Strijd om datadoorgifte naar VS niet gestreden

Bij het lezen van de verklaring van het overkoepelde orgaan van alle Europese privacytoezichthouders – de EDPB – over de door Joe Biden en Ursula von der Leyen groots aangekondigde trans-Atlantische datadeal bekroop mij direct het gevoel van “everything before the but, sucks”.

Je kunt het zelfs letterlijk zo teruglezen bij het persbericht van de Autoriteit Persoonsgegevens (AP) over de EDPB-verklaring:

de Europese privacytoezichthouders vinden het een goede eerste stap (…). Maar, waarschuwen ze (…).

De Europese Commissie mag haar borst dus natmaken, want ik voorspel u: de ‘Amerikaanse doorgiftestrijd’ is nog lang niet gestreden.

Direct na de aankondiging van de deal was privacyactivist Max Schrems er zelf al als de kippen bij. Hij voorspelt onder meer een traject van maanden voordat er een definitief juridisch akkoord ligt. Ook hij heeft al aangekondigd dat hij voor een Schrems III-uitspraak van het Europees Hof van Justitie zal gaan. En u weet: de eerste twee ronden bij het Europees Hof heeft hij met glans gewonnen.

De EDPB doet daar nu een schepje bovenop in haar verklaring. Allereerst wijst de EDPB de Commissie er fijntjes op dat zij eerst een voorafgaande opinie van de EDPB moet vragen over het juridische akkoord. Ten tweede waarschuwt de EDPB dat zij alsdan “in detail” zal onderzoeken of het nieuwe akkoord verzekert dat het verzamelen van gegevens voor nationale veiligheidsdoeleinden in de VS is beperkt tot hetgeen “strikt noodzakelijk” is en “proportioneel”.

Vervolgens komt de EDPB tot de kern die het Europees Hof in de Schrems II-uitspraak heeft geuit. Ik neem de vrijheid die kern eerst vanuit het officiële, Engelse bericht van de EDPB zelf te citeren:

the EDPB will also examine to what extent the announced independent redress mechanism respects the EEA individuals’ right to an effective remedy and to a fair trial. In particular, the EDPB will look at whether any new authority part of this mechanism has access to relevant information, including personal data, when exercising its mission and can adopt decisions binding on the intelligence services. The EDPB will also consider whether there is a judicial remedy against this authority’s decisions or inaction.

Kortom, de EDPB zal zich concentreren op de vraag of EU-burgers nu daadwerkelijk rechten krijgen die zij voor de rechtbanken tegenover de Amerikaanse overheidsdiensten kunnen afdwingen. Want het Europees Hof stelde vast in de Schrems II-uitspraak dat dit onder Privacy Shield geenszins het geval was (voor de liefhebber: zie rechtsoverweging 181 van de uitspraak).

Als laatste viel me nog iets op in het persbericht van de AP over de EDPB-verklaring. We zitten immers nog steeds met smart te wachten op de Google Analytics-beslissing van de waakhond, die ook zit met dit doorgifteprobleem. En we hebben al gezien dat de EU-waakhonden die hier wél al over beslist hebben de positie nemen dat aanvullende maatregelen van Google het probleem van de Amerikaanse wetgeving niet wegnemen. En aldus Google Analytics hebben verboden.

Maar het persbericht van de AP lijkt de deur hier toch op een kier te zetten. Lees maar even mee:

Momenteel beschermen de Amerikaanse wetten de persoonsgegevens van Europeanen onvoldoende.(…) Sinds het wegvallen van het Privacy Shield is het voor organisaties alleen mogelijk om persoonsgegevens vanuit de EU naar de VS te exporteren als zij (…) extra aanvullende maatregelen garanderen dat die persoonsgegevens veilig zijn. Als dat (…)niet lukt, is de doorgifte van persoonsgegevens naar de VS niet toegestaan.

Ik lees hierin toch echt dat de AP van mening is dat met de juíste, aanvullende maatregelen een doorgifte naar Amerika wel degelijk mogelijk is. Ik ben benieuwd of meer mensen dit zo lezen.

Maar één conclusie is nu wel duidelijk. “Never a dull moment” bij de Amerikaanse doorgiftestrijd, én “the saga continues”. Ik kom er dus bij AG Connect zeker weer op terug.