Nieuw "EU-US Privacy Shield" voor de transfer van EU-persoonsgegevens naar de VS

Op 2 februari 2016 maakte de Europese Commissie in een persbericht bekend dat er een nieuw politiek akkoord is met de US Department of Commerce dat een transfer van persoonsgegevens van de Europese Unie (EU) naar de Verenigde Staten van Amerika (VS) terug mogelijk maakt.

In een eerdere analyse hadden we het over de "Schrems" beslissing van het Hof van Justitie van 6 oktober 2015 dat tot de ongeldigheid leidde van het EU-VS Safe Harbor Framework inzake de doorgifte van EU persoonsgegevens en de juridische lacunes als gevolg hiervan.

Het "EU-US Privacyshield" komt in de plaats van het "Safe Harbor Framework" en wenst tegemoet te komen aan de kritiek van het Hof van Justitie over de waarborgen van een passend beschermingsniveau in de VS. Hierdoor kwamen ondernemingen zoals Facebook of Google, die EU persoonsgegevens doorgeven aan de VS, in een juridisch vacuüm terecht.

De belangrijkste krijtlijnen van het nieuwe akkoord worden hierna uiteengezet:

• Elke EU burger die meent dat zijn persoonsgegevens worden misbruikt zal over verschillende beroepsmogelijkheden beschikken.
  
  Bedrijven in de VS zullen deadlines moeten respecteren om te antwoorden op klachten.
  
  Europese data beschermingsautoriteiten kunnen klachten doorspelen aan het Departement of Commerce en Federal Trade Commission en er zal een ombudsman in de VS worden gecreëerd die specifieke klachten zal behandelen van EU burgers.
• Bedrijven in de VS, die EU-persoonsgegevens importeren, worden onderworpen aan strenge verplichtingen over de manier waarop ze persoonsgegevens verwerken en individuele grondrechten, zoals de bescherming van privacy, garanderen.
• Daarnaast zou de VS duidelijke geschreven garanties hebben gegeven dat de toegang van de VS overheid tot de data gelimiteerd en proportioneel zal zijn.
• Dit akkoord zal jaarlijks geëvalueerd worden.

Op dit ogenblik is er echter nog geen juridische tekst beschikbaar.

In de komende weken zal worden onderhandeld over de implementering van dit politiek akkoord in een Beschikking van de Commissie. Dit zal alleszins gebeuren na overleg met en het advies van de Article 29 Working Party, een onafhankelijk adviesorgaan, samengesteld uit vertegenwoordigers van alle nationale data beschermingsautoriteiten in de EU, de Europese Toezichthouder voor gegevensbescherming en de Europese Commissie.  

In principe zou er in april 2016 een implementatie kunnen volgen.

De alternatieve mechanismes voor data transfer van de EU naar de US blijven in tussentijd een geldige manier van data overdracht, namelijk de BCR's (de bindende corporate rules) en de SCC's (standaard contractuele clausules).

De oude Safe Harbor regeling toepassen wordt afgeraden.

Wordt vervolgd...