Door | Privacyrecht | 16 juli 2020 | 7 min. leestijd
Vandaag heeft de hoogste Europese rechter het Privacy Shield ongeldig verklaard. Het Privacy Shield was bedoeld om datadoorgifte aan Amerika in goede banen te leiden: als Amerikaanse bedrijven waren gecertificeerd onder het EU-U.S. Privacy Shield, was doorgifte van persoonsgegevens mogelijk.
Vandaag komt er een einde aan het Privacy Shield. Hieronder lees je de details.
De vereisten uit de AVG: doorgifte aan derde landen
In de AVG is opgenomen dat persoonsgegevens alleen aan derde landen (niet-EU-landen) mogen worden doorgegeven als voldaan is aan de voorwaarden uit hoofdstuk 5 van de AVG.
Daarin is onder meer opgenomen dat persoonsgegevens aan een derde land mogen worden doorgegeven als de Europese Commissie heeft besloten dat het derde land “een passend beschermingsniveau” waarborgt (artikel 45 AVG).
In het besluit met nummer 2016/1250 van de Europese Commissie is opgenomen dat de VS als land met een passend beschermingsniveau wordt gekwalificeerd voor zover persoonsgegevens worden doorgegeven aan organisaties die zijn gecertificeerd onder het Privacy Shield.
Andere mogelijkheden: passende waarborgen
Als een land niet door de Europese Commissie is bestempeld als een land met een passend beschermingsniveau, is doorgifte alleen mogelijk als er “passende waarborgen” worden geboden en “betrokkenen over afdwingbare rechten en doeltreffende rechtsmiddelen beschikken” (artikel 46 AVG).
De bedoelde passende waarborgen kunnen onder meer worden geboden door gebruik te maken van standaardbepalingen die door de Europese Commissie zijn vastgesteld (artikel 46 lid 2 sub c).
Safe Harbor en Privacy Shield
Voordat het Privacy Shield in werking trad, bestond er een Safe Harbor-beschikking. Deze beschikking hield in dat er in de VS sprake was van een “passend beschermingsniveau” voor zover bedrijven uit de VS aan de Safe Harbor Privacy Principles voldeden.
Op 6 oktober 2015 heeft het Europese Hof van Justitie deze beschikking ongeldig verklaard. Per 12 juli 2016 trad het Privacy Shield in werking.
De uitspraak: Privacy Shield ongeldig
De onderliggende feiten: Schrems/Facebook
Het geschil dat aan deze zaak ten grondslag ligt is als volgt. De Oostenrijker Schrems maakte gebruik van Facebook. Facebook gaf deze data door aan Amerika, zonder dat daar voldoende bescherming tegen publieke autoriteiten tegenover stond, aldus Schrems.
Nadat het Europese Hof van Justitie naar aanleiding van Schrems’ klachten had geoordeeld dat de Safe Harbor-bepaling ongeldig was, gaf Facebook de data door op grond “standard data protection clauses” (beslissing 2010/87). Ook deze boden volgens Schrems niet voldoende bescherming. Na het starten van de procedure hierover werd het Privacy Shield van toepassing. De verwijzende rechter heeft het Hof van Justitie daarom vragen gesteld over zowel de beslissing over de standaardclausules uit beslissing 2010/87 als het Privacy Shield.
Privacy Shield
Het Hof van Justitie moest beoordelen of het Privacy Shield – gelet op de AVG en Handvest van de grondrechten van de Europese Unie – geldig is.
Het Hof oordeelde:
(…) the limitations on the protection of personal data arising from the domestic law of the United States on the access and use by US public authorities of such data transferred from the European Union to the United States, which the Commission assessed in the Privacy Shield Decision, are not circumscribed in a way that satisfies requirements that are essentially equivalent to those required, under EU law, by the second sentence of Article 52(1) of the Charter” (onderstreping en vetgedrukte letters door CE).
In artikel 52 van het Handvest is opgenomen dat beperkingen op de uitoefening van rechten vrijheiden bij de wet moeten worden gesteld en de wezenlijke inhoud van die rechten en vrijheiden moet eerbiedigen. Beperkingen zijn mogelijk, maar alleen als zij noodzakelijk zijn en beantwoorden aan erkende doelstellingen van algemeen belang of aan de eisen van de bescherming van de rechten en vrijheden van anderen.
In dat licht is relevant: “the Court pointed out that, in respect of certain surveillance programmes, those provisions do not indicate any limitations on the power they confer to implement those programmes, or the existence of guarantees for potentially targeted non-US persons.” (zie hier)
Het Hof voegt hier nog aan toe dat er voor betrokkenen geen doeltreffende voorziening in rechte bestaat tegen VS-autoriteiten (“Furthermore, as regards both the surveillance programmes based on Section 702 of the FISA and those based on E.O. 12333, it has been noted in paragraphs 181 and 182 above that neither PPD‑28 nor E.O. 12333 grants data subjects rights actionable in the courts against the US authorities, from which it follows that data subjects have no right to an effective remedy.”).
Een ‘Privacy Shield Ombudsperson’ is bovendien onvoldoende (“the ombudsperson mechanism to which the Privacy Shield Decision refers does not provide any cause of action before a body which offers the persons whose data is transferred to the United States guarantees essentially equivalent to those required by Article 47 of the Charter.”).
Op grond van het bovenstaande beslist het Hof dat het Privacy Shield ongeldig is.
De standaardbepalingen uit Decision 2010/87 zijn wel geldig
De Standards Contractual Clauses uit Decision 2010/87 worden wel geldig bevonden.
Het Europese Hof van Justitie legt in dat kader eerst uit wat onder “passende waarborgen” moet worden verstaan:
(…) the term ‘adequate level of protection’ must, as confirmed by recital 104 of that regulation, be understood as requiring the third country in fact to ensure, by reason of its domestic law or its international commitments, a level of protection of fundamental rights and freedoms that is essentially equivalent to that guaranteed within the European Union by virtue of the regulation, read in the light of the Charter.
En het Hof legt vervolgens uit wat voor de beoordeling relevant is:
The assessment required for that purpose in the context of such a transfer must, in particular, take into consideration both the contractual clauses agreed between the controller or processor established in the European Union and the recipient of the transfer established in the third country concerned and, as regards any access by the public authorities of that third country to the personal data transferred, the relevant aspects of the legal system of that third country. As regards the latter, the factors to be taken into consideration in the context of Article 46 of that regulation correspond to those set out, in a non-exhaustive manner, in Article 45(2) of that regulation.
Of Decision 2010/87 geldig is, moet worden beoordeeld aan de hand van de vraag of de Decision “effective mechanisms that make it possible, in practice, to ensure compliance with the level of protection required by EU law and that transfers of personal data pursuant to such clauses are suspended or prohibited in the event of the breach of such clauses or it being impossible to honour them” geeft.
De Decision kent deze mechanismes, aldus het Hof. Er bestaat immers de verplichting voor zowel de partij die gegevens doorgeeft als voor de ontvanger van de gegevens om vóór de doorgifte te verifiëren of het beschermingsniveau wordt gerespecteerd. Ook is de ontvanger van gegevens verplicht om de partij die de gegevens doorgeeft te informeren over elke onmogelijkheid om te voldoen aan de standaardbepalingen. De doorgever van data is dan op zijn beurt verplicht de doorgifte uit te stellen of het contract op te zeggen.
Gevolgen
Net als de eerste zaak van Schrems (Schrems 1) gaat deze uitspraak waarschijnlijk veel impact hebben. Veel instanties maken momenteel gebruik van het Privacy Shield om doorgifte van EU-data aan Amerika mogelijk te maken. Het Privacy Shield kan nu niet langer als basis worden gebruikt voor de doorgifte. Dit kan betekenen dat de doorgifte moet worden gestaakt en er op zoek moet worden gegaan naar een andere manier om te zorgen voor rechmatige doorgifte van persoonsgegevens. Hoofdstuk 5 van de AVG biedt een aantal mogelijkheden.
De vele bedenkingen bij het Privacy Shield waren in ieder geval terecht.
