Hof van Justitie 16 juli 2020, ECLI:EU:C:2020:559

Met dank aan privacy-activist Max Schrems, gaat de Europese Commissie in juli 2020 voor de tweede keer^[1] indirect onderuit in het vraagstuk omtrent de doorgifte van persoonsgegevens naar Amerika.

De algemene verordening gegevensbescherming^[2] (“AVG”) bepaalt namelijk dat de doorgifte van
persoonsgegevens naar een derde land buiten Europa in beginsel alleen kan plaatsvinden indien het derde land een passend beschermingsniveau waarborgt.

Om de doorgifte van persoonsgegevens met passende waarborgen mogelijk te maken, maakt
de Europese Commissie in eerste instantie met Amerika afspraken via het Safe Harbor construct. Maar het Hof van Justitie verklaart dit in 2015 ongeldig.^[3]

In een tweede poging komt de Europese Commissie met Privacy Shield. Maar in deze uitspraak van 16 juli 2020, verwijst het Hof van Justitie dit construct dus wederom naar de prullenbak. Het Hof stelt kort gezegd vast dat aan Europeanen géén, voor de Amerikaanse rechter afdwingbare, rechten worden toegekend tegenover Amerikaanse autoriteiten (zoals de veiligheidsdiensten).

Anno 2025 is de doorgifte van persoonsgegevens nog altijd actueel en een heet hangijzer. In een
derde poging is de Europese Commissie in 2022 gekomen met het EU-U.S. Data Privacy
Framework (“DPF”). De vraag is echter of we dit droog houden. Want Schrems wil ook dit DPF laten toetsen door het Hof van Justitie. Dus we weten nu al dat er een Schrems III zal komen. 

Ondertussen zaagt Trump ook aan de poten van het DPF, door alle democraten uit de toezichthouder op de Amerikaanse veiligheidsdiensten te ontslaan. Met als gevolg dat deze toezichthouder feitelijk vleugellam is gemaakt.^[4]

Daarnaast speelt er nu de discussie dat Europa veel te afhankelijk is geworden van Amerikaanse
Bigtech, zoals bijvoorbeeld cloud aanbieders. In Nederland heeft dit er bijvoorbeeld toe geleid
dat de Tweede Kamer in maart een motie heeft aangenomen, die de regering oproept om een
aanbesteding uit te schrijven voor een - volledig in Nederland beheerde - “rijkscloud”.^[5]

Maar ja, is het überhaupt mogelijk om volledig onafhankelijk te worden van Amerikaanse Bigtech? Laat ik mezelf als voorbeeld nemen: ik heb een iPhone, laat me door Google vertellen waar ik heen moet en werk met spulletjes van Microsoft. Oh, en ik zit op Whatsapp. 

Vandaar mijn keuze voor de titel “can’t live with or without you”.^[6]

Het kan haast niet anders dan dat er bij de presentatie van de ‘Legal100’ ontwikkelingen zijn te melden in het dossier doorgifte van persoonsgegevens naar Amerika. Dus hierbij mijn sollicitatie om bij AVDR een inhoudelijke sessie aan dit dossier te besteden. En als het aan mij ligt: wel meer dan één sessie.

Dan is een tip om de AVDR goed te volgen natuurlijk wat flauw. Maar volg vooral wel de Amerikaanse Bigtech zelf. Die hebben er immers alle baat en belang bij om zo compliant mogelijk te zijn met de AVG, dus ook op het vlak van doorgifte naar Amerika. Of: zorg dat je onafhankelijk van ze wordt.

^[1] Deze uitspraak van het Hof van Justitie staat daarom ook bekend als “Schrems II”. Feitelijk draait de zaak om de houdbaarheid van gemaakte afspraken tussen Europa en Amerika over de doorgifte van persoonsgegevens via het construct “Privacy Shield”.

^[2] Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46 (PB 2016, L 119).

^[3] Deze zaak staat, niet heel verbazingwekkend, dus bekend als Schrems I. Arrest van het Hof van Justitie, 6 oktober 2015, C 362/14

^[4] Er is nu namelijk maar één lid, een republikein.

^[5] Op LinkedIn gaan trouwens stemmen op om dit initiatief een andere naam te geven. Rijkscloud zou ‘te Duits’ klinken.

^[6]Niet onvermeld kan blijven dat dit nummer van U2 natuurlijk een pareltje is.