'Bedrijven die oude Safe Harbour-regeling gebruiken, overtreden de wet'

De voorzitter van het overlegorgaan van Europese privacytoezichthouders zegt dat deze kunnen optreden tegen bedrijven die nog steeds gebruikmaken van de Safe Harbour-regeling. De EC heeft tot eind deze maand de tijd om de tekst van het Privacy Shield-akkoord bekend te maken.

Dit liet zij weten in een persconferentie van de Artikel 29-werkgroep, zoals het overlegorgaan van de privacytoezichthouders wordt genoemd. De persconferentie werd gehouden naar aanleiding van het Privacy Shield-akkoord, dat dinsdag werd bekendgemaakt. Dit akkoord moet de Safe Harbour-regeling vervangen, die door het Europese Hof van Justitie ongeldig werd verklaard. De voorzitter zei dat toezichthouders kunnen optreden tegen bedrijven die nu nog van de ongeldig verklaarde regeling gebruikmaken. Daarmee is duidelijk dat de regeling nu officieel begraven kan worden. Standard contractual clauses of binding corporate rules zouden in de tussentijd nog wel gebruikt mogen worden.

De Europese Commissie heeft tot eind deze maand de tijd om de tekst van het recente akkoord beschikbaar te stellen aan de werkgroep. Dinsdagavond werden enkele details van het akkoord bekendgemaakt, maar er was geen tekst beschikbaar. Zodra de Artikel 29-werkgroep de tekst van het akkoord in bezit heeft, zal het orgaan deze gaan analyseren.

De voorzitter sprak de verwachting uit dat dit proces halverwege april afgesloten zal zijn. Dan neemt de werkgroep een beslissing over de adequaatheid van het akkoord en wordt er een definitief oordeel geveld over de toelaatbaarheid van de bcr's en scc's. Veel grote bedrijven maken op dit moment van deze regelingen gebruik om gegevens in de VS op te slaan.

De voorzitter van de Autoriteit Persoonsgegevens, Jacob Kohnstamm, laat aan de NOS weten dat als er geen akkoord was gekomen, 'alle iPhones op zwart zouden zijn gegaan'. Het andere scenario zou zijn dat de toezichthouders hun werk niet zouden doen. Hij laat verder weten dat de Nederlandse toezichthouder nog niet zal gaan handhaven, omdat er uitzicht is op legalisering.

Het Privacy Shield-akkoord moet volgens de Artikel 29-werkgroep voldoen aan vier 'essentiële garanties', die de standaard voor Europese privacybescherming vormen. Zo zou de verwerking van persoonsgegevens alleen mogen gebeuren op basis van duidelijke en transparante regels, en moet toegang tot de gegevens strikt nodig zijn om het beoogde doel te bereiken. Ook moet er sprake zijn van een onafhankelijk toezichtmechanisme en moeten burgers naar een rechter kunnen stappen voor een effectieve bescherming van hun rechten. Voor het Privacy Shield-akkoord twijfelde de werkgroep het meest over de reikwijdte van Amerikaanse regels en de mogelijkheid om naar de rechter te stappen.

Reacties (48)

[Verwijderd]

Even een aantal zaken voor mijzelf op een rijtje zetten:
* Het Hof van Justitie van de EU (HvJEU) heeft beslist dat onze persoonsgegevens niet volgens de Safe Harbor regeling naar de VS mogen omdat ze daar geen waarborgen voor een passend beschermingsniveau hebben.
* In de VS wordt door het aannemen van de Consolidated Appropriations Act of 2016 (ook wel 2016 omnibus spending bill) ook de Cybersecurity Information Sharing Act (CISA) aangenomen. Hierdoor kan de Amerikaanse overheid bedrijven vragen 'vrijwillig' en zonder juridische gevolgen informatie te overhandigen.
* De Europese Commissie en de VS gaan akkoord met het 'EU-US Privacy Shield'.

Mis ik iets? Als in de VS de CISA geldt dan kan dit toch nooit stroken met de uitspraak van het HvJEU over het passend bescherminsgniveau?


En voor iedereen die vindt dat de heer Kohnstamm gekke dingen heeft gezegd: als je het bijbehorende artikel op de site van de NOS zou lezen dan had je gezien dat het iets genuanceerder ligt. Wat hij zei: "We gingen met 120 kilometer per uur richting een muur, waarbij de iPhone op zwart zou gaan óf we ons werk niet zouden doen. Het was een idioot dilemma: dat zou grote economische schade veroorzaken."
Eerder heeft hij in een interview met RTL Z heeft hij ook gezegd: "Wat wij zouden kunnen doen is ervoor zorgen dat jouw smartphone niet meer werkt. Want jouw iPhone werkt niet zonder dat er data naar de VS worden verstuurd. Het is mooi dat het Hof bepaalt dat wij de 'redders in nood' zijn, maar als je echt wilt dat privacy impopulair wordt zorg ik ervoor dat je apparaat niet meer werkt."

[enver63]

"Want jouw iPhone werkt niet zonder dat er data naar de VS worden verstuurd. Het is mooi dat het Hof bepaalt dat wij de 'redders in nood' zijn, maar als je echt wilt dat privacy impopulair wordt zorg ik ervoor dat je apparaat niet meer werkt."
Niet alle data zijn persoonsgegevens. En als de EU zou ingrijpen moet je naast een VPN voor netflix en voor torrents er nog een bij nemen voor Amerikaanse internetbedrijven.
Het is wel duidelijk dat de EU vindt dat jouw persoonsgegevens niet van jou maar van de ondemocratisch benoemde EU zijn. Benieuwd wat hun volgende stap is in het opdringen van hun neoliberale dictatuur.

[Verwijderd]

Logisch, het ding is ongeldig verklaard. Maar het nieuwe verdrag is nog niet van kracht, de tekst is niet eens bekend (schande op zich, maar dat is een ander verhaal), dus we zitten nu in limbo.

De voorzitter van de Autoriteit Persoonsgegevens, Jacob Kohnstamm, laat aan de NOS weten dat als er geen akkoord was gekomen, 'alle iPhones op zwart zouden zijn gegaan'.

En waarom is dat niet gebeurt? Er is op dit moment niets, dus strikt genomen zou het moeten.

[Blokker_1999]

Enig idee hoeveel economische schade dat zou teweegbrengen? En dat allemaal ten nadele van Europa en ten voordele van Amerika en Azië. Dat is direcht de reden waarom er tijdelijk de andere kant word opgekeken. Je kan het niet maken om iPhones en iPads op zwart te gooien, Google stil te leggen, outlook/hotmail te gaan blokkeren net als twitter, facebook, instagram, ... . Heel onze economie zou er een zware dreun van krijgen.

Natuurlijk was het beter geweest dat men dit had kunnen voorkomen en moet er snel een wettelijke oplossing komen (al dan niet met terugwerkende kracht), maar je kan toch niet heel de EU opnieuw in een zware economische crisis gaan storten terwijl we nog het puin aan het ruimen zijn van de vorige?

[Philip Ross]

Juist omdat de dreiging er niet was konden amerikaanse bedrijven doorgaan zonder ook maar iets aan te passen. Als deze dreiging er wel was dan zouden zij zich snel aanpassen aan onze regels.

Het verlies van de europese markt is voor deze bedrijven ook veel te groot om aan te durven. Als namelijk 1 bedrijf zich wel zou aanpassen en de rest gaat op zwart dan stappen alle consumenten in europa binnen de kortste keren over op die ene dienst die wel beschikbaar is. En zo worden ze allemaal gedwongen zich aan te passen.

[rvanson]

De essentie van het probleem lag niet bij de Amerikaanse bedrijven. Zij wilden wel voldoen aan de EU regels (en gaven dat aan middels het "self-comply-en" van Safe Harbor). In hoeverre je dit gelooft als consument/klant is uiteraard aan jou. Het Europese Hof heeft geoordeeld dat die bedrijven helemaal niet kunnen voldoen aan de EU regels, al zouden ze willen. De VS overheid heeft te allen tijde het recht om gegevens op te vragen en dat is tegen EU regels. De huidige situatie is zeker niet in het belang van VS organisaties. Zie bijvoorbeeld deze blog van Brad Smith (Chief Legal Officer van Microsoft). Die organisaties willen wel, maar hebben last van de wetgeving in de VS. En zij kunnen zelf niets doen om de situatie te veranderen, behalve hun eigen regering onder druk zetten.

[Rob_03]

Inderdaad maar bovenal is het een politieke heen en weer gekonkel. Wat maakt de mening van de EU meer dan die van de Amerikanen en visa versa.

Wat ik me vooral afvraag is wat er in dit nieuwe " akkoord" staat over opslag van data van Amerikanen en welke data we het dan specifiek over hebben.

Ik mag toch hopen dat het niet een verdeling inhoud, als het een Amerikaan is dan opslaan in USA, als het een Europeaan is dan opslaan in de EU.

[Philip Ross]

Maar in plaats van hun eigen regering onder druk zetten kunnen ze ook gewoon wachten en de EU onder druk zetten, veel makkelijker en sneller.

Microsoft koopt zelf bijvoorbeeld wel al opslag in bij T in duitsland waardoor een deel van hun data wel kan voldoen aan de door EU gestelde voorwaarden. Dit zouden andere bedrijven ook kunnen doen. Is goed voor de economie hier omdat je dataopslag kan maken voor deze amerikaanse bedrijven.

[ShellGhost]

Ik denk omdat ze anders een storm van kritiek van alles en iedereen gehad zouden hebben. De massa begrijpt niet waar het over gaat en als ze in eens niet meer kunnen whatsappen of facebooken gaan ze over hun toeren. Om paniek te voorkomen hebben ze deze stap niet genomen. Denk ik.

[Raymond]

Volgens mij staat er in het artikel keurig benoemd waarom dat niet gebeurt: Er is uitzicht op legalisering.

Bovendien: De bedrijven zijn hier niet schuldig aan. Er waren afspraken tussen EU en USA. Die zijn ongeldig verklaard door de rechter. De nieuwe regels hebben te lang op zich laten wachten, waardoor het voor bedrijven ook maar onduidelijk is waaraan ze precies moeten voldoen.

Beetje lullig om dan dienstverlening door die bedrijven te verbieden, omdat je als overheid je eigen shit niet in orde hebt.

[Cerberus_tm]

Die bedrijven behandelen onze privégegevens anders wel op verkeerde wijze; dat roept iedereen al jaren, en ze weten heel goed dat dat onethisch is. Dus zowel die bedrijven als de Amerikaanse overheid zijn fout.

[maniak]

En nu wachten totdat er weer iemand procedeert tot aan het EU hof?

[Blokker_1999]

Een procedure die jaren zal duren. Als men er dan ook nog eens in slaagt om de nieuwe regels met terugwerkende kracht te laten werken heb je voor niets zitten procederen. Het enige wat misschien mogelijk is, is een zaak in kortgeding. Maar wie zou het aandurven om een groot amerikaans bedrijf zijn diensten te laten stopzetten in de EU?

[Verwijderd]

Privacy first wellicht
https://www.privacyfirst....-data-transfer-to-us.html

[bigbadbull]

moet je eens aan die zwitser vragen die dit ontketend heeft.

[kozue]

Ik kan anders niet wachten tot er iemand privacy-cookiemonsters als google en facebook eens een rechtszaak aan hun broek hangt. Het ongelimiteerd verzamelen van privacygevoelige persoonsgegevens stoor ik me al langer aan. Uit zichzelf gaan ze er toch niet mee stoppen...

[Maurits van Baerle]

Waarom zou er nu iemand moeten procederen tot aan het Europees Hof? Als jij als klant denkt dat een bedrijf onzorgvuldig omgaat met je persoonsgegevens (bijvoorbeeld omdat ze nog vertrouwen op Safe Harbour) dan kun je gewoon naar je nationale privacy waakhond stappen. Daar is dankzij de uitspraak geen rechter meer voor nodig.

[maniak]

Tenzij de nationale privacy waakhond de grotere belangrijk boven die van jezelf stelt. Dan zul je wel moeten procederen. Let wel, voor 99% (schat ik zo) van de bevolking is privacy een non-issue en juist daarom is het een issue voor de paar mensen in de EU die, om welke reden dan ook, onder druk staan van overheden of andere grote coorporaties!

[Armin]

Je hebt gelijk, maar we moeten niet uit het oog verliezen waar deze wet voor bedoeld is. Er wordt nu ten onrechte veel gesproken over de veiligheidsdiensten, maar daar heeft deze nieuwe en oude regeling eigenlijk weinig mee van doen.

Deze wet is er in de eerste plaats om voor grote multinationals het mogelijk te maken om zaken te doen tussen de EU en VS. Ofwel dat Amerikaansde bedrijven gegevens van Europese burgers mogen verwerken. Andersom doen Amerikanen trouwens véél minder moeilijk over Europese bedrijven die gegevens van Amerikanen verwerken! Dat laatste vergeten we wel eens.

Ivm de Snowden onthullingen was er nu veel ophef, omdat bleek dat de veiligheidsdiensten in de VS, via die bedijven mogelijk ook toegang konden krijgen tot die gegevens. Enerzijds wellicht logisch dat men zich daar druk om maakt, maar anderzijds doen Europese veiligheidsdiensten hetzelfde. Immers dat is de kerntaak van veiligheidsdiensten, ook in Nederland. Dus het is vooral een beetje naiviteit dat we met zijn allen verloren zijn denk ik.

In die zin slim dat Europa er nu een ombudsman uitgesleept heeft. Immers de kernzaak van deze wet is het voorkomen van misbruik door bedrijven (niet overheden) van gegevens. Ofwel bedrijf A die verzamelt mag niet de zaak daarna verkopen aan Facebook/Google die het dan gebruikt voor reclamne doeleinden.

De hele problematiek van veiligheidsdiensten is een hiervan losstaande zaak. Om dat op te lossen - als dat al op te lossen is - is wel wat meer nodig. Dus slim dat men er een ombudsman uitgesleept heeft. Amerikanen hebben overigens niet soortgelijke rechten in de EU, dus wat dat betreft goed onderhandeld.

[orca]

Het feit dat er geen persoonlijke data van mijn telefoon naar Apple meer mag gaan, hoeft niet in te houden dat ie op zwart gaat. Ik verwacht dan wel dat de cloud backup niet meer werkt. Met lokale backups kan ik dat ondervangen. Voor updates hoeft er in principe geen gepersonaliseerde dat naar de US. Ook zou b.v. IMessage niet meer mogen werken. maar bellen en aps gebruiken zou prima moeten kunnen zonder upload naar Apple.

[EraYaN]

Maar alle apps, background services en dergelijke die allemaal misschien wel een server in de US gebruiken doen dan niets meer. Het zou de telefoon ervaring best wel beperken (zelfde geldt voor alle mobile OS'en).

En vergeet vooral niet de legio services op een gemiddelde computer. Om dat op te vangen zou een europees bedrijf in die paar maanden moeten inspringen met EN een vervangende app store voor alle platforms (niet hopen) en een berichten client/sociaal netwerk, zakelijke mail/agenda service (hosted exchange ofzo?), ga zo maar door.

[Yamotek]

Of ze zetten gewoon servers op EU grond neer, probleem opgelost.

Deze regelingen gaan ook niet over het verzamelen van persoonsgegevens, alleen dat er persoonsgegevens niet meer van de EU naar de VS mogen volgens het 'safe harbour principe'.

[EraYaN]

Dan zouden ze in de US alleen de Patriot Act (kunnen) schenden, wat waarschijnlijk resulteert in dat het dat zo goed als onmogelijk gemaakt word om overal legaal te zijn.

[Yamotek]

Tja dat is inderdaad waar, maar dan moeten die Amerikanen zich maar aanpassen. Die onzin die daar allemaal gebeurt daar ben ik nu wel een beetje klaar mee. Omdat Amerika dat soort wetgeving heeft moeten wij onze privacy maar aan de kant zetten.

In realiteit zal het wel anders zijn. Ik hoop ook dat de EU zich snel tot een eenheid gaat maken, dan kan de EU zich weer als grootmacht in de wereld identificeren en hoeven we niet afhankelijk te zijn van Uncle Sam. Maar het is nu nog een half ondoordacht zooitje daar bij de EU. Er komen veel goede dingen vandaan maar het kan echt zoveel beter (lobby heeft gewoon veel en veel te veel invloed).

[vSchooten]

Ik denk eerder dat ze gewoon te ver van de europese burger staan waardoor de invloed van de lobbyisten vergroot wordt.

[fre0n]

En met ttip wordt dat alleen maar erger

[CAPSLOCK2000]

Ergens zou dat wel eerlijk zijn. Op een bepaalde manier is de huidige situatie dat namelijk niet. Deze regels komen niet opeens boven, het is al jaren duidelijk hoe Europa hier over denkt. De Apples, Googles, Amazons en Microsofts van deze wereld zijn slim genoeg om te snappen wat de bedoeling is. Ze doen het niet omdat ze zo meer kunnen verdienen en er (blijkbaar terecht) van uit gaan dat Europa wel water bij de wijn doet. Amerikaanse bedrijven trekken zich niks van onze regels aan en kunnen zo meer en goedkoper dan Europese bedrijven die wel hun best doen om netjes met hun klanten om te gaan.

Ik wil niet zeggen dat alle "schuld" bij die bedrijven ligt, ze zitten klem tussen Amerikaanse en Europese wetgeving, maar uiteindelijk zijn die rijke techbedrijven machtig genoeg om de wet naar hun hand te zetten. Kijk maar hoe wij onze regels nu aanpassen om die bedrijven maar te faciliteren. Als Europa z'n poot stijf had gehouden en daar vanaf het begin duidelijk over was geweest dan was het misschien anders gelopen.

Stel dat we hadden gezegd "Je hebt vijf jaar om de Amerikaanse wet aan te passen of te verhuizen en dan gaan we onze eigen wet keihard afdwingen" dan hadden de telefoons nu in de winkel gelegen met een briefje "pas op, werkt niet meer na 1 januari". Geen mens die dan nog zo'n telefoon had gekocht en zo hadden niet-Amerikaanse bedrijven een kans gekregen op die markt.

[eheijnen]

Is natuurlijk een mooi argument naar het publike vanuit de politiek om zolang er geen nieuw vedrag is de handel aan het lopen te houden.

Echter staat er in het nieuwe vedrag dat de situatie elk jaar opnieuw wordt bekeken en als zaken niet goed lopen de stekker eruit gaat of er bijgeschaafd moet worden.

Deze situatie kan zich onder het nieuwe vedrag op elke gegeven moment weer voordoen....

[iceblink]

De voorzitter van de Autoriteit Persoonsgegevens, Jacob Kohnstamm, laat aan de NOS weten dat als er geen akkoord was gekomen, 'alle iPhones op zwart zouden zijn gegaan'.

Dat komt op mij over alsof de Europese privacytoezichthouders zich bang hebben laten maken.

ALS dit al zou gebeuren, zou het marktaandeel van de iPhone zeer snel kelderen, ik hoop dat ze dat duidelijk hebben gemaakt naar de Amerikanen toe.

[Blokker_1999]

Het gaat niet alleen om de iPhone, het gaat om alle grote amerikaanse diensten die hier in Europa massaal gebruikt worden, zowel privé als professioneel. Denk aan Google en al zijn diesnten (search, gmail, drive, ...), Microsoft en al zijn diensten (Office 365, OneDrive, Oulook/Hotmail, Bing), Facebook, Twitter, ... . Schakel al die diensten uit en je richt een economische ravage aan. Daarom dat beide partijen snel tot een akkoord moesten komen.

[Tonko Boekhoud]

Microsoft denkt daar toch anders over:
http://blogs.microsoft.co...-about-eu-us-safe-harbor/

Maar misschien heb jij een andere bron?

[Verwijderd]

Microsoft denkt daar toch anders over:
http://blogs.microsoft.co...-about-eu-us-safe-harbor/

Maar misschien heb jij een andere bron?

Deze link, Privacywaakhond: we stonden op het punt de iPhone op zwart te zetten, uit de tweakers post.

Het niet halen van de deadline had betekend dat Amerikaanse bedrijven als Google, Facebook en Apple geen data meer van Europeanen in de VS hadden mogen opslaan. Omdat dat nu massaal gebeurt, zou een dergelijk besluit van de privacywaakhonden grote problemen hebben opgeleverd.

Dat Microsoft andere belangen heeft dan een privacy waakhond is bekend.
Als burger of MKB kun je beter de privacy waakhond geloven dan een multinational.
Je zult bij een multinational nooit achteraf je gelijk kunnen halen. Of je moet erg diepe zakken hebben en heel veel tijd.

[Reactie gewijzigd door Verwijderd op 23 juli 2024 03:59]

[Fliepke]

Geloven okay, maar die waakhonden werken vanuit principes en in de praktijk zijn principes soms heel onhandig. Het zou wat zijn als de waakhonden vanuit hun belevingswereld even voor mij bepalen dat mijn hele digitale leven op zwart gaat, omdat zij dat zo vinden...
Dat is wel een erg betuttelend vingertje natuurlijk.

[Tonko Boekhoud]

> Als burger of MKB kun je beter de privacy waakhond geloven dan een multinational

Microsoft wordt toch helemaal niet genoemd in jouw bron. Wat je allemaal gelooft moet je zelf weten, maar breng het niet als feiten.

Microsoft zit al jaren bij een paar heel grote europese concerns, omdat ze als een van de weinige grote partijen kunnen voldoen aan risk en compliancy regelgeving, die veel verder gaat dan safe harbor. Omdat bedrijven na het halen van hun Safe Harbor stempeltje niets meer hoeven te doen om compliant te blijven, geloof ik daar sowieso veel meer in.

[EraYaN]

Hoe ga je dat doen voor alle AWS, Azure, Office365, GApps klanten?

[eheijnen]

Welke gegevens hebben ze dan nog nodig behalve die die de klant moet aanleveren om de dienst af te kunnen nemen c.q. een contract te sluiten en daarvoor te betalen...

Daarmee, lijkt mij, kun je de dienstverlening prima in stand houden.

[EraYaN]

Nou precies die? En alle klant gegevens zelf? Mail, Agenda, Contacten, VMs, Blob storage. Wie weet?

[eheijnen]

Is dat daar dan veilig opgeslagen ?

[Superstoned]

https://twitter.com/Berlaymonster/status/694576614798180352 ;-)

[Knutselmaaster]

Dat de heer boomstam en consorten mijn telefoon op zwart zouden kunnen zetten vind ik inbreuk op mijn privacy.

[3mib]

Alsof we in de EU heilig zijn.... Dit gaat niet om afluisteren of data bekijken, Dit gaat om geld om EU bedrijven die niet kunnen bij blijven bij de jongens in de US en dus maar gaan lobbyen in Brussel om toch hun brakke producten aan de man te kunnen brengen.

Of denken wij brave burgers dat de overheid in NL of DE of S niet graag graait in data.

[enver63]

Inderdaad. En nu wil een stel ondemocratisch benoemde EU-ambtenaren mij het recht ontnemen om mijn persoonsgegevens in de USA te laten opslaan? Je bent niet verplicht om gebruik te maken van diensten van Amerikaanse bedrijven. Als je je privacy liever in handen van de EU legt installeer je gewoon Linuc op je PC en zoek je op internet met startpagina of ilse.

[Verwijderd]

De vier essentiële regels laten volgens mij alles toe. Althans zoals ze in het artikel hierboven staan.

[Kalief]

Zonder waarborgen kunnen de Amerikanen beloven wat ze willen aangezien er geen enkele mogelijkheid bestaat ze aan een belofte te houden. Het gaat ze uiteindelijk alleen maar om geld, dus de beste waarborg is letterlijk een waarborgsom: laat Amerikaanse bedrijven x euro afstorten voor elke y Europeanen waar ze data van opslaan, gaan ze over de schreef dan zijn ze dat bedrag kwijt.

[Arrogant]

De voorzitter van de Autoriteit Persoonsgegevens, Jacob Kohnstamm, laat aan de NOS weten dat als er geen akkoord was gekomen, 'alle iPhones op zwart zouden zijn gegaan'.

Met dit soort uitspraken maak je jezelf uitermate belachelijk. Dit figuur hoeven we dus nooit meer serieus te nemen.