[17:15 kritiek van Schrems opgenomen met reacties]

Ook noodzakelijke overdracht van data naar de VS en andere landen op grond van artikel 49 van de AVG mag doorgaan: als individuen toestemming geven – het bekende vinkje bij een verklaring die niemand leest; of als de doorgifte ‘noodzakelijk is wegens gewichtige redenen van algemeen belang’. In de praktijk kan het overgrote deel van de Amerikaanse verwerking van Europese data op de korte termijn nog doorgaan.

Dat is de uitkomst van het arrest ECLI:EU:C:2020:559 van het HvjEU vandaag, dat door juristen in het algemeen als een mijlpaal in de jurisprudentie voor databescherming wordt gezien. Immers, nadat de Safe Harbour overeenkomst tussen de EU en de VS in 2015 al was afgeschoten, blijkt ook de opvolger een wassen neus.

Winst of verlies Schrems?

Nadat de advocaat-generaal van het Hof van Justitie van de Europese Unie in december 2019 tot zijn advies was gekomen, stelden we vast dat Max Schrems had verloren. Dat was onjuist volgens een boze Schrems en enkele juristen die ons kapittelden. Volgens de voorlichter van het HvjEU was onze constatering juist.

Immers, de zaak ging over de vraag of de Ierse toezichthouder de verwerking van persoonsgegevens door Facebook terecht goedkeurde op grond van de modelcontracten. De opvatting van advocaat-generaal Saugmandsgaard Øe kwam erop neer dat Facebook terecht een beroep doet op het modelcontract van de EU voor overheveling van data naar ‘veilige havens’ buiten de EU waartoe de VS te rekenen is.

Ook in de uitspraak van het Hof blijft het besluit 2010/87 van de Europese Commissie betreffende ‘Standard contractual clauses’ (SCC’s) voor dataoverdracht tussen EU-lidstaten en niet-lidstaten overeind. Echter, het besluit 2016/1250 betreffende de toepassing van het EU-VS privacyschild gaat naar de prullenbak. De advocaat-generaal vond het niet nodig om zich daarover uit te spreken, de rechters doen dat wel. Deze overeenkomst met de VS biedt onvoldoende waarborgen voor Europeanen dat hun data veilig zijn. De VS wordt daarmee een ‘derde land’ als alle andere.

Over de juiste toepassing van modelcontracten moeten nationale toezichthouders zich buigen in geval van klachten. Een derde land dat de Europese data verwerkt moet een ‘passend beschermingsniveau’ waarborgen. De toezichthouders moeten toetsen of dat derde land, dus de VS, conform nationale wetgeving of internationale toezeggingen afdoende bescherming biedt. Is dit niet het geval dan moet het bedrijf in kwestie, zeg Facebook, waarborgen dat de buitenlandse dataverwerking conform de Europese regels is, dus de AVG respecteert.

Vooralsnog kunnen Amerikaanse bedrijven zich vaak op de AVG beroepen om door te gaan met Europese dataverwerking op Amerikaanse servers, zo geeft Schrems toe. Echter, de kans is klein dat ze de nationale toets op voldoende waarborgen zullen doorstaan.

‘Berichtgeving weer onjuist’

Ook nu is Schrems het oneens met de verslaggeving. In een bericht laat hij weten: ‘Unfortunately, many reports (even the BBC) claim that data flows continue to be legal after SCCs and that Facebook could continue to use them. This is unfortunately incorrect.

The CJEU has made it clear in its ruling that even within the SCCs a data flow must be stopped if a US company falls under this surveillance law. This applies to practically all IT companies (such as Microsoft, Apple, Google or Facebook) that all fall under FISA 702.’

Naar de letter van het arrest is de berichtgeving van de BBC juist en voel ik me ook niet geroepen om dit artikel aan te passen. Zo laat ook de chef-jurist van Microsoft, Julie Brill weten, dat de dataoverdracht in de Microsoft-cloud op grond van de SCC’s gewoon doorgaat.

Echter, als de modelcontracten of SCC’s geldig worden verklaard maar de grondslagen waarop ze zijn gesloten niet, dan hebben Amerikaanse bedrijven wel een probleem en kan Schrems de facto zijn gelijk claimen. Alleen is het zover nog niet. Zo bevestigt Brill wel degelijk dat het arrest problemen oplevert en ze opteert voor overleg met de Europese Commissie en beperking van toepassing van de Amerikaanse vorderingswetgeving voor data. Zie ook de commentaren bij dit artikel van Bart Schermer en Simon Hania.

In zijn arrest van vandaag stelt het Hof vast de modelcontracten op zichzelf deugen, maar de waarborgen van het Privacy Shield niet. De doorgifte moet getoetst worden aan de privacyverordening AVG, ook nu opnieuw door de Ierse DPA. In die zin is het arrest een stap in de richting van een uiteindelijke overwinning van Schrems die meent dat de Amerikaanse wetgeving voor opsporing en inlichtingendiensten te grote risico’s inhouden voor de Europese persoonsgegevens. In een eerste reactie stelt hij vast dat de modelcontracten in feite illegaal worden toegepast omdat de onderliggende waarborgen niet deugen.

Bureaucratische molen

Het is een kwestie van tijd dat bij alle 27 toezichthouders in de EU klachten worden ingediend over de modelcontracten. Die moeten allemaal gaan onderzoeken of de Amerikaanse wetgeving voldoende waarborgen biedt. Zo niet, dan moeten of Facebook en andere partijen kunnen garanderen dat ze zelf in de VS het beschermingsniveau van de AVG kunnen bieden.

De kans hierop is klein, maar het duurt een poosje met heel veel dure advocatenuren alvorens het zover is. Indien de dataoverdracht wordt verboden, kunnen de VS besluiten om voor burgers van de EU dezelfde waarborgen voor privacy te bieden als voor de eigen burgers. Er zou op grond daarvan een nieuw Privacy Shield of – schild opgetuigd kunnen worden. Dat zou de derde overeenkomst worden want het privacyschild en voorganger Safe Harbour sneuvelden.

Mocht die overeenkomst er niet komen, dan kunnen Amerikaanse bedrijven proberen om andere waarborgen te bieden. Ze kunnen besluiten om de Europese dataverwerking binnen Europese grenzen te houden. (Ze hebben hier grote dataparken en er is nog een ‘geheime partij’ die in de Flevopolder een gigantisch datacentrum wil neerzetten.)

Hoogste rechter in Ierland

Max Schrems, de Oostenrijkse jurist die de acties tegen met name Facebook leidt, had bij de Ierse toezichthouder op de privacy (DPA Ireland) een klacht ingediend over het verwerken van zijn persoonsgegevens door Facebook Ireland via servers van Facebook Inc. in de Verenigde Staten. Hij eiste een verbod omdat zijn data in de VS niet veilig zouden zijn. Deze klacht is afgewezen, door Schrems geherformuleerd en opnieuw afgewezen.

Het Ierse High Court die de zaak kreeg voorgelegd vroeg de Europese rechter of besluit 2010/87 (modelcontracten) en besluit 2016/1250 (privacyschild) geldig zijn, want de Ierse toezichthouder beriep zich ook op het laatste als waarborg op grond waarvan dat modelcontract door Facebook kon worden afgesloten.

Overigens verwerken ook China, Saoedi-Arabië en tal van dictaturen Europese persoonsgegevens zonder dat de Europese Commissie of toezichthouders een strobreed in de weg leggen. Het zou een stunt zijn als ze zouden verbieden dat bijvoorbeeld een Alibaba of andere Chinese winkels dat nog mogen doen omdat onze persoonsgegevens daar niet veilig zijn.