Meta får en påföljdsavgift på 1,2 miljarder euro genom Europeiska dataskyddsstyrelsens beslut för överföring av personuppgifter till USA i strid med lagen

Den irländska dataskyddsmyndigheten har påfört Meta Platforms Ireland Limited en administrativ påföljdsavgift på 1,2 miljarder euro för överföring av personuppgifter till USA via Facebook i strid med lagen. Påföljdsavgiften påfördes enligt Europeiska dataskyddsstyrelsens bindande tvistlösningsbeslut. Detta är den hittills största boten som påförts på basis av dataskyddsförordningen. Dessutom ålades Meta att sluta överföra personuppgifter av europeiska användare till USA samt att ändra sina dataöverföringar så att de följer dataskyddsförordningen.

Den irländska dataskyddsmyndigheten utredde lagenligheten av överföringar av personuppgifter via Metas Facebook-tjänst sedan juli 2020. På basis av utredningen konstaterade Irland att Meta har brutit mot den allmänna dataskyddsförordningen när bolaget har fortsatt med överföringar av uppgifter till USA utan adekvata skyddsåtgärder efter EU-domstolens Schrems II-avgörande (C-311/18) från juli 2020.

I beslutet konstaterades att dataöverföringar på basis av standardavtalsklausulerna har brutit mot dataskyddsförordningen eftersom USA:s lagstiftning inte garanterar en dataskyddsnivå som skulle motsvara EU:s krav. Det har inte heller varit möjligt att med skyddsåtgärder som kompletterar standardavtalsklausulerna minska de risker som USA:s lagstiftning medför för enskildas rättigheter och friheter. Dataskyddsmyndigheter inom EES som deltaget i ärendet behandling, inklusive dataombudsmannens byrå, instämde i Irlands syn om Metas överträdelser.

”Europeiska dataskyddsstyrelsen konstaterade att Metas intrång är mycket allvarligt eftersom det gäller överföringar som är systematiska, repetitiva och kontinuerliga. Facebook har miljontals användare i Europa, så volymen av personuppgifter som överförs är enorm. De oöverträffade böterna är en stark signal till organisationer om att allvarliga överträdelser får långtgående konsekvenser”, konstaterar dataskyddsstyrelsens ordförande Andrea Jelinek.

Till följd av Europeiska dataskyddsstyrelsens bindande tvistlösningsbeslut från april förenade Irland sitt slutliga beslut med en påföljdsavgift och ålade Meta att inom sex månader ändra sina dataöverföringar så att de följer dataskyddsförordningen. Meta ålades också att upphöra med lagring i USA av europeiska användares personuppgifter som redan överförts och med annan lagstridig behandling av uppgifter. Dataskyddsstyrelsen antog sitt bindande beslut efter det att den irländska dataskyddsmyndigheten hade överfört ärendet till dataskyddsstyrelsens tvistlösningsförfarande.

Irland beordrade Meta också att avbryta alla överföringar av personuppgifter från EU- och EES-området till USA inom fem månader från det att beslutet antagits.

Meta har meddelat att bolaget kommer att överklaga beslutet.

Den irländska dataskyddsmyndighetens slutliga beslut finns tillgängligt på dataskyddsstyrelsens webbplats i registret för tillsynsmyndigheters beslut som tagits i gränsöverskridande samarbete.

Europeiska dataskyddsstyrelsens tvistlösningsbeslut på dataskyddsstyrelsens webbplats (på engelska)

Mer information:

​​​​​​​Europeiska dataskyddsstyrelsens meddelande på styrelsens webbplats (på engelska): 1.2 billion euro fine for Facebook as a result of EDPB binding decision (22.5.2023)

Mer information om tvistlösningsförfarandet på dataskyddsstyrelsens webbplats: ​​​​​​​Ofta ställda frågor om artikel 65 (på engelska)