EU-U.S. Data Privacy Framework (‘DPF’), gedoemd te mislukken?

Op 28 februari 2023 heeft de European Data Protection Board (EDPB) haar advies over het voorstel van de Europese Commissie (EC) voor de opvolger van Privacy Shield, het EU-U.S. Data Privacy Framework (‘DPF’) gepubliceerd. In dit artikel leest u meer over wat het advies inhoudt.

In het advies staat ten aanzien van het verlenen van een adequaatniveau van rechtsbescherming in de VS kort samengevat het volgende geschreven:

Het nieuwe mechanisme bestaat uit twee lagen. Onder de eerste laag kunnen individuen een klacht indienen bij de functionaris voor de bescherming van burgerlijke vrijheden van het bureau van de directeur van de nationale inlichtingendienst (CLPO).

Op het tweede niveau hebben individuen de mogelijkheid om in beroep te gaan tegen de beslissing van de CLPO bij een nieuw opgericht orgaan. Dit is het zogenaamde Data Protection Review Court (DPRC). De EDPB is van mening dat de CLPO, als waarnemend overheidsfunctionaris, niet is voorzien van een voldoende mate van onafhankelijkheid van de uitvoerende macht en kan dus op zichzelf niet voldoende volstaan aan de vereisten die voortvloeien uit artikel 47 van het Handvest.

De DPRC is geen gewone rechtbank die door het Congres is ingesteld op grond van artikel III van de Amerikaanse grondwet, maar is gebaseerd op een executive order van de Amerikaanse president.

Voldoen aan eisen

Kan een dergelijk verhaalsmechanisme voldoen aan de vereisten van artikel 47 van het Handvest? Volgens deze bepaling heeft iedereen wiens rechten met het verhaalsmechanisme en vrijheden die door het recht van de Unie worden gewaarborgd, worden geschonden, recht op een doeltreffende voorziening in rechte voor een eerder bij wet ingesteld tribunaal.

In het advies argumenteert de EDPB dat een DPRC weliswaar geen court is. Maar wellicht enige onafhankelijkheid kan worden toegedicht, hetgeen echter valt en staat met de bereidheid van de US President om zijn bevoegdheden met dezelfde terughoudendheid te gebruiken als ten aanzien van federale rechters.

Het plan

Een keiharde diskwalificatie van het DPF is het advies niet. Daarentegen is het veelzeggend dat ze aandringen op het doorlopend monitoren van het Adequaatheidsbesluit DPF, terwijl ze stelden in eerdere advies vast dat op belangrijke eisen voor de rechtsbescherming van betrokkenen, de voorgestelde aanpassingen mogelijk tekortschieten en te weinig zekerheid verschaffen. De EDPB lost dit omwille van de lieve vrede op door bij de EC erop aan te dringen om de daadwerkelijke praktijk van DPF te reviewen, monitoren, te evalueren etc.

De sociaal-economische werkelijkheid is echter, dat er door de economische belangen voor de handel tussen de VS en de EU geen langer uitstel mogelijk is voor het rechtsgeldig kunnen doorgeven van persoonsgegevens naar derde landen/de VS. Ook wanneer men de adviezen van de EDPB tot achter de komma implementeert, kan men geen rechtsgeldige doorgifte van persoonsgegevens aannemen naar de VS, omdat de wet daar niet is veranderd.

De juridische werkelijkheid zal zijn, dat tot aan een volgende ‘Schrems’ uitspraak, de praktijk weer even rechtsgeldig persoonsgegevens heeft kunnen doorgeven aan de VS. Zolang echter de rechtsbescherming in de VS niet op het niveau is van de EU, blijven we van het ene aangepaste adequaatheidsbesluit naar het andere lopen. Totdat de EU de AVG aanpast en ten aanzien van de VS een versoepeling doorvoert. Want de VS gaan hun nationale belang bij vergaande informatievergaring nooit ondergeschikt maken aan de AVG.

Hulp

Heeft u vragen of wenst u advies? Contact dan een van onze advocaten via de mail, telefonisch of vul het contactformulier in voor een vrijblijvend eerste gesprek.