De Europese Commissie is positief over het op termijn hervatten van datatransfers van de EU naar de VS. De Commissie begint nu met het proces om deze weer te hervatten vanwege een raamwerk dat het eerder afgeschoten Privacy Shield zal vervangen.
De Europese Commissie is begonnen met het proces om een adequaatheidsbeslissing aan te nemen voor het EU-U.S. Data Privacy Framework. Dit raamwerk moet in de plaats komen van de door de Europese rechter afgekeurde Privacy Shield-overeenkomst en moet een nieuwe basis vormen voor het uitwisselen van data tussen de VS en EU. Vanwege de GDPR moet er een adequaatheidsbeslissing volgen voordat persoonsgegevens vrijelijk vanuit de Europese Economische Ruimte naar een derde land mogen vloeien zonder dat er daarbij sprake is van nadere eisen en autorisaties.
In de adequaatheidsbeslissing concludeert de Commissie dat de VS waarborgen biedt voor de bescherming van de data en privacy die 'vergelijkbaar' zijn met die van de EU. Kortom, volgens de Commissie zal er in de VS voldoende bescherming zijn van persoonlijke data die bedrijven vanuit de EU naar Amerikaanse bedrijven zenden.
De Commissie zegt dat Amerikaanse bedrijven aan het EU-U.S. Data Privacy Framework kunnen meedoen als ze zich committeren aan een aantal gedetailleerde privacyverplichtingen, zoals de eis om persoonlijke data te verwijderen als het niet langer meer nodig is en zorg te dragen voor doorlopende bescherming van de data als het gedeeld wordt met derde partijen. De Commissie benadrukt dat er ook middelen voor EU-burgers zijn om op te treden, zoals gratis en onafhankelijke mechanismen voor geschillenbeslechting en een arbitragemogelijkheid.
Privacy Shield werd in 2020 door de Europese rechter afgeschoten. Dat kwam door de Amerikaanse surveillancewetgeving. In de uitspraak gaf het Hof aan dat de doorgifte van persoonsgegevens naar een ander land gepaard moet gaan met een mate van bescherming die vergelijkbaar is met die van de GDPR. Volgens het Hof van Justitie was de bescherming onvoldoende en waren de Amerikaanse surveillanceprogramma's disproportioneel, omdat ze verder gingen dan noodzakelijk. Daarnaast werd geconcludeerd dat EU-burgers te weinig of geen rechten zouden hebben om iets af te dwingen in een rechtszaak tegen de Amerikaanse overheid.
De Oostenrijkse privacyvoorvechter Max Schrems zat achter deze rechtszaak en ook een eerdere. Hij is niet te spreken over de nieuwe conceptadequaatheidsbeslissing. Volgens hem voldoen de Amerikaanse regels nog steeds niet aan het proportionaliteitsvereiste en is er nog steeds geen afdoende toegang tot een rechter. Ook stelt hij dat er nog altijd bulksurveillance is. D66-Europarlemantariër Sophie in 't Veld is het eens met Schrems en stelt dat een effectief beroep niet mogelijk is. Ze stipt aan dat er een Data Protection Review Court is opgezet, maar dat dit geen echte rechtbank is en slechts een kantoor van de Amerikaanse regering.
Het concept voor de nieuwe adequaatheidsbeslissing wordt nu gezonden naar de European Data Protection Board zodat dit orgaan een mening erover kan geven. Uiteindelijk moeten alle lidstaten en het Europees Parlement hun goedkeuring geven aan de beslissing.