Geen data meer naar de VS: wat zijn de gevolgen?

We maken vaak (onbewust) gebruik van diensten buiten Europa. Met de Verenigde Staten als grootste leverancier. Daar was weinig mis mee, tot het Europees Hof van Justitie in juli een besluit nam dat die vanzelfsprekendheid in één klap wegnam.

Op 16 juli 2020 is het zogenaamde Privacy Shield ongeldig verklaard door het Europese Hof van Justitie. Europese organisaties zien hiermee hun juridische basis voor data-uitwisseling met de Verenigde Staten als sneeuw voor de zon verdwijnen. Aan de hand van een aantal veelgestelde vragen leggen we uit wat voor gevolgen deze beslissing heeft.

Wat was het Privacy Shield?

Het Privacy Shield was erop gericht om de uitwisseling van persoonlijke data tussen de Europese Unie en de Verenigde Staten mogelijk te maken. Hiermee gold het als waarborg dat Amerikaanse bedrijven alsnog Europese data mochten opslaan, zonder in overtreding te zijn van de GDPR (General Data Protection Regulation).

Voor de GDPR (of in het Nederlands: de AVG) geldt dat je als Europeaan gegevens uit mag wisselen met landen die veilig genoeg geacht worden: het adequaatheidsbesluit. De Verenigde Staten vielen echter buiten die veilige lijst.

Om toch te kunnen blijven handelen, werd het Privacy Shield-programma opgezet. Met het verdwijnen van dit programma verdwijnt ook de juridische grond voor organisaties binnen de EU voor data-uitwisseling met de 5368 Amerikaanse organisaties die aangesloten zijn bij het Privacy Shield.

Waarom werd het Privacy Shield ongeldig verklaard?

De reden dat de VS niet op de ‘veilige’ lijst staat, is dezelfde reden als waarom het Privacy Shield uiteindelijk af is gewezen. De Amerikaanse wetgeving staat de eigen overheidsdiensten namelijk toe om zich te mengen in data binnen de private sector, door onder andere het beruchte FISA 702. Dat staat haaks op de basis van de GDPR, die juist ontworpen is om persoonlijke gegevens van consumenten te beschermen.

Wat nu?

Kies een van de volgende opties:

• Dien een verzoek in bij de leverancier om aan de voorwaarden van de GDPR te voldoen (géén EU-VS data-uitwisseling meer) en hoop dat de leverancier daar op korte termijn werk van maakt;
• Wacht niet af, maar stap over op een alternatief binnen de Europese Unie (let op: sinds Brexit valt de UK daar niet meer onder).

Gewoon de Amerikaanse tools blijven gebruiken mag dus niet zomaar meer en kan een forse AVG-boete betekenen.