Hoewel dagelijks tonnen aan data heen en weer gaan tussen de Verenigde Staten (VS) en Europa, wordt er al een tijd gesjord aan de juridische basis waarop we dat doen. Recente rechtspraak uit de VS zorgt ervoor dat links en rechts aan de Europese Commissie (EC) wordt gevraagd: is deze basis nog wel houdbaar? In dit blog gaan we hier kort op in.
Een kleine herinnering aan de regels
Er zijn voorwaarden voor het delen van persoonsgegevens over de grenzen van de Europese Economische Ruimte (EER) uit de Algemene Verordening Gegevensbescherming (AVG). Deze staan in Hoofdstuk V (voor de liefhebber) en komen erop neer dat je moet zorgen dat in dat andere land, of in het andere gebied, ongeveer dezelfde soort bescherming wordt geboden voor de betrokken personen, als dat we dat hier in de EER doen. Dat kan allemaal rechtmatig als de EC besloot dat dat land adequaat is (adequaatheidsbesluit), of als bijvoorbeeld standaardovereenkomsten (die al gecheckt zijn) afgesloten zijn tussen jouw organisatie en de derde partij (Standard Contractual Clauses genoemd, SCC’s).
Veel van onze digitale infrastructuur hier in Nederland, en op veel plekken in Europa, draait op software uit de VS. Persoonsgegevens gaan heen en weer alsof het niks is en dat gebeurt voornamelijk op basis van het adequaatheidsbesluit. De EC heeft eerder namelijk besloten dat de bescherming daar voldoende was, nadat aanvullende maatregelen waren genomen onder de regering Biden.
De actualiteiten
Op dit moment (zoals al veel eerdere keren tevoren) staat dat besluit (weer) op losse schroeven. Een recente uitspraak in de VS (Trump v. Slaughter) zorgt namelijk voor twijfels over de onafhankelijkheid van toezichthoudende autoriteiten. Precies die toezichthoudende autoriteit was een van de maatregelen waardoor de EC besloot dat de bescherming in de VS adequaat was. Dat adequaatheidsbesluit wordt aangeduid met Data Privacy Framework (DPF, lees hier meer). Eind augustus stelde de EDPB (European Data Protection Board, collectief van Europese privacytoezichthouders) de EC de vraag om te bestuderen of deze uitspraak gevolgen heeft voor het adequaatheidsbesluit. Inmiddels zijn ook kamervragen beantwoord in Nederland over de consequenties hiervan.
Terecht dat de EDPB en andere partijen hierop wijzen, maar weet dat het doorlopend zo is dat de EC de houdbaarheid van adequaatheidsbesluiten moet analyseren op basis van actualiteiten en ontwikkelingen. De EC heeft inmiddels ook al aangegeven dat ze de impact van de uitspraak op het adequaatheidsbesluit bestudeert.
Als de EC oordeelt dat het adequaatheidsbesluit niet houdbaar is, is er plots geen juridische basis voor de tonnen data die heen en weer gaan over (onder?) de oceaan. Het ironische is dat die theoretische werkelijkheid niet als gevolg heeft dat praktisch er niks meer gedeeld (kan) worden en de stekkers er bij internetknooppunten uitgehaald worden (of in ieder geval, een dergelijke maatregel hebben we nog niet voor zien komen en lijkt me redelijk problematisch). Wat je wel moet doen, zegt staatssecretaris Van Bruggen in de beantwoording van de kamervragen terecht, is een alternatieve juridische basis inregelen (uit dat Hoofdstuk V AVG dus) om de rechtmatigheid van die gegevensuitwisseling te waarborgen.
“Als de Commissie het besluit (gedeeltelijk) zou intrekken of schorsen, dan zouden voor doorgiften niet langer op het DPF kunnen worden gebaseerd. Doorgiften zouden dan plaats moeten vinden op basis van andere AVG instrumenten, zoals mogelijk model contractbepalingen (SCC), bindende bedrijfsvoorschriften (BCR) [1] of, bij uitzondering, de uitzonderingen van artikel 49 AVG.“
Concluderend
Op dit moment is er veel nieuws, maar niet per se informatie die we nog niet wisten. Het DPF staat al langer op losse schroeven (een aantal jaar) en het is aan te raden daar in je bedrijfsvoering mee rekening te houden.
Hoe ziet dat eruit? Tref voorzorgsmaatregelen. De SCCs zijn in de praktijk de meest gebruikte optie naast het adequaatheidsbesluit om een gegevensuitwisseling te rechtvaardigen. Zorg dat je voorbereid bent om de SCCs af te sluiten en indexeer (mocht je dit nog niet hebben gedaan) met welke derde partijen je dat zou moeten doen. Zorg dat je de juiste informatie hebt om de specificiteiten van de uitwisseling aan te geven in de SCCs. Een optie die sommige organisaties hanteren is dat de SCCs al zijn afgesloten als plan B. Let wel: als je de SCCs afsluit, dien je ook een zogenaamde TIA (ja, serieus) uit te voeren: de Transfer Impact Assessment. Een analyse over de wet, regelgeving en praktijken in het derde land en in hoeverre die je wel of niet in staat stellen om aan de vereisten van de AVG zowel als de SCCs te kunnen voldoen. De input van de derde partij is hierbij essentieel.
Voordat je het idee hebt dat jouw organisatie nu compleet in de penarie zit of kan gaan zitten: zoals ik in het begin al aangaf, je bent niet alleen. Hoewel digitale soevereiniteit een doel is van de Europese Unie, zijn we daar nog niet.
Heb je vragen over dit proces? Schroom dan niet contact met ons op te nemen.
[1] Standard Contractual Clauses (SCC), Binding Corporate Rules (BCR)
