Na twee uitgebreide en gemotiveerde arresten van het Europese Hof van Justitie besluit Facebook in een eigen analyse het beter te weten. Dat blijkt uit vertrouwelijke documenten publiek gemaakt door privacy-voorvechtersgroepering Noyb.
Facebook vindt niet dat de Ierse data-beschermingsautoriteit een probleem moet maken van gegevenstransfers van Europese burgers van de EU naar de VS. Tot die conclusie komt het in een eigen vertrouwelijke analyse, die nu gelekt is door privacy-voorvechtersgroepering Noyb. Noyb is een organisatie van Max Schrems, die bijna negen jaar geleden een initiële klacht indiende tegen de gegevenstransfers van Facebook. Die klacht zorgde uiteindelijk voor de Schrems I en Schrems II-arresten van het Europese Hof van Justitie, dat hem in essentie gelijk geeft.
Wat is het probleem?
De korte samenvatting gaat als volgt: Max Schrems vindt dat de Europese grondrechten verbonden aan zijn persoonsgegevens onvoldoende gewaarborgd zijn door Facebook wanneer dat bedrijf zijn data overmaakt aan de VS. Europese Facebook-gebruikers gaan een contract aan met Facebook Ierland, maar data wordt onverminderd naar Facebook in de VS gestuurd. Schrems dient zijn klacht in bij de Ierse data-beschermingsautoriteit, waarna een lange juridische lijdensweg begint.
De kern van de zaak is een éénvoudige vraag: bieden de Verenigde Staten wanneer ze data verwerken van Europese Burgers een bescherming die vergelijkbaar is met de Europese regels? Indien de VS garandeert dat persoonsgegevens van EU-burgers op hetzelfde niveau wordt beschermd als in de Europese Unie, dan is er geen probleem met de transfer van data. Is dat niet het geval, dan is het aan de bevoegde instanties van de lidstaten (zoals in dit geval de data-beschermingsautoriteit van Ierland) om de transfer aan banden te leggen.
Duidelijke uitspraak van het Hof
De zaak culmineert in een antwoord op een prejudiciële vraag van een Ierse rechtbank bevoegd met de zaak door het Hof van Justitie van de Europese Unie. In dat besluit, gepubliceerd op 16 juli 2020, constateert het Hof na een heel uitvoerige analyse van alle relevante Europese en Amerikaanse regels dat de bescherming in de VS niet gelijkwaardig is. Voor de liefhebbers: de relevante conclusie begint op paragraaf 168.
Kort door de bocht komt het erop neer dat verschillende surveillanceprogramma’s in de VS buiten de reguliere wetgeving vallen. Met die programma’s schort naar Europese normen heel wat, maar het grootste probleem is dat een Europese burger geen toegang heeft tot een echte rechtbank die onafhankelijk eventuele klachten kan verwerken en afdwingbaar zeggenschap heeft over de acties van inlichtingendiensten. Er zijn kortom enkele mooie regels om naar te kijken, maar als EU-burger kan je ze niet afdwingen.
Het beschermingsniveau is niet gelijkwaardig.
Het beschermingsniveau is dus niet gelijkwaardig, een transfer van persoonsgegevens kan niet zomaar, en en passant vernietigt het Hof ook de Privacy Shield-regelgeving van de Europese Commissie omdat ook die voorbij gaat aan het gebrek aan bescherming door een echte rechtbank in de VS.
In zijn besluit bekrachtigt de allerhoogste rechtbank van de hele Europese Unie een eerder arrest van in 2015. Niet alleen staat de motivatie als een huis, ze heeft bovendien een ongeëvenaarde juridische kracht.
Facebook vindt van niet.
Eigen analyse, omgekeerde conclusie
Het sociale netwerk maakt zonder verpinken een eigen analyse, komt tot de omgekeerde conclusie, negeert de volledige motivatie van Schrems I en Schrems II, plaatst het juridische gewicht van het Hof van Justitie van de Europese Unie bij het grof vuil, en constateert dat de regels van de VS wél equivalent zijn. De (dubbele) onpartijdige analyse in het grootste detail van de hoogste rechterlijke macht van de EU is fout, Facebook is juist. Dus kan de Ierse data-beschermingsautoriteit alsjeblieft beslissen dat er niets aan de hand is.
Het document is te gek voor woorden, maar toont mooi hoe Facebook (en Meta) zichzelf zien: volledig boven de wet. Dat een uitspraak van het Hof die zegt dat de regels niet equivalent zijn, in juridische termen per definitie betekent dat de regels niet equivalent zijn, is volgens Facebook irrelevant. Het heeft zelf even naar de regels gekeken, en alles is in orde.
lees ook
Facebook wordt Meta: zelfde monopolist, nieuwe naam, huiveringwekkend toondoof
Meta investeert geen tijd en moeite om volgens de Europese regels te werken, die in dit opzicht enkel de bescherming van burgers voor ogen hebben, maar kiest in de plaats daarvan voor een analyse die de beslissing van het hof probeert te ondermijnen gebaseerd op niets.
De Ieren talmen intussen al erg lang met een uitspraak, tot frustratie van zowat iedereen. De Commissie dreigt er intussen zelfs mee om toezicht alsnog te centraliseren. In tussentijd waant Facebook zich boven de wet, en krijgt het vooralsnog gelijk.