In de Verenigde Staten (VS) bestaat geen algemene wetgeving voor de bescherming van persoonsgegevens. De VS hebben daarom geen passend beschermingsniveau. Dat betekent dat u niet zonder meer persoonsgegevens mag doorgeven aan de VS.
Privacy shield ongeldig
Tot voor kort was doorgifte naar de VS mogelijk op grond van het EU-VS privacy shield. Het Europese Hof van Justitie heeft echter op 16 juli 2020 het EU-VS privacy shield nietig verklaard in de zaak Schrems II. Volgens deze hoogste Europese rechter bieden de VS geen beschermingsniveau dat gelijkwaardig is aan het niveau in de EU. Dit betekent dat u sinds 16 juli 2020 het privacy shield niet meer mag gebruiken om persoonsgegevens door te geven naar de VS.
BCR en modelcontracten
Voor doorgifte naar derde landen (landen buiten de EU) kunt u normaliter gebruikmaken van binding corporate rules (BCR) of een modelcontract (ook wel standard contractual clauses of SCC genoemd), mits het betreffende derde land een gelijkwaardig beschermingsniveau kent. Omdat het Hof nu heeft bepaald dat de VS dit niveau niet hebben, moet u aanvullende waarborgen treffen als u BCR of een modelcontract gebruikt voor uw doorgifte naar de VS.
Aanvullende waarborgen
De European Data Protection Board (EDPB) heeft aanbevelingen gepubliceerd voor deze aanvullende waarborgen. De EDPB noemt verschillende waarborgen die u kunt overwegen, zoals goede encryptie en pseudonimisering. U moet per geval bekijken welke maatregel of combinatie van maatregelen nodig is om persoonsgegevens goed te beschermen.
Uitzonderingen (artikel 49 AVG)
Er is een aantal specifieke uitzonderingen op het verbod op doorgifte naar een derde land. Deze uitzonderingen staan in artikel 49 van de AVG. U kunt zich echter niet snel beroepen op zo’n uitzondering voor doorgifte naar de VS. U moet per geval een afweging maken. Ook mag het niet gaan om structurele doorgifte.
