11

Šajā ziņā šķiet, ka apstrīdētajā lēmumā EDAK ir secīgi paudusi nostāju tikai par šādiem aspektiem, par kuriem – pēc tās domām – bija izteikti būtiski un motivēti iebildumi, proti: – par to, vai WhatsApp nav izpildījusi pienākumu sniegt informāciju, kas noteikts Regulas 2016/679 13. panta 1. punkta d) apakšpunktā attiecībā uz noteiktu informāciju, kura jāsniedz datu subjektiem, ja no tiem ir vākti personas dati. Īrijas uzraudzības iestāde lēmuma projektā šādu noteikumu neievērošanu nebija konstatējusi. EDAK, tieši pretēji, uzskatīja, ka WhatsApp nav ievērojusi šo tiesību normu; – par to, ka lossy hashing procedure rezultātā iegūtie elementi klasificēti kā personas dati, ko piemēro WhatsApp lietotāju ierīču adrešu grāmatās esošajiem datiem par “kontaktpersonām”, kuras nav WhatsApp lietotāji. Īrijas uzraudzības iestāde savā lēmuma projektā šos elementus nebija klasificējusi kā tādus. EDAK, tieši pretēji, uzskatīja, ka tie joprojām ir personas dati. Saskaņā ar apstrīdēto lēmumu šim aspektam bija ietekme uz to, ka WhatsApp, iespējams, pārkāpusi Regulas 2016/679 5. panta 1. punkta c) apakšpunktu un 6. panta 1. punktu, un uz to, cik lielā mērā WhatsApp ir pārkāpusi Regulas 2016/679 14. pantu, kā arī uz šo pārkāpumu dēļ uzliktā naudas soda apjomu; – par to, vai WhatsApp ir pārkāpusi Regulas 2016/679 5. panta 1. punkta a) apakšpunktā paredzēto pārredzamības principu, ko Īrijas uzraudzības iestāde nebija konstatējusi savā lēmuma projektā. EDAK, tieši pretēji, uzskatīja, ka WhatsApp ir pārkāpusi šo principu; – par konstatējumu, ka WhatsApp pārkāpusi Regulas 2016/679 13. panta 2. punkta e) apakšpunktu attiecībā uz konkrētu informāciju, kas jāsniedz datu subjektiem, ja no tiem ir iegūti personas dati; šo konstatējumu Īrijas uzraudzības iestāde pati nebija spējusi formulēt, jo izmeklēšanas laikā izmeklētājs nebija paudis nostāju par šo jautājumu, un attiecībā uz šo konstatējumu tā uzskatīja, ka var sniegt vienīgi ieteikumu. EDAK, tieši pretēji, uzskatīja, ka izmeklēšana attiecas uz visām Regulas 2016/679 13. panta normām un jākonstatē šīs tiesību normas pārkāpums; – par to, vai WhatsApp ir pārkāpusi Regulas 2016/679 6. panta 1. punktu par likumīgas personas datu apstrādes nosacījumiem, par ko Īrijas uzraudzības iestāde nav lēmusi. EDAK uzskatīja, ka procesuālu iemeslu dēļ nav iespējams lemt par šo jautājumu un konstatēt, ka ir noticis šāds pārkāpums; – par Regulas 2016/679 14. pantā paredzēto iemeslu paplašināšanu attiecībā uz iemesliem, kādēļ WhatsApp nav izpildījusi informācijas sniegšanas pienākumu, ja personas dati nav iegūti no datu subjekta, kā izriet no analīzes, kas attiecas uz otro ievilkumu. EDAK apstiprināja, ka šāds paplašinājums ietekmēs rīcības korekcijas pasākumus un WhatsApp uzlikto naudas sodu; – par to, vai WhatsApp ir pārkāpusi Regulas 2016/679 5. panta 1. punkta c) apakšpunktā paredzēto principu vākt tikai adekvātus, atbilstošus datus un vienīgi tādus, kuri nepieciešami to apstrādes nolūkos, par ko Īrijas uzraudzības iestāde nav lēmusi. EDAK uzskatīja, ka šāds pārkāpums nav pierādīts, pamatojoties uz lietas materiāliem, it īpaši ņemot vērā WhatsApp veiktās izmeklēšanas apmēru; – par Īrijas uzraudzības iestādes noteikto sešu mēnešu termiņu, kurā WhatsApp, veicot korektīvus pasākumus, bija jānodrošina, lai tās datu apstrāde atbilstu tām Regulas 2016/679 prasībām, kuras tā nebija izpildījusi. EDAK samazināja šo termiņu līdz trim mēnešiem; – par korektīviem pasākumiem – informācijas sniegšanas metodes tiem, kas nav WhatsApp lietotāji, un to, kā WhatsApp veic viņu personas datu apstrādi, EDAK savā lēmuma projektā apstiprināja Īrijas uzraudzības iestādes vērtējumu šajā ziņā; – par korektīvajiem pasākumiem – paziņojums par papildu pamatojumu tam, ka WhatsApp nav izpildījusi Regulas 2016/679 14. pantā paredzētos pienākumus (skatīt iepriekš otro ievilkumu), EDAK norādīja, ka šis paziņojums bija nepieciešams, lai nodrošinātu, ka WhatsApp šajā ziņā veic piemērotus korektīvus pasākumus; – par WhatsApp piemērojamā naudas soda apmēra kritērijiem, ņemot vērā Regulas 2016/679 83. pantu “vispārīgie nosacījumi par administratīvo naudas sodu piemērošanu”. EDAK uzskatīja, ka Īrijas uzraudzības iestāde ir kļūdaini interpretējusi kritēriju par uzņēmuma gada apgrozījumu pasaules mērogā; ka tā pareizi ir interpretējusi jēdzienu “iepriekšējais finanšu gads”; ka tā kļūdaini ir interpretējusi noteikumu, ka gadījumā, ja ir pārkāpti vairāki Regulas 2016/679 noteikumi attiecībā uz vienu un to pašu vai saistītu apstrādes darbību, kopējā administratīvā naudas soda summa nevar pārsniegt summu, kas noteikta par smagāko pārkāpumu; un ka tā pareizi ir interpretējusi dažus kritērijus, kas minēti Regulas 2016/679 83. panta 1. punktā, un 2. punktā noteiktos kritērijus naudas soda noteikšanai (pārkāpums izdarīts tīši vai neuzmanības dēļ, pārkāpumu smagums), bet nepareizi interpretējusi citus no šiem kritērijiem (ņemot vērā apgrozījumu, lai noteiktu soda apmēru neatkarīgi no tā augšējās robežas aprēķina, un – vispārīgāk – to, lai sods būtu iedarbīgs, samērīgs un atturošs); – par naudas sodu apmēru – EDAK uzskatīja, ka, ņemot vērā to, ka Īrijas uzraudzības iestāde ir nepareizi interpretējusi noteiktus kritērijus attiecībā uz naudas soda apmēru (skat. iepriekš vienpadsmito ievilkumu) un to, ka nepieciešams konstatēt, ka WhatsApp nav izpildījusi savus pienākumus (skat. iepriekš pirmo, trešo, ceturto un sesto ievilkumu), bija jāpalielina Īrijas uzraudzības iestādes paredzēto naudas sodu kopējais apmērs no 30 līdz 50 miljoniem EUR.