‘EU Hof snijdt elke doorgifte van persoonsgegevens naar VS door’

Het kan u niet ontgaan zijn. De hoogste Europese rechter heeft de Europese Commissie vorige week keihard op de vingers getikt, en de zogenaamde Safe Harbor afspraak tussen de Commissie en Amerika ongeldig verklaard. Met deze afspraak dacht de Europese Commissie de doorgifte van persoonsgegevens naar de Verenigde Staten te hebben geborgd. Niet dus. 

In een overhaast georganiseerde persconferentie deed de Europese Commissie verwoede pogingen tot damage control, en concludeerde (i) dat de doorgifte van persoonsgegevens naar de VS gewoon door kan gaan, alsmede (ii) dat haar onderhandelpositie naar de Verenigde Staten is versterkt als gevolg van deze uitspraak.

Ik denk, of sterker, ik weet eigenlijk wel zeker dat de Europese Commissie zich hier lelijk vergist. Want met de uitspraak van het Europese Hof is de doorgifte van persoonsgegevens naar de Verenigde Staten feitelijk onmogelijk geworden.

Even kort de achtergrond. De Europese privacyregelgeving staat niet zomaar toe dat persoonsgegevens buiten de Europese Unie kunnen worden opgeslagen; er dient kort gezegd een passende bescherming te zijn. 

De Europese Commissie heeft hier op twee manieren geprobeerd praktisch invulling aan te geven. Allereerst door met de Verenigde Staten afspraken te maken over de doorgifte van persoonsgegevens naar alléén de Verenigde Staten. Dat is de Safe Harbor afspraak, waar het Europese Hof nu een streep doorheen heeft gezet.

Ten tweede heeft de Commissie de zogenaamde EU modelcontracten opgesteld. Met deze contracten poogt de Commissie te borgen dat de doorgifte naar elk niet-Europees land mogelijk wordt gemaakt. Het lijkt simpel: als niet-Europees bedrijf teken je deze modelcontracten en de doorgifte is geborgd.

Maar de praktijk is echter grilliger: niet-Europese bedrijven hebben grote moeite met de reeks kettingbedingen en garantieverplichtingen in die modelcontracten. In de overhaast opgezette persconferentie van de Commissie, verwees Frans Timmermans ook naar deze modelcontracten als optie, waarmee volgens hem de doorgifte naar de VS alsnog mogelijk is.

Maar even los van de grillige praktijk, gaat de Europese Commissie mijns inziens echter voorbij aan een cruciaal punt in de beslissing van het Europese Hof. Het Hof overweegt expliciet dat – nota bene op basis van de eigen analyse van de Commissie – de Amerikaanse autoriteiten op grote schaal en ongedifferentieerd toegang hebben tot persoonsgegevens afkomstig uit de EU. En dat is het Europees Hof een doorn in het oog.

Hoe graag de Commissie dat misschien ook wenst of hoopt, maar de door haar zelf opgestelde modelcontracten nemen dit punt van onze hoogste Europese rechter natuurlijk niet weg. Immers, zodra persoonsgegevens in Amerika zijn opgeslagen, kan de Amerikaanse overheid – op basis van Amerikaanse wetgeving – zich daartoe toegang verschaffen, echte  op een wijze die het Europese Hof nu juist afkeurt. Het is dus een kwestie van tijd dat het Europees Hof beslist dat ook deze modelcontracten de vuilnisbak in kunnen.

Dus hoe je het ook wendt of keert, de Commissie heeft nu een behoorlijk (politiek) probleem, die haar onderhandelpositie met de Verenigde Staten er bepaald niet sterker op maakt. Want op dit moment is de doorgifte van persoonsgegevens naar de Verenigde Staten feitelijk onmogelijk geworden, gezien de kritiek van het Europees Hof op Amerikaanse praktijken.

En is het dus nu aan de Europese Commissie om van de Verenigde Staten gedaan te krijgen dat zij haar eigen wet- en regelgeving aanpast op een zodanige wijze die de goedkeuring van het Europese Hof kan dragen. Een dergelijke knieval bij de Amerikanen bewerkstelligen lijkt me bepaald geen sinecure.