Toezichthouders missen concrete waarborgen tegen surveillance in Privacy Shield

De Artikel 29-werkgroep heeft een opinie gepubliceerd over het recent aangenomen Privacy Shield, waaronder organisaties persoonsgegevens in de VS kunnen opslaan. Het collectief van EU-privacytoezichthouders meldt dat concrete waarborgen tegen het in bulk verzamelen van informatie ontbreken.

De werkgroep schrijft in een persbericht dat de Commissie weliswaar naar een aantal suggesties van de organisatie heeft geluisterd, maar dat het Privacy Shield nog steeds enkele gebreken vertoont. Naast de ontbrekende waarborgen zou de in de overeenkomst opgenomen ombudspersoon niet genoeg garanties voor onafhankelijkheid met zich meebrengen.

De Nederlandse Autoriteit Persoonsgegevens schrijft dat de toezeggingen van de VS op dat vlak niet formeel zijn vastgelegd. De ombudspersoon moet onder andere de klachten van burgers over het gebruik van hun persoonsgegevens in behandeling nemen.

Er wordt op dit moment echter geen actie ondernomen. De toezichthouders laten weten dat de jaarlijkse evaluatie van het Privacy Shield daarom een belangrijk moment zal zijn om de effectiviteit van de regeling nog eens onder de loep te nemen. Tijdens die evaluatie zal ook gekeken worden naar de andere manieren waarop bedrijven gegevens in de VS kunnen opslaan, namelijk binding corporate rules en modelcontracten.

Het Privacy Shield werd onlangs officieel aangenomen en is de opvolger van de Safe Harbour-regeling, die door het Europese Hof in 2015 ongeldig werd verklaard.

Reacties (20)

[mailis]

Dit geeft alvast de eerste input voor de nieuwe rechtzaak door Max Schrems, de student die ook de Safe Harbour onwettig heeft laten verklaren door het Europese Hof.

[Maurits van Baerle]

Tja, het is ook een kwestie van tijd voor deze regeling ook weer door het Europese Hof van Justitie zal moeten worden getoetst. Ik verwacht niet dat het Hof vindt dat Privacy Shield voldoende garanties biedt dus het is waarschijnlijk een tijdelijke pleister tot er een betere oplossing is.

[arbraxas]

Gaat niet gebeuren, want voor amerikanen zijn alle niet amerikanen loslopend wild zonder rechten. Dit is alleen voor de buhne.
Er zal nooit een bevredigend compromis gesloten worden met de amerikanen.

Alleen het bukken van onze politici gaat door.

[Maurits van Baerle]

De mening van Amerikanen is irrelevant. Het Europese Hof van Justitie beslist uiteindelijk of bepaalde handelingen wel of niet legaal zijn in Europa door ze te toetsen aan onder andere het Handvest van de Grondrechten. Als zij bepalen dat de regeling niet voldoende garanties biedt om binnen de perken van het Handvest te blijven (zoals ze gedaan hebben met Safe Harbour) dan is dat zo.

Tenzij er dan snel een betere regeling komt dan worden bedrijven als Google en Facebook simpelweg strafbaar als data van EU Burgers naar de VS gaat. Daar heeft de mening van de Amerikaanse overheid niets mee te maken, alles speelt zich af op Europees grondgebied binnen Europese wetgeving.

[arbraxas]

Ik doel meer op de verdragen, de amerikanen gaan nooit een akkoord sluiten wat wel aan onze eisen voldoet.

[Simyager]

Ik vind het op een gegeven moment echt zwak van Europa. Europa Is een van de meest welvarende continent en handelzone en toch durven we geen vuist te maken tegen VS. Als we een eigen samengevoegde leger hebben Is Europa zeker wel sterker dan de VS. Alleen kost dat weer veel geld...

[Superstoned]

Het is ook een kwestie van geld, hè. Het 'privacy shield' was vooral tot stand gekomen door het lobbyen van Amerikaanse bedrijven om hen te beschermen tegen Europese privacy wetgeving... het is geen 'shield' voor ons maar voor hen en ze hebben er flink voor gelobbied.

[Reactie gewijzigd door Superstoned op 23 juli 2024 01:51]

[bbob]

De toezichthouders hebben boter op hun hoofd. Het artikel begint met dat ze waarborgen missen maar laten we het nog maar even aankijken.

De uitkomst is zo zeker als 1+1=2 dat het misgaat.
De politiek naait hier de burgers wederom en staat krom voor de Amerikanen.

[Armin]

Ik verwacht niet dat het Hof vindt dat Privacy Shield voldoende garanties biedt dus het is waarschijnlijk een tijdelijke pleister tot er een betere oplossing is.

Het vreemde is ook dat het daar ook nooit voor bedoeld is. In feite heeft het Hof de overheden voor een onmogelijk taak gesteld. De Amerikaanse veiligheidsdiensten gaan niet stoppen met hun werk - het bespioneren van het buitenland. Net zoals ook de Nederlandse en andere Europese veiligheidsdiensten niet stoppen. Europese overheden geven nul garanties dat Amerikanen (of Chinezen, Russen, etc) niet bespioneerd worden. Amerikanen dus ook nooit noemenswaardige garanties van hun kant.

Maar het hele verdrag ging hier ook geheel niet over. Dat was een kwestie van de interne markt. Immers zoals de meeste Tweakers weten is de interne markt voor personen en fysieke goederen goed geregeld, maar de digitale wereld is vaak nog een lappendeken van regels. Het idee was hier op gebied van privacy voor Amerikaanse én Europese bedrijven een eenluidige regeling te maken zodat Atlantisch overschreidende ondernemers niet langer met 26+ landen hoeven te onderhandelen. Op zich een goed idee, en ja, uiteraard zal er een compromis uit komen en niet iets waar iedereen 100% me eens is. Alleen al omdat Europese landen onderling verschillen van mening.

Ik heb die uitspraak van het Europese Hof dus altijd al vreemd gevonden, maar in feite wordt hiermee een eensluidig verdrag effectief onmogelijk. Dat lijkt mij een enorm slechte zaak. Immers surveillance gaat niet stoppen, ook niet zonder Privacy Shield, maar je krijgt wel een veel minder competatief Europees landschap betreft grensoverschrijdende diensten.

[Verwijderd]

Natuurlijk staan er geen waarborgen in! Waarom denk je dat de Amerikanen er mee akkoord zijn gegaan? Duh!

Ik denk dat de E.U. uiteindelijk geen keus heeft dan regionale opslag en verwerking te eisen van Amerikaanse bedrijven zoals Facebook en Google. Er zal dus een Google EU en een Facebook EU moeten komen en de gegevens zullen in Europa opgeslagen moeten worden en verwerkt en voldoen aan Europese regelgeving op privacy gebied.

Privacy Shield en Safe Harbour warjen juist bedoeld om dit te voorkomen, maar dit is mijns inziens niet mogelijk in de praktijk. Er zullen nog jarenlang rechtszaken en gesteggel komen voordat dit werkelijkheid wordt, maar het is volgens mij onvermijdelijk.

[Reactie gewijzigd door Verwijderd op 23 juli 2024 01:51]

[DarkJack]

In praktijk is dit reeds een vereiste in de meeste sectoren. In de banksector wordt bijvoorbeeld de Safe Harbour regeling als nietig gezien en de PATRIOT Act als vijandig. Europese banken zijn verplicht van de ECB om hun data in Europese datacenters op te slaan. Bij gebruik van Cloud diensten mogen ook enkel diensten die gehoused worden in Europese datacentra gebruikt worden. Bij O365 kan dat bijvoorbeeld al, maar bij "nieuwe" O365 features zoals Sway kan MS nog geen datalocatie garantie geven, dus mogen die dan niet gebruikt worden.

[Armin]

Europese banken zijn verplicht van de ECB om hun data in Europese datacenters op te slaan

Andersom:

- Nederlandse banken moeten gegevens van Amerikaanse inwoners (niet enkel staatsburgers) gewoon afgeven. Ze doen dat nota bene via de Europese lokale belastingdiensten. Ofwel Rabobank geeft data af aan de Nederlandse belastingdienst, die het afgeeft aan de Amerikaanse.

- Europese banken geven alles af aan alle Europese overheden. Franse banken kunnen vrij gasduinen bij Duitse banken voor hun inwoners, en de Nederlandse overheid krijgt de data van andere EU landen.

Dus zo moreel verheven of beter bezig zijn Europese banken niet mocht je dat suggereren. Banken zijn juist vaak een van de alelreerste bedirjven die gegevens afgeven zonder morren aan elke overheid die maar met een wetje dreigt.

[DarkJack]

Ik zie de EU als 1 staat dus ik heb geen probleem met data exchange binnen de EU, immers moeten alle spelers daarbinnen zich aan dezelfde regels houden. Voor mij is dit hetzelfde zeggen als "een belastingsdienst in provincie Antwerpen mag de bankgegevens van iemans in provincie Limburg opvragen".

[Reactie gewijzigd door DarkJack op 23 juli 2024 01:51]

[Armin]

Ik zie de EU als 1 staat dus ik heb geen probleem met data exchange binnen de EU

Dus als de Fransen data van jouw opvragen is het geen probleem als Nederland dat zonder te toetsen aan de Nederlandse wet afgeeft? Immers dat is wat vaak gebeurd bij banken.

Dat zou overigens inderdaad passen bij één Europa, en ikzelf zou er geen inherent bezwaar tegen hebben. Maar dan is het ook logisch dat diezelfde entiteit ook uniforme regels mag afsluiten voor de gehele EU met een andere mogendheid.

[Armin]

Er zal dus een Google EU en een Facebook EU moeten komen en de gegevens zullen in Europa opgeslagen moeten worden en verwerkt en voldoen aan Europese regelgeving op privacy gebied.

Het probleem alleen is dat met caching en andere geo-stabiliteitsdiensten dat niet goed samenwerkt. Bedrijven als Akamai en CloudFlare cachen steeds meer content zodat je overal een snelle lokale verbinding hebt. Ook kun je als een server uitvalt snel overschakelen op een andere. Ook diensten als Office in de cloud gaan hier in mee.

Wellicht is het een afweging van privacy vs stabiliteit en snelheid, maar dat kun je ook anders oplossen. Denk aan asymetrische encryptie. Microsoft is hier o.a. mee bezig zodat als je Sharepoint en andere clouddiensten gebruikt je het huidige gemak hebt, maar je data versleuteld is met een key die Microsoft niet heeft. Op dat moment maakt het ook niet uit waar de data opgeslagen is. Andere diensten zie je ook die kant op gaan.

Ik hoop dus écht dat wetgevers hier niet de techniek gaan beperken met dom geformuleerde wetgeving ...

Zeker ook omdat we niet moeten vergeten dat spionage maar een miniscuul probleem is vergeleken met gewone criminele activiteiten. De kans dat je als persoon of bedrijf slachtoffer wordt van overheidsspionage is vele malen kleiner dan van diefstal of andere criminaliteit. Technieken als asymetrische encryptie beveiligen ook tegen veel vormen van diefstal.

[CAPSLOCK2000]

Dat Privacy Shield is ook een enorm drama. Niemand gelooft er in. Iedereen is er van overtuigd dat de Amerikaanse regering praktisch onbeperkte toegang heeft tot de data (en andersom waarschijnlijk ook). Dat kun je niet voorkomen met wat vage beloftes zonder keiharde consequenties. Misschien is dat idee onterecht maar na alle onthullingen van de afgelopen jaren is het vertrouwen op.

Niemand gelooft in het verdrag maar de economische belangen zijn te groot om te wachten op een oplossing. De wereld draait door en de schoorsteen moet roken. Wat er op papier ook gezegd wordt, in praktijk verandert er weinig. Dat we na maanden onderhandelen nog steeds geen enkele harde garantie hebben zegt genoeg. Europese bedrijven en particulieren blijven gebruik maken van Amerikaanse diensten en iedereen die dat kan blijft in de data grabbelen.

[Verwijderd]

Je kunt als burgers alles zelf regelen

- waarborgen surveillance

[Reactie gewijzigd door Verwijderd op 23 juli 2024 01:51]

[mutley69]

De EU heeft dus weer iets goedgekeurd waar geen controle op mogelijk is of voor uitgewerkt is. Hoe komt dat dat men dit blijft pikken. M.a.w. de vervanger is even brak als't origineel - hopen dat er een nieuwe mr. Schrems opstaat die de zaak opnieuw torpedeert. Waarom dagen wij de EU-commissie niet voor de rechter? Want dit is geknoei - daar zijn geen andere woorden voor - en dus moeten we 't zo maar benoemen.

[MSalters]

Dit is de EU die ruzie heeft met zichzelf. Het Europees Hof is ook onderdeel van de EU, net zoals de Commissie.

Ik heb ook het vermoeden dat je niet weet wat de EU Commissie is. Voor alle duidelijkheid: dat is 1 van de 3 politieke organen van de EU, naast de Raad en het Parlement. Ik snap dus ook niet zo wat je bedoelt met "de EU-commissie voor de rechter dagen". De Commissie wordt gecontroleerd door het Europees Parlement, niet door nationale rechters.

[raymondpeil]

Er is nieuwe strenge EU privacy-regelgeving die verder gaat dan Shield en Safe Harbour
REGULATION (EU) 2016/679 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of 27 April 2016