“1. Een doorgifte van persoonsgegevens aan een derde land of een internationale organisatie kan plaatsvinden wanneer de Commissie heeft besloten dat het derde land, een gebied of één of meerdere nader bepaalde sectoren in dat derde land, of de internationale organisatie in kwestie een passend beschermingsniveau waarborgt. Voor een dergelijke doorgifte is geen specifieke toestemming nodig.”
Momenteel bestaat er geen adequaatheidsbesluit tussen de EU en de VS, zodat gegevensimporteurs en -exporteurs voor hun gegevensoverdrachten naar de VS een beroep moeten doen op andere juridische basissen (b.v. bindende bedrijfsvoorschriften, door de Commissie gepubliceerde standaardclausules, zo nodig aangevuld met aanvullende maatregelen, enz.) Het gebruik van deze andere rechtsbasissen schept echter meer onzekerheid dan een adequaatheidsbesluit.
In het verleden had de Europese Commissie twee adequaatheidbesluiten genomen naar de VS: het eerste besluit was het "Safe Harbor" besluit; tet tweede besluit was het "Privacy Shield" besluit. Deze besluiten werden echter voor het Hof van Justitie aangevochten door de bekende Oostenrijkse privacy-activist Max Schrems. Naar aanleiding van deze procedures heeft het HvJ de door de Europese Commissie genomen adequaatheidbesluiten ongeldig verklaard, omdat het Hof van oordeel was dat het "Safe Harbor"[2] besluit en het "Privacy Shield"[3] besluit geen passende waarborgen voor de bescherming van de doorgegeven gegevens boden.
De Europese Commissie heeft aangegeven dat het akkoord vooralsnog beperkt blijft tot een principeakkoord. De concrete inhoud van de overeenkomst is dus nog niet bekend. Max Schrems heeft in reactie op deze aankondiging reeds aangegeven dat dit besluit waarschijnlijk voor het HvJ zal worden aangevochten indien na analyse zou blijken dat het besluit geen passende bescherming van de doorgegeven gegevens waarborgt4.
Het valt nog te bezien of dit derde adequaatheidsbesluit de zwakke punten zal verhelpen die het HvJ in verband met de twee vorige adequaatheidsbesluiten heeft vastgesteld, dan wel of dit derde besluit hetzelfde lot beschoren zal zijn als het Safe “Harbor” besluit en het “Privacy Shield”-besluit.
Guillaume Pomes
1Europese Commissie, Press realease : « European Commission and United States Joint Statement on TransAtlantic Data Privacy Framework Brussels », 25 maart 2022.
2HvJEU, C-362/14, arrest van 6 oktober 2015, Maximillian Schrems/Commissaris voor gegevensbescherming
3HvJEU, C-311/18, arrest van 16 juli 2020, Data Protection Commisssioner tegen Facebook Ireland Ltd en Maximillian Schrems.
4Verklaring van Max Schrems naar aanleiding van de aankondiging van het principeakkoord: "« (…). "The final text will need more time, once this arrives we will analyze it in depth, together with our US legal experts. If it is not in line with EU law, we or another group will likely challenge it. In the end, the Court of Justice will decide a third time. We expect this to be back at the Court within months from a final decision. (…) ". Beschikbaar op: https://noyb.eu/en/privacy-shield-20-first-reaction-max-schrems
