Europese Commissie lanceert het EU-VS-privacyschild: grotere bescherming voor trans-Atlantische gegevensstromen

Vandaag heeft de Europese Commissie het EU-VS-privacyschild aangenomen. Dit nieuwe kader beschermt de grondrechten van eenieder in de EU van wie persoonsgegevens naar de Verenigde Staten worden doorgegeven, en zorgt daarnaast voor juridische duidelijkheid voor ondernemingen die trans-Atlantische gegevensdoorgiften nodig hebben.

Andrus Ansip, vicevoorzitter van de Commissie voor de Digitale Eengemaakte Markt: "We hebben vandaag het nieuwe EU-VS-privacyschild goedgekeurd. Het zal de persoonsgegevens van onze mensen beschermen en ondernemingen duidelijkheid verschaffen. We hebben hard gewerkt met al onze partners in Europa en in de VS om een goed akkoord te bereiken en dit zo snel mogelijk. Gegevensstromen tussen onze twee continenten zijn essentieel voor onze samenleving en economie, we hebben nu een solide kader om ervoor zorgen dat die doorgiften onder de beste en veiligste voorwaarden plaatsvinden."

Věra Jourová, EU-commissaris voor Justitie, Consumentenzaken en Gendergelijkheid: "Het EU-VS-privacyschild is een solide nieuw systeem om de persoonsgegevens van Europeanen te beschermen en ondernemingen rechtszekerheid te bieden. Het zorgt voor strengere gegevensbeschermingsnormen die beter worden gehandhaafd, waarborgen inzake de toegang door de overheid en eenvoudigere mogelijkheden voor natuurlijke personen om verhaal te halen in geval van klachten. Dit nieuwe kader zal het vertrouwen van de consumenten herstellen wanneer hun gegevens naar de andere kant van de Atlantische Oceaan worden doorgegeven. We hebben samengewerkt met de Europese gegevensbeschermingsautoriteiten, het Europees Parlement, de lidstaten en onze Amerikaanse tegenhangers om een regeling uit te werken met de hoogste normen ter bescherming van de persoonsgegevens van de Europeanen".

Het EU-VS-privacyschild is gebaseerd op de volgende beginselen:

• Stevige verplichtingen voor de ondernemingen die gegevens behandelen: in het kader van de nieuwe regeling zal het Amerikaanse ministerie van Handel regelmatig updates en controles van de deelnemende ondernemingen verrichten, om ervoor te zorgen dat ondernemingen de regels volgen waartoe zij zich hebben verbonden. Als ondernemingen die niet naleven in de praktijk, zijn sancties en verwijdering uit de lijst mogelijk. De verstrenging van de voorwaarden voor verdere doorgiften van gegevens naar derden zal ervoor zorgen dat het beschermingsniveau hetzelfde is in het geval van doorgifte door een privacyschildonderneming.

• Duidelijke waarborgen en transparantieverplichtingen voor toegang door de Amerikaanse overheid: De VS heeft de EU de verzekering gegeven dat de toegang van overheidsinstanties met het oog op rechtshandhaving en de nationale veiligheid aan duidelijke beperkingen, waarborgen en toezichtsmechanismen onderworpen is. Iedereen in de EU zal ook voor het eerst op dit gebied verhaal kunnen halen. De VS heeft ondifferentieerde massasurveillance op persoonsgegevens die in het kader van het EU-VS-privacyschild naar de VS worden doorgegeven, uitgesloten. Het Office of the Director of National Intelligence (bureau van de directeur van het nationale inlichtingenwerk) heeft voorts verduidelijkt dat het bulksgewijs verzamelen van gegevens alleen onder specifieke voorwaarden mogelijk is en zo gericht mogelijk moet zijn. Het heeft de waarborgen toegelicht om de gegevens onder die uitzonderlijke omstandigheden te gebruiken. De Amerikaanse minister van Buitenlandse Zaken heeft voor Europeanen mogelijk verhaal op het gebied van nationale inlichtingen ingesteld via een ombudsmanmechanisme binnen het ministerie van Buitenlandse Zaken.

• Doeltreffende bescherming van de rechten van natuurlijke personen: een burger die van mening is dat zijn gegevens misbruikt zijn in het kader van de privacyschildregeling zal een beroep kunnen doen op verschillende toegankelijke en betaalbare geschillenbeslechtingsmechanismen. Idealiter zal de klacht door de onderneming zelf worden opgelost, zoniet zullen kosteloze mogelijkheden van alternatieve geschillenbeslechting worden aangeboden. Natuurlijke personen kunnen zich ook tot hun nationale gegevensbeschermingsautoriteiten wenden, die met de Federal Trade Commission zullen samenwerken om ervoor te zorgen dat klachten van EU-burgers worden onderzocht en opgelost. Als een zaak niet via een van de andere methoden wordt opgelost, zal er in laatste instantie een arbitragemechanisme openstaan. Het verhaal op het gebied van nationale veiligheid voor EU-burgers zal worden behandeld door een ombudsman, die onafhankelijk is van de Amerikaanse inlichtingendiensten.
• Jaarlijkse gezamenlijke evaluatie: dit mechanisme zal ervoor zorgen dat de werking van het privayschild, waaronder de toezeggingen en de verzekering met betrekking tot de toegang tot gegevens met het oog op rechtshandhaving en de nationale veiligheid, wordt gecontroleerd. De Europese Commissie en het Amerikaanse ministerie van Handel zullen de evaluatie verrichten en deskundigen op het gebied van nationale inlichtingen uit de Amerikaanse en de Europese gegevensbeschermingsautoriteiten samenbrengen. De Commissie zal ook rekening houden met alle andere beschikbare informatiebronnen en zal een openbaar verslag uitbrengen aan het Europees Parlement en de Raad.

Sinds de presentatie van het ontwerprivacyschild in februari heeft de Commissie met de adviezen van de Europese gegevensbeschermingautoriteiten (Artikel 29-werkgroep) en de Europese Toezichthouder voor gegevensbescherming en met de resolutie van het Europees Parlement rekening gehouden om een aantal aanvullende verduidelijkingen en verbeteringen op te nemen. De Europese Commissie en de VS zijn het met name eens geworden over aanvullende verduidelijkingen over het bulksgewijs verzamelen van gegevens, de versterking van het ombudsmanmechanisme en meer uitdrukkelijke verplichtingen voor ondernemingen met betrekking tot de beperkingen voor opslag en verdere doorgiften.

Volgende stappen: Het "adequaatheidsbesluit" zal vandaag ter kennis van de lidstaten worden gebracht en zal daardoor onmiddellijk in werking treden. Aan Amerikaanse kant zal het privacyschildkader worden gepubliceerd in het Federal Register, wat het equivalent is van ons Publicatieblad. Het Amerikaanse ministerie van Handel zal het privacyschild in werking stellen. Zodra de ondernemingen de gelegenheid hebben gehad om het kader te bestuderen en de nodige aanpassingen te doen om de nieuwe voorschriften te kunnen naleven, zullen zij bij het ministerie van Handel een certificering kunnen indienen met ingang van 1 augustus. Tegelijkertijd zal de Commissie een korte gids voor de burgers publiceren waarin de mogelijkheden van verhaal worden uitgelegd ingeval een natuurlijke persoon van mening is dat zijn persoonsgegevens zijn gebruikt zonder dat met de gegevensbeschermingsregels rekening is gehouden.

Achtergrond

Op 2 februari 2016 bereikten de Europese Commissie en de Amerikaanse regering een politiek akkoord over een nieuw kader voor de trans-Atlantische uitwisselingen van persoonsgegevens voor handelsdoeleinden: het EU-VS-privacyschild (IP/16/216). De Commissie diende de teksten van het ontwerpbesluit in op 29 februari 2016. Na het advies van de Artikel 29-werkgroep (gegevensbeschermingsautoriteiten) van 13 april en de resolutie van het Europees Parlement van 26 mei, heeft de Commissie de aannemingsprocedure op 12 juli 2016 afgerond.

Het EU-VS-privacyschild voldoet aan de vereisten die het Europees Hof van Justitie heeft vastgesteld in zijn arrest van 6 oktober 2015, waarbij de oude veiligehavenregeling ongeldig werd verklaard.