De Europese Commissie en de Amerikaanse regering hebben een nieuw data-uitwisselingsverdrag gesloten: het EU-US Data Privacy Framework. Daarin zijn afspraken vastgelegd over het bewaren van persoonsgegevens en andere data van Europese burgers in de VS. Daarmee komt er na bijna drie jaar een einde aan het juridische getouwtrek over het delen en opslaan van gegevens van Europeanen buiten de EU.
De Europese Commissie kondigt het nieuwe datadoorgifteverdrag aan via een persverklaring (1).
De EU en VS vertrouwden jarenlang op het Safe Harbor akkoord om persoonsgegevens uit te wisselen tussen beide continenten. In 2015 oordeelde het Europees Hof van Justitie dat dit akkoord te weinig garanties bood om de privacy van Europeanen te beschermen. Daarop ontwikkelden Brussel en Washington in 2016 een nieuwe juridische basis om gegevensuitwisseling te kunnen laten plaatsvinden. Het resultaat van deze onderhandelingen was het Privacy Shield.
In de zomer van 2020 zette het Europees Hof ook door dit verdrag een streep. De rechtbank meende dat de VS niet hetzelfde beschermingsniveau voor burgers bood als hier in Europa. De maatregelen die de VS nam om persoonsgegevens te beschermen, kwamen onvoldoende overeen met het evenredigheidsbeginsel dat de Algemene Verordening Gegevensbescherming (AVG) nastreeft. Daarnaast was het volgens het Hof voor Europeanen onmogelijk om invloed uit te oefenen op de wijze waarop persoonsgegevens worden verwerkt in de VS.
Na bijna drie jaar onderhandelen is er vandaag een nieuw data-uitwisselingsverdrag aangekondigd: het EU-US Data Privacy Framework. Op basis van dit verdrag kunnen Europese bedrijven en organisaties persoonsgegevens van Europese burgers veilig doorgeven aan Amerikaanse bedrijven. Er hoeven geen aanvullende waarborgen geformuleerd te worden om hetzelfde beschermingsniveau voor persoonsgegevens als hier in Europa te bieden.
Eén van de afspraken is dat er paal en perk wordt gesteld aan wat de Amerikaanse inlichtingendiensten aan gegevens van Europese burgers mogen verzamelen. Ze mogen alleen data inzien als dat ‘noodzakelijk en proportioneel’ is. Daarnaast komt er meer toezicht op de inlichtingendiensten. Daarvoor wordt een Data Protection Review Court (DPRC) opgericht. Dat is een onafhankelijke en onpartijdige instantie die erop toeziet dat de inlichtingendiensten gegevens verzamelen op een manier die niet in strijd is met het nieuwe uitwisselingsverdrag.
Tot slot is er afgesproken dat Europeanen bezwaar kunnen aantekenen als Amerikaanse inlichtingendiensten hun gegevens hebben verzameld. Daarvoor kunnen ze aankloppen bij de European Data Protection Board (EDPB), de koepelorganisatie waarin de privacytoezichthouders van alle EU-lidstaten zijn vertegenwoordigd.
Ursula von der Leyen, voorzitter van de Europese Commissie, is blij met het nieuwe data-uitwisselingsakkoord. “Dankzij het nieuwe verdrag voor gegevensbescherming kunnen Europeanen er zeker van zijn dat de gegevensstromen veilig verlopen en genieten bedrijven aan weerszijden van de Atlantische Oceaan de nodige rechtszekerheid (…) De stap die we vandaag zetten, is belangrijk: voor het vertrouwen van onze burgers in de veiligheid van hun gegevens, voor het verdiepen van de economische banden tussen de EU en de VS, en omdat we daardoor de kans krijgen onze gemeenschappelijke waarden nogmaals tot uiting te brengen.”
Max Schrems, voorzitter van de Oostenrijkse privacystichting Noyb, is minder enthousiast over het verdrag. Hij denkt dat de overeenkomst ‘binnen enkele maanden’ weer bij het Europees Hof van Justitie ligt. In een reactie noemt hij het verdrag ‘een kopie van het mislukte Privacy Shield’. “Steeds opnieuw hetzelfde doen en een ander resultaat verwachten, dat is de definitie van krankzinnigheid. Net als het Privacy Shield is de nieuwste overeenkomst niet gebaseerd op materiële veranderingen, maar op politieke belangen”, aldus Schrems.
Het EU-US Data Privacy Framework treedt deze week nog in werking. Over een jaar vindt er een evaluatie plaats en kijken vertegenwoordigers van Europese en Amerikaanse toezichthouders hoe het verdrag in praktijk functioneert.
https://ec.europa.eu/commission/presscorner/detail/nl/ip_23_3721
