Dixon: RODO zawodzi przy Big Techu

Skarga na Facebooka, Instagram, WhatsAppa czy TikToka rzadko kończy się u krajowego regulatora. W praktyce trafia do Dublina. To irlandzka Komisja Ochrony Danych prowadzi większość najważniejszych postępowań RODO wobec globalnych firm technologicznych. Helen Dixon, która kierowała tą instytucją w jej najbardziej aktywnym okresie, przyznała teraz, że mechanizm nie działa dobrze tam, gdzie problem ma charakter systemowy. Podczas wydarzenia Law Society powiedziała, że RODO „nie zawsze jest użyteczne w przypadku kwestii systemowych” (Law Society of Ireland).

To istotne nie dlatego, że pada z ust byłej urzędniczki. Istotne jest to, że mówi to osoba, która przez lata obsługiwała centralny punkt europejnego egzekwowania prywatności wobec Big Techu.

Jak Dublin stał się europejską stolicą prywatności

RODO stworzyło mechanizm „one-stop-shop”, zapisany w art. 56 rozporządzenia (EUR-Lex). Założenie było pragmatyczne: firma działająca transgranicznie nie miała odpowiadać równolegle przed 27 organami krajowymi. Sprawy miała prowadzić instytucja z państwa, w którym znajduje się jej główna siedziba w UE.

W przypadku największych platform oznaczało to Irlandię. Apple, Google, Meta, TikTok, LinkedIn i Microsoft ulokowały tam swoje europejskie centrale. Irlandzka Data Protection Commission stała się więc de facto głównym regulatorem prywatności dla dużej części sektora technologicznego w Europie (anonym.community).

Postępowania biegną przez mechanizm współpracy z art. 60. Irlandzki urząd, jako organ wiodący, bada sprawę i przygotowuje projekt decyzji. Następnie przekazuje go innym krajowym organom ochrony danych, których sprawa dotyczy. Jeżeli zgłoszą sprzeciw, a dzieje się to często, spór trafia do Europejskiej Rady Ochrony Danych, która wydaje wiążące rozstrzygnięcie (EUR-Lex).

W teorii miało to ograniczyć wybieranie przez firmy najłagodniejszego regulatora. W praktyce powstał inny problem: średniej wielkości krajowy urząd stał się wąskim gardłem egzekwowania prawa dla całego kontynentu.

Wysokie kary, powolne wpływy

Irlandzki regulator nałożył około 80% wszystkich dużych unijnych kar technologicznych na podstawie RODO (anonym.community). Najgłośniejsze decyzje to 1,2 mld EUR kary dla Mety za niezgodne z prawem przekazywanie danych europejskich użytkowników do Stanów Zjednoczonych, 530 mln EUR dla TikToka za umożliwienie chińskim inżynierom dostępu do danych z Europy oraz 310 mln EUR dla LinkedIna za nielegalne profilowanie behawioralne (anonym.legal).

Nałożenie kary i jej wyegzekwowanie to jednak dwie różne rzeczy. Firmy odwołują się od niemal każdej dużej decyzji, a irlandzkie sądy mogą wstrzymać płatność na czas postępowania. Różnica między kwotami ogłaszanymi w komunikatach a pieniędzmi faktycznie pobranymi pozostaje duża.

Pozostałe organy krajowe także mają ograniczone pole manewru. W systemie współpracy z art. 60 mogą zgłaszać zastrzeżenia, ale nie mogą samodzielnie prowadzić transgranicznych spraw przeciwko tym firmom. Patrzą na proces, lecz decyzja zapada w Dublinie.

Reforma z terminem

Nowe rozporządzenie proceduralne dotyczące RODO, które ma wejść w życie w kwietniu 2027 r., wprowadza 15-miesięczny termin na wydanie projektu decyzji przez organ wiodący w sprawach transgranicznych (Netguardia). Dziś takie postępowania potrafią ciągnąć się latami. Kara 1,2 mld EUR dla Mety zapadła po pięciu latach od pierwotnej skargi do ostatecznej decyzji.

Reforma doprecyzowuje też terminy, w których inne organy mają zgłaszać sprzeciwy, oraz moment, w którym spór powinien trafić do Europejskiej Rady Ochrony Danych (Netguardia).

To poprawka proceduralna, nie ustrojowa. Przyspiesza ruch, ale nie zmienia trasy. Nadal jeden krajowy urząd, podlegający irlandzkim sądom i irlandzkiemu prawu administracyjnemu, będzie dźwigał odpowiedzialność regulacyjną za firmy obsługujące 450 mln Europejczyków.

Właśnie na tym polega znaczenie wypowiedzi Dixon. Jej przyznanie, że obecne ramy słabo radzą sobie z problemami systemowymi (Law Society of Ireland), dotyka kwestii, której reforma z 2027 r. nie rozwiązuje. Decyzje mogą zapadać szybciej, ale wciąż będą przechodziły przez ten sam wąski kanał. Prawdziwy spór dotyczy więc nie tylko tempa egzekwowania RODO, lecz także tego, czy Europa powinna nadal opierać kontrolę nad Big Techem na pojedynczym krajowym regulatorze.