VS biedt geen veilige haven bij doorgifte persoonsgegevens

Datum: 9 oktober 2015

Het Hof van justitie ("HvJ") heeft op 6 oktober 2015 bepaald dat persoonsgegevens niet meer mogen worden doorgegeven naar personen en bedrijven in de Verenigde Staten ("VS") door middel van zelf-certificering op basis van de Safe Harbor Principles. Het HvJ stelt vast dat doorgifte op grond van Safe Harbor geen passend beschermingsniveau biedt. Dit betekent niet dat er geen persoonsgegevens meer naar de VS kunnen worden gestuurd: op basis van andere regelingen blijft de doorgifte van persoonsgegevens naar de VS wel mogelijk.  

Op grond van Richtlijn 95/46/EC, geïmplementeerd in de Wet bescherming persoonsgegevens ('Wbp'), mogen persoonsgegevens alleen naar een land buiten de Europese Economische Ruimte worden doorgegeven indien dat land een passend beschermingsniveau waarborgt.
Buiten die gevallen is doorgifte slechts toegestaan op basis van een wettelijke uitzondering of met een vergunning van de minister van Justitie. Daarnaast kan ook doorgifte plaatsvinden aan landen waarvan de Europese Commissie heeft vastgesteld dat het waarborgen voor een passend beschermingsniveau biedt. De Europese Commissie ("EC") heeft per beschikking van 26 juli 2000 bepaald dat persoonsgegevens ook naar de VS mogen worden gestuurd door middel van zelf-certificering op basis van de Safe Harbor Principles. Volgens de EC zou er dan sprake zijn van een passend beschermingsniveau. 

In de zaak van 6 oktober 2015 gaat het om Facebook die vanuit haar Ierse dochteronderneming persoonsgegevens doorgeeft aan servers die zich op het grondgebied van de VS bevinden. De Oostenrijkse Maximillian Schrems die Facebook gebruikt, heeft bij de Ierse toezichthouder een klacht ingediend, omdat uit de onthullingen van Edward Snowden is gebleken dat de VS onvoldoende bescherming biedt tegen surveillance door overheidsinstanties van de doorgegeven gegevens. De Ierse autoriteit wijst de klacht af, omdat de doorgifte plaatsvindt op basis van Safe Harbor waardoor een passend niveau van bescherming van de doorgifte is geboden. De Ierse Hoge Raad heeft vervolgens aan het HvJ gevraagd of de beschikking van de EC tot gevolg heeft dat een nationale toezichthouder een klacht dat een derde land geen waarborgen voor een passend beschermingsniveau biedt, niet mag onderzoeken en ook niet, voor zover nodig, de opschorting van de omstreden gegevens doorgifte mag gelasten. Het HvJ heeft geoordeeld dat nationale toezichthouders verplicht zijn om in volledige onafhankelijkheid te onderzoeken of de doorgifte van gegevens van een persoon in overeenstemming is met de vereisten in de richtlijn. Voorts had de EC ook moeten onderzoeken of er overheidsregels in de VS bestaan die de grondrechten van burgers waarvan gegevens worden doorgegeven beperken en of er effectieve rechtsbescherming tegen deze inmenging bestaat. Het HvJ stelt ten slotte vast dat de EC niet de bevoegdheid heeft om de nationale toezichthouders hun bevoegdheden te ontnemen wanneer een persoon de verenigbaarheid van de beschikking met de bescherming van de persoonsgegevens in twijfel trekt. Op grond hiervan verklaart het HvJ de beschikking van de EC ongeldig. 

Betekenis voor de praktijk
Wat betekent dit voor de praktijk? Veel ondernemingen geven persoonsgegevens door op basis van Safe Harbor. Ook is in veel overeenkomsten vastgelegd dat doorgifte op basis van Safe Harbor is toegestaan. Voor Nederlandse ondernemingen is in de praktijk vooral van belang de doorgifte aan een in de VS gevestigde bewerker of verantwoordelijke. Het verdient aanbeveling deze doorgiften onverwijld in kaart te brengen en te onderzoeken of doorgifte op grond van Safe Harbor plaatsvindt. Is dit het geval, dan zal voor deze gevallen een andere juridische basis voor doorgifte gevonden moeten worden. Daarbij zijn het meest voor de hand liggend de model overeenkomsten die door de EC zijn goedgekeurd en op basis waarvan doorgifte plaats mag vinden. 

Voorts zijn de EU en de VS al jaren in onderhandeling over een nieuwe (veiliger) Safe Harbor regeling. De uitspraak van het HvJ zal druk zetten op deze onderhandelingen en de EC dwingen kritisch te kijken naar het beschermingsniveau dat moet worden geboden. 

Dit is een Legal Update van Elze `t Hart. Klik hier voor pdf. 

Voor meer informatie:

Elze `t Hart
+31 30 2595578
elzethart@vbk.nl