Het Gerecht van de EU houdt de huidige regelgeving rond datatransfers tussen de EU en de VS in stand. De regelgeving doorstaat zo een toets die Privacy Shield fataal werd.
De Gerecht van de Europese Unie heeft het beroep tot nietigverklaring van het nieuwe trans-Atlantische kader voor gegevensoverdracht tussen de EU en de VS verworpen. Volgens de rechtbank biedt de VS op dit moment een passend beschermingsniveau voor persoonsgegevens.
De uitspraak komt er nadat de Franse parlementariër Philippe Latombe de geldigheid van het adequaatheidsbesluit van de Europese Commissie, goedgekeurd op 10 juli 2023, had aangevochten. Dat besluit laat de overdracht van persoonsgegevens vanuit de EU naar Amerikaanse organisaties toe zonder bijkomende autorisatie.
Derde keer…
Het besluit kwam er nadat twee regelgevingen rond dergelijke transfers door de Europese justitie werden vernietigd. Safe Harbor en in 2020 Privacy Shield voldeden niet aan de Europese regels rond de bescherming van persoonsgegevens. Het besluit van 10 juli 2023 volgt die mislukte kaders op en is gebouwd op de oprichting van een onafhankelijk Amerikaans toezichtsorgaan dat zaken rond dataprivacy behandelt: het Data Protection Review Court (DPRC).
Latombe stelde dat het DPRC in feite niet onafhankelijk zou zijn, aangezien het ingericht werd door een presidentieel besluit. Bepaalde al dan niet oranje leiders zouden de rechtbank kunnen afschaffen of naar hun hand zetten, vreest hij.
De Commissie oordeelde eerder dat de onafhankelijkheid wel voldoende gegarandeerd was en liet op die grond datatransfers toe. Verder hekelde Latombe de mogelijkheid voor Amerikaanse inlichtingendiensten om persoonsgegevens in bulk te verzamelen, zonder voorafgaande toestemming van een rechterlijke instantie.
Voldoende waarborgen
Het Gerecht vindt echter dat de regels rond het DPRC voldoende waarborgen bevatten om te garanderen dat de rechtbank effectief onafhankelijk te functioneert. Zo kunnen rechters enkel om geldige redenen worden ontslagen, en mogen noch de Amerikaanse procureur-generaal noch inlichtingendiensten hun werk beïnvloeden.
De rechtbank verwijst bovendien naar het voortdurende toezicht van de Europese Commissie, die het besluit rond de datatransfers kan schorsen of intrekken indien de Amerikaanse regelgeving wijzigt. Als rechters bijvoorbeeld plots politiek benoemd zouden worden, kan de Commissie zelf actie ondernemen.
Achteraf mag ook
Wat betreft de bulkverzameling van persoonsgegevens stelt de rechtbank vast dat voorafgaande toestemming voor datacollectie niet noodzakelijk vereist is volgens het Schrems II-arrest. Wel moet er achteraf juridische toetsing mogelijk zijn. De DPRC biedt die mogelijkheid, wat volgens de rechtbank voldoet aan de Europese vereisten.
De rechters benadrukken dat het Amerikaanse wettelijk kader, inclusief het presidentieel besluit van oktober 2022 en bijhorende regelgeving, voldoende bescherming biedt die in essentie gelijkwaardig is aan die binnen de EU. Dat is de lat die gehaald dient te worden voor wettige datatransfers. De rechtbank wijst het beroep daarom volledig af.
Tegen de beslissing van het Gerecht kan nog beroep worden aangetekend bij het Europees Hof van Justitie, maar enkel op juridische gronden.