De datadoorgifte naar de VS gaat voorlopig gewoon door. Dat schrijft staatssecretaris Van Bruggen van Justitie en Veiligheid in antwoorden op Kamervragen. In de Tweede Kamer ontstonden zorgen over de uitwisseling van persoonsgegevens tussen de Europese Unie en de Verenigde Staten. Aanleiding was een uitspraak van het Amerikaanse hooggerechtshof. Kamerleden vroegen zich af of die uitwisseling nog wel mag. Ook wilden zij weten of Nederland een verbod kan opvangen. De staatssecretaris ziet vooralsnog geen reden voor extra maatregelen.
Europese regels staan doorgifte van persoonsgegevens naar landen buiten de EU maar beperkt toe. Een adequaatheidsbesluit vormt een van die mogelijkheden. De Europese Commissie stelt dan vast dat een land gegevens net zo goed beschermt als de AVG voorschrijft. Vijftien landen kregen zo een besluit, waaronder de Verenigde Staten. Zonder zo’n besluit gelden strengere voorwaarden voor bedrijven. De EU eist daarbij dat een onafhankelijke autoriteit toezicht houdt. De Amerikanen wezen daarvoor de Federal Trade Commission aan. Het hooggerechtshof oordeelde onlangs dat de onafhankelijkheid van de FTC ongrondwettig is. Privacyorganisatie noyb spreekt daarom van het einde van het Data Privacy Framework. Oprichter Max Schrems roept de Europese Commissie op om het adequaatheidsbesluit over de VS in te trekken.
PRO-Kamerlid Kathmann stelde haar vragen kort na die uitspraak. Van Bruggen erkent dat de zaak terechte vragen oproept over de positie van de FTC. Die toezichthouder handhaaft immers het DPF. Toch legt de staatssecretaris het oordeel nadrukkelijk bij de Europese Commissie. Brussel liet de lidstaten weten de uitspraak te onderzoeken. Daarbij noemt de Commissie een brede evaluatie van het Amerikaanse rechtssysteem nodig. Tot nader order blijft het adequaatheidsbesluit gewoon van kracht. Daarmee schuift het kabinet de beslissing dus naar Brussel. Kathmann wilde ook weten of Nederland klaar is voor een ongeldig DPF. Een algemeen antwoord geeft de staatssecretaris niet. De gevolgen verschillen volgens haar per sector en per verwerking van persoonsgegevens.
Een streep door het DPF betekent niet meteen het einde van Amerikaanse cloudproviders, aldus Van Bruggen. Wel moeten organisaties dan een passende oplossing zoeken. Dat geldt zeker voor clouddiensten die gegevens in de VS opslaan of verwerken. Ook bij rechtstreekse toegang door een Amerikaanse partij is actie nodig. Kathmann noemde minder afhankelijkheid van Amerikaanse techbedrijven de enige zekere maatregel. Die conclusie deelt de staatssecretaris niet. Minder afhankelijkheid verkleint risico’s, maar vormt volgens haar niet de enige route. Organisaties kunnen rechtmatige doorgifte ook borgen met doorgifte-instrumenten uit de AVG. Zo houden zij meerdere opties om gegevens rechtmatig te versturen. Ondertussen blijft de druk vanuit privacyorganisaties op Brussel bestaan. Voorlopig verandert er dus weinig voor partijen die data met de Verenigde Staten uitwisselen.
