Ierse rechter verwijst Schrems-zaak over datatransfers door naar EU-Hof

De hoogste Ierse rechtbank heeft besloten een zaak die was aangespannen door de Ierse privacywaakhond DPA door te verwijzen naar het Europese Hof. De zaak gaat over zogenaamde modelcontracten, die bedrijven gebruiken voor datatransfers naar de VS.

Volgens een document dat de Oostenrijker Max Schrems heeft opgesteld, gaat de zaak om de vraag of modelcontracten net als de Safe Harbour-regeling geschikt zijn om persoonsgegevens van burgers buiten de EU op te slaan. Het EU-Hof verklaarde Safe Harbour twee jaar geleden ongeldig, na een rechtszaak door Schrems, waarin hij betoogde dat door de Snowden-onthullingen duidelijk is geworden dat zijn Facebook-gegevens niet veilig in de VS konden worden opgeslagen.

Toen de regeling niet meer beschikbaar was, maakte Facebook gebruik van een ander middel om gegevens in de VS op te slaan. De EU heeft deze modelcontracten, oftewel standard contractual clauses, goedgekeurd. Schrems en naderhand ook de Ierse privacywaakhond vinden dat de rechter de modelcontracten ook ongeldig moet verklaren.

Daarbij verschillen de meningen in het opzicht dat Schrems vindt dat de DPA meteen een oordeel over de modelcontracten had kunnen vellen toen hij een klacht had ingediend. De waakhond wees die klacht af. Toen Safe Harbour niet meer bestond, veranderde de waakhond echter van mening en diende zelf een zaak in met het doel om een verwijzing naar het EU-Hof voor elkaar te krijgen. Dat is nu gelukt, schrijft persbureau Reuters. De zaak speelt in Ierland, omdat daar Facebooks Europese vestiging is.

Hoewel de Safe Harbour-regeling inmiddels is vervangen door het zogenaamde Privacy Shield, kan de huidige zaak veel gevolgen hebben voor bedrijven die nog gebruikmaken van modelcontracten. Ook het Privacy Shield zelf ligt onder vuur, waardoor het niet ondenkbaar is dat beide middelen de toetsing door de rechter niet doorstaan. Digital Rights Ireland diende een klacht in tegen de overeenkomst. De EU en de VS rondden onlangs de eerste jaarlijkse evaluatie van de Safe Harbour-opvolger af, maar repten niet over problemen.

Wat vind je van dit artikel?

Geef je mening in het Geachte Redactie-forum.

Reacties (40)

Hoewel de Safe Harbour-regeling inmiddels is vervangen door het zogenaamde Privacy Shield, kan de huidige zaak veel gevolgen hebben voor bedrijven die nog gebruikmaken van modelcontracten.

Effectief betekent het eventuele ongeldig verklaren van de Privacy Shield en model clauses zelfs dat alle klanten van hosters, cloud-dienstverleners, etc. met 'substantial business' in de VS een groot probleem gaan hebben om legaal nog gebruiken te blijven maken van die diensten. Zeker als binnenkort de GDPR/AVG van toepassing is en privacy-wetgeving nog wat strenger is.

O.a. Microsoft is al actief 'tegen' de Patriot Act/Freedom Act, hopelijk gaat er nog veel meer gelobby'd worden door de grote Amerikaanse bedrijven. Al is de kans net zo groot dat er weer een nieuw doekje voor het bloeden gaat komen zoals bij toen de Safe Harbour was afgekeurd en de Privacy Shield er voor in de plaats kwam. De financiele belangen zijn immers enorm zowel bij de EUR afnemers als de VS leveranciers...

Tjah, wat is op dit moment het alternatief? Heel onze economie is afhankelijk van Amerikaanse dienstverleners en de wetgeving tussen de 2 landen licht zonder dit soort bepalingen gewoon in conflict met elkaar. Amerikaanse bedrijven zouden moeten stoppen met het aanbieden van diensten hier en Europese ginder. Dat is gewoon rampzalig voor de economie.

Dat betekend niet dat er niet aan gewerkt moet worden om het te verbeteren.

Dat MS tegen de PA strijd heeft natuurlijk ook voor een deel met publiciteit te maken. Want veel van wat onder de PA gebeurd mag niet eens publiek bekendgemaakt worden.

Zie het zo afhankelijk van amerikaanse bedrijven. Als de EU voet bij stuk houd is dit een mooi voorbeeld voor EU first waarbij er dan nieuwe EU aanbieders kunnen ontstaan die in het gat duiken.

Sterker nog de EU moet hier gewoon voet bij stuk houden en doen ze dat niet hoop ik dat ze keer op keer door rechter teruggefloten worden, Probleem is alleen rechter duurt paar jaar dus het blijft achter de feiten aanlopen.

Helemaal mee eens dat we Europese aanbieders nodig hebben en als onze Europese privacy wetgeving dat mogelijk maakt, prima. ^{Ik hoorde vanochtend op radio 1 een reclame van een hosting aanbieder waarin je ze de Microsoft dienst Azure op de tenenkrommende Amerikaanse manier als [Assurj] uitspraken, nog een reden voor een Europese dienst.}

Sterker nog de EU moet hier gewoon voet bij stuk houden en doen ze dat niet hoop ik dat ze keer op keer door rechter teruggefloten worden

De EU is de degene die de soepele handelsdeals met de VS afsluit. Soepel want nog steeds regeert in kringen van de EU commissie het neo-conservatieve liberale gedachtengoed: handel is goed, economie is dus het allerbelangrijkst. Het lijkt me juist wenselijk dat de EU wat moeilijker doet om de wensen van de Amerikanen te honoreren zodat ze niet telkens door het EU hof teruggefloten moeten worden. Dan maar geen handel in prive gegevens.

Het blijft helaas bij bezigheidstherapie voor advocaten hangen. Als dit weer wordt afgewezen wordt er gewoon weer een andere constructie verzonnen tot de volgende uitspraak van het Europese Hof. Het levert ons geen feitelijke verbetering van onze privacy op. Sterker nog met #sleepwet wordt het hier eigenlijk (bijna) net zo erg als daar..... Of ik ben gewoon oud en cynisch aan het worden?

Microsoft Azure is natuurlijk een Amerikaanse naam en het is niet vreemd dat je die op zijn Amerikaans uitspreekt. Ik hoor nog wel een mensen 'miekrosoft' zeggen maar dat zijn er niet veel meer. Denk dus dat je je beter over andere dingen zorgen kan maken.

Als de EU moet voorkomen dat we US diensten gaan gebruiken dan is er toch iets heel erg mis met de Europese ICT industrie.

dan is er toch iets heel erg mis met de Europese ICT industrie.

Het lijkt er ook sterk op dat dat helaas het geval is. Naast SAP kan ik geen groot toonaangevend Europees software bedrijf noemen. En qua internetdiensten is het een nog groter drama. Niet dat er geen goede Europese software is maar wij zijn geen partij voor Microsoft, Google en Facebook. Terwijl iets als een clouddienst onder Europese wetgeving prima kan, zelfs een voordeel voor velen is, het vereist geen historische basis (zoals Microsoft al veel Windows historie heeft, Google al een dominante positie op de advertentie markt heeft). Blijkbaar schort het aan ondernemersinitiatief en lef bij investeerders. En als de markt uit zichzelf niks doet dan moet de overheid maar weer bijsturen.

Probleem is dat huidige aanbieders te groot zijn. Dat komt omdat het in Amerika gewoon zo veel simpeler is iets op te zetten.
En de Europese markt gewoon ontzettend moeilijk . Het is 1 EU op papier, maar elk land heeft eigen regels vaak bezitten ze ook nog een eigen taal. Iets Europees opzetten is de nachtmerrie van alle nachtmerries.

In een gat duiken is leuk, maar al eens stilgestaan wat dat met onze economie gaat doen? Stel je voor dat morgen al deze mechanismen inderdaad als onwettelijk worden bestempeld, dan is het gedaan met Facebook en Google in Europa, maar ook met de cloud van Amazon en Azure. Geen Akamai of Cloudflare meer. Office 365 mogen we ook sluiten. En ik wil niet denken aan al die diensten die bedrijven afnemen gewoon om hun infrastructuur draaiende te houden.

Ben je een multinational met vestigingen aan beide kanten van de oceaan wordt het pas helemaal leuk. Splits dat bedrijf maar op in twee delen om nog praktisch te kunnen werken (damn, dan werk ik niet meer voor een Amerikaans bedrijf )

Neen, dat is gewoon heel je economie, zowel in de VS als in de EU, kopje onder duwen en gaat men dus nooit doen.

Ik ga ermee akkoord dat er moet onderhandeld worden over een goede oplossing. Maar er zal van beide kanten water bij de wijn gedaan moeten worden om het mogelijk te blijven maken data vanuit de EU in de VS op te slaan en omgekeerd.

Dat valt allemaal wel mee.
Het enige wat hier van belang is, is dat die bedrijven hun servers op het Europese [vasteland] moeten plaatsen, met engines die niet via de USA lopen, mar zelf hier hun data verwerken.

Ik zie het probleem niet; EU-statistieken vs US-statistieken. Optelsom van metadata levert dan worldwide statistics op.

Daar is echt wel wat aan te doen. In Duitsland levert Microsoft Azure-diensten via een entiteit die 100% Duits is die een volledige licentie-overeenkomst heeft voor het gebruik van alle Azure-meuk op dezelfde manier als dat Microsoft ze aanbiedt maar vanuit datacenters die echt alleen in Duitsland staan zonder verbindingen naar het buitenland.

Deze staan onder zeer scherp toezicht trouwens, geen idee hoe het ze vergaat, ik weet wel dat Duitse hogescholen en universiteiten nog niet echt staan te springen.

De Ierse rechter heeft een prejudiciële vraag gesteld aan het EU-hof. Een zaak kan niet "doorverwezen worden".

https://nl.wikipedia.org/wiki/Prejudici%C3%ABle_vraag

[Reactie gewijzigd door S0epkip op 3 oktober 2017 12:48]

Is de DPA niet een lachtje in Ierland?

https://www.dataprotection.ie/docs/Contact-us/b/11.htm
Ik zou zeggen zoek de adressen even op in google maps en vraag je af hoe serieus deze club is.

https://www.google.nl/map...485291!4d-7.1828865?hl=en

Moeten we jou dan ook niet even kunnen opzoeken op Google Earth om te bepalen hoe serieus je reactie is? Blijkbaar maakt de locatie van iets veel uit voor jouw oordeel over iets.

Waar iets gevestigd is hoeft toch niet uit te maken voor de authoriteit die ze hebben? Je moet maar zo denken: het ziet er goedkoop uit, zodat ze meer geld kunnen stoppen in het daadwerkelijk bewaken van de privacy. In plaats van je blauw betalen aan een ultieme glazen zichtlocatie en dan geen geld meer overhebben voor handhaving (of gewoon zwaar je budget opkrikken).

Of ze hebben misschien al het beschikbare geld gestoken in een Damien Hirst Dan blijft er ook weinig over voor je locatie.

Inderdaad, ik woon zelf in dublin, je moet eens weten hoeveel een kantoorpant hier kost. Tevens is Arlington een prima locatie. Halfuurtje met de trein, 20min met de auto.

Ze kunnen al snel miljoenen euros per jaar besparen door in een goedkopere locatie te zitten. Beter dan de Nederlandse Belasting dienst die gewoon bijna 250 miljoen uitgeeft aan een nieuw gebouw.

https://www.google.nl/map...hUrXRQ!2e0!7i13312!8i6656

Onze eigen bits of freedom. Die buurt ziet er nu ook niet geweldig uit. Maar de locatie maakt natuurlijk niet of ze wel of niet goed werk afleveren. Ik heb liever dat het geld besteed wordt aan het doel. En niet aan een pand.

Centrum Amsterdam, loopafstand van het centraal station en parkeren voor de deur. Dit is prime-real-estate!

Ooh de locatie zal ook prima zijn. Maar als niet bekende van die buurt ziet het er niet geweldig uit.

Dan nog. BoF levert prima werk voor ons. Maar als je naar hun "kantoor" kijkt lijkt dat er niet direct op. Dus ja misschien leveren hun prima werk maar is hun "kantoor" niet echt geweldig.

Dat hoeft ook niet voor een stichting.

Oke, ik neem het terug, "kijk eens in wat voor pand ze zitten."
Het pand wilde ik gebruiken om te illustreren, hoe laag hun budget is. Voor een organisatie, die belast is met het handhaven van digitale wetten en recht voor de consumenten van Ierland en Europa.

Ooh dan begreep ik je verkeerd. Ik dacht dat het een kijk waar hun zitten. Die kan je toch nooit serieus nemen. reactie was. Maar het budget is erg weinig ja.

Wat had je nou precies verwacht dan?

Ik mis nog wat context over die modelcontracten. Heeft iemand daar toevallig een goed stuk informatie over?

Het is een set van standaard contractteksten tussen bijv. de "verantwoordelijke" van de persoonsgegevens (bijv jouw bedrijf als het over jullie klantdata gaat) en de "verwerker" (bijv. Amazon als hostingpartij van jullie CRM-systeem), waarvan 'Brussel' heeft gezegd dat ze goed genoeg zijn om privacy etc. te waarborgen. Dit is nodig omdat in beginsel er alleen persoonsgegevens binnen de Europese Unie en enkele andere landen kunnen worden uitgewisseld: alleen landen waar de privacy voldoende is gewaarborgd. Dat is voor o.a. de VS niet het geval, terwijl heel veel bedrijven nauwe banden hebben met de VS. De contracten kan je overigens downloaden via http://ec.europa.eu/justi...ional-transfers/transfer/

[Reactie gewijzigd door F_J_K op 3 oktober 2017 22:44]

Het probleem dat Schrems waarschijnlijk zal hebben is dat er in de VS altijd nog wetgeving is (Patriot Act geloof ik, of een opvolger) die:

• Deze contracten overrulen en
• Te weinig waarborgen biedt mbt privacy

Dat zal voor Schrems zelf niet veel uitmaken, de Patriot Act geldt niet buiten de VS (wat de Patriot Act daar zelf ook over zegt) en kan door een bedrijf dat in Europa zaken doet dus niet gebruikt worden om zich achter te beschermen.

Als een Amerikaans bedrijf in Europa (zoals het geval met Facebook) de Europese wetgeving overtreedt door zich aan de PA te houden zijn ze nog steeds strafbaar in de EU. In het meest extreme geval kan Facebook verboden worden om in Europa zaken te doen. Het is een zaak voor de Amerikaanse bedrijven om dit aan te kaarten bij hun eigen overheid.

De Patriot Act geldt dan in theorie niet hier, in de praktijk is hij wel van toepassing. bijv: facebook zet aparte datacenters op in de EU voor data storage. Zodra iemand vanuit Amerika prive data opvraagt, bijv. jouw private profiel wat alleen je vrienden mogen zien, wordt deze data naar Amerika overgebracht en dan valt het onder de Patriot Act. Deze data kan worden onderschept en geanalyseerd, en er kan niet worden gegarandeerd dat alleen jouw vriend in de VS die data inziet.

De Patriot Act ontwijken kan alleen door werkzaamheden volledig gescheiden te houden en geen data transfers mogelijk te maken, dus een aparte facebook voor de VS (of global) en een voor Europa, en dan de Europese alleen toegankelijk maken vanuit de EU.

[Reactie gewijzigd door Origin64 op 3 oktober 2017 14:54]

Probleem is dat je in de VS wetgeving hebt die stelt dat elk bedrijf dat handel drijft in de VS moet voldoen aan verzoeken om data wanneer daar door de opsporingsdiensten om wordt verzocht. Verder maakt de Patriot Act het mogelijk om in geval van terrorisme er ook nog eens en bevel tot zwijgen aan toe te voegen waardoor het bedrijf aan niemand ook maar iets mag melden over het verzoek en zijn er ook geen beroepsmogelijkheden mogelijk.

Voldoe je daar niet aan dan kan ej als bedrijf veroordeeld worden en zal je uiteindelijk moeten kiezen: de amerikaanse markt verlaten of alsnog meewerken.

De zaak die MS voert tegen de FBI (met een verzoek dat dus geen zwijgplicht bevat) zullen we zien welke wetgeving primeerd en hoe de rechtbanken in de VS en de EU zullen oordelen.

Op zich zegt een kantoorlocatie niet alles natuurlijk. Gewoon goed omgegaan met de beperkte financiën blijkbaar

Voor Ierse begrippen is dit een prima locatie. Kom regelmatig bij Ierse internationaal aan de weg timmerende miljoenen bedrijven en die zitten allemaal in dit soort panden op business parken. Ze geven gewoon niks uit aan bedrijfspanden (meer winst voor de aandeelhouders).

Jouw eigen bron: "De lagere rechter zal na de prejudiciële uitspraak zelf ook uitspraak doen met toepassing van de prejudiciële uitspraak."

Aangezien de intentie van betreffende rechter al duidelijk was is hier het resultaat vrij voorspelbaar: De hogere rechter van het EU-hof heeft een extra pad voor lobbyisten vrij gehouden door tegen de lagere/Ierse rechter te zeggen dat die de uitspraak maar op eigen conto moet schrijven. Trainering dus.

Enfin, we gaan zie hoe het loopt. Want nu deze Ierse rechter weet dat het EU-hof er zegge/schrijve die reactie uit prejudiciële vertegenwoordiging nog niet klaar voor is is het natuurlijk zaak ( ) om de voorgestelde zaak alsnog (formeel) bij dat hof te poneren. En wel subiet natuurlijk; vóórdat een aanbesteding bij inspiratierondes van de dagelijkse reversieve lobby kan worden uitonderhandeld met bedrijven die al-doende (en passant) gereguleerd dreigen te gaan worden..

Zolang in de USA iets als de patriot act bestaat zal elke overeenkomst om gegevens daar op te slaan afgekeurd worden. De EU zal het alleen steeds rekken door weer een "nieuwe" overeenkomst op te stellen waarvan het dan weer jaren kost om die ongeldig te laten verklaren.

Ik ben zo blij met iemand als Max Schrems, die de nodige kennis en kunde heeft om te vechten voor onze vrijheden.

Ik niet, net zoals raadgevende referenda lijkt het erg mooi en nobel maar in de praktijk is het slechts een verspilling van tijd en geld omdat er toch niets veranderd. Als de huidige regeling wordt afgekeurd komt er een overgangsperiode tot de volgende regeling er is, die fundamenteel hetzelfde zal zijn als de huidige regeling, waarna het spelletje weer opnieuw begint. En dat kunnen ze decennia lang volhouden.

Ik hoop , en misschien ben ik wel erschrikkelijk naief, dat er op een bepaalde moment voldoende, intelligente, getallenteerde mensen zijn die de huidige politieke elite een trap onder hun kont geeft.

"Ze" zijn (indirect) door het volk gekozen. Dus als "ze" een spelletje met ons spelen dan zijn "ze" bij de volgende verkiezingen hun baan kwijt.
Raadgevende referenda zijn inderdaad onzin. Als een volksvertegenwoordiger (wiens royaal betaalde baan het is om het volk te vertegenwoordigen) het niet weet omdat het thema niet politiek is (moet het Nederlands voetbal elftal voortaan in het groen, geel of roze spelen zodat het koningshuis zich niet langer voor hen hoeft te schamen?) kunnen ze een referendum uitschrijven. Voor de rest moet je de burger daar niet mee lastig vallen. En al helemaal niet over onleesbare verdragen die over een land aan de andere kant van de unie gaan en waar we omdat we maar 1 van 27 zijn toch niet eens onderuit kunnen.