By Facebook har blivit rödhårig efter att ha tvingats avaktivera lanseringsdatumet för sin datingtjänst i Europa eftersom den inte gav sin ledande EU-tillsynsmyndighet tillräckligt avancerad varning — bland annat underlåtenhet att visa att den hade gjort en rättsligt nödvändig bedömning av integritetsrisker.
Igår rapporterade Irlands självständiga.Dvs tidningen att Irish Data Protection Commission (DPC) — med hjälp av inspektions- och dokumentbeslagtagningsbefogenheter som anges i avsnitt 130 i landets dataskyddslag — hade skickat agenter till Facebooks Dublin-kontor för att söka dokumentation som Facebook hade misslyckats med att tillhandahålla.
I ett uttalande på sin webbplats, DPC sade Facebook först kontaktade den om utbyggnaden av dating funktionen i EU den 3 februari.
”Vi var mycket oroade över att detta var den första som vi hade hört från Facebook Irland om denna nya funktion, med tanke på att det var deras avsikt att rulla ut det i morgon, 13 Februari,” regulatorn skriver. ”Vår oro förstärktes ytterligare av det faktum att ingen information/dokumentation lämnades till oss den 3 februari i samband med konsekvensbedömningen för dataskydd [DPIA] eller de beslutsprocesser som gjordes av Facebook Ireland.”
Facebook meddelade sin plan att komma in i datingspelet hela vägen tillbaka i maj 2018, avslutande sin Tinder-inkräktande idé att baka en dating funktion för icke-vänner i sitt sociala nätverk på sin F8 utvecklarkonferens.
Det fortsatte med att testa lanseringen av produkten i Colombia några månader senare. Sedan dess har det gradvis lagt till fler länder i Sydamerika och Asien. Det lanserades också i USA förra hösten efter att det bötfälldes $5BN av FTC för historiska integritet förfaller.
Vid tidpunkten för sin amerikanska lansering, Facebook sade dating skulle komma i Europa i början av 2020. Det tänkte bara inte att hålla sin ledande EU-sekretess regulator i loop, trots att DPC har flera (pågående) undersökningar av andra Facebook-ägda produkter i detta skede.
Det är antingen en extremt slarvig tillsyn eller, ja, en avsiktlig knullar dig till sekretess tillsyn av sina datautvinning aktiviteter. (Bland flera sonder som utförs enligt Europas allmänna dataskyddsförordning undersöker DPC Facebooks påstådda rättsliga grund för behandling av personers data under Facebooks regler och villkor, till exempel.)
DPC:s uttalande bekräftar att dess agenter besökte Facebooks kontor i Dublin den 10 februari för att genomföra en inspektion — för att ”påskynda upphandlingen av relevant dokumentation”. Vilket är ett trevligt sätt att DPC säger Facebook tillbringade en hel vecka fortfarande inte skicka den nödvändiga informationen.
”Facebook Ireland informerade oss i går kväll om att de har skjutit upp lanseringen av denna funktion”, fortsätter DPC:s uttalande. Vilket är ett trevligt sätt att säga Facebook fucked up och görs för att sätta en produkt utrullning som den har planerat i minst ett halvår på is.
DPC:s kommunikationschef, Graham Doyle, bekräftade verkställighetsåtgärden och berättade för oss: ”Vi granskar för närvarande all dokumentation som vi samlat in som en del av inspektionen på måndag och vi har ställt ytterligare frågor till Facebook och väntar på svaret.”
”Innesluten i dokumentationen vi samlade på måndagen var en DPIA,” tillade han.
Detta väcker frågan varför Facebook inte skickade DPIA till DPC den 3 februari. Vi har nått ut till Facebook för kommentar och att fråga när det utförs DPIA.
Uppdatering: En Facebook-talesman har nu skickat detta uttalande:
Det är verkligen viktigt att vi får lanseringen av Facebook Dating rätt så vi tar lite mer tid att se till att produkten är klar för den europeiska marknaden. Vi arbetade noggrant för att skapa starka integritetsgarantier och slutföra konsekvensbedömningen av databehandling före den föreslagna lanseringen i Europa, som vi delade med IDPC när den begärdes.
Vi har frågat företaget varför, om det är ”riktigt viktigt” att få lanseringen ”rätt”, gav det inte DPC den nödvändiga dokumentationen i förväg istället för att regulatorn måste skicka agenter till Facebooks kontor för att få det själva. Vi uppdaterar rapporten med alla svar.
Uppdatering: En Facebook-talesman har nu gett oss ett andra uttalande — där det skriver:
Vi har ingen rättslig skyldighet att meddela IDPC om produktlanseringar. Som en artighet till dataskyddskommissionens kontor, som är vår ledande tillsynsmyndighet för dataskydd i Europa, informerade vi dem proaktivt om den föreslagna lanseringen två veckor i förväg. Vi hade kompI god tid före den europeiska lanseringen, som vi delade med IDPC när de bad om den.
Enligt Europas GDPR finns det ett krav på att personuppgiftsansvariga ska baka integritet som design och standard till produkter som hanterar människors information. (Och en dejtingsprodukt skulle tydligt vara.)
Vid genomförandet av en DPIA — som är en process där planerad behandling av personuppgifter bedöms för att ta hänsyn till hur enskilda personers rättigheter och friheter — är ett krav enligt GDPR när exempelvis individuell profilering sker eller där känsliga uppgifter behandlas i stor skala.
Och återigen, lanseringen av en dejtingprodukt på en plattform som Facebook som har hundratals miljoner regionala användare skulle vara ett tydligt argument för att en sådan bedömning skulle genomföras före varje lansering.
I senare kommentarer till TechCrunch idag, DPC upprepade att det fortfarande väntar på Facebook att svara på uppföljningsfrågor som den ställde till företaget efter dess tjänstemän hade fått dokumentation relaterad till Facebook Dating under kontorsinspektionen.
Regulatorn kan be Facebook att göra ändringar i hur produkten fungerar i Europa om den inte är nöjd med att den följer EU-lagstiftningen. Så en fördröjning till lanseringen kan betyda många saker.
”Vi undersöker fortfarande dokumentationen som vi har,” Doyle berättade. ”Vi väntar fortfarande på svar på de frågor som vi ställde till Facebook på tisdag [11 februari]. Vi har inte fått något svar tillbaka från dem och det skulle vara vår förväntan att funktionen inte kommer att rullas ut innan vi slutför vår analys.”
På frågan hur lång tid processen kan ta, sade han: ”Vi kontrollerar inte den här tidsprocessen, men mycket av den beror på hur snabbt vi får svar på de frågor som vi har ställt och hur mycket dessa svar hanterar de frågor som vi har tagit upp — om vi måste gå tillbaka till dem igen etc. Så det är helt enkelt inte möjligt att säga i detta skede.”
