President VS tekent decreet ter bescherming van data Europese burgers

De Amerikaanse president Joe Biden heeft een decreet getekend waarin staat dat de privacy van Europeanen beter beschermd moet worden tegen eventueel misbruik door inlichtingendiensten. Het is nu aan de Europese Commissie om te bepalen of het pact voldoet aan de eisen.

Het presidentiële decreet draagt de Amerikaanse overheid op om bepaalde maatregelen te nemen tegen het gebruik van data van Europese burgers, zo blijkt uit een persbericht. Zo mogen Amerikaanse inlichtingendiensten als de NSA voortaan alleen overzees werken wanneer dit 'vooraf gedefinieerde nationale veiligheidsdoelen' heeft. Ook moeten zij de privacy en burgerlijke rechten van eventuele subjecten waarborgen, ongeacht de nationaliteit of woonplaats van diegene. Het is daarbij belangrijk dat door inlichtingendiensten uitgevoerde acties ook volgens Europese wetgevingen toegestaan is.

Om dit te handhaven stelt Biden voor om twee lagen van onafhankelijke toetsing in te richten, waar eventuele slachtoffers van privacyschending terechtkunnen. Allereerst gaat een Civil Liberties Protection Officer na of eventuele rechten of regels geschonden zijn. Wanneer Europese of Amerikaanse wetten geschonden zijn wordt hier een bindende sanering bepaald.

Daarnaast wordt er een Data Protection Review Court samengesteld bestaande uit onafhankelijke 'rechters' van buiten de Amerikaanse overheid. Hier wordt getoetst of de beslissingen van de CLPC terecht waren. Ook de beslissingen van dit orgaan zijn bindend; inlichtingendiensten moeten zich dus aan eventuele terechtwijzingen van de twee controlelagen houden. Naar verwachting duurt het nog een half jaar voordat de uiteindelijke overeenkomst tussen de Europese Unie en de Verenigde Staten getekend wordt.

De stappen die Biden met het decreet neemt zijn een antwoord op lange onderhandelingen tussen de Verenigde Staten en de Europese Unie. Initieel werd er een streep door het Privacy Shield gezet waardoor er geen datatransfer naar de VS meer toegestaan was. Het Europese Hof van Justitie stelde dat dit data-uitwisselingsverdrag tussen de EU en de VS in strijd was met Europese wetten. Begin dit jaar werd een nieuw framework voorgesteld voor dergelijke uitwisseling van data, bekend als Privacy Shield 2.0. Het decreet dat Biden heeft ondertekend zou volgens de Amerikaanse overheid nu inderdaad aansluiten op de vereisten van de Europese Unie.

Reacties (69)

[Martinspire]

Interessante wending. Gaat dit nu specifiek over Europese burgers of ook nog generiek voor niet-Amerikanen? Dus wordt data van mensen uit bv India of Marokko ook beter beschermd?

[berzerker]

Uit het persbericht (cursief toegevoegd door mij):

The Executive Order bolsters an already rigorous array of privacy and civil liberties safeguards for U.S. signals intelligence activities. It also creates an independent and binding mechanism enabling individuals in qualifying states and regional economic integration organizations, as designated under the E.O., to seek redress if they believe their personal data was collected through U.S. signals intelligence in a manner that violated applicable U.S. law.

De Executive Order is hier te vinden, en daarin staat:

To implement the redress mechanism established by section 3 of this order, the Attorney General is authorized to designate a country or regional economic integration organization as a qualifying state (...)

Dus het kan worden uitgebreid naar andere regio's dan de EU lijkt het.

[litebyte]

Vraag mij af, waarom als ik naar Japan vlieg met KLM, mijn vluchtgegevens moeten worden gedeeld met de VS overheid. Dit soort data valt daar dan hopelijk dan ook onder.

[Armselig]

Wilde gok, vanwege de amerikaanse legerbasissen: https://en.wikipedia.org/...ist_of_current_facilities

[GekkePrutser]

Ja dus? Als je daar in de buurt komt en raar gaat doen dan komen er vanzelf wel mannetjes met geweren op je af. Die basissen zijn meer dan afdoende beveiligd.

Vind ik nou niet bepaald een goede reden om daar elke passagier voor in de gaten te houden.

Ik vind het goed dat er meer wordt gedaan voor de bescherming van deze data, maar de passagiersdata zou op vluchten die de VS niet aandoen gewoon helemaal niet naar de VS moeten gaan. Als je daar naartoe gaat dan ja dan kan ik me er nog wat bij voorstellen.

[Reactie gewijzigd door GekkePrutser op 23 juli 2024 08:47]

[Maurits van Baerle]

Als je naar de VS vliegt is het inderdaad niet meer dan logisch. En dat doen wij net zo goed, iedereen die naar het Schengen gebied vliegt moet vooraf Advanced Passenger Information aanleveren. Zo weet bijvoorbeeld de Marechaussee al 24 uur voordat jij op Schiphol aankomt dat je van plan bent om via Schiphol Schengen binnen te komen. Dat speelt een cruciale rol bij de grensbewaking. En Schengen betekent erg strenge bewaking van de buitengrens.

Dat de VS ook informatie willen over een vlucht tussen Schiphol en Tokio is wel erg dubieus. En dat vind ik eigenlijk ook met het verplicht via de VS moeten reizen op doorreis. Op o.a. Schiphol hebben we ‘transit’ zones die volledig voor de douane zitten. Je kunt van New York via Schiphol naar Dubai vliegen en je hoeft nooit Nederland in, niet je paspoort te laten zien of die API van tevoren invullen. Als jij van Europa naar Mexico vliegt via bijv. Atlanta is er geen transit, je gaat de VS in via de grensbewaking en via de grensbewaking ook het land weer uit voor je overstap op je vlucht naar Mexico. Volgens mij is dat ook gewoon een grote dataverzamelingsoperatie.

[pe0mot]

Goed punt!
In de VS zijn geen Transit zones.
Ik heb verschillende gedachten waarom maar de meest logische is de kosten van de bewaking. Transit is niet alleen passagiers of cargo, maar vooral veel personeel.

[litebyte]

Elke intercontinentale vlucht schijnt gedeeld te worden (de vluchtgegevens.)

[pe0mot]

Bij de woorden "elke" en "geen" begin ik altijd te twijfelen aan de argumenten.

[Recursio]

"Schijnt" is er ook zo een, net als altijd

[ciiihan]

Of "VS tekent" of "belooft" brengt me ook altijd in twijfel

[MSalters]

Ook binnenlandse vluchten? Want sommige landen, zoals Nederland, zijn intercontinentaal.

Even serieuzer: de KLM valt gewoon onder de GDPR. Ze mogen vluchtgegevens delen als er daarvoor een wettelijke verplichting is, dus als je naar een land vliegt wat dat verlangt. Ze mogen dat niet zomaar met andere landen of bedrijven delen.

[litebyte]

Ha! dat kan natuurlijk, ik vlieg niet intercontinentaal binnen Nederland maar het zal waarschijnlijk want het blijft intercontinentaal
Zelf vind ik het nogal vreemd om bijvoorbeeld mijn vluchtgegevens te moetren delen met een land als de VS, terwijl ik de compleet andere kant op vlieg (...nu even niet vanwege de oorlog in Ukraine.)

We zouden het terecht ook idioot vinden als we de gegevens moesten delen met China of india.

[dasiro]

die zijn imperialistisch/strategisch over zowat de hele wereld verdeeld en welgeteld 0 van een andere natie in de VS (zelfs geen Canadese of Britse). Onder het mom van de stabiliteit en ter ondersteuning van geallieerden, maar we weten allemaal dat ze niet vies zijn van wat lokale inmenging als een regime hen niet aan staat.

[pe0mot]

Biassed? Wat denk je van Duitsland, Frankrijk, Engeland, China, Rusland, etc.

[TheVivaldi]

Wat is het volgende: NS deelt reisgegevens met de overheid omdat je langs het oefenterrein bij 't Harde reist?

[stekkiekiller]

Er is wel een verschilletje tussen een trein en een vliegtuig. Een trein laat je niet zo makkelijk in een legerbasis crashen als passagier.

[TheVivaldi]

Een vliegtuig ook niet. Je komt echt niet zomaar in de cockpit. Sterker nog: zelfs stewardessen mogen in principe de cockpit niet in.

[jpsch]

Goederentrein heeft net de Krimbrug laten instorten.

[Verwijderd]

Een decreet is toch alleen van toepassing op de federale overheid, niet op Big Tech of andere bedrijven of personen als zij niet voor de federale overheid werkt?

[berzerker]

Het grote probleem dat de EU heeft met de VS (en dat leidde tot het ongeldig verklaard worden van Privacy Shield) is dat de veiligheidsdiensten vergaande mogelijkheden hebben om dat gegevens van Europeanen op te vragen en dat de betrokkenen daar dan geen afdoende mogelijkheid van 'redress' (dus om er juridisch tegen in het verweer te komen) tegen hebben. Lees de conclusie van Schrems II (punt 203) er maar op na. En daar beoogt deze Executive Order verbetering in aan te brengen.

Het gaat niet over de big tech bedrijven: die dienen zich sowieso al aan de AVG te houden.

[berzerker]

Ik liep nog tegen dit artikel aan, waarin wordt uitgelegd waarom juist deze opzet van de redress is gekozen en niet de bestaande rechtbanken bevoegd zijn verklaard. Het artikel concludeert dat de gekozen opzet eigenlijk de enige mogelijkheid is om het in het Amerikaanse rechtssysteem in te passen en tegelijkertijd ook aan de eisen van de EU te voldoen:

Those inclined to be skeptical of the new regime may question an approach based on the president’s executive order and a Department of Justice regulation. As previously noted, however, we are not aware of any proposal that could provide standing in federal court for all EU persons who have the right to redress. In addition, it appears that only an administrative body created within the executive branch currently can enjoy both the requisite independence and overcome the standing requirement applicable to all U.S. federal courts.

[JdeVries2012]

Een executive order van de president is natuurlijk ook alleen maar nuttig als de volgende president het niet meteen intrekt of ontkracht.

Lijkt me niet een stabiele basis om een overeenkomst mee op te zetten of om mee akkoord te gaan vanuit EU.

[berzerker]

Als hier een 'Privacy Shield II' op wordt gebaseerd, dan zal de geldigheid daarvan ongetwijfeld verbonden worden aan de geldigheid van de Executive Order. Trekt een volgende president dan de Executive Order in, dan vervalt Privacy Shield II daarnee automatisch (en worden de data transfers naar de VS weer in veel gevallen in strijd met de wet).

Trouwens: als dit een reguliere wet zou zijn geweest in plaats van een Executive Order, dan zou dat toch geen fundamenteel verschil maken? Immers, ook wetten kunnen worden ingetrokken of gewijzigd.

[Superstoned]

Niet dat dan wat uitmaakt, de regels zijn nu ook niet geldig en toch wordt onze data lekker naar de vs verscheept. Privacy wetgeving is alleen relevant voor Europese bedrijven lijkt het, de Amerikaanse tech giganten hoeven zich er niets van aan te trekken zolang ze maar een beetje doen alsof.

[Remzi1993]

Inderdaad! Vele hier vergeten dat ook. Een decreet is eigenlijk bijna hetzelfde als: Algemene Maatregel van Bestuur (AMvB) en net zo (on)nuttig totdat de Tweede Kamer er mee instemt en er een wet komt. Een decreet van de Amerikaanse president kan zo ingetrokken worden door dezelfde of volgende president. Er moet gewoonweg een wetswijziging komen van de Amerikaanse inlichtingendiensten, maarja het Congres daar is enorm verdeeld en je hebt iets van 60 of tweederde van de stemmen nodig om een filibuster weg te kunnen stemmen om iets er door te krijgen (wat ook achterlijk is).

[bzuidgeest]

Een decreet is vrij waardeloos dacht ik. Het is een opdracht naar de overheid om iets te doen. Maar als de overheid daar geen zin in heeft dan kunnen ze het gewoon oneindig ver weg op de agenda zetten en gebeurt er dus niets.
Als de president dus is van de ene partij en de regering geleid word dit de andere partij is er effectief een deadlock wat betreft decreten.
Op het moment hebben de Democraten theoretisch de overhand, maar de marge is 1 geloof ik en niet elke democraat stemt altijd met biden mee.

Tenzij er veel meer veranderd daar geloof ik niet dat onze data daar ooit veilig kan zijn. Niet zolang de Patriot act en dergelijke nog bestaan. Ik twijfel zelfs of onze data hier wel veilig is van die mensen. Het zouden onze vrienden moeten zijn. Maar het zijn vrienden die werken op basis van ultra kapitalisme en geen zak om het welzijn of privacy van eigen burgers geven, laat staan die van ons.

[Superstoned]

De regering wordt altijd geleid door de president dus dat kan niet misgaan. Net als bij ons de minister president toch echt de baas is over de ambtenaren.

Wetgeving is een ander verhaal inderdaad maar daar maakt dit niet voor uit.

[MadMarky]

De ministers zijn baas over de ambtenaren van hun ministerie. De minister-president is slechts "de eerste onder zijn gelijken" en is een soort minister zonder ministerie. Hij heeft daarmee juist niets te zeggen over individuele ambtenaren.
Een minister-president is niet re vergelijken met een gekozen president zoals in de VS, die staat echt als hoogste in de voedselketen (en heeft daarmee veel te veel macht imho).

[robertlinke]

de minister-president heeft wel degelijk een minsterie.
het ministerie van algemene zaken

https://www.rijksoverheid...sterie-van-algemene-zaken

[bzuidgeest]

Je kunt de VS en Nederlandse systemen niet met elkaar vergelijken. Die zijn totaal anders. We noemen beide een democratie, maar dat is dan ook alles. Wij zijn duidelijk meer democratisch dan de VS. Wij hebben proportionele representatie, zij een brits First past the post. Wat minderheden altijd ondervertegenwoordigd.

Dat van de macht van de president in de VS is in theorie misschien waar, maar als de senaat e.d. daar ergens geen zin in heeft dan word het gewoon op de lange termijn geschoven. (dan is er ineens geen tijd om het in te plannen). Want een decreet moet altijd door hen in effectieve wetgeving/actie worden omgezet. De president kan ze niet dwingen iets vlug af te handelen.

Het is en blijft een spelletje tussen house, senaat en president vooral de verhoudingen in senaat en house bepalen hoeveel invloed de president werkelijk heeft. Effectief is in de laatste jaren de VS president meer een boegbeeld dan een leider.

[MSalters]

Nee, je zit er echt compleet naast. Precies 100% omgedraaid.

Als de Senaat vindt dat de overheid iets moet, dan is dat maar een mening. De ambtenaren van de Federale overheid vallen direct onder het gezag van de President.

Een decreet hoeft niet in een wet omgezet te worden. Ambtenaren voeren het decreet gewoon uit, en wie weigert wordt ontslagen. Als de Senaat een decreet wil tegenhouden dan kan dat per wet, maar dat vereist dus die 60% meerderheid tégen de president (en instemming van het Huis).

PS. FPTP hoeft minderheden bepaald niet onder te vertegenwoordigen. Kijk weer naar de Senaat, de Republikeinse minderheid is oververtegenwoordigd. Ze worden gekozen in kleinere staten, maar elke staat heeft 2 Senatoren

[DirtyBird]

Een mooi gebaar om de NATO-band te versterken denk ik, maar inlichtendiensten werken toch wel een beetje bij de gratie van "over het randje gaan".
Dan kun je er regeltjes tegenaan smijten wat je wilt, dat betekent dan gewoon dat er meer regeltjes zijn die ze 'moeten' overtreden.

Ik betwijfel of dit enig nut gaat hebben, anders dan werkgelegenheid op hoog niveau.

[PdeBie]

Weet je dat uit ervaring of is dit onderbuik gevoel?

[HakanX]

Als je niet vandaag op de wereld bent gekomen, weet je dit uit ervaring.

[Blokker_1999]

Ik heb welgeteld 0 persoonlijke ervaring en ben niet vandaag geboren.

[HakanX]

Niemand heeft ook persoonlijk gezegd..

[NielsFL]

Hecht er inderdaad niet teveel waarde aan. Dit is typisch zoiets waarvoor je nutteloze kopstukken in je organisatie opneemt zodat je die symbolisch kunt ontslaan wanneer er iets uitlekt.

[The Reeferman]

Amerikaanse burgers hebben al lang allerlei wettelijke bescherming voor dit soort zaken. En dankzij klokkenluiders zoals William Binney en Edward Snowden is bekend hoeveel dat waard is in de praktijk.
Dus zo'n regeling voor Europeanen komt voor politici misschien van pas om naar te verwijzen om hun besluit het toe te staan EU data in de VS te verwerken te legitimeren.

[deniz280]

Geloof je het zelf? Gebeurd al genoeg in hun eigen land qua data wat niet door de beugel kan.

[schrikbeeld]

Juist, Nederland is kampioen dataverzamelen, datakoppelen (o.a. met Splunk) en providers een veel te lange bewaarplicht opleggen.

[tweakorinho]

Ik zou het fijn vinden als schendingen van regels over je persoonlijke gegevens resulteerden in geld op je eigen bankrekening.

[robertlinke]

ik niet
dan word het, oh wel betalen wel, dan word het een business model

[tweakorinho]

goed punt, maar nu is het: oh we hoeven toch niet te betalen, het is toch al een businessmodel
prijzen kun je zeer hoog maken

[berzerker]

De Europese Commissie heeft een FAQ opgesteld, die o.a. uiteenzet wat de volgende stappen zijn (t.w. opstellen van een 'adequacy decision', advies van de EDPB vragen, goedkeuring van de lidstaten en goedkeuring van het Europees Parlement), hoe het verschilt van Privacy Shield (met name het garanderen dat bezwaren echt onafhankelijk worden beoordeeld), en waarom de Commissie denkt dat het Europese Hof van Justitie dit nu wel zal accepteren (omdat de veiligheidsdiensten nu minder recht op de data hebben en er recht van bezwaar is dat ook tanden heeft).

Interessant voor de praktijk is ook vraag 5, over de directe impact:

All the safeguards that the Commission has agreed with the US Government in the area of national security (including the redress mechanism) will be available for all transfers to the US under the GDPR, regardless of the transfer tool used.

Betekent dit bijvoorbeeld dat Google Analytics weer gewoon gebruikt kan worden? Immers, het probleem was juist dat Google geen garantie kon geven dat de Amerikaanse veiligheidsinstanties geen toegang tot de data zouden krijgen en dat de betrokkenen dan geen verweer zouden hebben; die garanties zijn er nu feitelijk wel, direct van de Amerikaanse overheid.

[Reactie gewijzigd door berzerker op 23 juli 2024 08:47]