Europese Commissie neemt opvolger van datadoorgifteverdrag Privacy Shield aan

De Europese Commissie heeft een opvolger van datadoorgifteverdrag Privacy Shield aangenomen. Met het EU-US Data Privacy Framework moet data van Europese burgers in de VS kunnen worden opgeslagen. Nieuw in het verdrag zijn waarborgen over de veiligheid in de VS.

De Europese Commissie heeft het verdrag aangenomen, waardoor Amerikaanse techbedrijven nu data van Europese burgers in de VS mogen opslaan. Daar was vroeger het Privacy Shield-verdrag voor, maar dat werd in juli 2020 illegaal verklaard door het Europees Hof van Justitie. Sindsdien werken Europa en de Verenigde Staten aan een opvolger, die er nu met het Data Privacy Framework is.

Het Data Privacy Framework moet de problemen oplossen die het Hof zag in Privacy Shield. Dat betreft met name de bescherming van data op Amerikaanse servers. Het grootste probleem met Privacy Shield was dat Amerikaanse inlichtingendiensten onder voorwaarden bij de opgeslagen data konden komen. Dat is sinds oktober vorig jaar opgelost door een executive order die president Joe Biden toen tekende. Met het bevel 'Enhancing Safeguards for United States Signals Intelligence Activities', wordt paal en perk gesteld aan wat inlichtingendiensten mogen verzamelen en komt er meer toezicht op die inlichtingendiensten.

In het Data Privacy Framework zijn enkele waarborgen opgenomen waaraan de VS en specifiek de inlichtingendiensten zich moeten houden. Zo hoeven burgers bij klachten niet meer aan te tonen dat hun gegevens in de eerste plaats zijn verzameld. Daardoor kunnen burgers bezwaar aantekenen in Europa en hoeft dat niet in de VS. Dat kan via de European Data Protection Board, de Europese koepel van privacytoezichthouders. Ook staat in het framework welk juridisch traject er in dat geval moet worden afgelegd. Het verdrag treedt deze week in werking. De Europese Commissie onderzoekt na een jaar of dat nog actueel is en of er eventuele wijzigingen of verbeteringen aan het verdrag nodig zijn.

Met het nieuwe verdrag wordt een nieuwe, belangrijke stap gezet in de lange juridische strijd tussen Europa en privacyactivist Max Schrems. Die vecht met zijn stichting noyb al enkele jaren tegen de datadoorgiftes. Het was zijn zaak die Privacy Shield uiteindelijk stopzette. Schrems zegt in een reactie het niet eens te zijn met het nieuwe verdrag. Hij denkt dat dat 'binnen enkele maanden' weer bij het Europese Hof komt te liggen. Schrems noemt het Data Privacy Framework 'grotendeels een kopie van het gefaalde Privacy Shield'. Er zou 'weinig verandering zijn in de Amerikaanse wetgeving of de aanpak van de EU' bij het verdrag.

Reacties (49)

[kozue]

En waarom hebben we dit eigenlijk nodig? Wat is er mis met data van Europeanen op servers in Europa opslaan? Als een bedrijf groot genoeg is om wereldwijd te opereren kunnen een paar Europese servers er ook wel vanaf. Niemand in Europa wordt beter van onze data doorsluizen naar een staat die al vaak heeft laten zien niks te geven om de privacy van burgers (laat staan die van buitenlanders).

[Noddahead]

Het gaat hier om de "doorgifte" van persoonsgegevens vanuit de Europese Unie (of eigenlijk de Europese Economische Ruimte/EER) naar landen daarbuiten. Om te zorgen dat persoonsgegevens niet aan de Europese bescherming onttrokken worden, gelden voor die doorgifte specifieke regels.

Van doorgifte is niet alleen sprake als gegevens naar een server buiten de EER worden verplaatst, maar ook als de gegevens op servers binnen Europa staan, die door een buiten-Europees bedrijf worden beheerd. Plat gezegd: de gegevens van jouw Instagram account worden juridisch gezien aangemerkt als "doorgegeven naar de VS", ook als ze op een Europese server staan. De Amerikaanse overheid kan de gegevens immers nog steeds opvragen op basis van de CLOUD act.

We hebben dit framework dus nodig voor de bescherming van alle gegevens die worden verwerkt door Amerikaanse bedrijven, zelfs als ze in Europa staan opgeslagen. Ook die gegevens zijn nu beter beschermd.

Let wel, er is ook op dit voorstel veel kritiek. Het is zeker denkbaar dat ook dit Framework over een jaar of twee weer ongeldig wordt verklaard.

[DeTeraarist]

Maar hoe groot moet je zijn om internationaal te opereren?
Naar mijn weten is een eenmanszaak genoeg. Laatst een plaatje besteld bij een eenmanszaak in de VS, ga die man echt niet kwalijk nemen dat hij z'n excelsheet niet even split op continent en op een aparte server zet.

[wiseger]

Daar zit het probleem dan ook niet. Er ontstaan pas echt problemen als jou data gebruikt wordt zonder dat je inzage of controle hebt.
Denk aan toekomstige diensten als bijvoorbeeld screening voor een potentiele baan, risk profielen aangemaakt voor banken en/of verzekeraars.
Genoeg voorbeelden te bedenken.

[Lodd]

Dit lijkt me meteen de noodzaak aantonen van een verdrag. In deze sterk globaliserende wereld gaat er nu eenmaal regelmatig data "de grens over". Daar moeten landen nadere afspraken over maken. Dat kan via een verdrag.

[RalphM.]

Ja en nee. Zelfs als kleine ondernemer ben je zelf verantwoordelijk in welke markten je opereert en zodoende dat je aan die wetgeving moet voldoen. Als jij als individu net doet alsof jij als Amerikaanse internetgebruiker iets koopt is jouw pakkie aan als consument.

[SunnieNL]

Om maar iets te noemen:
Het is schijnbaar heel lastig om een social netwerk te maken waarbij de data van mensen uit de EU van servers in de EU komt en data van mensen uit de USA van servers in de USA. Latency brengt daarin zo'n vertraging dat het voor de eindgebruiker niet lekker meer werkt.
Gezien mensen van de EU en de USA toch voor een deel overlappende vrienden hebben die elkaars data willen zien, moet er dus zoiets als dit bestaan.

[Reactie gewijzigd door SunnieNL op 23 juli 2024 22:04]

[Annihlator]

Dat valt wel mee, gezien hoe veel lazy-loading op minder-toepasselijke plekken ervoor ingelast wordt, bijv om te garanderen dat een reclameblok uiteindelij kwel inlaadt ipv met een time-out te falen...

Nogal een kapstok-argument m.i. en een werkbare tussenoplossing zou zijn om clients client-data te laten cachen en daarna te laten verwijderen (best simpel!).

Voorbeeld van de FB-vriendenlijst: die kan prima gesynced worden at-login, hoef je ook niet steeds achterlijke laadtijden af te wachten bijv bij het openen van berichten omdat hij dan weer allemaal REST-calls moet maken.
Chats kunnen leeg getoond worden terwijl de historie (of zelfs niet) laadt, laatste lost eigenlijk daarin alleen maar meer problemen en onnodige dataoverdracht op.

[terror538]

Nogal een kapstok-argument m.i. en een werkbare tussenoplossing zou zijn om clients client-data te laten cachen en daarna te laten verwijderen (best simpel!).

Volgens mij is het gezegde "there are 2 hard things in computing: Cache invalidation, naming things, and off-by-one errors.”
Ik denk dat je je makkelijk verkijkt op wat er echt bij komt kijken om data correct te cachen.

[Annihlator]

Hoezo? gewoon een hash over je data-array en bij mismatch ga je syncen.

Tijdens t lazy-loaden kan je evt de nummerieke id's als placeholder gebruiken om je elementen vast uit te leggen/in de DOM op te nemen en dan overwrite je de betreffende velden wanneer ze opgehaald zijn.
Kan per-item, pagina, batch, etc. Daar hoeft geen wiel opnieuw voor uitgevonden te worden.

[xavierk]

Dan moet er ook gekozen worden voor hosting bij een bedrijf zonder aanwezigheid in de VS.

Een bedrijf gevestigd in de VS, ook al gebruiken ze ten behoeve van een bepaalde afnemer alleen servers in de EU, valt namelijk nog steeds onder de US CLOUD Act, welke zogeheten 'extraterritoriale werking' heeft, waardoor niet uit te sluiten is daar de Amerikaanse inlichtingendiensten grasduinen in data van Europeanen:

https://english.ncsc.nl/l...in-data-storage-in-europe

Data and (personal) data that are processed and stored in Europe, and therefore in principle, are and remain in Europe, sometimes fall under American law and can be requested by the American government based on the CLOUD-Act.

The analysis shows that, in the case of the US CLOUD-Act alone, it is challenging for a data owner or controller to determine whether a service or service provider is subject to extraterritorial influences from non-European legislation. [...] In terms of compliance, however, it also means that companies and organisations are, in fact, less able to guarantee or ensure that the information they process is sufficiently protected against viewing by foreign, non-European, powers.

[Reactie gewijzigd door xavierk op 23 juli 2024 22:04]

[bzuidgeest]

De plek van eer server maakt eigenlijk weinig uit. Wat we moeten voorkomen is dat een Amerikaanse inlichtingdienst in onze data rondneust. Waar die ook staat.

En Microsoft geeft bijvoorbeeld al de keus om data in een specifieke locatie (waaronder de EU) op te slaan. Maar sommige data moet gewoon tussen landen heen en weer. Een persoon die data uitwisselt met een persoon in Amerika, wisselt onder andere authenticatie data uit. En met een social die meerdere landen bestrijkt wisselen ze nog meer uit. En zo groeit de stapel data die nodig is om functionaliteit te bieden. Ook die data moet echter veilig zijn.

De wetten van nu zijn wat mij betreft hopeloos ongeschikt voor iets internationaals als het internet/internetbedrijven.

[SirBlade]

Ik stuur vanuit Nederland een email met het adres van een vriend in Engeland naar een kennis in de VS. We hebben nu te maken met persoonsgegevens waar 3 verschillende juridische regiems voor zijn. Waar moet die mail worden opgeslagen? En hoe gaat het als straks de VS ook een wet aanneemt die het opslaan van data van VS-burgers in de VS verplicht stelt? Dan is er geen communicatie meer mogelijke tussen de VS en de EU.

[Remzi1993]

Die e-mail en/of e-mails worden natuurlijk op allerlei servers opgeslagen. Maar als je Gmail of iets dergelijks gebruikt dan wel vaak in VS servers en EU servers.

[Frame164]

Als een bedrijf hier een datacenter wil bouwen is er direct veel commentaar. Zie het bericht van een paar dagen geleden op deze site over Google die in Belgie een datacenter wil gaan bouwen..... Of iets langer geleden: Zeewolde.

[kozue]

Nederland is vol. Bouw die datacentra maar lekker ergens waar ze er wél plek voor hebben, niet in ons overvolle kleine landje. Hoeft niet buiten Europa, maar wel ergens anders dan hier. Er is geen enkel ander Europees land met zo’n dichte bevolkingsgraad dan die van ons.

[CivLord]

Alle data van Europese gebruikers enkel op Europese servers opslaan en niet buiten Europa lukt alleen wanneer je alle Europese gebruikers van de rest van de wereld afsluit.
Het gaat niet aleen om de profelgegevens, maar om 'alle gegvens, inclusief posts en comments. Wanneer ik een reactie geef op een post van een Europeaan, zou dat nog gaan. De post van de Europeaan staat op een Europese server, net als mijn reactie. Maar wat als de post van een Amerikaan is? Dan wordt mijn reactie bij de Amerikaanse post op een Amerikanse server opgeslagen. Misschien kan je nog een ingewikkele sitatie bedenken waarbij er op de Amerikaanse server enkel een doorverwijzing staat naar mijn reactie op een Europese server. (Al zou dat een redeljke redesign van alle social media zijn.) Maar wat wanneer die Amerikaan reageert op mijn comment? Moet die reactie op een Amerikaanse server of op een Europese server komen e staan? En wat wanneer hij een deel van mijn comment quotet in zijn reactie.
Alle gevens van alle Europeanen enkel op Europese servers op mogen slaan levert te veel problemen op en leidt gegarandeerd tot fouten, omat het praktisch niet 100% betrouwbaar uitvoerbaar is.

[Verwijderd]

Iets eerder vandaag schreef ik:

Op ARS Technica staat een m.i. interessante vergelijking tussen de privacy-inbreuken door verschillende "Twitter-achtige" apps (een kopie van een Wired artikel).

Als je ziet wat Meta en Twitter van je opzuigen, staat een artikel als two spyware [apps] hiding on the Google Play Store and affecting up to 1.5 million users (bron) ineens in een heel ander daglicht.

M.i. zou de EU ASAP moeten verbieden dat apps gegevens van contacten opslurpen. Die contacten hebben daar namelijk helemaal niets over te zeggen, terwijl het wel om hun gegevens gaat.

[BlueBird022]

Lijkt mij absoluut geen goede zaak als Amerikaanse privacy wetten dan gaan gelden voor ons ? Burgerrechten worden veel minder beschermd in Amerika dan hier in Europa.

[Noddahead]

Met dit raamwerk heeft de Europese Commissie juist strengere eisen opgelegd aan hoe Amerikaanse bedrijven omgaan met Europese persoonsgegevens. De mindere bescherming in Amerika (daar heb je gelijk), zou dit raamwerk moeten opvangen.

[berzerker]

Nee, dit geeft alleen beperkingen aan de Amerikaanse *overheid*. Zie het artikel. Natuurlijk mag de overheid in de VS nog steeds persoonsgegevens voor nationale veiligheidsdoelen gebruiken (dat is in Europa niet anders), maar daar zijn nu meer waarborgen voor gemaakt waar ook Europeanen gebruik van kunnen maken.

Amerikaanse *bedrijven* die diensten aanbieden in Europa waren sowieso aan direct de Europese privacywetgeving gebonden, en daar verandert niets in. De reden dat zij persoonsgegevens niet zomaar vanuit de EU naar de VS mochten overbrengen is dat zij meestal niet konden garanderen dat de overheid in de VS er dan geen toegang toe zou krijgen.

[Blokker_1999]

Het volledige raamwerk is veel uitgebreider dan alleen wat regels voor de Amerikaanse overheid. De aanpassingen die gedaan zijn tussen dit raamwerk en het vorige hebben vooral betrekking op die overheid omdat dat net het deel is waarvan een rechtbank beslist heeft dat het onvoldoende was.

[Terracotta]

En dat met een executive order ook niet opgelost is. Dat is door een volgende (of zelfs deze) president zo ongedaan gemaakt wanneer de wind anders draait. Op zijn minst moet er een clausule in staan die het hele stelsel zo op de helling zet vanaf er een executive order het huidige annuleert.

[berzerker]

Wat valt er volgens jou dan allemaal nog meer onder het "raamwerk"? Ik neem aan dat het een vertaling is van het "EU-US Data Privacy Framework" (zie het artikel), en dan gaat het dus alleen om regels die bedoeld zijn tegen gebruik van Europese persoonsgegevens door Amerikaanse veiligheidsdiensten. Het gaat dus niet om de hele AVG of zo.

[BlueBird022]

Als dat zo is dan heb ik het verkeerd begrepen. Het gaat mij er om dat burgers in Amerika veel minder rechten hebben omdat de relatie tussen de Amerikaanse overheid en burgers is gebaseerd op wantrouwen. Nog erger dan met de VVD in Nederland.

[bzuidgeest]

Dat is niet hoe het werkt. Het gaat er om dan onze burgers hun data beschermt is in de VS. Het is niet zo dat we Amerikaanse wetten gaan accepteren.
Er is ook de situatie dat bedrijven geen zin hebben in dingen twee keer implementeren en dat door onze strenge regels de Amerikanen meer privacy opties hebben door de EU zijn eisen dan die van hun eigen overheid.

[SunnieNL]

Daar is dit ook voor bedoeld. Om de striktere wetgeving van de EU ook te laten gelden voor data van EU inwoners die in de US wordt opgeslagen.

[psychicist]

De echte oplossing is natuurlijk om alle Amerikaanse software en uiteindelijk ook hardware te vermijden en zo veel mogelijk uit te faseren. Dan hoef je ook niet zulke verdragen af te sluiten. Maar daar zal de Europese Commissie dan weer niet de motivatie en durf voor hebben.

Ik wil helemaal geen data van en over mij in de VS en eigenlijk ook niet in de EU of waar dan ook ter wereld hebben staan.

[bzuidgeest]

Dat is niet realistisch. Netwerken zijn internationaal. Zelfs als je eigen software hebt. Je moet nog steeds informatie delen met de rest van de wereld. Of stel je voor een Nederlands LAN te maken en het internet maar weg te doen?

[psychicist]

Dan bepaal ik zelf met wie ik direct informatie deel en niet een derde partij die mijn gegevens beheert. Nederland en een eventueel nationaal internet interesseren me niet zo veel, maar mensen moeten zelf kunnen bepalen wat er met hun gegevens gebeurt en niet bedrijven.

[bzuidgeest]

Op basis van je antwoord maak ik op dat je weinig overzicht hebt op internet gerelateerde techniek en hoe het allemaal werkt. Je antwoord is simplistisch ten top.

Op basis van onze wetgeving heb je al het recht om te bepalen wat er met je data gebeurd. De vraag is wat gebeurd er met data die nodig is voor internationale interactie. Wat als je communiceert vanuit nederland met een amerikaan? Van wie is de data over dat gesprek? Van jou? van de amerikaan?

Indirect is een hoop dagelijkse producten en informatie uitwisseling internationaal en de raakvlakken is waar deze wetgeving moeilijk word. Je kan niet communiceren zonder data uit te wisselen. En uit communicatie kan je heel veel opmaken. Niet eens door het af te luisteren, maar alleen het patroon van verbindingen. Van wie is al die informatie?

[psychicist]

Op basis van jouw reacties op dit artikel maak ik op dat je denkt alles beter te weten en voor anderen te menen te bepalen wat zij wel of niet zouden moeten willen toestaan. Jouw reacties zijn belerend ten top.

De data zijn bij datauitwisseling van de betrokken partijen, maar er zou bij wet bepaald kunnen worden dat die verder niet voor andere doeleinden gebruikt zou mogen worden. Door verschillende regelgeving in verschillende geografische regio's wordt dit bemoeilijkt.

Daarom zeg ik, dat je zeker privé het beste niet gebruik kunt maken van Amerikaanse producten en services om de vraag over wie de data over dat gesprek bezit te vermijden. Het zijn al gigantische datagraaiers en ik heb niet de behoefte om meer dan noodzakelijk aan hun datahonger bij te dragen.

[bzuidgeest]

Daarom zeg ik, dat je zeker privé het beste niet gebruik kunt maken van Amerikaanse producten en services om de vraag over wie de data over dat gesprek bezit te vermijden. Het zijn al gigantische datagraaiers en ik heb niet de behoefte om meer dan noodzakelijk aan hun datahonger bij te dragen.

Dat is prima

De data zijn bij datauitwisseling van de betrokken partijen, maar er zou bij wet bepaald kunnen worden dat die verder niet voor andere doeleinden gebruikt zou mogen worden. Door verschillende regelgeving in verschillende geografische regio's wordt dit bemoeilijkt.

Dat is het hele punt dat ik probeer duidelijk te maken dat moeilijk is, maar blijkbaar vind je dat belerend.
Wij kunnen geen wetten opleggen de VS of andere landen. We kunnen een verdrag sluiten, maar in een verdrag geef je altijd wat op. In dit geval sommige data. De VS denkt nou eenmaal anders over privacy dan wij. Net als China e.d. Maar toch zullen we samen moeten werken.

Op basis van jouw reacties op dit artikel maak ik op dat je denkt alles beter te weten en voor anderen te menen te bepalen wat zij wel of niet zouden moeten willen toestaan. Jouw reacties zijn belerend ten top.

Dan heb je helaas de reacties totaal niet begrepen.

[Verwijderd]

Gewoon waardeloos, Europese data hoort in Europa.
Niet meer en niet minder.

[bzuidgeest]

Dat kan je bij de grote cloud providers gewoon aangeven.....

Maar hoe zie je dan social site data? Een EU en een VS discord die niet met elkaar kunnen praten? Een facebook voor de EU en een voor de VS? Die niet met elkaar kunnen praten.
Er zijn altijd vlakken waar data gedeeld moet worden.

Dus zou zwart witte houding is niet realistisch. Dit draait niet echt alleen om jou word documentje. Maar om alle data daarom heen.

[Verwijderd]

Dat kan je bij de grote cloud providers gewoon aangeven.....

Maar hoe zie je dan social site data? Een EU en een VS discord die niet met elkaar kunnen praten? Een facebook voor de EU en een voor de VS? Die niet met elkaar kunnen praten.
Er zijn altijd vlakken waar data gedeeld moet worden.

Dus zou zwart witte houding is niet realistisch. Dit draait niet echt alleen om jou word documentje. Maar om alle data daarom heen.

Het gaat niet om mij,
ik heb geen facebook of andere social media, of andere bestanden, etc in de cloud.
Nergens, alles is lokaal opgeslagen.
Er zijn genoeg voorbeelden waarom het onverstandig om data in de USA op te slaan.

[bzuidgeest]

Nee, het gaat niet om jou, dat is het hele punt. Genoeg mensen die wel graag social media gebruiken en dan is er data die inherent aan de functie gedeeld moet worden.
Al is het maar omdat je vrienden in de VS of ander land hebt. Daar gaan de vragen over.

Ook dat argument dat jij alles lokaal hebt is een beetje mank. Met een goede backup strategie heb je minstens een off-site backup nodig. De logische plek is een vorm van een cloud provider. De meesten hebben niet twee huizen of zo.

Jij bent duidelijk de uitzondering. Dus je kan dit niet vanuit jou situatie bekijken. bekijk het vanuit de gemiddelde persoon.

[jmvdkolk]

Dat klinkt heel makkelijk. Ik werk in een internationale setting. De data wordt zoveel mogelijk op het continent gehouden waar de klanten zitten. Dus data uit de VS in de VS en data uit Europa in Europa. De problemen ontstaan bij ons klant-management systeem en bug-tracking. Moeten wij voor iedere regio een eigen klant-management systeem hebben? Hoe doen we dat met bug-tracking voor development in Nederland? Hoe gaat dat met integratie van de bug-tracking met support tickets met het klant-management systeem?

[iching-TAO]

Ik geef Schrems gelijk.

Waar een Europese oorlog goed voor is!?
Rusland valt Europa aan, Europa is bang en roep de hulp in van grote broer en die helpt.
Daarna kan je niet meer goed "Neen" zeggen tegen een heleboel dubieuze zaken.

En spijtig genoeg zijn wij niet alleen in oorlog met Rusland, maar onder tafel ook met China, Iran, Turkije en nog een heleboel andere extreem denkenden politici/landen. Zelfs binnen Europa en ons eigen land.

Hopen maar dat er nog voldoende redelijke mensen overblijven om dictatoriale neigingen tegen te werken.

[Bozebeer38]

We zijn in feite in oorlog met Amerika.
Een “vriend” waar je geen nee tegen kan of mag zeggen is als een verkrachter waar mee je moet trouwen.

[Nokterian]

Dus nu dit van kracht gaat is het nu mogelijk dat Threads naar europa komt?

[Roel1966]

In eerste instantie dacht ik van waarom is dit nodig en ik niets te maken heb met Amerikaanse servers. Maar direct erna realiseer ik mij wel dat er ongemerkt genoeg op Amerikaanse servers terecht zal komen. Veel Google dingen zullen ongetwijfeld ook ergens op een server in Amerika staan. Dus in die zin toch maar goed dat de EU de vinger aan de pols houd en er goede controle is.

[ronaldvr]

Even voor de duidelijkheid: Wat Schrems aanhaalt is dat een 'Executive Order'' een beetje is als wat Sam Goldwyn ooit eens gezegd zou hebben "A Verbal Contract Isn’t Worth the Paper It’s Written On" of anders gezegd: Een executive order is flinterdun en geen echte wetgeving, en kan door een volgende president zo weer doorgehaald worden.

Waar hij wel voor ijvert (en dat zou de EU ook moeten doen in plaats van nu al dergelijke deals te sluiten) is het laten vervallen van FISA order 702 die de basis os voor de idee dat "all your data are belong tu us" als je data in handen is van een Amerikaans bedrijf. ZIe: https://noyb.eu/nl/europe...ransfers-third-round-cjeu

[RAMMEI]

Wordt er eigenlijk data van VS burgers in Europa opgeslagen … en wat vindt de VS daarvan?