Europas datatilsyn redder Facebook i Europa, enn så lenge

I starten av juli sendte det irske datatilsynet (DPC) utkastet som har fått stor oppmerksomhet: De ville stoppe Facebooks overføring av data fra Europa til USA, fordi overføringen blir ansett som ulovlig etter Schrems II.

Meta har flere ganger sagt at de vil stenge både Instagram og Facebook i Europa dersom de ikke får overføre data om europeiske brukere til USA.

Dermed var det opp til de andre datatilsynene i Europa. Dersom noen av tilsynene innen fristen på fire uker protesterte på vedtaket gjennom en formell innsigelse, måtte DPC ta en runde til, og saken blir løftet til EU-nivå.

Det har en rekke andre tilsyn i EU gjort, forteller en talsperson fra det irske datatilsynet til Politico onsdag.

Dermed har Facebook vunnet tid, og det kan ta måneder før et endelig vedtak ligger på bordet.

Norge har sendt innspill

Innspill og tilbakemeldinger på vedtaket kan DPC selv vurdere om de skal ta høyde for. Formelle innsigelser betyr at saken eskaleres til EU-nivå, og EUs sentrale Datatilsyn, EDPB.

− Det er noen land som har kommet med formelle innsigelser, bekrefter Tobias Judin, seksjonssjef for den internasjonale seksjonen i Datatilsynet, på e-post til digi.no.

Det norske datatilsynet har imidlertid ikke valgt å sende formell innsigelse, kun tilbakemeldinger om at vedtaket ikke går langt nok.

− Meta burde sannsynligvis sluttet å overføre data til USA allerede da Schrems II-dommen kom. Nå, to år senere, varsler irene at de vil pålegge Meta å stanse overføringene, men de legger ikke opp til at to år med ulovlige overføringer skal få noen konsekvens for selskapet ut over det som følger direkte av dommen, sier Judin.

Som ventet

Max Schrems og personvernorganisasjonen NOYB (Non of your Business) står bak den opprinnelige klagen. De var forberedt på innsigelser.

− Vi forventer at de andre Datatilsynene vil sende innsigelser, ettersom en del sentrale punkt ikke er tatt opp i DPC’s utkast, skrev Schrems på NOYBs nettsider i forbindelse med utkastet.

NOYB frykter det vil ta inntil et år før et endelig vedtak er klart.

Vil ta tid

Det irske datatilsynet må nå gå igjennom innspill og tilbakemeldinger, og se om de er enige. Det kan ta et par måneder.

Dersom DPC ikke er enig i de formelle innspillene, tas saken videre i det sentrale europeiske datatilsynet, EDPB, som tar en avgjørelse. Det kan også ta et par måneder.

Meta har dessuten anledning til å klage på det endelige vedtaket.

Med litt flaks for Meta, er en ny dataoverføringsavtale på plass før vedtaket er klart.

− Paradoksalt og urettferdig

Den 25. mars sto nemlig USAs president Joe Biden og EU-kommisjonens president Ursula von der Leyen sammen på talerstolen og la stolt frem at de hadde «blitt enige om en enestående avtale for beskyttelse av personvernet til våre innbyggere».

Selv om det fortsatt er arbeid som gjenstår før den er gyldig, kan den være på plass i løpet av året.

Dermed kan Meta fortsatt gå helt fri.

− Det ville vært paradoksalt og urettferdig: Norske virksomheter bruker store summer på å etterleve Schrems II-dommen, og samtidig slipper Meta å løfte en finger, selv om Schrems II-dommen faktisk handler om Metas overføringer til USA, sier Judin.