Privacytoezichthouders willen betere regels voor data-uitwisseling buiten Europa

De Europese koepel van privacytoezichthouders gaat duidelijke regels opstellen voor het beschermen van gegevens van Europese burgers. Nu zijn die regels vaak nog onduidelijk, waardoor persoonsgegevens soms minder goed beschermd zijn.

De nieuwe richtlijn is opgesteld door de European Data Protection Board, de koepelorganisatie van Europese privacytoezichthouders. In het voorstel wordt vastgelegd wat bedrijven moeten doen die buiten de Europese Unie zijn gevestigd maar data van Europese burgers verwerken. Dat mag alleen onder bepaalde voorwaarden, maar als een bedrijf daar niet aan voldoet kan er een zogeheten modelcontractbepaling of SCC worden opgesteld. Er bestond vaak onduidelijkheid over wanneer zo'n SCC precies nodig is en wanneer een bedrijf alsnog data mag verwerken van een Europeaan. In de nieuwe regels wordt dat duidelijker gemaakt.

De richtlijnen stellen voortaan vast wat de definitie is van 'een doorgifte naar een derde land of een internationale organisatie'. Dat betekent concreet dat als er data onder die definitie van een Europees burger naar het buitenland gaat, de regels rondom privacybescherming blijven bestaan. Dat zijn dan de normen en regels zoals die zijn vastgelegd in de AVG. Een van de regels is dat bedrijven alleen data mogen exporteren als ze kunnen garanderen dat die in het nieuwe land even goed beschermd zijn als in Europa. De regels gelden ook voor wat er in een SCC moet komen te staan.

De nieuwe regels waren volgens de Autoriteit Persoonsgegevens nodig sinds er eerder dit jaar nieuwe SCC's werden opgesteld door de Europese Commissie. Die stelden dat die niet van toepassing waren 'op doorgiften naar data-importeurs waarop de AVG al direct van toepassing is'. De EDPB stelt dat dat met de nieuwe regels wel nodig is. Het voorstel van de EDPB moet overigens eerst door een consultatieperiode heen. Die loopt tot eind januari volgend jaar door. Daarna wordt er een definitief advies gegeven.

Reacties (21)

[Mont2uk]

Begrijp ik het goed dat als een bedrijf bijvoorbeeld van diensten gebruik maakt van een internationaal bedrijf als Google (denk aan gsuite), dat dan SCCs moeten worden toegevoegd aan de contracten tussen dat bedrijf en in dit voorbeeld Google?
Dus ook als persoonsdata fysiek binnen de grenzen van de EU blijft?

[Arnoud Engelfriet]

SCC zijn nodig bij doorgifte van persoonsgegevens naar een verantwoordelijke buiten de Europese Economische Ruimte (tenzij dat land adequaat is, zoals Japan of Israël). Het maakt niet uit waar de verwerking plaatsvindt.

Als Google GmbH de persoonsgegevens verwerkt in een datacenter in Hamburg, dan zijn geen SCC nodig. Als Google Inc op diezelfde plek hetzelfde doet, dan zijn wel SCC nodig.

Het is in zoverre een idiote constructie dat de SCC er vanuit gaan dat de partij in de EER de wederpartij daarbuiten aan de SCC kan houden. Dus dat jij Google op de vingers tikt als ze toch gegevens naar Amerika karren en matchen met advertentieprofielen of zo, of afgeven aan de NSA. En dat jij maatregelen ingebouwd hebt waardoor Google dat niet zomaar kan. Maar bij juristen is de specificatie gelijk aan de implementatie, dus als het op papier staat dan werkt het zo.

[Mont2uk]

Dank je voor het heldere antwoord Arnoud! Inderdaad vrij idioot.
Het zal door deze "betere" regels dus helemaal niet beter worden in de praktijk, kan ik hieruit opmaken?

[CAPSLOCK2000]

Dank je voor het heldere antwoord Arnoud! Inderdaad vrij idioot.
Het zal door deze "betere" regels dus helemaal niet beter worden in de praktijk, kan ik hieruit opmaken?

Die extra regels zijn nodig om dat probleem op te lossen, dus ik mag hopen dat het beter wordt.

De echt vervelende vraag is of het wel beter kan?
Heel kort door de bocht is dat Europa zegt "wij zijn de baas over onze data" en de VS zeggen "wij zijn de baas over onze bedrijven". Er kan er maar ééntje echt de baas zijn en momenteel is dat Amerika. We kunnen afspraken maken tot we een ons wegen, maar uiteindelijk is er eentje echt de baas.

In Amerika wonen de CEO en bedrijfsleiders die in praktijk de baas zijn. Als er maar genoeg druk op wordt gezet dan zullen die uiteindelijk altijd kiezen voor het land waar ze wonen zodat ze niet door de politie uit bed worden gehaald als de problemen niet oplosbaar zijn.

We kunnen als Europa hoog of laag springen maar zolang onze software in de VS wordt gemaakt en Amerikaanse bedrijven de toegang (en sleutels) beheren heeft het weinig zin. Geen enkel contract geeft ooit absolute zekerheid, iedere afspraak kan gebroken worden als de belangen maar groot genoeg zijn.

Als je echt zekerheid nodig hebt zul je er zelf voor moeten zorgen en in ieder geval alle sleutels in eigen handen houden. Maar als je maar paranoide genoeg bent dan moet je je ook afvragen of je de software die de sleutels maakt, gebruikt en/of opslaat ook te vertrouwen is. Je moet echt heel erg ver gaan om al je software te vertrouwen.

Als je er een tijdje over nadenkt dan kom je tot de conclusie dat SCCs best lastig zijn. Want je mag niet zomaar iets in je contract zetten als je het niet waar kan maken. Je mag bijvoorbeeld geen afspraken maken die tegen de wet zijn. En daar wordt het lastig want Amerikaanse bedrijven kunnen niet beloven dat ze nooit data zullen afstaan. Als de overheid er om vraagt dan moeten ze. Wij Europeanen weten dat. Je moet dus wel gek zijn om een contract te sluiten als je toch al weet dat de andere kan zich er niet aan kan houden. Dat is precies waarom de "Privacy Shield" wet ongeldig is verklaard. Toen Privacy Shield door de rechter werd verboden heeft die rechter er ook bij gezegd dat de uitspraak alleen over Privacy Shield ging en niet over SCCs. Toen hebben een aantal bedrijven geconcludeerd dat de rechter heeft gezegd dat je met SCCs wel data mag uitwisselen, maar dat is wat te kort door de bocht.

We komen steeds weer terug op het punt dat er maar één echt de baas kan zijn en momenteel is dat de VS. De lastige vraag is dus of het wel beter kan of dat we er nooit uit gaan komen.
Dat roept direct de volgende vraag op: als het echt niet kan, wat dan? We kunnen niet zomaar Microsoft én Google én Facebook én Twitter én Apple én Dropbox én alle andere Amerikaanse software verbieden. De idealist in mij zou het wel mooi vinden maar rationeel snap ik dat het niet uitvoerbaar is zonder de wereld in een economische crisis te storten.

Zelfs als je alle juridische problemen opgelost krijgt zit je nog steeds met de vervelende vraag hoe zeer je zo'n bedrijf moet vertrouwen, want bedrijven bestaan uit mensen en die kunnen fouten maken of worden omgekocht of gechanteerd.

Als je dat allemaal doortrekt is er eigenlijk nog maar één ding dat je kan doen en dat is alles versleutelen en zorgen dat je zelf het sleutelmateriaal beheerd en zoveel mogelijk van de software die er direct om heen staat. Gelukkig wordt er al gewerkt aan manieren om data te verwerken zonder deze te ontsleutelen. Dat zou wel eens de oplossing kunnen gaan zijn. Het zware werk wordt gedaan door "vreemde" computers die echter zelf niet weten wat voor data ze nu eigenlijk verwerken.

[musiman]

Perfect verhaal! Nog even ter verduidelijking op de opmerking dat er aan oplossingen wordt gewerkt om analyse (berekeningen) uit te kunnen voeren op encrypted data, zodat je die analyse bijvoorbeeld in een public cloud kan laten uitvoeren, zonder dat de data onversleuteld door de VS kan worden opgevraagd.

Dit heet: Homomorphic Encryption.

Het staat echter nog in de kinderschoenen. De performance is nog niet je van het en de computatieve mogelijkheden op dit moment nog beperkt.

[LurkZ]

En wat als je bv alleen via Google Inc een account kunt aanmaken en later alles op de server van Google GmbH draait? Heb je dan al je rechten opgegeven omdat je de in de VS geldende voorwaarden digitaal hebt ondertekend?

Andere vraag. Mag Facebook een kopie van je ID eisen om een account aan te maken?

[Arnoud Engelfriet]

In dat geval is het de Inc die beslist wat er gebeurt, en dus is de Inc aansprakelijk. Maar in dit geval zijn SCC niet nodig, omdat er niet een Europese partij is die de gegevens afgeeft aan de Amerikaanse Inc. De betrokken persoon die dat zelf doet, is een apart geval.

Van de AVG mag dat niet.

[Xander2]

Maar bij juristen is de specificatie gelijk aan de implementatie, dus als het op papier staat dan werkt het zo.

Het uitgangspunt dat iets buiten de regiogrenzen afgedwongen kan worden (~=wetten elders opleggen/controleren) is het probleem.

De vraag is waarom het nodig moet zijn persoonlijke data en afgeleiden te kunnen exporteren uit de EU als alles verbonden is.

[Arnoud Engelfriet]

Waarom is dat een probleem? Serieuze vraag. Als een land last heeft van handelen door buitenlanders, dan mag ze daar toch wat van (proberen te) vinden?

Zou je het logischer/beter vinden als de EU had gezegd, persoonsgegevens blijven hier en gaan nimmer de EER uit, je kunt het dak op met je web2.0?

[Xander2]

Ja, het is beter dat persoonsgegevens in de EU blijven en dat dit ontegenzeggelijk in een wet verankerd wordt.

Dat betekent nl. dat ook overheidsdiensten hieraan gebonden zijn.

Een vrij internet zonder definitie van rechten/plichten kan alleen geborgd zijn wanneer gebruikers anoniem zijn.

Zodra identiteit een rol speelt komen rechten/plichten naar boven en deze zijn niet uniform te definiëren omdat deze niet uniform gedeeld worden.

Dat kan je anders vinden, willen en proberen uit te onderhandelen maar is uiteindelijk net zo effectief als elders democratie eisen in een dictatuur.

Het web2.0 maakt gebruik van de vrijheden van een anoniem internet en heeft identiteit geïntroduceerd zonder rechten/plichten gebruikers te definiëren. Het speelveld is veranderd.

Verandering daarin is niet het einde van web2.0, maar een keuze om het technisch te gaan oplossen dat rechten/plichten gerespecteerd gaan worden dan wel anonimiteit gegarandeerd wordt.

En dat kan alleen binnen een rechtsgebied getoetst worden.

[Janbraam]

SCC zijn nodig bij doorgifte van persoonsgegevens naar een verantwoordelijke buiten de Europese Economische Ruimte (tenzij dat land adequaat is, zoals Japan of Israël). Het maakt niet uit waar de verwerking plaatsvindt.

Ik weet 't niet... zou jouw "tenzij" niet "mits" moeten zijn? Of ontbreekt het woordje "niet" in jouw éénnalaatste zin?

[Arnoud Engelfriet]

Volgens mij klopt ie. Doorgifte mag als een land adequaat is, en als dat niet zo is dan gebruik je normaal SCC. Bij export naar Israël zijn dus geen SCC nodig.

[YangWenli]

Regels zijn zinloos als je ze niet handhaaft, zie de corona pandemie.
En geen Europese toezichthouder zal ook maar iets kunnen ondernemen tegen de US of China. Die landen nemen hun soevereiniteit wel serieus.

[bytemaster460]

Het gaat om bedrijven die zich v.w.b. hun activiteiten op de EU richten maar buiten de EU gevestigd zijn. Die kunnen gewoon door de EU worden aangeklaagd, net zoals dat nu ook gebeurt met Google, Microsoft en Facebook.

[CAPSLOCK2000]

Regels zijn zinloos als je ze niet handhaaft, zie de corona pandemie.
En geen Europese toezichthouder zal ook maar iets kunnen ondernemen tegen de US of China. Die landen nemen hun soevereiniteit wel serieus.

Tegen de VS en China kunnen die toezichthouders inderdaad niks beginnen, maar dat betekent niet dat ze niks kunnen doen. Want de bedrijven waar het hier om gaat kunnen ze wel aanpakken. Door heel Europa heen zie je dat de ene na de andere boete wordt opgelegd en het einde is nog niet in zicht. Per stuk zijn de boetes misschien wel te overzien maar allemaal samen moet het toch stevig doortikken. Vroeg of laat hebben de aandeelhouders daar genoeg. Die hebben namelijk niks te maken met de Amerikaanse staatsveiligheid of dat soort argumenten, die willen gewoon geld zien en de boetes gaan van hun winst af. Wij denken wel eens dat ze die boetes wel accepteren zolang er maar genoeg geld binnen komt maar zo werkt het niet voor aandeelhouders, die willen altijd meer. Overigens weten die aandeelhouders ook dat de EU een grotere markt is dan de VS of China. De EU verlaten zullen verstandige bedrijven dus niet doen. Als je echt voor het blok gezet wordt kun je misschien beter de VS verlaten dan de EU.

[Reactie gewijzigd door CAPSLOCK2000 op 22 juli 2024 17:01]

[kodak]

Afgezien dat je mogelijkheden niet mee lijkt te tellen om suggestief te doen alsof de EU de eigen soevereiniteit niet serieus zou nemen is die suggestie op zich al niet redelijk.

De EU stelt namelijk betere regels voor om voor de eigen rechten op te komen. Dat kan je niet even negeren alsof dat niet mee telt. Zeker niet met een argument dat regels zinloos zijn als ze niet gehandhaafd worden. Dan negeer je namelijk dat er voor bestaan van deze regels ook een eigen gedachten moet zijn om ze tot stand te laten komen en eigen bereidheid om ze te respecteren. Daarbij is het een gegeven dat hoe dan ook nooit iedereen de zelfde gedachten heeft over wat de beste regels zijn (wat gevolgen heeft voor aan de wet houden en handhaven), nooit iedereen zich aan de wet wil houden (wat gevolgen heeft voor het bestaan van wetten en handhaven) en niemand ooit volledig kan handhaven (wat gevolgen heeft voor het bestaan van wetten en aan de wet houden).
Je voorbeeld wijzigt dat niet. Als jij het met een van de onderdelen niet eens bent wil dat niet zeggen dat het dus alleen daaraan ligt.

[TheAncientDovah]

Problematisch is echter de wetgeving rondom inlichtingendiensten in de Verenigde Staten en hun bevoegdheden. Volgens de Amerikanen is die wetgeving belangrijker dan eventuele contractuele bepalingen zoals een SSC met het doel privacy van Europeanen te beschermen. Eigenlijk zal uitwisseling van data met de VS daarom volgens een Europese rechter waarschijnlijk nooit kunnen voldoen aan de GDPR. Dat is...tenzij de wetgeving in de VS veranderd...

[The Zep Man]

Dat betekent concreet dat als er data onder die definitie van een Europees burger naar het buitenland gaat, de regels rondom privacybescherming blijven bestaan. Dat zijn dan de normen en regels zoals die zijn vastgelegd in de AVG.

Gelden daar de 'acties' die je als eigenaar van de data kan uitzetten dan ook voor? Denk aan het opvragen van welke gegevens men heeft, het opvragen van die gegevens in een gestructureerd formaat, het recht om gegevens te laten verwijderen en er geen rechtmatig doel is om dat tegen te houden, etc.?

[LurkZ]

Ik kan je garanderen dat het antwoord "Nee" is.

Als bv Facebook je een perm ban geeft zou het wel heel handig zijn om het recht om te vergeten in te zetten. Alles laten wissen en de volgende dag verder met een nieuw account.


Als Faceboook niet hoeft mee te werken vanwege...

er geen rechtmatig doel is om dat tegen te houden,

... is die regel dusdanig zwak dat de regel eigenlijk niet bestaat.

[cobis taba]

Het recht om vergeten te worden is vanuit de GDPR bezien een onzinnig recht. Wat het eigenlijk zegt is dat je mag eisen dat men data verwijderd die ze niet meer nodig hebben. Maar data die het bedrijf niet meer nodig heeft, mochten ze al niet meer opslaan. Je mag data immers alleen met een legitiem doel opslaan... dus het recht op vergetelheid is eigenlijk het recht dat het bedrijf de wet moet naleven .

[LurkZ]

Een van de regels is dat bedrijven alleen data mogen exporteren als ze kunnen garanderen dat die in het nieuwe land even goed beschermd zijn als in Europa.

Dat kan een bedrijf nooit garanderen. Neem de VS voor 9/11 als voorbeeld. Toen was het misschien nog redelijk ok. Maar plotseling is er de Patriot Act. Dan is de reeds gestalde data plotseling vogelvrij.

Zelfs in binnen de EU wijken de regels af in de praktijk.