Niet ieder bedrijf heeft een eigen juridische afdeling. Voor die bedrijven neemt WiseMen het beheer en de afhandeling van alle juridische zaken uit handen.
03 november 2015
WiseMen |
- Privacy
- IT-recht
- Contracten
- Rechtspraak
Safe Harbor: En nu verder
Direct vrijblijvend advies? Bel of mail
Uitspraak Max Schrems en Facebook
Een korte weergave van de uitspraak, betreffende Max Schrems en Facebook (zaak C-326/14) werd al besproken in dit weblog.
Safe Harbor-beschikking ongeldig
De zaak heeft als meest directe effect dat de beschikking van de Europese Commissie die ten grondslag ligt aan veel doorgiften van persoonsgegevens naar de Verenigde Staten, ongeldig wordt verklaard. Nu zijn er meerdere manieren om de doorgifte van persoonsgegevens naar de VS te faciliteren, maar de Safe Harbor-beschikking is een wijze waar veel grote ondernemingen met veel afnemers in Nederland en Europa gebruik van maakten.
Op basis van deze beschikking is een systeem geconstrueerd waarbinnen ondernemingen in de VS door middel van zelfcertificering konden aangeven aan bepaalde waarborgen voor de bescherming van de persoonlijke levenssfeer te voldoen. Op basis van de deelname aan Safe Harbor kon dan worden gezegd dat er sprake was van een ‘passend beschermingsniveau’ en kon doorgifte naar deze ondernemingen plaatsvinden.
Het faciliteren van doorgifte naar de VS op andere wijzen
Voor verwerkers van persoonsgegevens heeft de uitspraak grote gevolgen. Indien u namelijk persoonsgegevens opslaat en gebruik maakt van een hostingbedrijf met een datacenter (of een uitvalsplan naar een datacenter) in de VS, dan geeft u al persoonsgegevens door aan de VS.
Overigens is het belangrijk om in het oog te houden dat de maatregelen die ondernemingen hebben getroffen om deel te nemen aan Safe Harbor, niet opeens teniet gedaan zijn. Deze maatregelen tot beveiliging zijn als het goed is nog steeds aanwezig. Het oordeel vanuit de Europese Unie waaruit blijkt dat deze maatregelen voldoende zijn om te kunnen spreken van een passend beveiligingsniveau, ontbreekt echter sinds de uitspraak. En daarom is de doorgifte naar deze ondernemingen op basis van Safe Harbor niet meer rechtmatig te noemen.
Modelcontract van de EU
Hoewel de uitspraak van groot belang is, betekent dit niet dat er geen rechtmatige doorgifte naar de VS meer kan plaatsvinden. Onze Wet bescherming persoonsgegevens (Wbp) geeft immers nog andere mogelijkheden om doorgifte naar de VS te faciliteren. Voorbeelden zijn het gebruikmaken van een modelcontract van de EU, het volgen van ‘binding corporate rules’ of het vragen van de ondubbelzinnige toestemming van de betrokken personen. Dit zijn niet de meest simpele of tijdbesparende oplossingen, maar behoren wel tot de mogelijkheden.
Handhaving
De lidstaten van de Europese Unie beschikken over toezichtautoriteiten die toezien op de verschillende wetten die zijn geïmplementeerd naar aanleiding van de Europese Privacyrichtlijn.
Autoriteit Persoonsgegevens
In Nederland is dit het College bescherming persoonsgegevens (Cbp), vanaf 1 januari 2016 de Autoriteit Persoonsgegevens geheten.
Artikel 29-werkgroep
De verschillende Europese toezichtautoriteiten hebben zich verzameld in de ‘Artikel 29-werkgroep’. Naar aanleiding van de uitspraak van het Hof heeft deze werkgroep op 15 oktober 2015 een verklaring afgegeven.
De werkgroep roept met klem op tot een dialoog met de VS over oplossingen om dataverstrekking naar de VS te faciliteren, waarbij de grondrechten van de burgers van de EU in het oog worden gehouden.
Verder geeft de werkgroep aan dat de gebruikte ‘binding corporate rules’ en modelcontracten van de Europese Unie nog steeds gebruikt kunnen worden om dataverstrekking te faciliteren. Er wordt geëindigd met een waarschuwing: indien tegen het einde van januari 2016 geen oplossing is gevonden met de VS, dan zullen de verschillende Europese autoriteiten gaan handhaven. Dit kan meebrengen dat dataverstrekking zoals deze nu plaatsvindt zal worden geblokkeerd door het Cbp.
Oplossingen
Momenteel vinden er besprekingen plaats over een vervangende constructie. De commissaris van Justitie, Consumentenzaken en Gendergelijkheid van de Europese Unie, Věra Jourová, heeft in haar speech van 26 oktober 2015 aangegeven dat er duidelijkheid moet komen voor Europese ondernemingen die data naar de VS doorgeven en hoe dit juridisch sluitend zou moeten gebeuren.
Besprekingen zijn dan ook gaande over een Safe Harbor 2.0. De vraag is echter hoe effectief een dergelijke oplossing zal zijn wanneer geen wijzigingen plaatsvinden in de mogelijkheden van de Amerikaanse autoriteiten tot het inzien van communicatie. De uitspraak heeft het beveiligingsniveau voor persoonsgegevens in de VS namelijk kortgezegd als onvoldoende beoordeeld.
Dit heeft het Hof gedaan door te bepalen dat een regeling op grond waarvan autoriteiten ‘veralgemeend toegang’ kunnen krijgen tot de inhoud van elektronische communicatie, een aantasting van de wezenlijke inhoud van het grondrecht op eerbiediging van het privéleven inhoudt.
Actiepunten
Er staat met andere woorden het één en ander te veranderen in de wijze waarop wij in Nederland en Europa omgaan met opslag en verwerking van persoonsgegevens. Voor u als ondernemer is het van belang dat u aan de regels voldoet en dat met zo min mogelijk kosten. Daarnaast loopt u het risico op een boete, die naar aanleiding van de nieuwe bevoegdheden van het Cbp wél mogelijk is vanaf 1 januari 2016. Daarom enkele praktische tips:
- Controleer óf u persoonsgegevens buiten de Europese Unie doorgeeft en of u de ‘verantwoordelijke’ hiervoor bent in de zin van de Wbp;
- inventariseer de verdere ontvangers van persoonsgegevens (vergeet uw hosting-partij niet!);
- controleer op basis van welk juridisch raamwerk de doorgiften plaatsvinden;
- controleer de overeenkomsten en afspraken met de verschillende ontvangers van persoonsgegevens, wat gebeurt er met de gegevens?;
- ga na waar de verschillende ontvangers van data de persoonsgegevens opslaan en of er op andere locaties nog verwerkingen plaatsvinden;
- check het back-up plan van de ontvangende ondernemers (Let op! Af en toe is data normaliter gestationeerd in Europa, maar wordt bij overcapaciteit getransporteerd naar datacenters in de VS of elders);
- inventariseer uw papierwerk: zijn de bewerkersovereenkomsten in orde en is duidelijk wie de verantwoordelijke, bewerker en eventueel sub-bewerker van de persoonsgegevens zijn;
- bekijk de mogelijkheden en de kosten van het lokaliseren van data binnen de Europese Unie of in Nederland;
- roep juridische bijstand in wanneer problemen of onduidelijkheden worden ontdekt in bovenstaande onderwerpen.
Let verder op dat indien u geen ‘verantwoordelijke’ in de zin van de Wbp bent, u misschien een ‘bewerker’ van persoonsgegevens bent. Dit brengt eveneens verplichtingen met zich mee. In dat geval is het van belang na te gaan welke verplichtingen u bent aangegaan en is van belang om na te gaan of er een sub-bewerker is aangesteld. De keuze van gegevensopslag van deze sub-bewerker is eveneens van belang, nu dit ook tot een doorgifte van persoonsgegevens kan leiden.
Heeft u vragen?
Voor meer informatie kunt u contact opnemen met WiseMen Advocaten.
Advies!
Wilt u gebruikmaken van onze parate kennis en ons met enige regelmaat bellen? Neem een abonnement op de Virtuele Juridische Afdeling. Mail me direct even dan ontvangt u vrijblijvend de voorwaarden.
Meer weten? Bel of mail gerust:
T. +31(0)70-3819281
E. olaf@wisemen.nl
Voor de laatste ontwikkelingen schrijft u zich nu in voor de
