Ierse rechter stuurt vragen over datatransfers in Schrems-zaak naar EU-hof

De hoogste Ierse rechter gaat in totaal elf zogeheten prejudiciële vragen naar het Europese Hof van Justitie sturen over de juridische houdbaarheid van het doorgeven van gebruikersdata van de EU naar de Verenigde Staten op basis van modelcontracten.

Een rechter van het Ierse High Court heeft in totaal elf vragen gesteld aan het Hof van Justitie van de Europese Unie. Caroline Costello, de rechter die het document heeft opgesteld, heeft onder meer een vraag gesteld of de datatransfers de EU-privacyrechten uit het EU-Handvest van de grondrechten doorkruisen. Ook wil ze weten of de privacybescherming onder het Amerikaanse recht wel voldoet aan de Europese regels.

Volgens het Ierse High Court is het maar de vraag of de ingestelde ombudsman wel een goede oplossing is voor Europese burgers om iets te doen tegen oneigenlijke inmenging van de VS in hun persoonsgegevens. De rechtbank zet zijn vraagtekens bij de beschermingen die het Amerikaanse recht voor EU-burgers biedt om iets te kunnen ondernemen tegen een inbreuk van zijn privacy door Amerikaanse inlichtingendiensten. Het Ierse High Court concludeert op basis van onderzoek van experts dat er in de VS sprake is van massasurveillance en vraagt zich af of daarbij gegevens worden verwerkt zonder dat er onderscheid wordt gemaakt.

Het werd in oktober vorig jaar al duidelijk dat de Ierse rechter de Schrems-zaak over datatransfers zou doorverwijzen naar het EU-hof in Luxemburg, al was het toen nog niet duidelijk hoe de vragen precies luidden en wanneer de vragen worden ingediend. Dat laatste gebeurt waarschijnlijk eind april. Facebook kan tot 30 april beroep aantekenen om de doorverwijzing naar het Hof van Justitie te voorkomen. Volgens Reuters heeft een advocaat van Facebook laten weten dat het bedrijf overweegt om beroep aan tekenen of een aanvraag voor uitstel in te dienen. De zaak speelt in Ierland, omdat daar Facebooks Europese vestiging is.

Het draait in deze zaak om de modelovereenkomsten, oftewel standard contractual clauses, waarmee Amerikaanse bedrijven gegevens van EU-burgers in de VS kunnen opslaan. Dit is door de EU goedgekeurd. De Ierse privacywaakhond, die de procedure aanhangig heeft gemaakt, vindt dat deze contracten ongeldig moeten worden verklaard, net zoals het EU-hof in 2015 deed met de Safe Harbour-regeling.

Dat laatste gebeurde na een rechtszaak die werd aangespannen door de Oostenrijker Max Schrems. Daarin betoogde hij dat door de Snowden-onthullingen duidelijk is geworden dat zijn Facebook-gegevens niet veilig in de VS kunnen worden opgeslagen. Safe Harbour is inmiddels vervangen door Privacy Shield, een overeenkomst tussen de VS en de EU die in juli 2016 is aangenomen. Het stelt bedrijven in staat om persoonsgegevens van Europese burgers in de VS op te slaan, nadat ze een certificeringsproces hebben doorlopen. Ook hier is veel kritiek op. Het gebruik van modelcontracten is deels overbodig geworden door Privacy Shield, maar er zijn nog bedrijven die ervan gebruikmaken. Bovendien kan een uitspraak over de modelcontracten gevolgen hebben voor Privacy Shield.

Max Schrems heeft eind vorig jaar tegen Tweakers gezegd dat Privacy Shield grotendeels vergelijkbaar is met de afgekeurde Safe Harbour-regeling en dat de overeenkomst onderuit zal gaan als het EU-Hof zich erover buigt. Castello heeft ook Privacy Shield aan de orde gesteld bij de vragen aan het EU-Hof, maar dat betekent niet dat het Hof van Justitie er zelf ook een oordeel over kan vellen; de antwoorden gaan terug naar het Ierse High Court. Deze Ierse rechtbank buigt zich voornamelijk over de modelcontracten. Daarmee blijft het de vraag of en wanneer Privacy Shield via een rechtszaak bij het EU-Hof terechtkomt. Eerder werd een poging daartoe van de burgerrechtenorganisatie Digital Rights Ireland om procedurele redenen afgekeurd en waarschijnlijk wacht een soortgelijke zaak van de Franse organisatie La Quadrature du Net hetzelfde lot.

Reacties (24)

Ik vind het heel pijnlijk hoe we met z'n allen om de hete brij heen draaien.
Iedereen snapt heel goed hoe de wereld werkt, maar wil dat niet erkennen.
De feiten zijn:
- Data kan niet veilig (onversleuteld) buiten de deur worden opgeslagen.
- Zelfs als het bedrijfsleven wil meewerken, dan kunnen lokale overheden altijd de regels veranderen om toegang tot bepaalde informatie te krijgen.
- Lokale rechters kunnen internationale afspraken negeren en als buitenlandse partij heb je dan het nakijken.
- De Amerikanen (en velen anderen) willen duidelijk toegang en ze gaan net zo lang proberen tot ze die krijgen.
- What has been copied can never be uncopied.
- Fysieke toegang is belangrijker dan papieren afspraken.
- De wet kan ieder moment veranderen.
- De hele (westerse) wereld is afhankelijk van een handvol Amerikaanse techreuzen. We kunnen eigenlijk niet zonder. Of het nu toegestaan is volgens de regels of niet, we zullen onze data daar gaan stallen.

Je kan zo veel afspraken maken en verdragen sluiten als je wil maar je blijft afhankelijk van de medewerking van anderen. Als die door een rechter gedwongen worden om je data af te staan dan is er weinig dat je nog kan doen, zeker vanuit het buitenland. Als een overheid iets wil dan krijgt die uiteindelijk wel z'n zin, volgens de wet of langs de randjes.

Dat alles neemt niet weg dat de technische en financiele voordelen gigantisch kunnen zijn waardoor velen hun data/diensten toch in de VS willen onderbrengen.

Daarom moeten er niet in het wilde weg gegevens verzameld worden. En, gegevens zijn bij datahandelaren beslist niet in veilige handen. Kunnen ze beter bij de geheime dienst staan.
En dat mijn mail ergens staat: dat kan ik zien. Moet ie niet ergens anders staan.
En mijn banktransacties moeten bij de bank blijven, of bij de tegenpartij en de bank daarvan. Niet voor wat schamele euro's doorverkocht aan aan datahandelaar.

Daarnaast is er in de Amerikaanse grondwet uitsluitend bescherming opgenomen voor Amerikaanse ingezettenen. De rest van de wereld is vogelvrij.

De nieuwe set afspraken "Privacy Shield" is vrijwel een exacte kopie van de safe-harbour.
Het beestje heeft een andere naam gekregen Dus nu moet de procedure opnieuw...
Geeft ook aan hoe de diplomatieke/politieke wereld denkt over het "klootjes"volk.

Het verschil is dat de de bedrijven die onder Privacy Shield willen vallen nu wel "echte" zelfcontrole moeten toepassen.., oh dat was bij de vorige regeling ook al...

Allemaal mee eens. En goh zie wat de Duitse overheid doet: naar een open source self-hosted oplossing overstappen... die hebben er over nagedacht.

Bye bye Privacy Shield

Wat mij verder wel opviel bij de verhoren van Mark Zuckerberg in het Amerikaanse Senaat. Is hoe vaak GDPR viel, en of het ook voor de Amerikaanse burgers zou gaan gelden.
Je zou bijna de hoop krijgen dat de Amerikanen ook een soort GDPR gaan invoeren.

Bye Bye Privacy Shield.

Welkom Shield 2.0
Bye Bye shield 2.0
Welkom Shield 3.0
enz

Wat je nu zien is het ene wordt afgeschoten men doet iets nieuws maar ander naam dat vergelijkbaar is. Dat duurt dan weer een paar jaar voordat dat wordt afgeschoten en zo kan het heel land door gaan.

Het triest van die alles is het het een fout in het systeem laat zien. Men maakt nieuwe afspraken die men niet eerst hoeft te laten toetsen. Zo kan men heel lang verder gaan zonder gevolgen.

Dat werkt in Europa anders dan in de VS.
In Europa gebruiken we een wetgeving die voor alle sectoren geldt.
In de VS is dat juist een wetgeving per sector.

Alleen wordt er met de WiV wel een deur opengezet naar die data.
Formeel zit daar wel een portier, alleen heet die nog V.A. Cature. En de vraag is of die werkelijk in de koffertjes die langskomen mag kijken of dat die alleen maar mag turven hoe vaak een koffertje het pand verlaat.
En is de controle Politiek georienteerd (Minister van BiZa) en niet onafhankelijk (Rechterlijke macht).

[Reactie gewijzigd door tweaknico op 13 april 2018 17:36]

Zie het niet zo snel gebeuren. Denk dat de inlichtingen diensten daar redelijk gebaat zijn bij allerlei gegevens die verspreid staan bij bedrijven. Maakt het werk een stuk lastiger als je moet gaan graven naar gegevens, terwijl kansen zijn dat de persoon die ze onderzoeken wel ergens een account heeft of heeft gehad met de relevante informatie. Denk aan rekeningnummers, adressen, etc.

Aan de andere kant zijn politici, vooral hen die corrupt zijn, dit soort praktijken natuurlijk liever kwijt dan rijk.

Hoezo? Een corrupt politicus krijgt heus zijn gegevens wel verborgen of verwijderd. Een gewone burger uiteraard niet.

Dat betwijfel ik aangezien de NSA toch overal aan komt.

Je zou bijna de hoop krijgen dat de Amerikanen ook een soort GDPR gaan invoeren.

Zelfs als dat gebeurt (en ik heb er weinig hoop op), dan nog zal dat alleen gelden voor Amerikaanse staatsburger; wij hebben er dan alsnog niets aan en zijn nog steeds vogelvrij.

Ergens moet er toch een begin zijn.
Als de EU en de VS een versie van de GDPR hebben, is een verdrag een stuk gemakkelijker te maken.
Nu hebben ze in de VS bijna niets, of zo weinig dat de senatoren vragen aan FB of die ook voor de VS Amerikanen GDPR gaan invoeren.

Op onze vertegenwoordigers in de verschillende parlementen reken ik al lang niet meer, dus heb ik besloten om Max Schrems zelf actief te ondersteunen. Ik raad iedereen aan hetzelfde te doen en een maandelijkse bijdrage te leveren aan #NOYB.

Go Max !!

Schrems doet inderdaad goed werk en een aantal zaken die nou juist beter door privepersonen dan door politici of organisaties gedaan kunnen worden. Bijvoorbeeld door zich als persoonlijk benadeelde op te stellen in een aantal rechtzaken. Daardoor kan hij bepaalde wegen behandelen en wetten gebruiken die alleen door privepersonen gebruikt kunnen worden.

Toch ben ik ook erg onder de indruk van van LIBE (the committee on Civil Liberties, Justice and Home Affairs) van het Europees Parlement die regelmatig erg hard knokt voor de rechten van EU Burgers wat betreft privacy.

We zitten eigenlijk nog in een behoorlijk status-quo sinds de safe harbour bepalingen; AVG/GDPR wordt nog steeds niet keihard afgedwongen omdat de amerikaanse geheime diensten het toch wel ondermijnen.

Hoe wil je vandaag iets afdwingen wanneer de richtlijn pas eind mei afdwingbaar zal zijn?

Niet alleen de Amerikaanse. Hun Europeesche collega's kunnen er ook wat van. Vooral de Britten zijn heel erg actief met volksspionage tegenwoordig. Waarschijnlijk onze eigen AIVD ook wel, maar die houden het wellicht beter geheim. Het is niet voor niks dat ze meer bevoegdheden willen hebben: dan zijn ze eindelijk weer legaal bezig met dingen die ze volgens mij al heel lang doen.

Dat vermoeden deel ik voor 100%

Er is ook niet veel veranderd omdat zoiets tijd kost. Toen Safe Harbour, redelijk onverwacht, door rechters onderuit werd gehaald moest er snel een oplossing gevonden worden zodat hele industrieën niet van de ene op de andere dag strafbaar werden.

Die tijdelijke plakband oplossing werd Privacy Shield. Ik denk niet dat er veel mensen zijn die dachten dat Privacy Shield het lang vol zou houden. Al helemaal niet omdat Max Schrems natuurlijk niet ineens de handdoek in de ring zou gooien.

Ik denk dat we even moeten kijken wat de invoering van GDPR volgende maand gaat betekenen. Ik had toevallig gisteren een gesprek met iemand die in die hoek actief is en hij verwachte dat het uiteindelijk met alle horrorstories over wat GDPR voor bedrijven gaat betekenen wel mee zal vallen. Zelf verwacht ik eigenlijk dat toezichthouders de GDPR in eerste instantie vooral gaan gebruiken voor bedrijven die ze toch al in de gaten hielden wegens dubieuze praktijken maar die ze voorheen niet zo makkelijk konden aanpakken.

Maar goed, ergens eind van de zomer zullen we weten hoe effectief GDPR in de praktijk is (zowel voor bedrijven als toezichthouders) en de eerste ideeën hebben over wat er wel en niet werkt. Aangezien het ook vrijwel zeker is dat Privacy Shield geen lang leven zal hebben kunnen we met de kennis over hoe de GDPR werkt gaan kijken hoe de opvolger van Privacy Shield er uit moet zien. Aangezien er sinds het Facebook/Cambridge Analytica/AggregateIQ schandaal ineens veel meer aandacht voor privacy is onder het grote publiek verwacht ik ook dat het Europees Parlement veel sterker zal staan in het eisen van waarborgen en meer gehoor zal vinden voor hun voorstellen.

[Reactie gewijzigd door Maurits van Baerle op 13 april 2018 14:43]

Inlichtingendiensten zijn vrijgesteld van verplichtingen onder AVG/GDPR.

Inlichtingendiensten zijn maar betrekkelijk kleine spelers in het privacy/persoonlijke-informatie-verzameling verhaal.

Ik durf te wedden dat er kleine digital marketing clubjes zijn waar ik nog nooit van heb gehoord die meer informatie over mij hebben dan alle inlichtingendiensten bij elkaar. En daar is de GDPR dus voor in het leven geroepen.

Met eindelijk een juridisch houdbare definitie van persoon gegeven.