Organisaties die persoonsgegevens naar de Verenigde Staten doorgeven, kunnen zich nu al voorbereiden op een mogelijk einde van het EU-US Data Privacy Framework (DPF). Zij kunnen onder meer kijken naar alternatieve doorgifte-instrumenten, Europese dataopslag, beperking van Amerikaanse toegang en aanvullende technische maatregelen zoals encryptie. Dat schrijft staatssecretaris Van Bruggen van Justitie en Veiligheid in antwoord op Kamervragen over de juridische houdbaarheid van het DPF.
Aanleiding is een uitspraak van het Amerikaanse Hooggerechtshof van 29 juni in de zaak Trump v. Slaughter. Volgens Van Bruggen roept die uitspraak “terecht de vraag op” in hoeverre de onafhankelijkheid van de Federal Trade Commission (FTC) wordt geraakt. De FTC speelt een belangrijke rol bij de handhaving van het Data Privacy Framework.
De onafhankelijkheid van toezichthouders in derde landen is een belangrijk criterium bij de beoordeling of persoonsgegevens daar voldoende worden beschermd. Ook de European Data Protection Board (EDPB) heeft de Europese Commissie daarom gevraagd de gevolgen van de Amerikaanse uitspraak voor het DPF te onderzoeken.
De Europese Commissie onderzoekt momenteel de impact van de uitspraak. Daarbij kijkt zij volgens het kabinet breder naar het functioneren van het Amerikaanse rechtssysteem.
Voorlopig verandert er voor organisaties echter niets: het adequaatheidsbesluit voor de Verenigde Staten blijft van kracht. Daardoor kunnen persoonsgegevens nog steeds op basis van het DPF worden doorgegeven aan Amerikaanse organisaties die onder het framework zijn gecertificeerd.
Van Bruggen wil niet vooruitlopen op de vraag of het DPF juridisch houdbaar blijft. Als de Commissie concludeert dat de Verenigde Staten niet langer een beschermingsniveau bieden dat vergelijkbaar is met het niveau binnen de EU, kan zij het adequaatheidsbesluit geheel of gedeeltelijk schorsen, wijzigen of intrekken.
Mocht het DPF wegvallen, dan betekent dat niet automatisch dat iedere doorgifte van persoonsgegevens naar de Verenigde Staten moet stoppen. Organisaties moeten dan wel een andere grondslag voor de doorgifte vinden.
Het kabinet noemt onder meer Standard Contractual Clauses (SCC’s) en Binding Corporate Rules (BCR’s). In uitzonderingssituaties kunnen daarnaast de uitzonderingen van artikel 49 AVG worden gebruikt.
Organisaties kunnen zich volgens Van Bruggen nu al voorbereiden op zo’n scenario. Bij clouddiensten kan bijvoorbeeld worden gekeken naar opslag in Europese datacenters van dezelfde aanbieder en naar mogelijkheden om rechtstreekse toegang tot gegevens vanuit de Verenigde Staten te beperken.
Ook aanvullende technische maatregelen, zoals sterke encryptie, of het inrichten van autonome voorzieningen kunnen volgens het kabinet een rol spelen.
Voor de rijksoverheid gelden al aanvullende eisen. Opslag en verwerking van gegevens moeten volgens het cloudbeleid in beginsel binnen de Europese Economische Ruimte en Zwitserland plaatsvinden. Afwijkingen vereisen een formele uitzondering, risicoanalyse en waar nodig aanvullende maatregelen.
Voor bestaand cloudgebruik is bovendien een exitplan verplicht. Organisaties binnen de rijksdienst moeten daarbij rekening houden met het wegvallen van een voorziening en een actueel overzicht bijhouden van de clouddiensten die zij gebruiken.
Minder afhankelijk worden van Amerikaanse technologiebedrijven is volgens Van Bruggen niet de enige manier om de risico’s rond internationale doorgiften te beperken. Alternatieve AVG-instrumenten kunnen doorgiften eveneens mogelijk maken.
Daar zit wel een grens aan. Als een ander doorgifte-instrument in combinatie met aanvullende maatregelen onvoldoende bescherming biedt, moet de doorgifte worden beëindigd. Artikel 49 AVG biedt slechts uitzonderingsmogelijkheden en is volgens het kabinet niet bedoeld voor structurele of grootschalige gegevensstromen.
