Het Privacy Shield is aangenomen. Wat nu?

Hoe werkt het Privacy Shield in de praktijk?

Schakelt jouw bedrijf wel eens een bewerker in de V.S. in? Of sla jij gegevens op in de Cloud? Grote kans dat er dan persoonsgegevens vanuit jouw bedrijf naar de V.S. worden doorgegeven. Het Privacy Shield is een verdrag tussen de EU en de V.S. waarin afspraken zijn gemaakt over het niveau van bescherming bij doorgifte van persoonsgegevens vanuit de EU naar de V.S.

De voorganger van het Privacy Shield, bekend als Safe Harbor, is in oktober 2015 door het Europese Hof van Justitie ongeldig verklaard omdat deze niet voldoende bescherming gaf. Na de ongeldig verklaring van Safe Harbor gold er een rechtsvacuüm waarin persoonsgegevens alleen naar de V.S. mochten worden doorgestuurd met expliciete toestemming van de consument of door een EU modelovereenkomst te sluiten met het betreffende bedrijf in de V.S.

En nu? Het Privacy Shield kent, net als de Safe Harbor, een systeem van zelfcertificering. Bedrijven in de V.S. kunnen zich gaan voorbereiden op de wijzigingen van het Privacy Shield en vanaf 1 augustus kunnen die bedrijven hun certificering bij het U.S. Department of Commerce indienen. Door deze zelfcertificering bewijzen de bedrijven dat zij aan de eisen van het Privacy Shield voldoen. Een EU modelovereenkomst is dan dus niet meer nodig, je kan jouw bewerker/Clouddienst vragen of zij aan de eisen van het Privacy Shield voldoen. Let op: dit betekent niet dat een bewerkersovereenkomst overbodig is.

Strengere eisen

In het Privacy Shield zijn, zo zegt de Europese Commissie althans, strengere waarborgen vastgelegd. Bijvoorbeeld:

• De U.S. Department of Commerce gaat regelmatig de deelnemende ondernemingen controleren en updaten. Als de ondernemingen de regels in de praktijk niet naleven kunnen er sancties volgen;
• Strengere beperkingen, maatregelen en transparantie verplichtingen voor de Amerikaanse overheid bij toegang tot persoonsgegevens in het kader van rechtshandhaving en de nationale veiligheid;
• Betere bescherming van Europese burgers door implementatie van verschillende toegankelijke en betaalbare geschillenbeslechtingsmechanismen.

Of het Privacy Shield in de praktijk ook een betere bescherming biedt dan de Safe Harbor Principles moet nog blijken. In de aanloop naar het vaststellen van het Privacy Shield is er vanuit verschillende hoeken kritiek geuit, met name omdat ‘mass surveillance’ nog steeds mogelijk is. Het is mogelijk dat het Privacy Shield in de toekomst wordt voorgelegd aan het Europese Hof van Justitie.