EROD publikuje wiążącą decyzję dotyczącą WhatsApp

Platforma WhatsApp IE została ukarana przez irlandzki organ nadzorczy (Data Protection Commission, dalej: DPC) administracyjną karą pieniężną w wysokości 5,5 mln euro w następstwie wiążącej decyzji Europejskiej Rady Ochrony Danych w sprawie rozstrzygania sporu z dnia 5 grudnia 2022 r.

EROD poleciła DPC zmienić projekt decyzji, tak aby spełniała wymogi zgodności z prawem przetwarzania danych i zasady rzetelności oraz przewidzianych w projekcie środków naprawczych.

EROD uznała, że WhatsApp IE niewłaściwie oparła się na umowie, jako podstawie prawnej przetwarzania danych osobowych. W konsekwencji EROD poleciła irlandzkiemu organowi nadzorczemu uwzględnić naruszenie art. 6 ust. 1 RODO oraz naruszenie zasady rzetelności z art. 5 ust. 1 lit. a) RODO.

Ponadto Europejska Rada Ochrony Danych zdecydowała, że organ nadzorczy musi przeprowadzić postępowanie w sprawie operacji przetwarzania danych przez WhatsApp IE w celu ustalenia, czy przetwarza ona szczególne kategorie danych osobowych (art. 9 RODO), czy dane są przetwarzane na potrzeby reklamy behawioralnej lub w celach marketingowych, a także zbadać czy celem przetwarzania było dostarczenie metryk z danymi osobom trzecim i wymiany danych ze spółkami powiązanymi w celu poprawy usług.

W odniesieniu do środków naprawczych EROD zwróciła się do DPC o zawarcie w decyzji nakazu doprowadzenia przez WhatsApp IE do zgodności przetwarzania danych osobowych z przepisem art. 6 ust. 1 RODO w celu poprawy jakości usług, w kontekście Warunków Świadczenia Usług w określonym terminie oraz zawarcie naruszeń tego przepisu w podstawach nałożenia administracyjnej kary pieniężnej. 

Ostateczna decyzja przyjęta przez irlandzki organ nadzorczy jest dostępna w Rejestrze decyzji przyjmowanych przez organy nadzorcze i sądy w sprawach rozpatrywanych w ramach mechanizmu spójności.