Nieuw adequaatheidsbesluit doorgifte persoonsgegevens tussen VS en EU

De Europese Commissie adopteerde op 10 juli 2023 een nieuw adequaatheidsbesluit voor doorgifte van persoonsgegevens tussen de VS en EU. Wat zijn de gevolgen van het nieuwe “EU-U.S. Data Privacy Framework” voor u?

Op 10 juli 2023 adopteerde de Europese Commissie een nieuw adequaatheidsbesluit voor de doorgifte van persoonsgegevens naar deelnemende bedrijven in de VS, ter vervanging van het door het Hof van Justitie van de EU in de Schrems II- zaak van 16 juli 2020 ongeldig verklaarde adequaatheidsbesluit “EU-US Privacy Shield”.

Schrems II-zaak

De Schrems II-zaak had grote gevolgen voor de rechtszekerheid van bedrijven en organisaties die voor hun bedrijfsvoering leunden op techbedrijven uit de VS. Op verwerkingsactiviteiten van bedrijven en organisaties gevestigd in de EU is immers de Europese Algemene Verordening Gegevensbescherming (“AVG”) van toepassing, ongeacht of een bepaalde verwerking binnen de EU plaatsvindt.

In onderstaand artikel wordt uiteengezet wat in de komende periode naar verwachting de gevolgen zullen zijn van het nieuwe adequaatheidsbesluit voor bedrijven en organisaties gevestigd in de EU.

Inleiding

In het nieuwe adequaatheidsbesluit hebben de VS en de Europese Commissie in reactie op de specifieke kritiek van Het Hof van Justitie van de EU in het Schrems II – arrest nieuwe waarborgen geïntroduceerd. Na onderhandelingen tussen de Biden-administratie in de VS en de Europese Commissie onder Ursula von der Leyen zijn de VS en de Europese Commissie tot een vervanging van Privacy Shield gekomen, niet geheten “Privacy Shield 2.0” zoals het in een voorstadium ook wel werd genoemd, maar uiteindelijk genaamd:

“EU-U.S. Data Privacy Framework”.

De wijzigingen bestaan onder andere uit introductie van een “proportionaliteitscriterium” bij gebruik van de bevoegdheden van Amerikaanse publieke autoriteiten. Alsook het introduceren van nieuwe rechtsmiddelen voor niet – VS staatsburgers, zoals Europeanen, om hun rechten in te kunnen roepen. Het “EU-U.S. Data Privacy Framework” werkt verder in grote lijnen op dezelfde wijze als de vorige twee adequaatheidsbesluiten met de VS.

Organisaties en activisten die zich inzetten voor privacyrechten hebben zich al zeer kritisch uitgelaten over een nieuw adequaatheidsbesluit met de VS om “EU-US Privacy Shield” te vervangen. Privacy-activisten hebben reeds aangekondigd ook dit adequaatheidsbesluit in een derde ronde van tafel te willen krijgen. Volgens critici wijkt “EU-U.S. Data Privacy Framework” nauwelijks af van “EU-US Privacy Shield”, dat op zijn beurt nauwelijks afweek van diens voorganger het tevens door het Hof van Justitie van de EU ongeldig verklaarde adequaatheidsbesluit “Safe Harbour”. Ook zijn volgens critici de nieuwe waarborgen in reactie op de kritiek van het Hof van Justitie onvoldoende.

Hoe zat het ook alweer met doorgifte van persoonsgegevens buiten de EU?

Het is in tegenstelling tot wat in de praktijk soms wordt gevreesd niet op zichzelf altijd verboden om persoonsgegevens door te geven buiten de EU. Ook is het niet het geval dat volgens de AVG de wet- en regelgeving in andere landen altijd exact hetzelfde moet zijn als de AVG om doorgifte van persoonsgegevens toe te staan. De AVG verbindt echter een voorwaarde aan doorgifte van persoonsgegevens, als hoofdregel geldt:

“Artikel 44 AVG: Persoonsgegevens die worden verwerkt of die zijn bestemd om na doorgifte aan een derde land of een internationale organisatie te worden verwerkt, mogen slechts worden doorgegeven indien, onverminderd de overige bepalingen van deze verordening, de verwerkingsverantwoordelijke en de verwerker aan de in dit hoofdstuk neergelegde voorwaarden hebben voldaan; dit geldt ook voor verdere doorgiften van persoonsgegevens vanuit het derde land of een internationale organisatie aan een ander derde land of een andere internationale organisatie. Alle bepalingen van dit hoofdstuk worden toegepast opdat het door deze verordening voor natuurlijke personen gewaarborgde beschermingsniveau niet wordt ondermijnd.”

Het adequaatheidsbesluit is een besluit in de zin van artikel 45 lid 1 AVG. De Europese Commissie kan besluiten dat het derde land, een gebied of één of meerdere nader bepaalde sectoren in dat derde land, of een internationale organisatie een passend beschermingsniveau waarborgt. Het hoeft niet per se hetzelfde te zijn als de AVG, maar vergelijkbaar genoeg om het beschermingsniveau voor de personen op wie de persoonsgegevens betrekking hebben (“de betrokkene”, ook wel “het data subject”) te waarborgen. Derde landen betekent in deze context landen buiten de Europese Economische ruimte (EER). De EER bestaat uit alle EU lidstaten aangevuld met Noorwegen, IJsland en Liechtenstein.

Actuele lijst adequaatheidsbesluiten per eind juli 2023

De Europese Commissie heeft de volgende landen aangewezen als landen die het door de AVG voor natuurlijke personen gewaarborgde beschermingsniveau ten aanzien van bescherming van persoonsgegevens niet ondermijnt.

• Andorra,
• Argentinië,
• Canada (alleen commerciële organisaties in Canada),
• Faeröer eilanden,
• Guernsey,
• Israël,
• Isle of Man,
• Japan,
• Jersey,
• Nieuw-Zeeland,
• Republiek Korea (Zuid Korea),
• Uruguay,
• het Verenigd Koninkrijk
• de Verenigde Staten (alleen commerciële organisaties die deelnemen aan het nieuwe “EU-VS Data Privacy Framework”) en
• Zwitserland

Deze lijst kan veranderen al naar gelang de omstandigheden in die derde landen. De Europese Commissie evalueert ten minste iedere 4 jaar of het beschermingsniveau nog steeds adequaat is.

Voorgeschiedenis

Het ’EU-US Privacy Shield’ was een adequaatheidsbesluit van de Europese Commissie waarin werd voorzien in doorgifte van persoonsgegevens in overeenstemming met de voorwaarde die de AVG stelt. Het adequaatheidsbesluit gold voor Amerikaanse bedrijven die op een lijst stonden. Dit vrijwillige regime moest de deelnemers in de VS en in de EU gevestigde organisaties meer rechtszekerheid geven bij trans-Atlantische uitwisseling van persoonsgegevens.

Het Hof van Justitie van de EU verklaarde “EU-US Privacy Shield” ongeldig in het beroemde Schrems II – arrest. In een eerder blog schreef WiseMen hierover:

Schrems II arrest

Het Hof van Justitie van de EU wees al eerder het Schrems I – arrest van 6 oktober 2015. In dit arrest werd de directe voorganger van het adequaatheidsbesluit “EU-US Privacy Shield”, het adequaatheidsbesluit genaamd “Safe Harbour” ook al ongeldig verklaard.

In Schrems II oordeelde het Hof van Justitie van de EU onder andere (onderstreping en markering toegevoegd):

“184    Bijgevolg blijkt noch section 702 FISA, noch E.O. 12333, gelezen in samenhang met PPD 28, overeen te stemmen met de minimale vereisten die in het Unierecht voortvloeien uit het evenredigheidsbeginsel, zodat niet kan worden geoordeeld dat de op deze bepalingen gebaseerde surveillanceprogramma’s tot het strikt noodzakelijke zijn beperkt.”

En:

“ 187    Volgens vaste rechtspraak is het bestaan van effectieve rechterlijke toetsing om de naleving van de bepalingen van Unierecht te verzekeren, inherent aan het bestaan van een rechtsstaat. Een regeling die niet in enige beroepsmogelijkheid voor de justitiabele voorziet om toegang tot de hem betreffende persoonsgegevens te verkrijgen, of rectificatie of verwijdering van die gegevens, eerbiedigt de wezenlijke inhoud van het grondrecht op een effectieve voorziening in rechte zoals neergelegd in artikel 47 van het Handvest niet (arrest van 6 oktober 2015, Schrems (red. thans “Schrems I”), C 362/14, EU:C:2015:650, punt 95 en aldaar aangehaalde rechtspraak).

[…]

190    In casu wordt de constatering van de Commissie in het privacyschildbesluit dat de Verenigde Staten een beschermingsniveau waarborgen dat in grote lijnen overeenkomt met het door artikel 47 van het Handvest gewaarborgde beschermingsniveau, met name ter discussie gesteld op grond dat de aanstelling van de privacyschildombudsman de door de Commissie zelf vastgestelde leemten met betrekking tot de rechterlijke bescherming van personen wier persoonsgegevens naar dat derde land worden doorgegeven, niet kan verhelpen.”

Wat staat er in de “EU-U.S. Data Privacy Framework”?

De “EU-U.S. Data Privacy Framework” is deels een kopie van “Privacy Shield”. Ten op zichte van “Safe Harbour” en “Privacy Shield” kent het “EU-U.S. Data Privacy Framework” wel een aantal verschillen in reactie op de kritiek van het Hof van Justitie van de EU die zich met name had toegespitsts op de ‘rechtsstatelijkheid’ en ‘rechtsmiddelen voor EU burgers’ in de zin van de in artikel 45 lid 2 AVG voorgeschreven criteria aan de hand waarvan de Europese Commissie adequaatheid dient te beoordelen, alsook de toepasselijke mensenrechtelijke verdragen en het EU handvest voor de grondrechten.

“artikel 45 lid 2 AVG: Bij de beoordeling van de vraag of het beschermingsniveau adequaat is, houdt de Commissie met name rekening met de volgende aspecten:
    a) de rechtsstatelijkheid, de eerbiediging van de mensenrechten en de fundamentele vrijheden, de toepasselijke algemene en sectorale wetgeving, onder meer inzake openbare veiligheid, defensie, nationale veiligheid en strafrecht en de toegang van overheidsinstanties tot persoonsgegevens, evenals de tenuitvoerlegging van die wetgeving, gegevensbeschermingsregels, beroepsregels en veiligheidsmaatregelen, met inbegrip van regels voor de verdere doorgifte van persoonsgegevens aan een ander derde land of een andere internationale organisatie die in dat land of die internationale organisatie worden nageleefd, precedenten in de rechtspraak, alsmede het bestaan van effectieve en afdwingbare rechten van betrokkenen en effectieve mogelijkheden om administratief beroep of beroep in rechte in te stellen voor betrokkenen wier persoonsgegevens worden doorgegeven;
    b) het bestaan en het effectief functioneren van een of meer onafhankelijke toezichthoudende autoriteiten in het derde land of waaraan een internationale organisatie is onderworpen, welke tot taak heeft of hebben de naleving van de gegevensbeschermingsregels te verzekeren en deze onder meer met passende handhavingsbevoegdheden te handhaven, betrokkenen bij de uitoefening van hun rechten bij te staan en te adviseren en met de toezichthoudende autoriteiten van de lidstaten samen te werken; en
    c) de internationale toezeggingen die het derde land of de internationale organisatie in kwestie heeft gedaan, of andere verplichtingen die voortvloeien uit juridisch bindende overeenkomsten of instrumenten, alsmede uit de deelname van dat derde land of die internationale organisatie aan multilaterale of regionale regelingen, in het bijzonder met betrekking tot de bescherming van persoonsgegevens.”

Adequaat beschermingsniveau voor de deelnemende bedrijven niet de VS als land

Het is belangrijk te beseffen dat geen van de adequaatheidsbesluiten voor de VS ooit voor het gehele land gold. De VS en in mindere mate Canada zijn een geval apart ten opzichte van de andere landen op de lijst met landen waarvoor een adequaatheidsbesluit van kracht is. Ook het huidige adequaatheidsbesluit geldt alleen voor de Amerikaanse bedrijven die zich hier vrijwillig bij hebben aangesloten.

Indien u te maken heeft met een partij in de VS dient u dus altijd te controleren of deze op de lijst deelnemende bedrijven staan, zo niet dan zal nog steeds een ander doorgiftemechanisme uit artikel 46 lid 2 AVG zoals de ‘Binding Corporate Rules’ (“BCR”), de ‘Standard Contractual Clauses’ (“SCC’s”), of indien deze ook geen optie zijn een doorgiftegrondslag uit artikel 49 AVG, zoals uitdrukkelijke toestemming van de betrokkene voor de doorgifte, moeten worden gebruikt.

Reactie op kritiek van het Hof van Justitie van de EU

De Europese Commissie stelde over de nieuwe waarborgen in het “EU-U.S. Data Privacy Framework” in een verklaring (markering toegevoegd):

“Bedrijven in de VS kunnen zich aansluiten bij het EU-VS-kader voor data privacy door zich ertoe te verbinden te voldoen aan een gedetailleerde reeks privacyverplichtingen, bijvoorbeeld de verplichting om persoonsgegevens te wissen wanneer ze niet langer nodig zijn voor het doel waarvoor ze zijn verzameld, en om de continuïteit van de bescherming te waarborgen wanneer persoonsgegevens met derden worden gedeeld.

Burgers in de EU zullen gebruik kunnen maken van verschillende rechtsmiddelen als hun gegevens verkeerd worden behandeld door bedrijven in de VS. Dit omvat gratis onafhankelijke mechanismen voor geschillenbeslechting en een arbitragepanel.

Daarnaast voorziet het rechtskader van de VS in een aantal waarborgen met betrekking tot de toegang tot gegevens die in het kader van het ‘framework’ worden doorgegeven door Amerikaanse overheidsinstanties, met name voor strafrechtelijke handhaving en nationale veiligheidsdoeleinden. De toegang tot gegevens is beperkt tot wat noodzakelijk en evenredig is om de nationale veiligheid te beschermen.

EU-burgers zullen toegang hebben tot een onafhankelijk en onpartijdig beroepsmechanisme met betrekking tot het verzamelen en gebruiken van hun gegevens door Amerikaanse inlichtingendiensten, waaronder een nieuw opgerichte rechterlijke instantie voor gegevensbescherming (Data Protection Review Court, DPRC). Het Hof zal klachten onafhankelijk onderzoeken en oplossen, onder meer door bindende corrigerende maatregelen vast te stellen.”

Volgens critici is “EU-U.S. Data Privacy Framework” niet meer dan een kopie van “Privacy Shield”. De wetgeving in de VS ten aanzien van de ruime bevoegdheden van publieke autoriteiten, zoals veiligheids- en inlichtingendiensten, is niet veranderd. De president van de VS weerspiegelt weliswaar de Europese terminologie omtrent evenredigheid en gebruikt het woord ‘proportionate’ in de Executive Order 14086 of October 7, 2022 bij de implementatie van de afspraken met de Europese Commissie, maar heeft in diezelfde executive order ook vastgelegd dat de VS de bevoegdheden van haar veiligheids- en inlichtingendiensten, waaronder expliciet de controversiële  “bulk collection” van data, in ieder geval als proportioneel en legitiem beschouwt:

“(B) signals intelligence activities shall be conducted only to the extent
and in a manner that is proportionate to the validated intelligence priority
for which they have been authorized, with the aim of achieving a proper
balance between the importance of the validated intelligence priority being
advanced and the impact on the privacy and civil liberties of all persons,
regardless of their nationality or wherever they might reside”

De doelstellingen welke de executive order expliciet verbiedt zijn limitatief en smal geformuleerd, waardoor de kans dat de Amerikaanse veilligheids- en inlichtingsdiensten deze grenzen zullen overtreden relatief beperkt is in vergelijking met Europese wet- en regelgeving op hetzelfde gebied:

“(ii) Prohibited objectives.
(A) Signals intelligence collection activities shall not be conducted for
the purpose of:
(1) suppressing or burdening criticism, dissent, or the free expression
of ideas or political opinions by individuals or the press;
(2) suppressing or restricting legitimate privacy interests;
(3) suppressing or restricting a right to legal counsel; or
(4) disadvantaging persons based on their ethnicity, race, gender, gender identity, sexual orientation, or religion.
(B) It is not a legitimate objective to collect foreign private commercial information or trade secrets to afford a competitive advantage to United States companies and United States business sectors commercially. The collection of such information is authorized only to protect the national security of the United States or of its allies or partners.”

Rechtsstatelijkheid

Volgens critici proberen de Europese Commissie en de VS een ‘truc’ uit te halen door de terminologie van in Europese jurisprudentie omtrent mensenrechten ontwikkelde beginselen te hanteren met woorden zoals ‘proportionate’ en ‘necessary to advance a validated intelligence priority’, maar doelt de Amerikaanse president met deze taal in werkelijkheid niet op de criteria van “noodzakelijkheid, evenredigheid en proportionaliteit”, zoals deze in de Europese jurisprudentie op het gebied van de beoordeling van de rechtvaardiging van beperking van mensenrechten zijn ontwikkeld. Met andere woorden, de VS houdt zich het recht voor om zelf in te vullen wat zij als ‘evenredig’ beschouwt, terwijl in het recente verleden reeds is gebleken dat deze belangenafwegingen tussen nationale veiligheid en het recht op privacy in de Europese rechtsorde en de Amerikaanse rechtsorde doorgaans de tegenovergestelde kant op vallen.

Rechtsmiddelen voor Europese burgers

Ook biedt “EU-U.S. Data Privacy Framework” volgens critici nog steeds onvoldoende rechtsbescherming ten aanzien van rechtsmiddelen voor betrokkenen die geen VS-staatsburgers zijn. Volgens deze critici zijn de arbitragepanels en de “Data Protection Review Court” namelijk geen échte rechtspraak binnen de bedoeling van de AVG als voorwaarde bij doorgifte. Volgens critici gaat het om hetzelfde ontoereikende ombudsmanmechanisme uit “EU -US Privacy Shield”, maar nu gesplitst in twee rollen en onder nieuwe namen.

Wordt dit adequaatheidsbesluit ook ongeldig verklaard?

Het “EU -US Privacy Shield” adequaatheidsbesluit werd door de Europese Commissie op 12 juli 2016 geïmplementeerd, werd 1 augustus 2016 van kracht en vier jaar laten door het Hof van Justitie van de EU op 16 juli 2020 ongeldig verklaard. De voorganger van Privacy Shield het adequaatheidsbesluit “Safe Harbour” werd op 26 juli 2000 door de Europese Commissie genomen en door de uitspraak van het Hof van Justitie van de EU van 6 oktober 2015 in de Schrems I-zaak ongeldig verklaard. De vorige twee adequaatheidsbesluiten hielden dus 4 tot 5 jaar stand. Max Schrems, de Oostenrijkse jurist en privacy-activist die zijn naam aan de Schrems I en Schrems II zaken kon geven heeft reeds de ambitie aangekondigd om binnen maanden al terug te zijn bij het Hof van Justitie van de EU voor een derde ronde.

Rechtsonzekerheid en risico’s

Voor bedrijven en organisaties die hetzij als verantwoordelijke, hetzij als verwerker persoonsgegevens kunnen doorgeven aan de VS is de vraag of doorgifte van persoonsgegevens aan de VS in hun situatie is toegestaan van groot belang. Gezien het feit dat verreweg de meeste IT nu eenmaal oorsprong vindt in de VS is de kans dat uiteindelijk ergens in de keten van sub-verwerkers een ontvanger zich in de VS zal bevinden in de meeste gevallen behoorlijk groot.

Boetes

Voor bedrijven en organisaties op wiens verwerkingsactiviteiten de AVG van toepassing is spelen zeer grote risico’s. Op schending van de verplichtingen ten aanzien van doorgifte van persoonsgegevens buiten de EU voorziet de AVG in een maximum geldboete tot €20 000 000,-, of tot 4% van de totale wereldwijde jaaromzet van een onderneming in het voorgaande boekjaar indien dit cijfer hoger is. Ook bevat de AVG een aparte aansprakelijkheidsgrond, op basis waarvan een persoon op wie persoonsgegevens betrekking hebben die materiele of immateriele schade heeft geleden een verantwoordelijke of verwerker voor de schade aansprakelijk kan stellen.

Voor particulieren is overigens doorgaans geen sprake van een dergelijk juridisch risico, de AVG kent namelijk een ondergrens, ook wel de “huishoudgrens” genoemd. De AVG is niet van toepassing bij verwerking van persoonsgegevens door een natuurlijke persoon bij de uitoefening van een zuiver persoonlijke of huishoudelijke activiteit.

Risico’s bij internationale rechtsverhoudingen

In internationale overeenkomsten met partijen in de VS of elders buiten de EU/EER gevestigde partijen loopt men doorgaans een significant risico indien een contractspartij in het buitenland niet handelt in overeenstemming met de AVG, maar de Europese partij in juridische zin wel verantwoordelijk is voor het handelen van die partij, bijvoorbeeld op grond van een wettelijke verantwoordingsplicht als verwerkingsverantwoordelijke in de zin van artikel 5 lid 2 AVG, of anders op basis van wettelijke of contractuele verplichtingen als verwerker op grond van de AVG of op grond van een verwerkersovereenkomst.

De botsing tussen VS en EU recht

Onverenigbaarheid

De meeste Amerikaanse federale wetten hanteren andere uitgangspunten dan Europese wet- en regelgeving ten aanzien van de belangenafweging omtrent de bescherming van (persoons)gegevens en het recht op privacy enerzijds tegenover de nationale veiligheid anderzijds. Een aantal voorbeelden van Amerikaanse wetten op dit gebied zijn onder meer:

• National Security Act (1947)
• Federal Wiretap Act (1968)
• Stored Communications Act (1986)
• Electronic Communications Privacy Act (1986)
• FISA Act (1978) (“Foreign Intelligence Surveillance Act”)
• De USA PATRIOT Act (2001)(“Uniting and Strengthening America by Providing Appropriate Tools Required to Intercept and Obstruct Terrorism Act”)
• Protect America Act (2007)
• FISA Amendments Act (2008)
• USA Freedom Act (2015)
• CLOUD Act (“Clarifying Lawful Overseas Use of Data Act”) (2018)
• Etc.

Bij dergelijke Amerikaanse wetten kunnen uitgangspunten onder meer zijn dat:

• Belangen op het gebied van nationale veiligheid zwaarder wegen dan privacybelangen
• enkel VS- staatsburgers grondrechten hebben binnen de VS en enkel VS-staatsburgers een beroep kunnen doen op het vierde amendement van de grondwet van de VS dat luidt:
  “The right of the people to be secure in their persons, houses, papers, and effects, against unreasonable searches and seizures, shall not be violated, and no Warrants shall issue, but upon probable cause, supported by Oath or affirmation, and particularly describing the place to be searched, and the persons or things to be seized.”Hetgeen een grof equivalent bevat van het recht op privacy zoals dat onder meer in artikel 8 van het Europees Verdrag voor de Rechten van de Mens, artikel 7 en 8 van het Handvest van de grondrechten van de Europese Unie en artikel 10 van de Nederlandse Grondwet is erkend.

Dergelijke uitgangspunten zijn ondanks overlap op andere onderwerpen tussen de rechtsordes van de VS en EU en gedeelde geschiedenis en waarden niet verenigbaar met de huidige stand van Europees recht.

CLOUD Act

Een binnen de EU onderbelichte gebeurtenis in het aanhoudende spanningsveld was de adoptie van de US CLOUD Act (Clarifying Lawful Overseas Use of Data Act) door de Amerikaanse wetgever, door sommige critici gezien als een bewuste ondermijning van de Europese General Data Protection Regulation (“GDPR”), in Nederland beter bekend als de Algemene Verordening Gegevensbescheming (“AVG”). In deze Amerikaanse wet verduidelijkt de Amerikaanse wetgever de bevoegdheden van de VS om gegevens op te vragen bij bedrijven ook wanneer deze informatie zich buiten de VS, bijvoorbeeld op servers in de EU/EER, bevindt.

In de VS liep namelijk een rechtszaak (Microsoft Corp. v. United States of America) in verband met een bevel om een e-mail account te laten doorzoeken die zich bevond op een server in de EU lidstaat Ierland. Op 14 juli 2016 oordeelde de “United States Court of Appeals for the Second Circuit”, een hooggerechtshof met jurisdictie over de deelstaten Connecticut, New York en Vermont, dat de bevoegdheid ontbrak om een doorzoekingsbevel met extraterritoriale werking af te geven en Microsoft niet hoefde te voldoen aan een bevel dat mogelijk in strijd met Europees recht, zoals de AVG, zou zijn geweest. Microsoft had deze zaak tot aan het Amerikaanse Hooggerechtshof willen brengen, waarbij een precedent zou kunnen worden gecreëerd dat Amerikaanse tech-bedrijven zich aan de Europese wet- en regelgeving kunnen houden ook indien dit betekent dat zij tegen Amerikaans recht ingaan.

De Amerikaanse wetgever greep in voordat het zover kon komen via de CLOUD Act, door de bevoegdheden in de Stored Communications Act (1986) te verruimen zodat deze ook extraterritoriale werking, in de vorm van een bevel voor het opvragen van gegevens welke buiten de VS zijn bewaard expliciet mogelijk maakt binnen Amerikaans recht. Ingehaald door de Amerikaanse wetgever verwierp het hooggerechtshof de zaak, volgens het hooggerechtshof had deze geen relevantie meer nu de onderliggende wet reeds was aangepast.

Deze spanning is nog niet opgelost en zal blijven leiden tot een grote mate van rechtsonzekerheid voor de trans-Atlantische activiteiten van bedrijven en organisaties aan beide zijden.

Conclusie

De conclusie moet zijn dat de doorgifte van persoonsgegevens naar partijen in de VS, zoals techbedrijven, nog steeds enerzijds soms onvermijdelijk en anderzijds altijd riskant blijft voor in Europa gevestigde verantwoordelijken en verwerkers die zich aan de AVG moeten houden.

Het nieuwe adequaatheidsbesluit neemt de rechtsonzekerheid niet weg, omdat de fundamenteel onverenigbare knelpunten blijven voortbestaan. De knelpunten omtrent de vereiste rechtsstatelijkheid met het oog op de in vergelijking ruime wettelijke bevoegdheden van Amerikaanse veiligheids- en inlichtingendiensten, alsook de beperkte rechtsmiddelen voor Europeanen zijn niet gewijzigd.

In het nieuwe adequaatheidsbesluit is de kritiek van het Hof van Justitie op “Privacy Shield” uit de Schrems II zaak weliswaar geadresseerd. Echter, de reële mogelijkheid bestaat alsnog dat het Hof van Justitie van de EU binnenkort in een derde Schrems - zaak opnieuw zal oordelen dat de aanpak waarvoor in het nieuwe EU-VS adequaatheidsbesluit is gekozen niet toereikend is naar de maatstaven van het Europese recht. Deze maatstaven in het Europees rechte zijn evenmin veranderd.

Kortom, hoewel het voor veel IT-bedrijven en andere organisaties in Nederland een geruststelling zal zijn dat er weer een adequaatheidsbesluit (voor specifieke deelnemende bedrijven) bestaat tussen de VS en de EU is het van belang om alert te blijven bij doorgifte van persoonsgegevens naar de VS. Opdat u niet de AVG schendt en geen boetes of aansprakelijkheidsclaims in verband met AVG schending oploopt door te lichtvaardig achterover te leunen en ten onrechte ervan uit te gaan dat de problematiek tussen de EU en VS omtrent doorgifte van persoonsgegevens definitief is opgelost.

Wilt u weten wat het nieuwe VS-EU adequaatheidsbesluit over doorgifte van persoonsgegevens betekent voor u en uw organisatie? Neem contact op met onze privacy-juristen voor juridisch advies.

Advies

Wilt u gebruikmaken van onze parate kennis en ons met enige regelmaat bellen? Neem een abonnement op de Virtuele Juridische Afdeling. Mail me direct even dan ontvangt u vrijblijvend de voorwaarden.

Meer weten? Bel of mail gerust:

T. +31(0)70-3819281
E. info@wisemen.nl

Voor de laatste ontwikkelingen schrijft u zich nu in voor de

WiseMen Nieuwsflits!