A GDPR elakad a rendszerszintű ügyeknél

Ha valaki panaszt tesz a Facebook, az Instagram, a WhatsApp vagy a TikTok adatkezelése miatt, az ügy jellemzően nem a saját nemzeti hatóságához kerül, hanem Dublinba. A globális technológiai cégekkel szembeni fontosabb GDPR-eljárások nagy részét az ír adatvédelmi hatóság, a Data Protection Commission viszi. Ennek korábbi vezetője most maga mondta ki, hogy a rendszer éppen a legfontosabb ügyekben működik rosszul. Helen Dixon egy májusi Law Society-rendezvényen arról beszélt, hogy a GDPR „nem mindig hasznos a rendszerszintű problémák” kezelésére (Law Society of Ireland).

Ez azért erős mondat, mert Dixon az ír végrehajtás legaktívabb éveiben vezette a hatóságot. A megjegyzése azt a feszültséget írja le, amely a GDPR nyolc éve alatt fokozatosan épült be az európai adatvédelmi rendszerbe.

Hogyan lett egy város Európa adatvédelmi központja?

A GDPR 56. cikke hozta létre az úgynevezett „egyablakos ügyintézés” mechanizmusát (EUR-Lex). Az ötlet eredetileg praktikus volt: ne kelljen egy vállalatnak 27 külön nemzeti hatósággal egyeztetnie, hanem az a hatóság vigye a határokon átnyúló ügyeket, amelynek országában a cég fő uniós központja van. Az Apple, a Google, a Meta, a TikTok, a LinkedIn és a Microsoft európai központja Írországban működik. Így az ír DPC a technológiai ipar nagy részénél ténylegesen Európa adatvédelmi hatóságává vált (anonym.community).

Az eljárás a GDPR 60. cikke szerinti együttműködésre épül. A DPC vezető felügyeleti hatóságként kivizsgálja a panaszt, majd határozattervezetet készít. Ezt megküldi minden olyan nemzeti adatvédelmi hatóságnak, amelyet az ügy érint. Ha ezek kifogást emelnek, márpedig ez gyakran megtörténik, a vita az Európai Adatvédelmi Testület elé kerül, amely kötelező erejű döntést hoz (EUR-Lex). A rendszer nagyjából úgy működik, mintha Dublin írná az ítéletet, de a büntetésbe a többi 26 bíró is beleszólhatna.

Ezt a modellt azért hozták létre, hogy a cégek ne válogathassanak a számukra kedvezőbb nemzeti hatóságok között. A gyakorlatban más gond keletkezett: egy közepes méretű ír hivatal lett az egész kontinens egyik legfontosabb végrehajtási szűk keresztmetszete.

Nagy bírságok, lassú behajtás

A DPC szabta ki a GDPR alapján a jelentősebb uniós technológiai bírságok nagyjából 80 százalékát (anonym.community). A legnagyobb tételek közé tartozik a Metára kiszabott 1,2 milliárd EUR bírság az európai felhasználói adatok jogellenes amerikai továbbítása miatt, a TikTok 530 millió EUR-s büntetése, amiért kínai mérnökök hozzáférhettek európai adatokhoz, valamint a LinkedIn 310 millió EUR-s bírsága a jogellenes viselkedésalapú profilalkotás miatt (anonym.legal).

A bírság kiszabása és a pénz tényleges beszedése azonban két külön folyamat. A nagy technológiai cégek szinte minden fontosabb döntést megtámadnak, az ír bíróságok pedig a pereskedés idejére felfüggeszthetik a fizetést. Ezért továbbra is nagy a különbség a bejelentett büntetések és a ténylegesen befolyt összegek között. A többi nemzeti hatóság mozgástere közben korlátozott: a 60. cikk szerinti együttműködési rendszerben kifogásokat emelhetnek, de ezekben a határokon átnyúló ügyekben önállóan nem járhatnak el. Figyelnek, miközben Dublin dönt.

Javítás határidővel

Az új GDPR eljárási rendelet, amely 2027 áprilisában lép hatályba, 15 hónapos határidőt ad a vezető hatóságoknak arra, hogy határokon átnyúló ügyekben elkészítsék a határozattervezetet (Netguardia). A mostani rendszerben egyes vizsgálatok évekig húzódtak. A Meta 1,2 milliárd EUR-s bírságáig az első panasztól a végső döntésig öt év telt el. A reform pontosabb határidőket szab arra is, hogy az érintett felügyeleti hatóságok mikor nyújthatnak be kifogást, és mikor kell a vitát az Európai Adatvédelmi Testület elé vinni (Netguardia).

Az eljárási javítás a tempót célozza, nem az alapvető aránytalanságot. Továbbra is egy ír bíróságoknak elszámoló, ír közigazgatási jog szerint működő nemzeti hatóság viseli a szabályozási felelősséget olyan technológiai cégek ügyében, amelyek 450 millió európait szolgálnak ki. Dixon megjegyzése, miszerint a keret nehezen kezeli a rendszerszintű problémákat (Law Society of Ireland), arra mutat rá, amit a 2027-es reform érintetlenül hagy: a döntések gyorsabban születhetnek meg, de ugyanazon a szűk csatornán haladnak át. A tartós kérdés az, hogy Európa egyszer magát a csatornát is újragondolja-e, nem csak az áteresztés sebességét.