WhatsApp 因受到严厉制裁而将其法律依据改为“合法利益”

fabiha01

这并不是 Meta 及其平台第一次在隐私政策方面受到审查。此次，爱尔兰数据保护委员会（DPC）因WhatsApp在欧盟缺乏处理个人数据的合法法律依据，对该公司处以550万欧元的罚款。有趣的是，DPC 最初在此事上站在 Meta 一边，但最终被代表所有欧盟数据保护机构的欧洲数据保护委员会 (EDPB) 推翻。

那么，是什么导致了对 WhatsApp 的罚款？
为了使用 WhatsApp，个人需要创建一个帐户并接受条款和条件，即“服务条款”。一旦接受，WhatsApp 和用户之间的合同就形成了。 2018 年 GDPR 生效时，WhatsApp 更新了其服务条款以遵守新法律。为了能够继续使用该应用程序，用户必须接受新的条款（以及相关的隐私政策）。退出并继续使用该服务的选项不可用。

这导致以马克斯·施雷姆斯 (Max Schrems) 为首的非政府组织 noyb 提出投诉。在这方面提出了几个问题，例如强制同意新条款、WhatsApp 数据处理操作缺乏透明度，更具体地说，缺乏其法律依据。据 noyb 称，WhatsApp 只是列出了 GDPR 第 6 条规定的所有六个法律依据，而没有说明每个处理操作所依赖的具体法律依据。特别是，依赖 GDPR 第 6 条第 (1)(b) 款（指履行合同所必需的处理）被认为是有问题的。据投诉人称，该处理并非履行合同所严格必要的，而是由 WhatsApp 强制执行的。因此，缺乏信息违反了 GDPR 下的透明度原则。

DPC 于 2023 年 1 月做出的​​最终决定反映出，合同基础，即 GDPR 第 6（1）（b）条，实际上是没有充分依据的。专员引用了EDPB在这方面的指导方针。根据这些不具约束力的建议，“所涉及的处理必须对于履行与数据主体的合同具有客观必要性”，这样第 6 条第 (1) 款 (b) 项才成为其合法的法律依据。它进一步明确指出，“区分履行合同所必需的处理活动与以某些实际上并非履行合同所必需的处理活动为条件的条款”非常重要。 “履行所必需”显然不只是一个合同条件，因此，GDPR 第 6 条第 (1)(b) 款不适用于本案。

毋庸置疑，Meta 提出了上诉，但仍然被要求遵守 DPC 的决定，因此必须同时修改其法律依据。因此，新西兰商业传真列表 WhatsApp 于2023 年7 月 17 日宣布对其隐私政策进行重大更改，将其法律依据更新为“合法利益”。然而，这个新的法律基础似乎并不稳固。人们很快就对其可行性提出了严重担忧。例如，在最近针对 Meta 的判例中，欧洲法院明确表示，获得同意是处理其用户数据的唯一合法法律依据。

前景
欧洲数据保护委员会 (EDPB) 指示 DPC 对 WhatsApp 的整体处理操作进行单独调查，以确定是否正在处理特殊类别的个人数据以用于行为广告。 noyb 表示，个人所属的团体或与其联系的其他人等信息很容易泄露数据主体的政治立场、宗教观点甚至健康状况等，从而泄露敏感的个人数据。然而，未经个人明确、充分知情和同意，绝不能处理此类信息。