Zo'n twee weken na de uitspraak van het Europees Hof over het Privacy Shield is de basis voor gegevensuitwisseling met de Verenigde Staten weggevallen. De Autoriteit Persoonsgegevens (AP) is nog bezig met onderzoek naar wat de exacte gevolgen zijn voor bedrijven in Nederland, schrijft AG Connect.
“Het is in één woord chaotisch”, zegt techjurist Stefan Zrnic van BDO. Na de uitspraak mogen bedrijven niet langer gegevens uitwisselen met de VS, omdat de bescherming van gegevens daar volgens het Hof van een lager niveau is. Toezichthouders moeten mogelijk per direct handhaven, maar het is onduidelijk of dat ook echt gaat gebeuren. Er is nog weinig informatie over mogelijke vervolgstappen, vinden deskundigen.
De AP vertelt in een reactie dat er al een en ander duidelijk is geworden, na een vergadering van de privacytoezichthouders in de EU. Deze European Data Protecton Board (EDPD) heeft een FAQ-rubriek geopend, die ‘de komende tijd’ nog wordt uitgebreid. Er zitten nog onduidelijkheden in de aanvullende maatregelen die bedrijven moeten nemen als zij gegevens willen doorgeven op basis van modelcontracten.
Modelcontracten nog in ontwikkeling
De uitspraak heeft echter per direct enorme invloed op veel organisaties, stelt Zrnic van BDO. “Hoewel er bestaande alternatieven zijn, zoals de modelcontractbepalingen die door de Europese Commissie zijn vastgesteld of de ‘Binding Corporate Rules’, wil dit niet zeggen dat organisaties daar ook blind gebruik van moeten maken. Organisaties moeten een passend beschermingsniveau kunnen bieden. De vraag is of dat überhaupt mogelijk is met de Amerikaanse inlichtingendienst.”
Elke organisatie die gegevens verwerkt, moet die dringend in kaart gaan brengen, terwijl er nog veel onduidelijkheid bestaat over het wegvallen van Privacy Shield, wat de opvolger was van Safe Harbor. Bedrijven moeten in kaart brengen welke Amerikaanse bedrijven gegevens verwerken en of het überhaupt zinvol is om data buiten Europa te verwerken.
Toezichthouders spelen volgens Zrnic een grote rol nu de uitspraak gedaan is, maar ze geven nog niet thuis. “Welke maatregelen er gaan komen weten we niet. Het kunnen juridische, technische of organisatorische maatregelen zijn. Het wordt nu nog in het midden gelaten. Voorlopig kun je niet veel meer doen dan inventariseren en uitspraken van de toezichthouders goed in de gaten te houden. Snel duidelijkheid hierover is voor veel organisaties in ieder geval belangrijk.”
Ook NLDigital adviseert huiswerk te doen
Gegevensverwerkers kunnen niet meer vertrouwen op de algemeen geldige overeenkomst tussen de Europese Commissie en de regering van de Verenigde Staten, maar moeten zelf zorgen dat hun voorwaarden in overeenstemming zijn met de regels. NLDigital geeft een voorlopig advies. Dit luidt tot nu toe onder meer om, bij gegevensuitwisseling met de VS, een overstap naar of uitbreiding van modelcontractsbepalingen voor te bereiden en te stoppen met uitwisselen wanneer er geen nieuwe afspraken gemaakt kunnen worden.
