Europese Commissie is positief over Privacy Shield, maar ziet verbeterpunten

De Europese Commissie heeft de resultaten van de eerste jaarlijkse evaluatie van het Privacy Shield gepubliceerd. Deze overeenkomst laat Amerikaanse bedrijven gegevens van EU-burgers in de VS opslaan. Er zou nog ruimte zijn voor verbetering.

Zo zou het Amerikaanse ministerie van Economische Zaken actiever bedrijven moeten opsporen die ten onrechte claimen onder het Privacy Shield gecertificeerd te zijn. Daarnaast zou het regelmatig moeten controleren of bedrijven zich daadwerkelijk aan de daarin vastgelegde regels houden. De Commissie raadt bovendien aan om meer bewustzijn onder EU-burgers te creëren over hoe ze hun rechten onder het Privacy Shield kunnen uitoefenen.

In een persconferentie zei Eurocommissaris Věra Jourová dat 'de VS zich aan zijn beloftes houdt en dat het systeem werkt'. De Commissie heeft het rapport en de bijbehorende conclusies gepubliceerd. Daarin is vermeld dat inmiddels meer dan 2400 bedrijven het zelfcertificeringsproces van het Privacy Shield hebben doorlopen. De Commissie schrijft verder: "De Amerikaanse autoriteiten hebben de nodige klachtbehandeling- en handhavingsprocedures in het leven geroepen om de rechten van individuen te beschermen."

Amerikaanse wetgeving over toegang tot persoonsgegevens van Europese burgers zou voldoende waarborgen bieden tegen 'verzameling en gebruik van elektronische communicatiegegevens op een algemene basis', concludeert de Commissie. Dat is een eis uit de Schrems-zaak, waarin de voorloper van het Privacy Shield, de zogenaamde Safe Harbour-regeling, ongeldig werd verklaard. Deze waarborgen zijn genoemd in Amerikaanse regelgeving, namelijk de Presidential Policy Directive 28 en FISA.

Bedrijven die zich met de regeling certificeren, hebben bepaalde verplichtingen. Ze moeten bijvoorbeeld informatie bieden over de reden voor het verwerken van persoonsgegevens, over de rechten om informatie in te zien en het doorgeven aan een ander bedrijf te weigeren, en welke soorten gegevens ze verwerken. Schendt een bedrijf deze regels, dan kan een EU-burger een klacht indienen. Dat kan bijvoorbeeld bij het bedrijf zelf of bij een nationale toezichthouder zoals de Autoriteit Persoonsgegevens.

Meer dan een jaar geleden uitte de Artikel 29-werkgroep, een orgaan waarin de privacytoezichthouders van de EU-lidstaten zijn verenigd, dat het Privacy Shield nog enkele gebreken bevatte, zoals waarborgen tegen surveillance. Destijds zei de organisatie dat er geen actie ondernomen zou worden, maar dat er gewacht zou worden tot de eerste evaluatie heeft plaatsgevonden. Burgerrechtenorganisatie Digital Rights Ireland diende een klacht in tegen de overeenkomst.

Reacties (23)

[Iva Wonderbush]

"Deze overeenkomst met de VS laat organisaties gegevens van EU-burgers in Amerika opslaan."

Oh. Welke organisaties dan? Want dit wil ik niet

[duqu]

https://www.privacyshield.gov/list

[Anonymoussaurus]

Onder andere van het UWV:

• nieuws: SP wil garantie van ministers dat data UWV niet in Amerikaanse handen...
• nieuws: Nederlandse regering kan niet garanderen dat UWV-gegevens niet in VS ...

[kobus71]

Wauw, dat is toch te gek voor woorden dat NLse gegevens van burgers, nog wel erg privacy gevoelige gegevens in een ander land worden opgeslagen. Ik wist dat niet, en vind dat ook niet horen. De NLse overheid neemt het dus niet zo nauw met de bescherming van onze gegevens. Bedankt voor de link.

[Basjuh84]

Dat de Nederlandse overheid net niet zo nauw neemt met privacy en bescherming van persoonsgegevens is toch niet nieuw?

[JackBol]

Steam bijvoorbeeld.

"Valve® Corporation respects the privacy of its online visitors and users of its products and services and complies with the Privacy Shield Framework as agreed to by the US Department of Commerce and the European Commission."

[Reactie gewijzigd door JackBol op 23 juli 2024 09:03]

[Verwijderd]

OP doelt waarschijnlijk op overheid organisaties/instanties. Steam, onderdeel van Valve is een bedrijf en geen organisatie.

edit: misschien was het toch niet zo duidelijk , excuses

[Reactie gewijzigd door Verwijderd op 23 juli 2024 09:03]

[Blokker_1999]

Ook een bedrijf is een organisatie. Overal waar mensen op een gestructureerde (georganiseerde) manier iets samen doen is sprake van een organisatie. Of dit nu non profit of for profit is maakt niet uit.

[Verwijderd]

Amerikaanse wetgeving over toegang tot persoonsgegevens van Europese burgers zou voldoende waarborgen bieden tegen 'verzameling en gebruik van elektronische communicatiegegevens op een algemene basis', concludeert de Commissie.

Zeggen ze ook op grond waarvan ze dat vinden, en waarom ze de patriot act blijkbaar geen bezwaar vinden? Zolang die wet blijft bestaan in de USA lijkt me dat bovenstaande nooit kan kloppen.

[rdolman]

Precies, Amerikaanse wetgeving en EU privacyregelgeving is niet met elkaar te verenigen. Zo dient de USA volgens het Privacy Shield een ombudsman aan te stellen, wiens taak het onder andere is personen en/of instanties te notificeren wanneer overheidsdiensten onderzoek naar hen doen (met behulp van onze op Amerikaanse bodem opgeslagen gegevens). Nog even los van het feit dat de USA deze ombudsman na twee jaar nog steeds niet heeft aangesteld, kan deze persoon de bovengenoemde taak in veel gevallen helemaal niet uitvoeren omdat deze haaks staat op Amerikaanse wetgeving (door oa. Gag Order).

Kwestie van tijd voordat het Europese Hof van Justitie ook van het Privacy Shield gehakt maakt. En terecht.

[Caelestis]

In de EU wordt niet eens naam en foto's getoond van verdachten maar in de VS zouden ze de verdachten op de hoogte gesteld moeten worden door een ombudsman? Dit is niet een kwestie van incompatibiliteit van wetgevingen maar achterlijke hypocrisie vanuit de EU. Dacht je werkelijk dat wanneer een verdachte hier in de EU wordt onderzocht dat ze die een brief sturen met wat ze aan het doen zijn???
Safe harbour en zijn herbenoemde versie "Privacy shield" zijn EU initiatieven die niet eens door ons eigen hof van justitie worden geaccepteerd.

[Blokker_1999]

Safe harbor is verworpen, privacy shield niet. Tot dat het hof dit verwerpt is dit gewoon rechtsgeldige regelgeving.

[White Feather]

Als het onderzoek is afgerond, dan moeten inderdaad (ex-)verdachten op de hoogte gebracht worden.

Niet tijdens het onderzoek natuurlijk, dat bemoeilijkt de opsporing.

[m24]

voor de patriot act hoeft de data niet eens in de US te staan....

[Steyn_E]

Daarover is momenteel ook een rechtszaak gaande, Microsoft weigert toegang tot een mailbox in (ik meen) Ierland, ook al was ie van een Amerikaan. Dat ligt nu bij de Hoge Raad, een lagere rechter had geoordeeld dat het buiten de Patriot Act viel.

[Verwijderd]

Nee, die data is niet op grond van de patriot act opgevraagd maar met een "gewone" subphoena.

[Blokker_1999]

Indien de data onder de PA werd opgevraagd had MS helemaal geen zaak kunnen starten want die verzoeken komen gewoon met zwijgplicht.

[paulhekje]

Het is nu wachten wat het Europees parlement vindt, die heeft Safe Harbour ook terecht van tafel gekregen.

[Maurits van Baerle]

Klopt, uiteindelijk zijn het het Parlement en de Raad die de beslissingen nemen. De Commissie kan alleen uitvoeren.

Ik begrijp dat de Commissie snel met een alternatief voor Safe Harbour moest komen om de schade van helemaal geen verdrag te voorkomen (dagelijkse uitvoering is hun verantwoordelijkheid), uiteindelijk zullen Parlement en Raad de lange termijn doelstellingen moeten bepalen.

Daarom zie ik Privacy Shield ook voornamelijk als een tijdelijke oplossing. Iets om te voorkomen dat hele bedrijfstakken van het ene op het andere moment omvallen terwijl we werken aan iets beters. Wat dat betreft zullen de mening van het Parlement en eventuele uitspraken van het Europese Hof van Justitie erg interessant worden.

[quizzical]

Ik moet hetgeen je schrijft toch een beetje nuanceren, het is namelijk de Commissie die het recht heeft om nieuwe wetgeving voor te stellen.
Legislative initiative in the European Union

[Maurits van Baerle]

Voorstellen inderdaad, maar niet besluiten of aannemen.

Parlement en Raad stellen een hoofdrichting vast (bijvoorbeeld dat we willen dat de technologiesector in de EU moet kunnen floreren maar wel met inachtneming van de rechten op privacy van de burger), de Commissie doet dan een voorstel hoe dat er in wetgeving uit zou kunnen zien. Parlement en Raad besluiten vervolgens of ze dat voorstel goedkeuren of terugsturen naar de Commissie om verder aan te sleutelen.

[Reactie gewijzigd door Maurits van Baerle op 23 juli 2024 09:03]

[Martinspire]

Eigenlijk heb ik liever dat de VN of iets zich wat beter opstelt op dit vlak. Want buiten de VS en EU zijn er nog heel wat burgers wiens privacy beter geregeld moet worden. Want dat ze in de VS Europa wat voorzichtiger zijn is prima, maar dat geeft veel bedrijven nog open spel in het buitenland. En zeker bij kleinere (eilanden) naties lijkt het me beter dat we gewoon iets opnemen in de rechten van de mens oid.