Schrems II: Privacy Shield ongeldig, doorgifte op standaardclausules alleen met gelijkwaardige bescherming

Waar het over gaat

Kernvraag: mogen persoonsgegevens naar de Verenigde Staten worden doorgegeven op basis van het Privacy Shield of op basis van standaardcontractbepalingen, terwijl Amerikaanse inlichtingendiensten ruime toegang hebben? Oordeel: het Privacy Shield besluit (2016/1250) is ongeldig. De standaardcontractbepalingen (besluit 2010/87) blijven geldig. Wel moet de verantwoordelijke of verwerker in de EU per geval, zo nodig samen met de ontvanger, controleren of het recht van het derde land een beschermingsniveau biedt dat in wezen gelijkwaardig is aan dat in de EU. Zo niet, dan moet hij aanvullende maatregelen nemen of de doorgifte schorsen of beeindigen. Bestaat er geen geldig adequaatheidsbesluit en stopt de verantwoordelijke of verwerker niet zelf, dan moet de toezichthouder de doorgifte schorsen of verbieden als die bescherming niet op een andere manier kan worden gegarandeerd.

Wat dit betekent voor de praktijk

Voor elke doorgifte buiten de EU op standaardcontractbepalingen moet u een beoordeling van het recht van het ontvangende land maken en vastleggen (transfer impact assessment). Waar de wet van dat land te ver gaat, moet u aanvullende maatregelen zoals versleuteling zonder sleutel bij de ontvanger inzetten of de doorgifte staken. Voor de VS geldt sinds juli 2023 het EU-US Data Privacy Framework (uitvoeringsbesluit 2023/1795) als opvolger voor gecertificeerde organisaties, maar de toets uit dit arrest blijft de maatstaf voor alle andere landen en voor leveranciers die niet onder dat kader vallen.

De AVG-artikelen waar het om gaat

• Artikel 2: Materieel toepassingsgebied
• Artikel 44: Algemeen beginsel inzake doorgiften
• Artikel 45: Doorgiften op basis van adequaatheidsbesluiten
• Artikel 46: Doorgiften op basis van passende waarborgen
• Artikel 58: Bevoegdheden