Det var den irländska tillsynsmyndigheten, Data Protection Commission (”DPC”), som inledde ett tillsynsärende mot WhatsApp. Syftet med tillsynen var att pröva huruvida WhatsApp uppfyllde de insynskrav som uppställs i art. 12, 13, och 14 GDPR. DPC tog sedan fram ett utkast till beslut. Den 24 december 2020, med stöd av art. 60.3 GDPR, delades sedan detta beslut med andra berörda tillsynsmyndigheter.

Andra berörda tillsynsmyndigheter gjorde dock invändningar mot utkastet enligt art. 60.4 GDPR. Invändningarna handlade bland annat om de identifierade överträdelserna av GDPR och kan delas upp i följande punkter:

• om uppgifter i fråga ska klassificeras som personuppgifter och vilka konsekvenser det innebär
• om de planerade åtgärderna mot WhatsApp Irland är lämpliga

DPC kunde inte komma fram till någon konsensus efter att ha tagit del av de andra tillsynsmyndigheternas invändningar och indikerade för EDPB att den därmed skulle bortse från dessa. Därför hänvisade DPC till att avgörandet skulle ske med hjälp av art. 65.1.a GDPR, genom ett tvistlösningsförfarande.

Den 28 juli 2021 fattade EDPB ett bindande beslut i ärendet. Beslutet tar hänsyn till de invändningar som befunnits vara ”relevanta och motiverade” mot bakgrund av kraven i art. 4.24 GDPR och innebär att DPC, vid fastställandet av sitt slutliga beslut i tillsynsärendet, måste ta hänsyn till de andra tillsynsmyndigheternas invändningar.

EDPB kommer att formellt meddela andra berörda tillsynsmyndigheter om sitt beslut angående invändningarna.

Enligt EDPB ska DPC fatta beslut i ärendet WhatsApp utan onödigt dröjsmål och senast en månad efter EDPB:s uttalande. Efter att DPC har fattat ett slutgiltigt nationellt beslut och meddelat de berörda personuppgiftsansvariga kommer EDPB att utan onödigt dröjsmål publicera beslutet på sin hemsida.

EDPS pressutskick kan läsas här