Η Helen Dixon δείχνει τα όρια του GDPR

Όταν ένας Ευρωπαίος πολίτης υποβάλλει καταγγελία απορρήτου για το Facebook, το Instagram, το WhatsApp ή το TikTok, η υπόθεση συνήθως δεν φτάνει στην εθνική του αρχή. Καταλήγει στο Δουβλίνο. Η Ιρλανδική Επιτροπή Προστασίας Δεδομένων χειρίζεται σχεδόν όλες τις μεγάλες υποθέσεις εφαρμογής του Γενικού Κανονισμού Προστασίας Δεδομένων κατά των παγκόσμιων τεχνολογικών ομίλων, και η πρώην επικεφαλής της παραδέχθηκε πλέον ότι το σύστημα δεν λειτουργεί καλά εκεί όπου τα προβλήματα είναι συστημικά. Η Helen Dixon είπε σε εκδήλωση της Νομικής Εταιρείας της Ιρλανδίας αυτόν τον μήνα ότι ο ΓΚΠΔ «δεν είναι πάντοτε χρήσιμος για συστημικά ζητήματα» (Law Society of Ireland).

Η παραδοχή έχει βάρος επειδή προέρχεται από το πρόσωπο που καθοδήγησε την ιρλανδική εποπτεία στα πιο δραστήρια χρόνια της. Και συμπυκνώνει μια θεσμική ένταση που συσσωρεύεται εδώ και οκτώ χρόνια.

Πώς μια πόλη έγινε η πρωτεύουσα της ευρωπαϊκής ιδιωτικότητας

Ο ΓΚΠΔ δημιούργησε στο άρθρο 56 έναν μηχανισμό «υπηρεσίας μίας στάσης» (EUR-Lex). Η λογική ήταν πρακτική: αντί μια εταιρεία να λογοδοτεί ταυτόχρονα σε 27 εθνικές αρχές, τις διασυνοριακές υποθέσεις τις αναλαμβάνει η αρχή της χώρας όπου έχει την κύρια ευρωπαϊκή εγκατάστασή της. Η Apple, η Google, η Meta, το TikTok, η LinkedIn και η Microsoft επέλεξαν όλες την Ιρλανδία για την ευρωπαϊκή τους έδρα. Έτσι, η ιρλανδική αρχή έγινε στην πράξη ο ρυθμιστής ιδιωτικότητας της Ευρώπης για μεγάλο μέρος της τεχνολογικής βιομηχανίας (anonym.community).

Η διαδικασία επιβολής περνά από τη συνεργασία του άρθρου 60. Η Ιρλανδική Επιτροπή Προστασίας Δεδομένων, ως επικεφαλής εποπτική αρχή, ερευνά την καταγγελία και συντάσσει σχέδιο απόφασης. Στη συνέχεια το κοινοποιεί σε όλες τις άλλες εθνικές αρχές προστασίας δεδομένων που επηρεάζονται από την υπόθεση, τις λεγόμενες ενδιαφερόμενες εποπτικές αρχές. Αν διατυπώσουν αντιρρήσεις, όπως συμβαίνει συχνά, η διαφορά παραπέμπεται στο Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων, το οποίο εκδίδει δεσμευτική απόφαση (EUR-Lex). Είναι σαν δικαστήριο όπου το Δουβλίνο γράφει την απόφαση, αλλά οι υπόλοιποι 26 δικαστές μπορούν να ασκήσουν βέτο στην ποινή.

Το σχήμα σχεδιάστηκε για να αποτρέψει την επιλογή ευνοϊκότερου ρυθμιστή από τις εταιρείες. Στην πράξη, δημιούργησε άλλο πρόβλημα: μια μεσαίου μεγέθους εθνική αρχή έγινε το σημείο συμφόρησης για την εφαρμογή των κανόνων σε ολόκληρη την ήπειρο.

Μεγάλα πρόστιμα, αργή είσπραξη

Η ιρλανδική αρχή έχει επιβάλει περίπου 80 τοις εκατό των μεγάλων ευρωπαϊκών προστίμων στον τεχνολογικό κλάδο βάσει του ΓΚΠΔ (anonym.community). Τα ποσά είναι εντυπωσιακά: 1,2 δισ. ευρώ στη Meta για παράνομες μεταφορές δεδομένων Ευρωπαίων χρηστών προς τις Ηνωμένες Πολιτείες, 530 εκατ. ευρώ στο TikTok επειδή επέτρεψε σε μηχανικούς στην Κίνα να έχουν πρόσβαση σε ευρωπαϊκά δεδομένα και 310 εκατ. ευρώ στη LinkedIn για παράνομη συμπεριφορική κατάρτιση προφίλ χρηστών (anonym.legal).

Η επιβολή προστίμου και η είσπραξή του είναι δύο διαφορετικά πράγματα. Οι εταιρείες προσφεύγουν σχεδόν κατά κάθε μεγάλης απόφασης, ενώ τα ιρλανδικά δικαστήρια μπορούν να παγώσουν την πληρωμή όσο διαρκεί η εκδίκαση. Έτσι, το χάσμα ανάμεσα στα πρόστιμα που ανακοινώνονται και στα χρήματα που τελικά εισπράττονται παραμένει μεγάλο. Οι υπόλοιπες εθνικές αρχές έχουν τους δικούς τους περιορισμούς: με το σύστημα συνεργασίας του άρθρου 60 μπορούν να υποβάλλουν αντιρρήσεις, αλλά δεν μπορούν να κινηθούν αυτόνομα σε διασυνοριακές υποθέσεις που αφορούν αυτές τις εταιρείες. Παρακολουθούν, ενώ το Δουβλίνο αποφασίζει.

Μια διόρθωση με προθεσμία

Ο νέος Διαδικαστικός Κανονισμός για τον ΓΚΠΔ, που τίθεται σε ισχύ τον Απρίλιο του 2027, εισάγει προθεσμία 15 μηνών για να εκδίδουν οι επικεφαλής αρχές σχέδια αποφάσεων σε διασυνοριακές υποθέσεις (Netguardia). Σήμερα, οι έρευνες μπορούν να διαρκούν χρόνια. Το πρόστιμο των 1,2 δισ. ευρώ στη Meta χρειάστηκε πέντε χρόνια από την αρχική καταγγελία έως την τελική απόφαση. Η μεταρρύθμιση θέτει επίσης σαφέστερα χρονοδιαγράμματα για το πότε πρέπει οι ενδιαφερόμενες εποπτικές αρχές να υποβάλουν αντιρρήσεις και πότε οι διαφορές πρέπει να οδηγούνται στο Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (Netguardia).

Η διαδικαστική διόρθωση αντιμετωπίζει την ταχύτητα. Δεν αντιμετωπίζει όμως την βασική ασυμμετρία: μια εθνική αρχή, υπόλογη στα ιρλανδικά δικαστήρια και δεσμευμένη από το ιρλανδικό διοικητικό δίκαιο, σηκώνει την ευθύνη ρύθμισης τεχνολογικών εταιρειών που εξυπηρετούν 450 εκατομμύρια Ευρωπαίους. Η παραδοχή της Dixon ότι το πλαίσιο δυσκολεύεται απέναντι σε συστημικά ζητήματα (Law Society of Ireland) δείχνει ακριβώς το σημείο που η μεταρρύθμιση του 2027 αφήνει ανέγγιχτο. Οι αποφάσεις μπορεί να βγαίνουν πιο γρήγορα, αλλά εξακολουθούν να περνούν από το ίδιο στενό κανάλι. Το ερώτημα είναι αν η Ευρώπη θα επανεξετάσει κάποτε το ίδιο το κανάλι, όχι μόνο την ταχύτητα με την οποία κυκλοφορούν οι υποθέσεις μέσα σε αυτό.