullmhaigh an Coimisiún dréachtchinneadh agus chuir sé é faoi bhráid a rialálaithe piaraí san Aontas Eorpach/sa Limistéar Eorpach Eacnamaíoch, a dtugtar na hÚdaráis Mhaoirseachta lena mBaineann (“CSAnna”) orthu freisin, de réir Airteagal 60 GDPR. Go háirithe, chinn an Coimisiún na nithe seo a leanas:
- De shárú ar a oibleagáidí i ndáil le trédhearcacht, níor leagadh amach go soiléir d’úsáideoirí an fhaisnéis maidir leis an mbunús dlí a raibh WhatsApp Ireland ag brath air agus, mar thoradh air sin, ní raibh go leor soiléire ag úsáideoirí maidir le cé na hoibríochtaí próiseála a bhí á ndéanamh ar a sonraí pearsanta, maidir le cén chríoch/cé na críocha a raibh na hoibríochtaí próiseála á ndéanamh ina leith agus maidir le cén ceann de na sé bhunús dlí a sainaithníodh in Airteagal 6 GDPR a raibh na hoibríochtaí próiseála á ndéanamh faoina threoir. Bhí an Coimisiún den tuairim go raibh an easpa trédhearcachta maidir le nithe chomh bunúsach sin ina sárú ar Airteagail 12 agus 13(1)(c) GDPR. Bhí fíneáil an-substaintiúil €225 mhilliún forchurtha ag an gCoimisiún ar WhatsApp Ireland cheana féin as sáruithe ar an oibleagáid trédhearcachta sin agus ar oibleagáidí trédhearcachta eile thar an tréimhse chéanna ama, agus níor mhol sé aon fhíneáil bhreise ná aon bhearta ceartaitheacha breise a fhorchur an babhta seo, ós rud é go ndearna sé amhlaidh cheana féin i bhfiosrúchán eile. Chomhaontaigh na 47 CSA uile leis an ngné sin den dréachtchinneadh ón gCoimisiún.
- In imthosca ina bhfuair an Coimisiún amach nach raibh WhatsApp Ireland ag brath, i ndáiríre, ar thoiliú úsáideoirí chun bunús dlí a sholáthar don phróiseáil a dhéanann sé ar a sonraí pearsanta, níorbh fhéidir gné an “toilithe éigeantaigh” de na gearáin a sheasamh. Ón staid sin, chuaigh an Coimisiún ar aghaidh chun a bhreithniú cé acu a bhí nó nach raibh oibleagáid ar WhatsApp Ireland brath ar thoiliú mar bhunús dlí dó i ndáil le soláthar na seirbhíse, lena n-áirítear chun críocha feabhsúcháin seirbhíse agus chun críocha slándála. Anseo, chinn an Coimisiún nach raibh ceangal ar WhatsApp Ireland brath ar thoiliú. Ní dhearna ceann ar bith de na CSAnna agóid i gcoinne na hanailíse sin agus, dá réir sin, diúltaíodh don ghné sin den ghearán. An tÚdarás Maoirseachta Gearmánach ar cuireadh an gearán faoina bhráid ar dtús, tá freagracht air anois as cinneadh ar leith a ghlacadh i leith na gcodanna sin ar diúltaíodh dóibh, as an gcinneadh sin a chur in iúl don ghearánach agus as eolas a thabhairt do WhatsApp Ireland ina thaobh de réir Airteagal 60(9) GDPR.
Chuaigh an Coimisiún ar aghaidh chun a bhreithniú cé acu is amhlaidh nó nach amhlaidh i bprionsabal a cuireadh cosc ar WhatsApp Ireland le GDPR brath ar an mbunús dlí conartha a mhaígh sé, agus tháinig an Coimisiún ar an gconclúid nár cuireadh cosc ar WhatsApp Ireland leis déanamh amhlaidh.
Rinne sé cinn de na 47 CSA agóidí agus bhí siad den tuairim nár cheart cead a thabhairt do WhatsApp Ireland brath ar an mbunús dlí conartha ar na mbonn nach bhféadfaí an soláthar feabhsúcháin seirbhíse agus slándála a mheas a bheith riachtanach chun na príomhghnéithe de rud a dúradh a bheith ina chineál conartha i bhfad níos teoranta a chomhlíonadh.
D’easaontaigh an Coimisiún leis sin, agus an t-easaontú sin ag teacht leis an tuairim a bhí aige go n-áirítear le seirbhís WhatsApp seirbhís a sholáthar a bhfuil feabhsú seirbhíse agus slándáil i gceist léi agus gurb é an chuma atá air go deimhin go bhfuil seirbhís WhatsApp bunaithe ar sheirbhís den sórt sin a sholáthar. I dtuairim an Choimisiúin, tá an fhíric sin ina cuid lárnach den mhargadh a rinneadh idir úsáideoirí agus a soláthraí seirbhíse roghnaithe, agus tá sí mar chuid den chonradh a tugadh i gcrích ag an bpointe ag a nglacann úsáideoirí leis na Téarmaí Seirbhíse.
Ag teacht sna sála ar chaidreamh leis na CSAnna, tháinig sé chun solais nach rabhthas in ann teacht ar chomhthoil. I gcomhréir lena oibleagáidí faoi Airteagal 60(4) GDPR, tharchuir an Coimisiún na nithe faoi dhíospóid chuig an mBord Eorpach um Chosaint Sonraí (“EDPB”) ansin.
Ghlac EDPB an cinneadh uaidh an 5 Nollaig 2022.
Diúltaíodh sa chinneadh ó EDPB roinnt mhaith de na hagóidí a ndearna na CSAnna iad. Sheas sé freisin le seasamh an Choimisiúin i ndáil leis an sárú a rinne WhatsApp Ireland ar a oibleagáidí trédhearcachta, gan a bheith faoi réir ach sárú breise (ar phrionsabal na “cothroime” in Airteagal 5(1)(a)) a chur leis. Ghlac EDPB tuairim dhifriúil leis an gCoimisiún ar cheist an bhunúis dlí, áfach, á chinneadh gurbh amhlaidh, mar phrionsabal, nach raibh WhatsApp Ireland i dteideal brath ar an mbunús dlí conartha mar ní lena soláthraítear bunús dleathach don phróiseáil a dhéanann sé ar shonraí pearsanta chun críocha feabhsúcháin seirbhíse agus chun críocha slándála.
Maidir leis an gcinneadh críochnaitheach ar ghlac an Coimisiún é an 12 Eanáir 2023, tá sé ag teacht leis an gcinneadh ceangailteach ó EDPB atá leagtha amach thuas. Dá réir sin, áirítear leis an gcinneadh ón gCoimisiún fionnachtana nach bhfuil WhatsApp Ireland i dteideal brath ar an mbunús dlí conartha i ndáil leis an soláthar feabhsúcháin seirbhíse agus slándála (cé is moite de ní a dtugann EDPB “slándáil TF” air) le haghaidh sheirbhís WhatsApp, agus gur sárú ar Airteagal 6(1) GDPR í an phróiseáil a rinne sé ar na sonraí sin go dtí seo, de bhua a spleáchais airbheartaithe ar an mbunús dlí conartha.
Maidir le smachtbhannaí, agus i bhfianaise an tsáraithe bhreise sin ar GDPR, d’fhorchuir an Coimisiún fíneáil riaracháin €5.5 milliún ar WhatsApp Ireland agus thug sé ordú nach mór do WhatsApp Ireland a oibríochtaí próiseála a chur i gcomhréir le GDPR laistigh de thréimhse sé mhí.
Ar leithligh uaidh sin, d’airbheartaigh EDPB freisin ordú a thabhairt don Choimisiún imscrúdú úr a dhéanamh lena gcumhdófaí oibríochtaí próiseála uile WhatsApp IE ina sheirbhís chun a chinneadh cé acu is amhlaidh nó nach amhlaidh a phróiseálann sé catagóirí speisialta sonraí pearsanta (Airteagal 9 GDPR) agus a phróiseálann sé sonraí chun críocha fógraíochta iompraíochta, chun críocha margaíochta, chun méadrachtaí a sholáthar do thríú páirtithe agus chun sonraí a mhalartú le cuideachtaí cleamhnaithe chun críocha feabhsuithe seirbhíse, agus chun a chinneadh cé acu a chomhlíonann nó nach gcomhlíonann sé na hoibleagáidí iomchuí faoi GDPR.”
Ar ndóigh, ní dhéantar tagairt sa chinneadh ón gCoimisiún d’imscrúduithe úra ar oibríochtaí próiseála sonraí uile WhatsApp, ar imscrúduithe iad ar ordaigh EDPB iad sa chinneadh ceangailteach uaidh. Níl ag EDPB ról maoirseachta ginearálta atá cosúil leis sin atá ag cúirteanna náisiúnta i ndáil le húdaráis neamhspleácha náisiúnta agus ní fhéadfaidh EDPB treoir ná ordú a thabhairt d’údarás gabháil d’imscrúdú neamhiata tuairimeach. Dá bharr sin, tá fadhbanna dlínse ag baint leis an ordú, agus is cosúil nach bhfuil sé comhsheasmhach le struchtúir na socruithe comhair agus comhsheasmhachta a leagadh síos le GDPR. A mhéid a d’fhéadfadh cúngach ar thaobh EDPB a bheith i gceist leis an ordú, is cuí leis an gCoimisiún caingean le haghaidh neamhniú a thabhairt os comhair Chúirt Bhreithiúnais an Aontais Eorpaigh chun a iarraidh go gcuirfí an t-ordú ó EDPB ar ceal.