Het uitwisselen van data tussen de Europese Unie en de Verenigde Staten kan vooralsnog gewoon doorgaan, zo laat staatssecretaris Van Bruggen van Justitie en Veiligheid in een reactie op Kamervragen weten. In de Tweede Kamer waren zorgen ontstaan of de EU en de VS na een uitspraak van het Amerikaans hooggerechtshof nog wel persoonsgegevens mogen uitwisselen en of Nederland wel voorbereid is mocht dit straks niet meer mogen.

De doorgifte van persoonsgegevens naar landen buiten de Europese Unie is alleen in bepaalde gevallen toegestaan. Eén van die gevallen is op basis van een adequaatheidsbesluit. De Europese Commissie moet dan bepalen dat het land persoonsgegevens van Europeanen op een niveau beschermt dat vergelijkbaar is met de AVG. Voor vijftien landen is een dergelijk adequaatheidsbesluit genomen, waaronder de Verenigde Staten.

Eén van de eisen die de EU stelt is dat in het betreffende land een "onafhankelijke" autoriteit toezicht houdt. De Verenigde Staten heeft hiervoor de Federal Trade Commission (FTC) aangewezen. Het Amerikaans hooggerechtshof bepaalde onlangs dat de onafhankelijkheid van de FTC ongrondwettig is. Volgens privacyorganisatie noyb is hiermee het Data Privacy Framework (DPF), het akkoord voor de data-uitwisseling tussen de EU en VS, opgeblazen. Privacy-activist en noyb-oprichter Max Schrems riep de Europese Commissie op om het adequaatheidsbesluit over de VS in te trekken.

Tot nader order van kracht
PRO-Kamerlid Kathmann stelde naar aanleiding van de uitspraak van het hooggerechtshof Kamervragen. Volgens Van Bruggen roept de uitspraak van het hof terecht de vraag op in hoeverre de onafhankelijkheid van de FTC als handhavende autoriteit onder het DPF wordt geraakt. Het is echter aan de Europese Commissie om hier een oordeel over te vellen. Brussel heeft de lidstaten laten weten de beslissing van het hof te onderzoeken en aangegeven dat een brede evaluatie van het functioneren van het VS-rechtssysteem nodig is. "Tegelijkertijd benadrukt de Commissie daarbij dat het adequaatheidsbesluit tot nader order van kracht blijft", voegt de staatssecretaris toe.

Kathmann wilde ook weten of Nederland is voorbereid op een scenario waar bij het DPF ongeldig wordt verklaard. "Welke gevolgen dit voor Nederland heeft, hangt af van de desbetreffende sector en de verwerkingen van persoonsgegevens die daarbinnen plaatsvindt. Een algemeen antwoord valt hierop dan ook niet te geven", reageert de staatssecretaris. Ze voegt toe dat een ongeldigverklaring van het DPF niet hoeft te betekenen dat Amerikaanse cloudproviders niet meer gebruikt kunnen worden. "Wel is het voor clouddiensten die gegevens in de VS opslaan of verwerken, of waarbij een Amerikaanse partij rechtstreeks toegang heeft tot gegevens, in ieder geval nodig om een passende oplossing te vinden."

Minder afhankelijk
"Deelt u de mening dat de enige zekere maatregel om onrechtmatige data-uitwisseling met de Verenigde Staten te voorkomen is om veel minder afhankelijk te worden van Amerikaanse techbedrijven?", vroeg Kathmann ook aan de staatssecretaris. Die is het hier niet mee eens. "Minder afhankelijk worden van Amerikaanse leveranciers kan risico’s verkleinen, maar is niet de enige mogelijke maatregel. Rechtmatige doorgifte kan ook worden geborgd met doorgifte instrumenten onder de AVG." Het gaat dan bijvoorbeeld om model contractbepalingen (SCC) of bindende bedrijfsvoorschriften (BCR). "Als die combinatie de risico’s niet voldoende wegneemt, is doorgifte niet toegestaan en moet deze worden beëindigd', voegt Van Bruggen toe.