A NOYB tovább vegzálja a Schrems II-t ignoráló cégeket
A Max Schrems adatvédelmi aktivista által alapított osztrák adatvédelmi csoport, a NOYB (none of your business) a Schrems II ítéletet követően 101 európai cég ellen tett panaszt valamennyi uniós országra kiterjedően, mivel azok véleményük szerint semmit sem tettek, hogy reagáljanak az ítéletre. Az ítéletre, mely egyben az Európa és Amerika közti adattovábbítási egyezmény, a Privacy Shield végét jelentette, egyben az általános szerződési feltételeken (SCC) alapuló adattovábbítást is nehezebbé téve. A legtöbb cég azonban továbbra is a régi gyakorlatait követi.
A NOYB legújabb akciójában 33 olyan cégnek tett fel a GDPR 15. cikkére hivatkozva kérdéseket, melyek EU-USA viszonylatban adatokat továbbítanak. A megkereséseket a következő szöveggel küldték:
”Tisztelt Hölgyem/Uram!
Egyik ügyfelük vagyok, és a GDPR 12., 13., 14., és 15. cikkei alapján az alábbi kérdésekre kérek választ:
• Küldik-e személyes adatomat az EU-n kívülre? Amennyiben igen, úgy mely országokba?
• Mi ezen adattovábbítások jogalapja (pl. megfelelőségi döntés, általános szerződési feltételek (SCC), kötelező vállalati szabályok (BCR), stb.)? SCC és BCR jogalapként történő használata esetén kérem, küldjenek róluk másolatot minden egyes adattovábbításra vonatkozóan.
• Amennyiben továbbítanak adatot az USA-ba, úgy tartozik-e bármelyik partnerük a FISA702, illetve az EO 12.333 törvények hatálya alá, melyek értelmében adatot köteles szolgáltatni az államnak?
• Amennyiben továbbítanak adatot az USA-ba, úgy milyen technikai intézkedéseket vezették be, hogy személyes adataimhoz az Egyesült Államok kormánya a küldés során ne férhessen hozzá?
Kérdéseimre egy héten belül, a GDPR rendelkezései szerint „késedelem nélkül” szíveskedjenek válaszolni. Ezek egyszerű kérdések, melyek megválaszolása nem igényel hosszas elemzést. Személyem további azonosítására nincs szükség, mivel személyes adataimról másolatot nem kértem. Ha további információra van szükségük, kérem forduljanak hozzám.
Tisztelettel: Név”
A NOYB részletes beszámolója szerint a válaszok igen sokrétűek voltak, már, ha egyáltalán érkezett válasz. A sajtóközleményben néhány cég reakcióját emelik ki: az Airbnb, a Netflix és a WhatsApp nem is válaszoltak a feltett kérdésekre, mások egyszerűen egy linket küldtek adatvédelmi nyilatkozatukhoz, melyben nem voltak megtalálhatók a kérdéses információk. Mások, például a Slack, állításuk szerint nem továbbítanak a kormánynak „önkéntesen” adatokat, azonban arra nem válaszoltak, hogy a FISA702 által erre kötelezve vannak-e.
Bizonyos cégek jobb eredményeket produkáltak, a Microsoft például az összes kérdésre kielégítő választ adott, a Virgin Media pedig másolatot küldött az általuk használt SCCk-ről. A Microsoft ugyanakkor még mindig azt állítja, hogy SCCk keretében továbbíthat adatot az USA-ba, holott a NOYB figyelmeztet, hogy Edward Snowden annak idején pont a Microsoftot nevezte meg, mint akitől rendszeresen igényel adatot a kormány a FISA702 keretében.
A NOYB a 101 bepanaszolt céggel kapcsolatosan is közölt frissítéseket 2020. szeptember 22-én. Ebben ismét kifejtik, hogy a cégek nagy része továbbra is az SCCk alapján továbbít adatokat harmadik országba, mely hanyagság előbb utóbb a GDPR értelmében akár 20 millió eurós (vagy az évi bevétel 4%-ával megegyező) bírsággal járhat számukra. A bejelentés közzétételének időpontjában csupán három válasz érkezett a panaszokra, mindhárom Liechtensteinből; két cég és egy egyetem részéről. Válaszukban megerősítették, hogy a Google és a Facebook beépülő elemeit eltávolították a honlapjaikról, a NOYB pedig ezt követően visszavonta ellenük a hatóságoknál tett panaszát.
A panaszhullám nem titkoltan a két legnagyobb adatexportőr ellen szólt, a Facebook és a Google azonban egyelőre nagyrészt hallgatnak. Marco Blocher, a NOYB jogásza szerint szép és jó, hogy a két óriás folyamatosan „vizsgálja” a kérdést, azonban ez nem változtat azon a helyzeten, hogy az amerikai kormány hozzáférhet a két cég által továbbított adatokhoz.
Európai szinten a NOYB optimistább, ugyanis az EDPB külön munkacsoportot állít fel, hogy a szervezet 101 (már csak 98) panaszát kivizsgálják, és lehetőleg egymáshoz hasonló döntéseket hozzanak. A NOYB üdvözli a munkacsoport megalakítását, ugyanis így a különböző tagországok hatóságai sokkal gyorsabban, együttműködve tudnak az ügyekben döntést hozni. Természetesen az sem mellékes szempont, hogy így nem húzódhat el túlságosan egyik ügy sem, mivel, ha az egyik ország hatósága döntést hoz az ügyben, a többi ország hatósága sem húzhatja sokáig az állásfoglalást.
