Een lezer vroeg me:
Privacyorganisatie noyb liet onlangs weten dat datadoorgifte naar de VS vanwege een uitspraak van het Amerikaanse hof over de onpartijdigheid van toezichthouder FTC onrechtmatig is Ook andere experts hebben naar aanleiding van de betreffende uitspraak inmiddels hun twijfels geuit. Kan ik op basis van deze ontwikkeling nu al bezwaar aan tekenen bij bedrijven die mijn persoonsgegevens naar de VS doorsturen, of moet ik wachten totdat de EU de huidige overeenkomst ontbindt of het Europees Hof van Justitie die ongeldig verklaart, zoals het al twee keer eerder deed?Vanwege het Data Privacy Framework uit het Biden-tijdperk werd de VS “adequaat” verklaard door de Commissie. Dat wil zeggen, de Commissie oordeelde dat haar beschermingsniveau rond persoonsgegevens equivalent was aan dat van de EU. Belangrijke daarbij was dat er onafhankelijk toezicht was door de FTC.
Door de zogeheten Slaughter-uitspraak van de Supreme Court is die onafhankelijkheid onderuit gehaald. Alle regeringsfunctionarissen dienen de president, die ze dus mag ontslaan wanneer hij dat wil. Ook de voorzitter van diezelfde FTC (dat was de mevrouw Slaughter waar de zaak naar genoemd is). Dus die adequaatheid van de VS is een lachertje nu.
Formeel-juridisch staat dat besluit echter nog steeds, en het is het besluit waaronder je persoonsgegevens naar de VS mag brengen. Dus tot het moment dat dat besluit wordt ingetrokken of ongeldig verklaard, blijft die grond van kracht.
De uitspraak heeft iedereen in beweging gebracht, maar vooralsnog geen actie. De samenwerkende AVG-toezichthouders (EDPB) hebben recent in plenaire zitting gekeken naar de uitspraak, binnen de Commissie wordt ook scherp gelezen en opties overwogen, Max Schrems stuurde een sommatie, enzovoorts. Maar dat is allemaal luchtfietserij totdat of een rechter of de Commissie zelf een formele uitspraak doet.
Alle juridische routes zullen maanden, zo niet jaren in beslag nemen. Het hoger beroep in de Latombe-zaak is waarschijnlijk de eerste kans. Schrems loopt zich warm voor een nieuwe rechtszaak, en hij zal niet de enige zijn, maar hij zal eerst bij de nationale rechter een uitspraak moeten krijgen die vragen stelt aan het Hof.
Het is dan wel weer zo dat zodra die uitspraak er is, het over en uit is voor het DPF als adequaatheidsgrond. En dan houdt het wel een beetje op met de US cloud. Mocht je denken, dan gebruiken we de Standard Contractual Clauses, besef dan dat je daarvoor eerst een transfer impact assessment (TIA) moet doen en daarin zélf moet uitzoeken hoe adequaat de VS is voor jouw voorgenomen overdracht van persoonsgegevens. Als er dan een arrest van het Hof ligt dat daar gehakt van maakt, dan is dat een onhaalbare kaart.
Nu per direct juridische actie om overdracht te stoppen gaat dus niet. Maar afglijden naar vernietiging van het DPF lijkt onafwendbaar.
Arnoud
Altijd jammer dat dit weer jaren gaat duren (en in de tussentijd er mogelijk weer een andere wind in de VS kan gaan waaien). Dit gedoe rondom privacy en de VS is een nu al jaren durende klucht.
Als nu achteraf blijkt dat het onterecht was dat je op de uitspraak kon vertrouwen toen je je data naar de VS bracht, hoeveel kans loop je dan dat je alsnog met stevige claims om de oren wordt geslagen. Als dat kan lijkt me dat een goede manier om eindelijk een keer die klucht ten einde te brengen.
Dat is niet jammer. De Europese cloud aanbieders zijn helemaal niet klaar om alle klanten over te nemen. Die capaciteit bezitten ze nu niet en het duurt jaren om uit te breiden. Maar ik hoop wel dat met name overheden al steeds meer gaan kiezen voor Europese cloudaanbieders om daarmee de uitbreiding van de Europese cloud te stimuleren
Irrelevant. De vraag is of europese cloud aanbieders de capaciteit hebben om nu mee te groeien met alle klanten die nu beginnen met de migratie naar de eu cloud. Het duurt jaren om hun capaciteit uit te breiden en het duurt jaren om als bedrijf compleet te migreren. Dus als ze dat samen doen zijn we over een paar jaar over.
Het probleem is dat de meeste klanten waarschijnlijk gewoon niks gaan doen, zoals alle vorige keren, afwachten tot dit er helemaal doorheen is, en dan pas gaan beginnen met de migratie.
Wat helemaal jammer is, is dat bedrijven gewoon door zullen gaan en dan als er over twee jaar een uitspraak ligt zullen roepen “ja maar we hebben nog een jaar nodig om onze processen opnieuw in te richten!”
Ik vind op zijn minst dat er dan een rechter daar een streep door moet kunnen trekken, en zeggen “dit zat er al twee jaar aan te komen, stop all je processen maar, jammer van je bedrijfsvoering, dat risico heb je zelf genomen door er mee door te gaan”.
Maar dat doen ze natuurlijk niet.
Ik voorzie vele, vele claimclubs die precies dit gaan eisen zodra dat arrest of besluit van de Commissie er is.
Het is misschien ook wenselijk dat er ergens een tussenvonnis komt dat organisaties kunnen oppakken als een startpunt om al te beginnen met migreren
Ik denk dat men, met Noyb voorop, te snel een conclusie heeft getrokken over de houdbaarheid van DPF. Noyb had uiteraard binnen een paar uur de persberichten online, gepaard met allerhande verdachtmakingen aan het adres van de Commissie die aangaf de uitspraak simpelweg eerst te moeten bestuderen. Maar als je bijvoorbeeld een wat meer diepgaande analyse bij IAPP leest, dan wordt de soep mogelijk niet zo heet gegeten.