Privacy-activist Max Schrems waagt zich aan een derde poging om Europese datastromen naar Amerika aan banden te leggen.
De trans-Atlantische afspraken over datatransfers tussen de EU en de VS staan opnieuw onder druk, tien jaar nadat privacyactivist Max Schrems de eerste bres sloeg. Waar zijn klachten eerder al Safe Harbor en Privacy Shield deden sneuvelen, staat nu ook het EU-US Data Privacy Framework uit 2023 op de helling.
Een recente uitspraak van het Amerikaanse Hooggerechtshof zet vraagtekens bij de onafhankelijkheid van toezichthouder FTC (Federal Trade Commission), terwijl het Franse parlementslid Philippe Latombe en Schrems zelf nieuwe juridische procedures voeren. Zelfs Microsoft mengt zich in de strijd, maar dan om te voorkomen dat een derde raamwerk het loodje legt. De Oostenrijker Schrems haalde twee keer zijn slag, zal het een derde keer lukken?
Schrems I-arrest
Schrems’ invloeden dateren al van 2015 toen de Oostenrijker klacht indiende tegen Facebook. Volgens hem stuurde het bedrijf zijn persoonsgegevens vanuit Europa door naar servers in de Verenigde Staten. Schrems argumenteerde dat de VS onvoldoende bescherming boden tegen massale surveillance door inlichtingendiensten, wat aan het licht kwam door de onthullingen van klokkenluider Edward Snowden.
Het Europese Hof van Justitie volgde die redenering en verklaarde in oktober 2015 de zogenaamde Safe Harbor-overeenkomst ongeldig. Dat akkoord regelde jarenlang de doorgifte van gegevens tussen de EU en de VS, maar bood volgens het Hof geen adequaat beschermingsniveau voor Europese burgers.
Privacy Shield
Na het sneuvelen van Safe Harbor kwam er een nieuw kader, het Privacy Shield, en bleven bedrijven ook gebruikmaken van zogenaamde standaardcontractbepalingen (Standard Contractual Clauses) om data legaal te versturen.
Schrems trok opnieuw naar de rechter, en in juli 2020 verklaarde het Europees Hof van Justitie ook het Privacy Shield ongeldig, opnieuw wegens de te vergaande toegang van Amerikaanse overheidsdiensten tot Europese gegevens (Schrems II-arrest). Zelfs Bidens inspanningen mochten destijds niet baten. Een nieuw akkoord diende zich aan: het EU-US Data Privacy Framework (DPF).
(Niet zo) onafhankelijke toezichthouder
Die regelgeving uit 2023 staat nu ook op drijfzand. De Europese Commissie oordeelde namelijk dat de VS een beschermingsniveau moest bieden dat gelijkwaardig is aan dat van de EU. Cruciaal daarbij is dat de VS een onafhankelijke toezichthouder heeft, namelijk de consumentenwaakhond FTC (Federal Trade Commission).
Die onafhankelijkheid wordt nu in twijfel getrokken. Het Amerikaanse Hooggerechtshof (Trump v. Slaughter) oordeelde namelijk recent dat de Amerikaanse president de bevoegdheid heeft om commissarissen van de FTC te ontslaan. Dit zorgt voor nieuwe vraagtekens omtrent politieke onafhankelijkheid.
Schrems III?
Het is Frans parlementslid Philippe Latombe die deze onafhankelijkheid in twijfel trok. Hij stapte reeds naar het Hof om het DPF te laten vernietigen, omdat het volgens hem in strijd is met de regels van artikel 45(2) van de GDPR. Latombe heeft zijn twijfels bij de echte onafhankelijkheid van de rechtbanken in de VS. De klacht werd in eerste instantie verworpen door het Gerecht van de Europese Unie, waarna Latombe in beroep ging.
Opnieuw duikt Schrems op met dezelfde bedenkingen. Hij schreef een brief aan de Europese Commissie met de vraag om een ’ordelijke terugtrekking’ uit de data-afspraken met de VS. Daarnaast kondigt hij een nieuwe juridische procedure aan voor het Hof van Justitie.
Tussenkomst Microsoft
Het EU-US Data Privacy Framework maakt ondertussen sinds 2023 trans-Atlantische datatransfers mogelijk, wat volgens grote Amerikaanse bedrijven noodzakelijk is om zaken te kunnen doen met Europese landen. Dat geldt ook voor Microsoft. De Amerikaanse techgigant krijgt bovendien de toestemming om de Europese Commissie bij te staan in de zaak Latombe.
Microsoft zal dus als betrokken partij tussenkomen aan de zijde van de Europese Commissie, ter verdediging van het DPF-akkoord. De techgigant wil voorkomen dat ook dit raamwerk van tafel wordt geveegd. Een derde doodsteek zien Amerikaanse bedrijven die ook in Europa actief zijn niet graag komen.