Het Data Privacy Framework (DPF) op losse schroeven:

18/04/2025 - Sinds de terugkeer van Donald Trump in het Witte Huis nemen de zorgen over de toekomst van het DPF toe. Een verontrustend signaal is het ontslag van drie Democratische leden van de onafhankelijke Privacy and Civil Liberties Oversight Board (PCLOB). Dit toezichtsorgaan speelt een belangrijke rol in het kader van het DPF. Hoewel het ontslag de uitvoering van de missie van de PCLOB niet direct in de weg staat, roept het wel vragen op over de duurzaamheid van het DPF. Het DPF is cruciaal voor veel Europese bedrijven en Amerikaanse dienstverleners. Zonder dit kader moeten bedrijven een alternatieve waarborg vinden voor bijvoorbeeld het gebruik van Amerikaanse clouddiensten van Amazon (AWS), Microsoft (Azure) en Google (Google Cloud Platform).  

Inleiding 

In deze blog bespreken we het Data Privacy Framework (DPF) en de mogelijke gevolgen van een ongeldigverklaring. Het zou immers niet de eerste keer zijn dat afspraken over trans-Atlantische gegevensoverdracht sneuvelen bij het Hof van Justitie van de Europese Unie (HvJEU). De voorgangers van het DPF, Privacy Shield (2020) en Safe Harbor (2000), werden beide met succes aangevochten door None of Your Business (NOYB), de privacy-organisatie onder leiding van activist Max Schrems. Hoewel we erkennen dat het DPF relevant is voor alle doorgifteactiviteiten naar de VS, zal deze blog zich voornamelijk richten op Amerikaanse cloudaanbieders en gegevensopslag. Daarnaast verkennen we een alternatief: Europese opslag.  

Kort nadat de Europese Commissie (EC) het DPF in 2023 had aangenomen, kondigde Schrems opnieuw aan dat hij het adequaatheidsbesluit voor het DPF zou aanvechten bij het HvJEU. Ondertussen hebben de herverkiezing van Donald Trump en het ontslag van leden van de PCLOB de bezorgdheid over de surveillancepraktijken van de VS verder vergroot. De PCLOB is een van de waarborgen om ervoor te zorgen dat persoonsgegevens van Europese burgers adequaat worden beschermd wanneer ze worden overgedragen aan de Verenigde Staten (VS), vooral met betrekking tot inlichtingen- en veiligheidsinstellingen. Vanwege deze belangrijke functie roept het ontslag vragen op over de toekomst van de trans-Atlantische gegevensuitwisseling.  

Volgens Zsolt Szabó, de staatssecretaris voor Digitalisering en Koninkrijksrelaties, lijken de recente ontwikkelingen rond het ontslag van bepaalde leden van de PCLOB voorlopig geen directe bedreiging te vormen voor het DPF. In een kabinetsreactie stelt hij dat de PCLOB een essentiële rol speelt bij het monitoren en evalueren van het DPF. Het ontslag staat deze taak echter niet direct in de weg. Bovendien volgt de EC voortdurend ontwikkelingen in derde landen die van invloed kunnen zijn op de werking van adequaatheidsbesluiten. De Deense toezichthouder is echter sceptischer over het gebruik van Amerikaanse cloud providers en adviseert bedrijven om een exit-strategie te overwegen.  

Daarnaast loopt momenteel de zaak T-553/23 (LaTombe/Commissie), waarin het DPF juridisch wordt getoetst. Het Franse parlementslid Philippe La Tombe eist de ongeldigheid van het DPF vanwege, onder andere, de gevolgen voor de grondrechten van de Europese Unie (EU). Als de zaak inhoudelijk wordt behandeld door het HvJEU, kan dit mogelijk leiden tot de ongeldigverklaring van het DPF. De uitkomst van de uitspraak zou dus bepalend kunnen zijn voor de toekomst van gegevensoverdrachten van de EU naar de VS. De hoorzitting vond plaats op 1 april 2025. 

Doorgifte naar de VS 

De Algemene Verordening Gegevensbescherming (AVG) stelt strikte eisen aan de doorgifte van persoonsgegevens naar landen buiten de Europese Economische Ruimte (EER), zoals de VS. Doorgifte van persoonsgegevens naar dergelijke derde landen is in principe alleen toegestaan als het land in kwestie een passend beschermingsniveau biedt. De VS wordt niet als zodanig beschouwd, wat betekent dat doorgifte alleen mogelijk is op grond van een van de wettelijke bepalingen in hoofdstuk V van de AVG. Relevante doorgiftemechanismen zijn: 

• Standaard Contract Clausules (SCC's): Modelcontracten opgesteld door de EC die bedrijven kunnen gebruiken voor gegevensoverdracht; 

• Bindende bedrijfsregels (BCR's): Interne privacyregels goedgekeurd door regelgevende instanties die van toepassing zijn op multinationale bedrijven; 

• Adequaatheidsbesluiten: besluiten van de EC waarin wordt vastgesteld dat een derde land een passend beschermingsniveau biedt voor persoonsgegevens, waardoor de doorgifte van gegevens zonder aanvullende waarborgen is toegestaan. 

In de context van gegevensuitwisseling van de EU naar de VS werd het DPF aldus door de EC aangenomen als een adequaatheidsbesluit. Onder het DPF kunnen bedrijven zich registreren als ze voldoen aan de regels van het DPF. Hierdoor kunnen Europese bedrijven zonder extra waarborgen persoonsgegevens delen met geregistreerde bedrijven in de VS. Ter voorbereiding op dit adequaatheidsbesluit heeft de VS verschillende maatregelen genomen om de bescherming van persoonsgegevens te versterken. De belangrijkste maatregel is Executive Order 14086, die president Biden in 2022 uitvaardigde om de naleving van de DPF te waarborgen, door middel van, onder andere, toezicht door de PCLOB en het recht om een klacht in te dienen via de Data Protection Review Court (DPRC). 

Wil je meer weten over de DPF en de impact ervan op gegevensoverdracht? Lees dan onze diepgaande blogs over de DPF en de inhoud van Executive Order 14086. 

Digitale soevereiniteit 

De politieke ontwikkelingen in de VS hebben Europa duidelijk wakker geschud. De Europese techsector, verenigd achter het EuroStack-initiatief, drong er onlangs in een open brief bij de EC op aan om digitale soevereiniteit serieus te nemen. Ze geloven dat als er geen actie wordt ondernomen, Europa binnen een paar jaar bijna volledig afhankelijk dreigt te worden van buitenlandse digitale infrastructuur. De brief bouwt voort op inzichten uit het rapport van Mario Draghi over het Europese concurrentievermogen, waarin hij aanbevelingen doet om de Europese economie te versterken. Voortbouwend op deze inzichten roept de brief op tot een sterk Europees digitaal ecosysteem om de afhankelijkheid van buitenlandse techgiganten te verminderen. De ondertekenaars roepen op tot een "Koop Europees" beleid bij aanbestedingen en stimulansen voor de private sector om samen te werken met lokale techbedrijven. Bovendien sluit deze boodschap goed aan bij de strategie van de Europese Unie "A Competitiveness Compass for the EU" waarin de EC zich volledig wil richten op economische groei en het vergroten van het concurrentievermogen van Europese bedrijven. 

Voorlopig blijft de DPF van kracht en zal deze samen met de SSC's een cruciale rol blijven spelen in de gegevensoverdrachten voor de meeste organisaties. Amerikaanse clouddiensten blijven daarmee commercieel aantrekkelijk. Echter, organisaties die gevoelige gegevens verwerken kunnen onderzoeken of digitale soevereiniteit voor hen een duurzame oplossing biedt.  

Ben je bezig met dit thema en op zoek naar een sparringspartner? Considerati volgt de ontwikkelingen op de voet en denkt graag met je mee.