Privacy shield voor doorgifte naar VS ongeldig verklaard
Het Hof van Justitie van de Europese Unie (EU) heeft het EU-VS privacy shield (privacyschild) ongeldig verklaard in de zaak Schrems II. Dat betekent dat organisaties in de EU geen persoonsgegevens aan de Verenigde Staten (VS) meer kunnen doorgeven op grond van het privacy shield.
De Algemene verordening gegevensbescherming (AVG) stelt dat persoonsgegevens niet zomaar mogen worden doorgegeven aan personen of organisaties die gevestigd zijn in landen buiten de Europese Economische Ruimte (derde landen), zoals de VS.
Dit mag alleen als in die derde landen het door de AVG gewaarborgde beveiligingsniveau voor persoonsgegevens niet wordt ondermijnd. De AVG noemt een aantal mogelijkheden om dit te bewerkstelligen. Hiervan staan er 2 ter discussie in de zaak Schrems II:
- doorgifte op basis van een adequaatheidsbesluit (in dit geval: het privacy shield-verdrag tussen de EU en de VS);
- doorgifte op basis van modelcontracten (ook wel standaardbepalingen, standard contractual clauses of SCC's genoemd).
Uitspraak Hof
Het Hof van Justitie stelt dat het privacy shield onvoldoende bescherming kan garanderen. Dat komt omdat, op grond van de Amerikaanse wetgeving, de inlichtingen- en veiligheidsdiensten daar het recht hebben om gegevens van EU-burgers in te zien en te gebruiken. Dit is niet beperkt tot strikt noodzakelijk gegevens.
Ombudsman
Ook stelt het Hof dat het ombudsman-mechanisme niet genoeg bescherming biedt wanneer EU-burgers een klacht hebben over de verwerking van hun persoonsgegevens in de VS. Het mechanisme kan de onafhankelijkheid van de ombudsman en diens bevoegdheid om bindende besluiten te nemen niet verzekeren, aldus het Hof.
Modelcontracten
Volgens het Hof kunnen modelcontracten nog wel een geldige grondslag bieden voor doorgifte van gegevens naar landen buiten de EU. Maar alleen als een gelijkwaardig beschermingsniveau in de praktijk kan worden gewaarborgd.
Hoe nu verder?
De European Data Protection Board (EDPB) bekijkt wat de praktische gevolgen zijn van de uitspraak. En wat eventuele vervolgstappen kunnen zijn. Op korte termijn komt de EDPB met guidance over aanvullende maatregelen die organisaties kunnen opnemen in modelcontracten.
Lees alvast: veelgestelde vragen over de uitspraak van het Hof op de website van de EDPB (in het Engels).