O Comité Europeu decidiu que a autoridade irlandesa tinha de agravar a coima aplicada ao Whatsapp por violação das obrigações de transparência do RGPD.
O Comité Europeu para a Proteção de Dados (CEPD) tornou hoje pública a sua decisão vinculativa, tomada em 28 de julho passado, ao abrigo do artigo 65.º do RGPD, no âmbito da resolução do litígio que opôs algumas autoridades de controlo interessadas, entre elas a CNPD, e a autoridade da Irlanda, enquanto autoridade de controlo principal, num caso relativo ao Whatsapp Ireland Ltd.
O Comité considerou que a autoridade de proteção de dados irlandesa (DPC) tinha de alterar o seu projeto de decisão, submetido às restantes autoridades no âmbito do mecanismo de cooperação, no sentido de aditar infrações relacionadas com as obrigações de transparência, agravar o valor total da coima aplicada e reduzir o prazo dado à empresa para alterar a sua política de privacidade.
No âmbito deste procedimento de cooperação, a CNPD apresentou duas objeções pertinentes e fundamentadas ao projeto de decisão irlandês: uma relativa aos dados de não-utilizadores, que a autoridade de controlo principal, coincidindo com a opinião do Whatsapp, considerou estarem anonimizados e por isso excluídos da aplicação do RGPD; outra relativa à interpretação do n.º 3 do artigo 83.º do RGPD, uma vez que a DPC apenas estava a contabilizar o valor da coima da infração mais grave, ignorando as restantes infrações.
A decisão do Comité acolheu inteiramente ambas as objeções da CNPD. O CEPD considerou que o procedimento efetuado pelo Whatsapp para anonimizar os dados dos não-utilizadores não garantia a sua efetiva anonimização, mantendo a sua qualidade de dados pessoais. Quanto ao cálculo da coima, o Comité clarificou que todas as infrações no âmbito das mesmas operações de tratamento ou de operações relacionadas entre si devem ser tidas em consideração, sem prejuízo da aplicação do princípio da proporcionalidade e do teto máximo previsto no RGPD.
Esta é a segunda decisão do CEPD, ao abrigo da alínea a) do n.º 1 do artigo 65.º do RGPD, tendo a primeira sido tomada em 2020 num caso relativo ao Twitter.
Pode consultar, neste momento, apenas em versão inglesa:
Decisão vinculativa 1/2021 do Comité Europeu
Decisão final da DPC com base na decisão do CEPD e Corrigendum