GDPR svigter mod techbranchens strukturproblemer

Når en dansk bruger klager over Facebook, Instagram, WhatsApp eller TikTok, ender sagen ikke hos Datatilsynet i København. Den ender i Dublin. Det irske datatilsyn, Data Protection Commission, håndterer næsten alle store GDPR-sager mod globale teknologiselskaber, og dets tidligere chef, Helen Dixon, erkender nu, at modellen ikke virker dér, hvor problemerne er størst. Ved et arrangement i Law Society of Ireland sagde hun, at GDPR "ikke altid er nyttig ved systemiske problemer" (Law Society of Ireland).

Udtalelsen rammer en spænding, som har bygget sig op gennem otte år: EU har fælles databeskyttelsesregler, men håndhævelsen løber ofte gennem én national myndighed.

Hvordan én by blev Europas privatlivshovedstad

GDPR indførte en ordning kaldet "one-stop-shop" i artikel 56 (EUR-Lex). Ideen var praktisk nok: Et selskab skulle ikke håndtere 27 nationale tilsyn, hvis det opererede på tværs af EU. Myndigheden i det land, hvor selskabet har sit europæiske hovedkontor, skulle lede de grænseoverskridende sager. Apple, Google, Meta, TikTok, LinkedIn og Microsoft placerede alle deres europæiske hovedsæder i Irland. Dermed blev DPC i praksis Europas privatlivstilsyn for store dele af techindustrien (anonym.community).

Sagsgangen bygger på samarbejdsreglen i artikel 60. DPC fungerer som ledende tilsynsmyndighed, undersøger klagen og skriver et udkast til afgørelse. Udkastet sendes derefter til de øvrige nationale datatilsyn, som er berørt af sagen. Hvis de gør indsigelse, og det sker ofte, går konflikten videre til Det Europæiske Databeskyttelsesråd, EDPB, som kan træffe en bindende afgørelse (EUR-Lex). Man kan se det som en domstol, hvor Dublin skriver dommen, men hvor 26 andre dommere kan kræve ændringer i strafudmålingen.

Ordningen skulle forhindre selskaber i at vælge den mest lempelige myndighed. I praksis skabte den et andet problem: En mellemstor national myndighed blev flaskehals for håndhævelsen på et helt kontinent.

Store bøder, langsom inddrivelse

DPC har udstedt omkring 80 % af alle større EU-bøder til teknologiselskaber under GDPR (anonym.community). De største sager er 1,2 mia. euro til Meta for ulovlig overførsel af europæiske brugerdata til USA, 530 mio. euro til TikTok for at give kinesiske ingeniører adgang til europæiske data og 310 mio. euro til LinkedIn for ulovlig adfærdsprofilering (anonym.legal).

At udstede en bøde er ikke det samme som at få pengene ind. Selskaberne anker næsten alle større afgørelser, og de irske domstole kan sætte betalingen i bero, mens sagen kører. Derfor er afstanden stadig stor mellem de bøder, der bliver annonceret, og de beløb, som faktisk bliver betalt. De andre nationale tilsyn har deres egne begrænsninger: Artikel 60-systemet giver dem mulighed for at gøre indsigelse, men ikke for selvstændigt at føre grænseoverskridende sager mod disse selskaber. De kan protestere, mens Dublin beslutter.

En reparation med deadline

En ny GDPR-procedureforordning, som træder i kraft i april 2027, indfører en frist på 15 måneder for, at den ledende myndighed skal fremlægge et udkast til afgørelse i grænseoverskridende sager (Netguardia). Under det nuværende system har undersøgelser kunnet trække ud i årevis. Sagen om Metas bøde på 1,2 mia. euro tog fem år fra den første klage til den endelige afgørelse. Reformen fastsætter også klarere frister for, hvornår de berørte tilsyn skal indsende indsigelser, og hvornår uenigheder skal sendes videre til EDPB (Netguardia).

Den proceduremæssige reparation handler om tempo. Den ændrer ikke den grundlæggende skævhed: Én national myndighed, underlagt irske domstole og irsk forvaltningsret, bærer ansvaret for reguleringen af teknologiselskaber med 450 mio. europæiske brugere. Dixons erkendelse af, at GDPR har svært ved at håndtere systemiske problemer (Law Society of Ireland), peger på det, 2027-reformen ikke løser. Hurtigere afgørelser skal stadig gennem samme smalle kanal. Det næste spørgsmål er, om EU på et tidspunkt vil ændre selve kanalen og ikke kun hastigheden i den.