De Europese Commissie en de Verenigde Staten hebben overeenstemming bereikt over een nieuwe Safe Harbour-overeenkomst. De Verenigde Staten stelt onder andere een ombudsman aan die klachten in behandeling neemt over onterechte toegang tot gegevens.
Het nieuwe raamwerk heeft de naam 'EU US Privacy Shield' gekregen. Een heikel punt bij de onderhandelingen was de massasurveillance van Europeanen door de inlichtingendiensten van de Verenigde Staten, zoals naar voren is gekomen uit de Snowden-documenten. De VS heeft de Europese Commissie nu verzekerd dat de dataoverdachten van bedrijven niet door de inlichtingendiensten gebruikt worden. Er is echter nog geen juridische tekst beschikbaar, het is dus de vraag of het alleen bij toezeggingen van de VS blijft of dat er daadwerkelijk bindende afspraken zijn gemaakt.
De bedoeling is dat deze verzekering en de naleving jaarlijks geëvalueerd worden door de Europese Commissie. Europese burgers kunnen bij claims van misbruik van hun gegevens door de VS, als onderdeel van de dataoverdrachten, uiteindelijk terecht bij een onafhankelijke ombudsman die de VS in gaat stellen. Daarnaast zijn de regels voor bedrijven aangescherpt. De Europese Commissie stelt streng te gaan toezien op de naleving van deze regels, onder andere worden de mogelijkheden om data door te sturen naar andere bedrijven beperkt. Bedrijven riskeren uitsluiting van de EU US Privacy Shield-lijst.
De onderhandelingen over het raamwerk liepen meer dan drie maanden en het slagen ervan was van groot belang voor de grondslag van dataoverdrachten van bedrijven als Facebook en Google. Dankzij de deal kunnen bijvoorbeeld dergelijke internetbedrijven doorgaan met de overdracht van data van Europese burgers naar hun datacenters in de Verenigde Staten. Die overdracht had geen grondslag meer sinds het Europees Hof van Justitie in oktober vorig jaar de bestaande Safe Harbour-regeling ongeldig verklaarde. Die overeenkomst was al 15 jaar oud en bevatte de waarborg dat de VS een voldoende niveau van bescherming van persoonsgegevens biedt.
Het HvJEU constateerde dat de Veiligehavenbeginselen op gespannen voet met de bevoegdheden van de VS op gebied van nationale veiligheid, het publieke belang en de opsporing staan. De hele beschikking was daarom ongeldig. Voor het EU US Privacy Shield moeten nog een groot aantal obstakels overwonnen worden. Alle 28 lidstaten moeten het voorstel ratificeren en ook de nationale databeschermingsautoriteiten, zoals in Nederland de Autoriteit Persoonsgegevens, buigen zich nog over de tekst.
Update, 18.10: D66-Europarlementariër Sophie in 't Veld is sceptisch over het voorstel en wil dat de volledige tekst zo snel mogelijk gepubliceerd wordt voor een grondige juridische beoordeling. "De juridische status van deze toezeggingen is erg onduidelijk en het is hoogst twijfelachtig of ze voldoende bescherming aan Europese burgers bieden", zegt ze. Ook Max Schrems, van de zaak tegen Facebook die bij het HvJEU uiteindelijk tot de ongeldigheid van Safe Harbour leidde, denkt niet het voorstel juridische zal standhouden bij het Europees Hof van Justitie.
De garanties zijn volgens In 't Veld 'juridisch boterzacht' en eerdere waarborgen van de VS zouden een wassen neus zijn geweest. "Het is zeer onwaarschijnlijk dat een ombudsman voldoende bevoegdheden krijgt om echt toezicht te houden op de Amerikaanse inlichtingendiensten", zegt ze verder.
De Duitse Europarlementariër Jan Philipp Albrecht van De Groenen/Vrije Europese Alliantie, gespecialiseerd in databescherming en privacy, spreekt zelfs van een belediging van het HvJEU en Europese burgers: "Het nieuwe raamwerk is een uitverkoop van het EU-grondrecht op databescherming."