Dixon: GDPR nu rezolvă problemele sistemice

Când depui o plângere privind Facebook, Instagram, WhatsApp sau TikTok, cazul nu ajunge, de regulă, la autoritatea din țara ta. Ajunge la Dublin. Comisia irlandeză pentru protecția datelor (DPC) gestionează aproape toate marile dosare GDPR împotriva companiilor globale de tehnologie, iar fosta sa șefă a admis acum că mecanismul nu funcționează acolo unde miza este cea mai mare. Helen Dixon a spus luna aceasta, la un eveniment al Law Society of Ireland, că GDPR „nu este întotdeauna util pentru probleme sistemice” (Law Society of Ireland).

Observația contează tocmai pentru că vine de la persoana care a condus aplicarea regulilor irlandeze în anii cei mai activi ai regimului european de protecție a datelor. Ea descrie o tensiune construită în opt ani: Europa a creat un sistem comun, dar l-a făcut dependent, în practică, de capacitatea unei singure autorități naționale.

Cum a devenit un oraș capitala europeană a vieții private

GDPR a introdus, prin articolul 56, mecanismul numit „ghișeu unic” (EUR-Lex). Logica era administrativă: în loc ca o companie să răspundă în fața a 27 de autorități naționale, dosarele transfrontaliere sunt gestionate de autoritatea din statul unde firma are sediul principal în UE. Apple, Google, Meta, TikTok, LinkedIn și Microsoft și-au stabilit sediile europene în Irlanda. DPC a devenit, în fapt, autoritatea europeană de protecție a datelor pentru o mare parte a industriei tehnologice (anonym.community).

Procedura funcționează prin cooperarea prevăzută la articolul 60. DPC, ca autoritate principală de supraveghere, investighează plângerea și redactează o decizie propusă. Apoi trimite proiectul celorlalte autorități naționale afectate de caz, numite autorități de supraveghere vizate. Dacă acestea formulează obiecții, ceea ce se întâmplă frecvent, disputa ajunge la Comitetul european pentru protecția datelor, care poate adopta o soluție obligatorie (EUR-Lex).

Sistemul a fost gândit pentru a împiedica firmele să aleagă jurisdicții mai îngăduitoare. În practică, a produs o altă vulnerabilitate: o autoritate de dimensiuni medii a devenit punctul de blocaj pentru aplicarea GDPR în aproape întreaga industrie tehnologică europeană.

Amenzi mari, încasări lente

DPC a emis aproximativ 80 % dintre marile amenzi aplicate companiilor tehnologice în UE în baza GDPR (anonym.community). Cifrele cele mai vizibile sunt 1,2 mld. euro pentru Meta, în cazul transferurilor ilegale de date ale utilizatorilor europeni către Statele Unite, 530 mil. euro pentru TikTok, după ce ingineri din China au putut accesa date europene, și 310 mil. euro pentru LinkedIn, pentru profilare comportamentală ilegală (anonym.legal).

A aplica o amendă și a încasa banii sunt însă două etape diferite. Companiile contestă aproape fiecare decizie majoră, iar instanțele irlandeze pot suspenda plata până la finalizarea litigiului. Diferența dintre amenzile anunțate și sumele efectiv intrate rămâne mare. Celelalte autorități naționale au propriile limite: sistemul de cooperare din articolul 60 le permite autorităților mai mici să ridice obiecții, dar nu să acționeze independent în dosarele transfrontaliere care privesc aceste companii. Ele urmăresc procedura, în timp ce Dublinul decide.

O reparație cu termen-limită

Un nou regulament procedural GDPR, care va intra în vigoare în aprilie 2027, introduce un termen de 15 luni în care autoritățile principale trebuie să emită proiecte de decizie în cazurile transfrontaliere (Netguardia). În sistemul actual, investigațiile s-au întins pe ani. Amenda de 1,2 mld. euro pentru Meta a avut nevoie de cinci ani de la plângerea inițială până la decizia finală. Reforma stabilește și termene mai clare pentru obiecțiile autorităților de supraveghere vizate și pentru trimiterea disputelor către Comitetul european pentru protecția datelor (Netguardia).

Corecția procedurală atacă viteza. Nu rezolvă însă asimetria de fond: o autoritate națională, răspunzătoare în fața instanțelor irlandeze și constrânsă de dreptul administrativ irlandez, poartă responsabilitatea de reglementare pentru companii tehnologice care deservesc 450 de milioane de europeni. Admiterea făcută de Dixon, că acest cadru se descurcă greu cu problemele sistemice (Law Society of Ireland), indică exact zona pe care reforma din 2027 nu o atinge. Deciziile ar putea veni mai repede, dar vor trece prin același canal îngust. Întrebarea reală este dacă Europa va regândi, la un moment dat, canalul în sine, nu doar viteza cu care circulă dosarele prin el.