De Autoriteit Persoonsgegevens publiceerde op 10 juli vier documenten waarvan twee klachtformulieren en twee beleidsdocumenten. De formulieren zijn bedoeld om de klachten tegen de gegevensuitwisseling met de VS mogelijk te maken. Het Data Privacy Framework stuit al sinds het adequaatheidsbesluit van de Commissie vorig jaar op kritiek van privacy-experts. Het huidige framework zou onvoldoende bescherming bieden aan Europese burgers tegen mogelijke inzage van persoonsgegevens door inlichtingendiensten.
Het framework werd eerder bekritiseerd in een rapport omdat het onvoldoende bescherming zou bieden aan Europese burgers en hun persoonsgegevens. Amerikaanse inlichtingendiensten kunnen op grond van Amerikaans recht bij gegevens van Europese burgers. De privacy advocaten van None of Your Business (noyb) vechten het huidige framework aan omdat ook zij vinden dat het adequaatheidsbesluit van de Europese Commissie niet voldoet aan de vereisten van Europese privacywetgeving.
Het nieuwe klachtmechanisme moet zorgen dat Europese burgers klachten kunnen indienen tegen vermeende privacy schendingen door Amerikaanse bedrijven of onrechtmatige inzage door Inlichtingendiensten zoals de NSA of de CIA.
Klachten tegen inzage door Amerikaanse autoriteiten worden behandeld door het Data Protection Review Court (DPRC). Onder Executive Order 14086, onderdeel van het DPF, is het DPRC opgericht om klachten te behandelen over onrechtmatige toegang tot en gebruik van persoonsgegevens door Amerikaanse inlichtingendiensten. Dit klachtmechanisme, bedoeld voor EU- en EER-burgers, behandelt uitsluitend klachten met betrekking tot nationale veiligheid en is van toepassing op gegevens die na 10 juli 2023 zijn doorgegeven. Het mechanisme geldt ongeacht het gebruikte doorgifteinstrument en biedt betrokkenen rechtsgang om misstanden aan te kaarten en recht te laten zetten.
Het Informeel Comité van Toezichthoudende Autoriteiten is bevoegd om bindend advies te geven aan Amerikaanse bedrijven naar aanleiding van klachten over de behandeling van persoonsgegevens onder het Data Privacy Framework (DPF). Zowel individuen als bedrijven kunnen klachten indienen. Het comité streeft ernaar binnen 60 dagen advies uit te brengen. Als het advies niet wordt opgevolgd, wordt de zaak doorverwezen naar het Amerikaanse Ministerie van Handel, de Federal Trade Commission (FTC), of het Amerikaanse Ministerie van Vervoer voor verdere handhaving.
Klik hier voor het klachtformulier Amerikaanse inlichtingendiensten.
