Hoe om te gaan met doorgifte van persoonsgegevens naar de VS

Auteur: Helmi van Bergen. werkzaam als zelfstandig juridisch adviseur en als voorlichter bij Grensinfopunt Maastricht en de ZZP-desk. Dit artikel is geschreven op persoonlijke titel (info@juridiqua.nl) In mijn laatste artikel voor dit vakblad, nummer 39 van mei 2021, heb ik regels en voorwaarden beschreven voor doorgifte van persoonsgegevens buiten de EU. In dat artikel heb ik kort iets gezegd over doorgifte van persoonsgegevens naar de VS - het zogenaamde Privacy Shield -. Door een recente rechtspraak, Schrems II d.d. 16 juli 2020, is de doorgifte van persoonsgegevens onder dit Privacy Shield niet meer toegestaan. Hoe dit zo is ontstaan en hoe en of doorgifte van persoonsgegevens naar de VS nu is toegestaan, komt in dit artikel aan de orde. Voorwaarden De EU heeft het sterkste gegevensverwerkingsregime ter wereld. Wanneer je dus gegevens wilt laten verwerken door landen of organisaties in landen buiten de EU, zou in deze landen hetzelfde gegevensbeschermingsniveau als in de EU moeten gelden. Aangezien dat natuurlijk niet overal het geval is, staan in de AVG de regels en voorwaarden, die aangeven onder welke voorwaarden doorvoer van persoonsgegevens naar landen buiten de EU mogelijk is. In het vorige artikel heb ik beschreven dat de Europese Commissie bepaalt op grond van artikel 45 AVG welke landen een adequaat beschermingsniveau hebben. Tevens kunnen er binnen internationale concerns afspraken worden gemaakt, de zogenaamde Binding Corporate Rules, over doorgifte van persoonsgegevens in concernverband. Daarnaast is het mogelijk om via modelcontracten, opgesteld door de Europese Commissie of de Privacy-Autoriteit van de betreffende lidstaat, die gebruikt worden tussen de gegevensexporteur en de gegevensimporteur, wanneer er geen adequaatheidsbesluit bestaat en/of er geen concernverband is. En in uitzonderlijke situaties kan men, indien nodig, gebruik maken van de uitzonderingen, genoemd in artikel 49 AVG. Doorgifte van persoonsgegevens naar de VS In de EU zijn dankzij de AVG de privacyregels redelijk duidelijk, toegankelijk en algemeen. Deze regels gelden voor ieder individu, ongeacht het gebruik van de gegevens. Echter in de VS bestaan er voor diverse sectoren diverse losstaande wetten, maar geen breed wettelijk kader. Daardoor is de VS naar Europese maatstaven niet een land met een toereikend beschermingsniveau voor de verwerking van persoonsgegevens. Omdat er tussen de EU en de VS veel en intensief contact bestaat op velerlei gebied en als gevolg hiervan toch persoonsgegevens worden doorgegeven, zijn er in 2000 hierover afspraken gemaakt tussen de Europese Commissie en de VS in de zogenaamde Safe Harbour-Privacy Principles. Safe Harbour Safe Harbour hield in: een vorm van zelfregulering; dat Amerikaanse ondernemingen beloofden de verwerkingsbeginselen te waarborgen, die vergelijkbaar zijn met die van de EU; dat hierdoor doorgifte van persoonsgegevens was toegestaan; dat Amerikaanse ondernemingen zich hiervoor moesten aanmelden bij het Ministerie van Handel van de VS en via een zelfcertificering bij dit Ministerie op openbare lijst werden geplaatst. Schrems I Naar aanleiding van de rechtszaak tussen Max Schrems en de Ierse privacy toezichthouder over de doorgifte van persoonsgegevens naar de VS, heeft het Europees Hof van Justitie de Safe Harbour Privacy Principles ongeldig verklaard. Dit omdat het Safe Harbour regime de eerbiediging van het priv&eacute;leven volgens artikel 7 van het Handvest van de grondrechten van de Europese Unie onvoldoende waarborgde. De belangrijkste overwegingen hierbij waren dat(1): de mogelijkheid om op grond van Amerikaanse wetgeving van de Safe Harbour-beginselen af te wijken te algemeen geformuleerd was; in het adequaatheidsbesluit niets vermeld was over de vraag of er effectieve rechtsbescherming was tegen Amerikaanse overheidsinmenging; een regeling waardoor de autoriteiten veralgemeend toegang konden krijgen tot de inhoud van elektronische communicatie een aantasting was van de wezenlijke inhoud van het grondrecht op eerbiediging van het priv&eacute;leven als bedoeld in artikel 7 van het EU-Grondrechtenhandvest; dat er voor individuen onvoldoende beroepsmogelijkheden waren als zij hun data wilden inzien, wijzigen of verwijderen. Privacy Shield Door deze beslissing van het Europese Hof van Justitie moest de Europese Commissie een nieuwe afspraak maken met de VS: het zogenaamde Privacy Shield dat met ingang van 12 juli 2016 van kracht werd. Hiermee hebben de betrokkenen meer rechten: een betrokkene heeft het recht om een klacht bij het bedrijf in te dienen als zijn rechten worden geschonden; bedrijven moeten hierover binnen 45 dagen reageren; ook kan het Privacy Shield certificaat van een bedrijf ingetrokken worden; de Amerikaanse overheid mag niet meer ongebreideld data verzamelen, maar is onder het Privacy Shield gebonden aan zes grondslagen voor massasurveillance. Schrems II Diezelfde Max Schrems heeft naar aanleiding van het Privacy Shield wederom een rechtszaak gestart, waarop het Hof van Justitie van de Europese Unie het Privacy Shield ongeldig heeft verklaard. In deze uitspraak stelt het Hof van Justitie het volgende(2): het Privacy Shield garandeert onvoldoende bescherming. Dat komt omdat, op grond van de Amerikaanse wetgeving, de inlichtingen- en veiligheidsdiensten daar het recht hebben om gegevens van EU-burgers in te zien en te gebruiken. Dit is niet beperkt tot strikt noodzakelijke gegevens; het ombudsman-mechanisme biedt niet genoeg bescherming wanneer EU-burgers een klacht hebben over de verwerking van hun persoonsgegevens in de VS. Het mechanisme kan de onafhankelijkheid van de ombudsman en diens bevoegdheid om bindende besluiten te nemen niet verzekeren; modelcontracten kunnen nog wel een geldige grondslag bieden voor doorgifte van gegevens naar landen buiten de EU, zoals de VS. Maar alleen als er een gelijkwaardig beschermingsniveau in de praktijk kan worden gewaarborgd. Hoe nu verder? De uitspraak van het Hof van Justitie op 20 juli 2020 betekent dat er in feite geen persoonsgegevens meer naar de VS zouden mogen worden doorgegeven. Naar aanleiding hiervan heeft de EDPB &ndash; de Europese Data Protection Board &ndash; aanbevelingen(3) gepubliceerd. Deze aanbevelingen kunnen bedrijven helpen om de bescherming van persoonsgegevens te waarborgen door het nemen van aanvullende maatregelen, zoals bijvoorbeeld het gebruik van goede encryptie en pseudonimisering. Maar ook door het gebruik van modelcontracten, die zijn opgesteld door de EDPB en goedgekeurd door de Europese Commissie. De Europese Commissie heeft onlangs een nieuw modelcontract goedgekeurd dat rekening houdt met de uitspraak van het Hof van Justitie van de Europese Unie in de zaak Schrems II. Het modelcontract bevat onder meer een overzicht van de stappen die bedrijven moeten nemen om te voldoen aan de wet na Schrems II. Volgens het Hof van Justitie kunnen modelcontracten wel een geldige grondslag bieden voor doorgifte van persoonsgegevens buiten de EU en dus ook naar de VS. Maar dit kan alleen als er in de praktijk een gelijkwaardig beschermingsniveau kan worden gewaarborgd. Is dit er niet in het betreffende land waar de persoonsgegevens naar toe worden gestuurd, dan zullen organisaties &ndash; de verwerkingsverantwoordelijken &ndash; aanvullende maatregelen moeten nemen om dit gelijkwaardige beschermingsniveau te verkrijgen en te garanderen.(4) Noten 1. Overgenomen uit: Bescherming persoonsgegevens in wet en praktijk, M.C. Koppenol: pagina 97 2. Zie het nieuwsbericht van de Autoriteit Persoonsgegevens d.d. 20 juli 2020 3. Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data. Version 2.0; adopted on 18 June 2021 4. Zie het nieuwsbericht van de Autoriteit Persoonsgegevens d.d. 9 juni 2021

Menu

Hoe om te gaan met doorgifte van persoonsgegevens naar de VS

Nieuws