Je tikt een bericht op Facebook, verzendt een mail via Gmail of stuurt een tweet uit via Twitter. Of misschien maak je via je werk wel gebruik van Office 365, deel je bestanden via Dropbox of hanteer je crm-toepassingen via Salesforce. In al die gevallen loopt er een stroom gegevens naar Amerikaanse bedrijven en dat was tot vandaag heel vanzelfsprekend, maar nu niet meer.
Om gegevens van Europese burgers te mogen verwerken moet een bedrijf voldoen aan een aantal door de Europese Commissie opgestelde waarborgen. De verwerking moet onder andere noodzakelijk zijn, mag niet langer duren dan nodig en vereist toestemming. Als buitenlandse bedrijven zich aan die regels houden, mogen ze in principe ook de data van EU-burgers ontvangen en voor Amerikaanse bedrijven was die toestemming tot dusver vergemakkelijkt door middel van de Safe Harbour- of Veiligehavenbeginselen.
De Europese Commissie bestempelde de VS in 2000 met beschikking 2000/520/EG als land waarvoor voldoende is gewaarborgd dat gegevens adequaat worden beschermd. Inmiddels staan er meer dan vijfduizend Amerikaanse bedrijven op de lijst van bedrijven die voldoen aan de Safe Harbour-voorwaarden, al is de toestemming in veel gevallen verlopen.
Exit Safe Harbour
Dinsdag heeft het Europese Hof van Justitie echter een streep getrokken door de huidige regels voor toestemming voor gegevensverwerking door Amerikaanse bedrijven, in de zaak Facebook/Schrems. De bedrijven mogen dan wel voldoende bescherming van de gegevens bieden, overheidsinstanties in de VS kunnen er gewoon bij. Het Europese Hof van Justitie wijst daarbij indirect naar de NSA. In de VS is het volgens het Hof nu eenmaal zo dat in het kader van nationale veiligheid en opsporing 'zonder beperking' afgeweken kan worden van de Safe Harbour-beschermingsmaatregelen, met inmenging van de grondrechten van Europese burgers. Daarmee heeft de Europese Commissie met zijn beschikking van 2000 geen rekening gehouden en daarom is die per direct ongeldig.
Wat betekent dat in de praktijk?
Het is niet langer toegestaan dat gegevens naar de VS op grond van Safe Harbour doorgegeven worden. Volgens Ot van Daalen, jurist op gebied van digitale rechten bij Project Moore Advocaten, gaat het dan ook om een uitspraak met verstrekkende gevolgen. "Bedrijven zullen op zoek moeten naar alternatieven." Die alternatieven zijn er volgens hem in de vorm van modelcontracten, die bedrijven als Facebook, Google en Microsoft, maar ook kleinere bedrijven individueel moeten afsluiten met Europese bedrijven.
Volgens Van Daalen zijn Amerikaanse bedrijven daar tot nu toe echter niet happig op. "De onderhandelingen duren lang, de regels zijn strikter dan die van de Safe Harbour - onder andere wat betreft security - en bovendien kunnen toezichthouders ze makkelijk tegenhouden, als die besluiten dat een inbreuk te ver gaat."
De rol van de toezichthouders is door de huidige uitspraak enorm toegenomen. Burgers kunnen bij hen aankloppen als ze denken dat Amerikaanse bedrijven hun gegevens onvoldoende beschermen en die bezwaren kunnen niet meer weggewuifd worden met een verwijzing naar Safe Harbour. De waakhonden kunnen de gegevensoverdracht daadwerkelijk opschorten.
De individuele contracten zijn volgens Van Daalen voorlopig het beste alternatief voor Amerikaanse bedrijven, totdat de politiek komt met een nieuwe Safe Harbour-regeling, op basis waarvan de privacy wel voldoende is gewaarborgd.