Privacy Shield-overeenkomst tussen EU en VS staat steeds verder onder druk

De Privacy Shield-overeenkomst, die de Safe Harbour-regeling vervangt, staat steeds verder onder druk. Zo oordeelde de Europese privacytoezichthouder Giovanni Buttarelli dat er sterke verbeteringen nodig zijn, wil de deal standhouden voor een rechter.

In een verklaring liet Buttarelli weten dat het tijd is om een oplossing voor de langere termijn te vinden voor het opslaan van persoonsgegevens in de VS. Dit zegt hij met het oog op de invoering van de algemene verordening gegevensbescherming, die in april is aangenomen en in mei 2018 van kracht zal worden. Hij onderstreept de bevindingen van de Artikel 29-werkgroep, die in april een aantal ernstige gebreken vaststelde in de overeenkomst.

Zo moet er adequate bescherming komen tegen het in bulk verzamelen van gegevens van Europese burgers en moeten er mogelijkheden zijn voor toezicht, transparantie en het handhaven van rechten door burgers. Ook het Europese Parlement is niet tevreden met de staat van het Privacy Shield, aldus Politico. Vorige week stelde de volksvertegenwoordiging een niet-bindende resolutie op, waarin werd gesteld dat de overeenkomst in haar huidige staat in strijd is met het handvest van de grondrechten van de Europese Unie. Ook de mogelijkheid voor het in bulk verzamelen van gegevens vormde een obstakel.

De Europese Commissie heeft nog geen definitieve versie van de overeenkomst voorgesteld. In eerste instantie zou dat deze maand gebeuren, maar dit is nu uitgesteld tot ergens in de zomer. Als de Commissie geen gehoor geeft aan de toenemende kritiek is de kans groot dat de overeenkomst voor de rechter ongeldig wordt verklaard, zoals het geval was bij de eerdere Safe Harbour-regeling. Max Schrems, die de rechtszaak toen aanspande, laat aan Politico weten dat zolang Amerikaanse surveillancewetten van toepassing zijn op bedrijven, de juridische basis van de overeenkomst door een rechter ongeldig kan worden verklaard.

In de tussentijd maken bedrijven gebruik van onder andere modelcontracten om gegevens in de VS op te slaan. Maar ook deze manier staat onder druk, schrijft Politico. De Ierse privacytoezichthouder stelde vorige week namelijk dat Facebook onrechtmatig gebruik maakt van deze mogelijkheid, omdat de standaardbepalingen in de modelcontracten in strijd zouden zijn met het handvest. Burgers zouden geen mogelijkheid hebben om naar de rechter te stappen als de Amerikaanse overheid hun gegevens verkeerd gebruikt.

Reacties (54)

Hoe kan je privacy überhaupt waarborgen tussen 2 staten via openbare/civiele (internationale) wetten als algemeen bekend is dat die op militair/geheim/nationaal niveau door de V.S. compleet genegeerd worden?

[Reactie gewijzigd door GeoBeo op 31 mei 2016 09:05]

Tsja, volgens mij is het inderdaad maar een wassen neus. Uiteindelijk is encryptie misschien nog wel de enige oplossing, al is het maar de vraag in hoeverre de geheime diensten die kunnen kraken.

Als Facebook die data zelf kan decrypten is kraken niet eens nodig, dan vraagt de FBI/NSA gewoon direct aan de Amerikaanse tak van Facebook de gegevens op en dat kunnen ze niet weigeren. Als de overheid zich niet aan de regels houdt is het vrij lastig om daar nog wat aan te doen.

, dan vraagt de FBI/NSA gewoon direct aan de Amerikaanse tak van Facebook de gegevens op

Nederlandse rechters geven ook bevelen af om gegevens op kunnen te vragen van Facebook Ierland (de holding) of Google inc uit de VS dus het is zeker niet zo dat alleen Amerikanen zich buiten hun landsgrenzen begeven.
Ook de Nederlandse wettten staan dus toe dat gegevens uit bedrijven van buiten Nederland worden opgevraagd. Daarvoor hoeven die bedrijven niet eens een vestiging in Nederland te hebben maar is het voldoende als ze op de Nederlandse markt actief zijn.

[Reactie gewijzigd door TWyk op 31 mei 2016 10:43]

Het verschil is denk il dat een Nederlandse rechter gegevens van Nederlandse burgers kan opvragen of van mensen die de Nederlandse wet hebben overtreden. De vs wil gegevens van burgers uit andere landen zonder dat die verdacht zijn al massaal opslaan en doorzoeken.

Klopt, en moet ook aan banden, maar het is wel hypocriet om te denken dat wij niet precies hetzelfde doen. Ik geloof echt niet dat onze geheime diensten niet massaal gegevens over buitenlandse burgers opslaan.

Wat ook belangrijk is om aan te geven is dat de Amerikaanse grondwet NIET voor buitenlanders geldt. Het staat de NSA volledig vrij om niet staatsburgers te bespioneren zonder tussenkomst van de Amerikaanse grondrechten.

Als niet Amerikaan ben je volledig vogelvrij.

Het probleem is de europeese commissie.Je vraagt je af hoe diep die mensen ergens achterin bij de USA zitten.

Het parlement, de gekozen meerderheid komt met een resolutie die zegt dat het nu op tafel liggende voorstel niet overeenkom t met eu het handvest van grondrechten.

De commissie doet verder niets, dit gaat dan weer een paar jaar door tot een rechter ze terugfluit. In de tussentijd kan de privacy schending gewoon doorgaan.

Dat individuele landen nu bedrijven sancties willen opleggen of zaken aan de kaak stellen is een voorbeeld van hoe de eu dus niet werkt. De eu moet dit aan de kaak stellen, niet landen als Ireland of andere landen.
Het is weer het zoveelste voorbeeld hoe de eu op papier werkt maar in de praktijk als het er op aankomt een zooitje is.

Ik geloof dat politici nog steeds te veel eigen belang hebben en te diep betrokken zijn bij multinationals waar ze later een leuke boterham kunnen verdienen. Smit-Kroes naar Uber is een mooi voorbeeld daarvan.
Politici zijn over het algemeen per definitie onbetrouwbaar en leugenaars.

.

[Reactie gewijzigd door bbob1970 op 31 mei 2016 10:59]

Dat individuele landen nu bedrijven sancties willen opleggen of zaken aan de kaak stellen is een voorbeeld van hoe de eu dus niet werkt.

Dat kwam ook omdat de individuele landen vaak veel te beperkte machtsmiddelen hadden om globale bedrijven aan te kunnen pakken met maximale boetes die voor dergelijke bedrijven weinig impact zouden kunnen hebben.
Recent is echter de General Data Protection Regulation
(GDPR) aangenomen en daarin krijgen de privacy autoriteiten van elk EU land vanaf 2018 de mogelijkheid om tot 4% van de wereldwijze omzet aan boetes op te leggen. Dan wordt het al een stuk logischer om een illegaal opvragingsverzoekje van de VS naast je neer te leggen.

[Reactie gewijzigd door TWyk op 31 mei 2016 11:40]

Die boete van 4% is natuurlijk een lachertje. Het klinkt veel maar de praktijk is anders.

Voordat er een 4% boete komt gaan er jaren overheen. Eerst praten praten kijken of ze vrijwillig iets veranderen. Dat gebeurt natuurlijk nooit. Dan, boete, rechtszaak en ondertussen gaan de bedrijven gewoon door. 8 jaar later.

De boete is dan netto minder dan 0m5% per jaar verdeeld over 8 jaar.

Maar de privacywaakhonden van elk land krijgt de mogelijkheid om 4% boete te heffen. Als tien landen zo’n boete opleggen, wordt het ineens een heel groot bedrag. En het gaat om omzet, niet winst.

Het bevreemdt mij dat jij 4% van de wereldwijde jaaromzet een lachertje noemt. Dat is voor bijvoorbeeld Google zo'n 3 miljard dollar.
Ik denk niet dat ze in Googleplex lachen als een EU land 3 miljard boete oplegt omdat ze gegevens van miljoenen burgers van dat land hebben verstrekt aan partijen die daar geen recht op hadden.
Laat staan dat meerdere landen zo'n boete zouden opleggen..

Weer 4% jaaromzet, verdeel dat over 8 jaar van inbreuk aan privacy dus stukken minder.

Ze hebben in die 8 jaar meer dan 3 miljard verdiend met alle schendingen van privacy, misbruik van android en noem maar op.
Heel simpel dus koste bate, de boet is lager dan de opbrengst en daarom rekken ze dit ook zo lang met hoger beroep zaken

Waarom zou je die boete verdelen over 8 jaar.
Als een partij na zo'n boete toch doorgaat met schenden van de privacy leg je het bedrijf het jaar erop gewoon weer 4% van de jaaromzet op.
Het kan best zijn met beroepsprocedures dat het een paar jaar duurt voor de boete betaald wordt maar dat is niet opschortend voor het opleggen van telkens nieuwe boetes als de privacyschendingen na oplegging van de 1e boete door blijven gaan.

[Reactie gewijzigd door TWyk op 31 mei 2016 14:42]

omdat een bedrijf die boete kan vedelen over zeg 8 of 10 jaar.

Vaak begint het met een probleem, dat wordt eerst besproken en gekeken hoe dit grote bedrijf kan verbeteren, neem goog en de zoekmachine. Ze komen dan over en weer met voorstellen, dat duurt meestal al een jaar of 2.

Ko9men ze daar niet uit kan er een boet volgen, maar dan gaat men in beroep. In de tussentijd blijft men gewoon verder gaan op de oude voet.
Uitspraak, hoger beroep en we zijn een paar jaar verder, na zeg 6-8 jaar kan een rechter dan zeggen de boete is ter recht maar in die tijd heeft het bedrijf gewoon kunnen doorgaan met overtredingen.

3 miljard is veel geld voor Google, ook als het over 10 jaar verspreid kan worden is dat nog steeds 300 miljoen euro per jaar! Heb je een case waarbij de DE, BE en NL alle drie de claim neerleggen dan heb je het over 9 miljard, of 900 miljoen (bijna 1 miljard) euro per jaar!

n de tussentijd blijft men gewoon verder gaan op de oude voet.

Dat is nou njuist opnzin. Doorgaan betekent gewoon weer nieuwe boetes. Dan heb je dus na 8 jaar 24 miljard aan boetes opgelopen.

Precies!

Of: encryptie als onderdeel van Ethical Design, dus met decentralisatie.

[Reactie gewijzigd door Just3 op 31 mei 2016 10:06]

Ze kunnen het niet kraken, tenzij er fouten in de implementatie zitten, en dat is nogal eens het geval. End-to-end encryption zal de standaard worden en dan vraag ik mij af wat de hoge heren gaan doen.

Maakt dus duidelijk dat het niet mogelijk is.

twee opties:
1. VS passen hun wetten aan zodat zij niet meer EU burgers mogen volgen (niet waarschijnlijk).

2. Er mag geen data meer opgeslagen of onbeveiligd verwerkt worden door bedrijven met een kantoor in de VS.

Ben benieuwd wat de uiteindelijke optie gaat worden, want beide bovenstaande opties zijn niet echt waarschijnlijk in de praktijk.

Grote kans voor puur Europese bedrijven!

Inderdaad, maar die kans is er al jaren. Het lijkt niet zo'n hot issue.
Aan de andere kant: welke Europese bedrijven durven en kunnen een paar miljard euro aan risico steken in een datacenter, infrastructuur en bijkomende marketing?

Inderdaad, maar die kans is er al jaren. Het lijkt niet zo'n hot issue.

Mijn vermoeden is dat dat niet zo is. Volgens mij wordt die 'kans' al jaren gepakt door Europese ontwikkelaars, ondernemers en start-ups, maar worden deze initiatieven (of de talentvolle ontwikkelaars die ze maken) opgekocht door de grote Amerikaanse jongens voordat ze echt de kans hebben groot te groeien. Daarbij komt dat Amerikaanse bedrijven eerst groot kunnen groeien op hun binnenlandse markt zonder internationale concurrentie, iets dat niet geldt voor Europese bedrijven. Die moeten zodra ze de nationale markt uitgroeien direct concurreren met andere Europese bedrijven voordat ze zo groot worden als hun Amerikaanse concurrenten.

Geef de individuele Europese ondernemer daarnaast eens ongelijk; stel dat je een leuke start-up hebt en Google biedt daar ineens een (paar) miljoen euro voor, dan denk ik dat het moeilijk wordt daar nee tegen te zeggen. Helemaal als het alternatief is dat als je nee zegt, de kans groot is dat Google een eigen vergelijkbare dienst opzet die rechtstreeks met de jouwe gaat concurreren.

Persoonlijk vind ik dat een zorgelijke gang van zaken, en vind ik dat de EU of de Europese landen op nationaal niveau veel meer zouden moeten doen om het talent in Europa te houden en een soort van Europese Silicon Valley moeten faciliteren. Goed voor de lokale economie, concurrentiepositie, etc.

edit: typo's

[Reactie gewijzigd door ThomasAH op 31 mei 2016 20:32]

Zoals het nu is moet een europees bedrijf miljarden investeren en vervolgens alsnog concureren met de amerikaanse jongens. Dat is een slechte investering,

Op het moment dat amerikaanse partijen van de markt verdwijnen door een verbod. Of duurder worden doordat hun datacentra in de EU moeten komen is het ineens wel mogelijk om met hun te concureren.

Dat is inderdaad de hoofdreden dat men niet eens meer in gesprek had moeten gaan over dit onderwerp, en al helemaal niet zo'n zwaktebod hadden moeten bieden als met deze un"privacy shield" overeenkomst.

Niet

Het probleem zit hem dan ook niet in de oude Safe Harbour, het Privacy Shield, of de modelcontracten waar bedrijven zich nu achter verschuilen. Het probleem is de Amerikaanse wetgeving.

Dit gaat ook niet veranderen totdat we hier daadwerkelijk Amerikaanse bedrijven gaan blokkeren, of de geldkraan dichtdraaien (bv advertentieverbod op Facebook voor bedrijven die in de EU actief willen zijn).

Dit gaat ook niet veranderen totdat we hier daadwerkelijk Amerikaanse bedrijven gaan blokkeren, of de geldkraan dichtdraaien (bv advertentieverbod op Facebook voor bedrijven die in de EU actief willen zijn).

De EU heeft gekozen voor extreme maximale boetes voor bedrijven die de privacy schenden. Elk EU land kan tot 4% van de wereldwijze omzet aan boete opleggen aan een bedrijf dat de privacy van EU burgers in zeer ernstige mate schendt.

Tja, als je compleet afhankelijk bent van diezelfde natie op het gebied van militaire steun, dan vraag je er ook wel om. Daarom is het advies van de US om op eigen benen te staan helemaal niet zo verkeerd.

Je slaat volgens mij de spijker op zijn kop. De EU vind zichzelf reuze belangrijk maar ligt bij vrijwel elke onderhandeling in een houtgreep van de andere partij. Hetzelfde hebben we ook regelmatig gezien met China en zien we momenteel met Turkije. Je kunt samen allerlei mooie verdragen ondertekenen, maar als het puntje bij paaltje komt heeft de partij met de juiste kaarten het gewoon voor het zeggen.

Precies; zelfs met zulke regelgeving gaat het in bulk verzamelen van gegevens gewoon onverminderd door. De VS zal dan - voor zover dit niet al het geval is - haar best doen om dit zo goed mogelijk verborgen te houden. Het is enkel symboolpolitiek om de bevolking in het gareel te houden. Overheden doen toch waar ze zelf zin in hebben. Ze vertegenwoordigen het volk al lang niet meer omdat er in de wereld nu eenmaal veel grotere belangen spelen (geld, fossiele brandstofreserves, etc.) dan de belangen van burgers die ondertussen helemaal kapot worden belast.

We moeten terug naar af. De wet geldt voor alles en iedereen. Geen uitzonderingen. Deze uitzonderingen maken wetten zinloos. Verder moet de controle op de instanties nog verder aangescherpt worden. En de verantwoordelijkheid moet behalve bij de leidinggevende ook bij de uitvoerende werknemer kunnen worden gelegd met daarop zeer zware sancties en gevangenis. Zo voorkom je afschuiven van verantwoordelijkheid.

Je ziet nu al dat leidinggevenden op papier veel verantwoordelijkheid hebben maar als puntje bij paaltje komt dan stappen ze gewoon op zonder verantwoording en krijgen dan vaak nog een flinke bonus mee. En dan wil jij de verantwoordelijkheid ook bij de uitvoerende werknemer leggen die vaak niet zomaar kan opstappen want hij heeft de baan nodig en geen leuke bonus krijgt als hij vertrekt. Ik zou zeggen laat de directeuren en managers de verantwoordelijkheid nemen hier krijgen zij uiteindelijk ook riant voor betaalt.

De werknemer hoeft zich niet te schuilen achter zijn werkgever. Als iets fout is niet bij het weigeren.

Neen. Je kan die idd niet waarborgen.

Daar gaat het uiteindelijk ook bij uitkomen.
De data zal dan in de EU moeten blijven.

[Reactie gewijzigd door Quilt op 31 mei 2016 13:16]

Ach dan vragen de amerikanen of de AIVD even wil kijken en die kieperen alles zo over de muur.
Alsof amerikanen zich ook maar iets aan gaan trekken van deze wetgeving.
Die trekken lekker de achterdeurtjes van Microsoft, Apple etc open.
Want volgens de VS hebben alle mensen die geen amerikaan zijn geen rechten.

Dat is niet alleen volgens de VS. Onze eigen regering werkt daar lekker aan mee...

Het kromme is dat jij vervolgens als potentiële crimineel / terrorist wordt bestempeld zodra jij je privacy wil beschermen d.m.v. het versleutelen van gegevens.

De eigen bevolking heeft ook geen rechten hoor.

Het is niet alsof ze alleen buiten de landsgrenzen alles en filteren, ook binnen de landsgrenzen gebeurt dat.

Wij hebben zeker wel rechten. Maar die worden dus niet (altijd) nageleefd.
De toezichthouders moeten dus vervangen worden door mensen die wel hun werk goed doen en daar hebben we wel degelijk invloed op.

Ik denk eerder dat de toezichthouders mandaat moeten krijgen. Nu zijn het vaak tandloze tijgers. Verder dan "Foei" mogen ze niet...

Vragen staat vrij natuurlijk, als de AIVD dan idd de boel aan ze overhandigt is de AIVD eerder schuldig dan de VS in dit voorbeeld...

Vragen staat vrij natuurlijk, als de AIVD dan idd de boel aan ze overhandigt is de AIVD eerder schuldig dan de VS in dit voorbeeld...

Volgens mij is iemand aanzetten tot illegaal gedrag ook illegaal.

We hebben het hier over geheime diensten he? Waag er anders een boze brief aan dat de NSA onder Nederlandse wetgeving aanzet tot illegaal gedrag en je liever hebt dat ze dat niet doen.

Klopt. Maar hier heb je de mogelijkheid om die AIVD'ers te bestraffen.

Ach dan vragen de amerikanen of de AIVD even wil kijken en die kieperen alles zo over de muur.

Als er op correcte wijze gegevens worden gevraagd van Nederland over bijvoorbeeld inwoners van Nederland en na beoordeling door een rechter verstrekt een Nederland opsporingsdienst die gegevens dan lijkt me er verder niks aan de hand.
Er worden daarmee geen privacy wetten aangetast.

De privacy van die mensen wordt natuurlijk wel aangetast maar een verlies van privacy is een onderdeel van elke vorm van opsporing.

dat kan maar!!! amerikanen zijn zelf niet eens amerikanen.....ze zijn zelf illegalen in het land wat zij usa noemen

Mooi. Weg er mee, en dan TIPP overboord. Dat is een nog grotere bedreiging.

Hop en weg met de (US) cloud en weer alles terug naar on-premise of servers op EU grond gebied. Kan nog wat gaan worden...

Dat is ook meteen het probleem, de push van softwarehuizen om alles de cloud in te drukken. Bedrijven hebben ook steeds minder de mogelijkheid om on-premise te hosten. Microsoft die bewust on-premise varianten, van bijvoorbeeld Sharepoint, niet verbeteren maar de verbetering wel doorvoeren naar de cloud variant.

Ik vraag me af of je daar geen schijnheiligheid mee creëert. Vooralsnog betrekken we al onze hardware en het gros van de software uit andere landen, waaronder China en de VS. Ook zijn veel "Europese" netwerken en datacentra in Amerikaanse handen. Als je alles naar de EU verhuist levert dat wellicht alleen maar een kostenverschuiving op.

Bovendien zul je ook de consument nog moeten bewegen om EU producten en diensten te gebruiken. Dat is echt niet zo eenvoudig. Ik ben bang dat dat alleen gaat werken als je er Chinese praktijken op na houd en buitenlandse diensten keihard blokkeert. Of dat nou wenselijk is..

Er moet geen regeling komen, eu data blijft in de eu en wordt in de eu opgeslagen punt. Veilig opslaan in de vs, yeah right wie dat nog gelooft...

Wat een onzin weer van de EC, de Amerikanen gaan hoe sowieso niet hun inlichtingen diensten opdracht geven om niet in bulk te verzamelen. Ik denk dat ze geen garanties af gaan geven en dus dat dit hele verdrag, waar ze meer tijd in hebben gestoken in het vinden van een pakkende naam dan de inhoud, of in de vuilnisbak belandt of dat de EC zal inbinden en onze privacy toch in de uitverkoop doet.

Waarom voert onze Luxemburgse eu-kopman zo campagne voor TTIP - heeft de ultraliberale maffia daar het graal gezien? In ruil heeft de EU NIKS gekregen qua garanties. En ook dit moet weg - het is een slecht akkoord - de vs-bedrijven moeten zich in de EU - of als ze data accepteren van EU-burgers en bedrijven zich strak houden aan de EU-regelgeving - wat die van de VS ook moge zeggen.
Basta.