Den irländska dataskyddsmyndigheten har gett Meta (tidigare Facebook) den högsta GDPR-sanktionsavgiften någonsin, nämligen 1,2 miljarder euro. Beslutet följer på ett bindande beslut av European Data Protection Board (EDPB) den 13 april 2023 enligt den så kallade bindande tvistlösningsmekanismen i GDPR.

I sitt bindande beslut instruerade EDPB den irländska dataskyddsmyndigheten att ändra sitt utkast till beslut för att ge Meta en sanktionsavgift, att fastställa utgångspunkten för beräkning av avgiften till minst 20 % av det lagstadgade maximibeloppet och att beordra Meta att inom sex månader se till att alla olagliga behandlingar, t.ex. av personuppgifter om européer som lagras i USA, uppfyller lagkraven. 

“EDPB konstaterade att Meta IE:s överträdelse är mycket allvarlig eftersom den gäller överföringar som är systematiska, upprepade och kontinuerliga. Facebook har miljontals användare i Europa, så mängden personuppgifter som överförs är enorm. Den exceptionella sanktionsavgiften utgör en stark signal till organisationer om att allvarliga överträdelser får långtgående konsekvenser.” sade Andrea Jelinek, den avgående EDPB-ordföranden.

Meta överklagar beslutet och ifrågasätter sanktionsbeloppet
Silicon Republic rapporterar att Meta tänker överklaga beslutet. I det ingår att företaget ifrågasätter sanktionsbeloppet, som företaget anser vara omotiverat och onödigt. Vidare står det i artikeln att Nick Clegg (President of Global Affairs, Meta) och Jennifer Newstead (Chief Legal Officer, Meta) säger att Facebook är besviket eftersom företaget blivit särskilt utpekade och föremål för en straffavgift, medan tusentals andra företag som vill tillhandahålla tjänster till privatpersoner i EU förlitar sig på samma rättsliga mekanismer för överföring av personuppgifter ut ur EU.

I pressmeddelandet från den digitala rättighetsorganisationen Noyb (None of Your Business) beskrivs beslutet som ett hårt slag mot Meta. Noyb påpekar att detta är det första direkta avgörandet mot Meta under de tio år (2013–2023) som denna juridiska tvist har pågått. I denna rättsprocess ingår de så kallade förhandsavgörandena Schrems I och Schrems II från EU-domstolen (reds. anmärkning). Noyb säger att Meta, förutom att betala sanktionsavgiften nu, måste återföra européers personuppgifter till sina datacenter i EU.

”Vi är glada över detta beslut efter tio år av processande. Sanktionsavgiften kunde ha varit mycket högre med tanke på att det maximala sanktionsbeloppet är mer än 4 miljarder euro och att Meta i tio år medvetet har brutit mot lagen för att gå med vinst. Om inte USA:s övervakningslagar ändras måste Meta omstrukturera sina system i grunden.” Säger Max Schrems, ordförande för Noyb.

Konsekvenser för amerikanska molnleverantörer
Noyb påpekar i sitt pressmeddelande att beslutet har betydande konsekvenser för amerikanska molnleverantörer. Noyb tror att Meta planerar att förlita sig på det nya avtal om datadelning som för närvarande förhandlas mellan EU och USA, vilket Noyb anser vila på skakig grund. Forum för Dataskydd rapporterade i mars att både European Data Protection Board och ett utskott i Europaparlamentet bedömer att utkastet till avtal är mycket bristfälligt.

Noyb anser att det är mycket sannolikt att EU-domstolen kommer att ogiltigförklara avtalet mellan EU och USA för tredje gången om USA inte reformerar sina övervakningslagar. Noyb påpekar också att ett EU-direktiv från 2020, som EU-länderna måste implementera i nationell rätt före sommaren, kommer att göra det möjligt för registrerade personer att väcka grupptalan mot företag vid påstådda överträdelser av GDPR.

Läs mer:

EDPB:s pressmeddelande: ”Sanktioner på 1,2 miljarder euro för Facebook”, 22 maj 2023. 

Silicon Republic: Meta receives record €1.2bn GDPR fine for US data transfers, 

Noyb win: € 1.2 billion fine against Meta over EU-US data transfers, 22 Maj 2023

Forum för Dataskydd: EDPB och EU-parlamentet ser svagheter i nytt datadelningsavtal med USA, 3 Mars 2023

Irländska dataskyddsmyndighetens slutgiltiga beslut mot Meta