Max Schrems heeft een nieuwe overwinning behaald op Facebook en hoe het sociale netwerk omgaat met persoonsgegevens. Nadat de Amerikaanse 'Safe Harbor'-status voor doorgifte van gegevens in 2015 was vernietigd, heeft de privacy-activist een nieuwe zaak gewonnen bij het EU-Hof van Justitie waarbij de Privacy Shield-overeenkomst werd vernietigd, de opvolger uit 2016 van Safe Harbor. Dit betekent dat het niet legaal is voor EU- gevestigde bedrijven om persoonsgegevens naar de VS over te dragen, aangezien het land onvoldoende bescherming biedt zoals vereist door de EU-privacywet.
Modelcontracten blijven bestaan
Het Hof wees de mogelijkheid aan dat bedrijven zogenaamde modelcontractclausules gebruiken om gegevensoverdracht buiten de EU mogelijk te maken. Deze contracten, goedgekeurd door de Europese Commissie en regelgevers voor gegevensbescherming, stellen bedrijven in staat om persoonsgegevens buiten de EU door te geven, zelfs als de Commissie geen zogenaamd adequaatheidsbesluit heeft gegeven over het land van bestemming, dat het voldoet aan de EU-privacynormen.
Veel bedrijven vertrouwen op deze clausules voor overmakingen naar de VS, vooral nadat Schrems erin geslaagd was de oorspronkelijke status van 'veilige haven' van de VS door de EU-rechtbank te laten schrappen. Het is voor grote bedrijven echter gemakkelijker om zo'n clausule te ontwikkelen dan voor kleinere.
In zijn laatste beslissing oordeelde het Hof dat het aan de bedrijven was om ervoor te zorgen dat het land waar ze de gegevens overdragen voldoende bescherming biedt in overeenstemming met wat de EU biedt onder de algemene verordening gegevensbescherming. Dit komt overeen met het eerdere advies van de advocaat-generaal.
Beschermingsniveau in VS lager dan in EU
Wat de VS betreft, oordeelde het Hof dat deze niet de bescherming bood die vereist is onder de AVG. Het ombudsman-systeem dat is opgezet in het kader van de Privacy Shield-overeenkomst tussen de VS en de EU biedt mensen niet hetzelfde rechtsmiddel als in de EU, aangezien de onafhankelijkheid van de ombudsman niet is gegarandeerd en zijn besluiten niet bindend zijn voor Amerikaanse inlichtingendiensten.
Bovendien is het verzamelen van persoonsgegevens door beveiligingsdiensten voor bewaking in de VS niet beperkt op een manier die voldoet aan het EU-vereiste van evenredigheid. Volgens de EU-wetgeving kunnen persoonsgegevens alleen worden verzameld voor zover dit strikt noodzakelijk is, wat betekent dat proefpersonen zoveel mogelijk moeten worden geïnformeerd en dat de gegevens moeten worden verwijderd wanneer ze niet langer worden gebruikt.
