Botte stijl van Trump maakt data-uitwisseling onmogelijk

De juridische basis voor de uitwisseling van persoonsgegevens tussen de Europese Unie en de Verenigde Staten ligt opnieuw in onder vuur. Een recente uitspraak van het Amerikaanse Hooggerechtshof heeft de onafhankelijkheid van de Federal Trade Commission (FTC) inéén klap vernietigd. De privacyorganisatie NOYB luidt de noodklok en stelt dat het huidige Data Privacy Framework (DPF) onbruikbaar is geworden. Bedrijven die dagelijks data over de Atlantische Oceaan sturen, moeten zich voorbereiden op grote juridische stormen.

De genadeklap voor het Data Privacy Framework

Het Amerikaanse Hooggerechtshof heeft met de uitspraak in de zaak 'Trump v. Slaughter' een bom gelegd onder het trans-Atlantische dataverkeer. De zaak draait om de bevoegdheid van de president om onafhankelijke toezichthouders te ontslaan. Voorheen mocht een president de directeuren van de Federal Trade Commission (FTC) alleen om zwaarwegende redenen naar huis sturen. Het hof heeft dit historische precedent nu volledig vernietigd. Dit besluit sluit aan bij de zogeheten 'Unitary Executive Theory'. Deze theorie stelt dat de president de absolute controle moet hebben over alle uitvoerende overheidsinstanties. Hierdoor kan de Amerikaanse president toezichthouders die hem niet aanstaan direct en zonder opgaaf van redenen ontslaan. De onafhankelijkheid van de FTC bestaat daardoor alleen nog op papier. Dit heeft directe en ingrijpende gevolgen voor Europese burgers. Hun persoonsgegevens worden nu beschermd door een waakhond die onder directe politieke controle staat van het Witte Huis. De politieke stijl van Trump holt zo de rechtsbescherming van Europeanen volledig uit.

Waarom onafhankelijk toezicht een harde eis is

De Europese privacywetgeving stelt zeer strenge eisen aan de doorgifte van persoonsgegevens naar landen buiten de Europese Unie. Volgens de Algemene Verordening Gegevensbescherming (AVG) mag data alleen worden gedeeld als er sprake is van een gelijkwaardig beschermingsniveau. Een cruciaal onderdeel hiervan is het bestaan van een volledig onafhankelijke toezichthouder. Het Europees Hof van Justitie heeft dit in eerdere rechtszaken al herhaaldelijk bevestigd. De Europese Commissie nam in 2023 het Data Privacy Framework (DPF) aan. In dit besluit verwees de Commissie maar liefst 259 keer naar de FTC als de onafhankelijke waakhond die de regels in de VS moet handhaven. Nu deze onafhankelijkheid door het Hooggerechtshof is vernietigd, mist het DPF zijn belangrijkste fundament. De privacyorganisatie NOYB, geleid door activist Max Schrems, stelt dat het verdrag hierdoor feitelijk onbruikbaar is geworden. Zonder onafhankelijk toezicht is er simpelweg geen geldige juridische basis meer voor de data-overdracht.

Een geschiedenis van wankele privacyverdragen

Het is niet de eerste keer dat de data-uitwisseling tussen de Europese Unie en de Verenigde Staten spaak loopt. In het verleden sneuvelden al twee eerdere dataverdragen. Eerst verklaarde het Europees Hof van Justitie het Safe Harbor-verdrag ongeldig in 2015. Vijf jaar later onderging de opvolger, het Privacy Shield, exact hetzelfde lot in de bekende Schrems II-zaak. In beide gevallen was de Oostenrijkse jurist Max Schrems met zijn organisatie NOYB de drijvende kracht achter de rechtszaken. NOYB strijdt al jaren tegen de ongebreidelde surveillance door Amerikaanse inlichtingendiensten. De organisatie stelt dat de Amerikaanse wetgeving, zoals de beruchte CLOUD Act en FISA 702, fundamenteel onverenigbaar is met de Europese privacyrechten. Het Data Privacy Framework uit 2023 was een haastig politiek compromis. Critici waarschuwden destijds al dat de Amerikaanse overheid weigerde om haar inlichtingendiensten echt te hervormen. De huidige crisis rondom de FTC bevestigt dat de trans-atlantische datastroom op drijfzand is gebouwd.

Politieke onrust en de reactie uit Brussel

De uitspraak van het Amerikaanse Hooggerechtshof zorgt voor grote politieke onrust in Europa. In de Nederlandse Tweede Kamer zijn direct kritische vragen gesteld aan de staatssecretaris voor Digitale Economie. Kamerleden willen weten of Nederland wel is voorbereid op een scenario waarin de data-uitwisseling met de VS volledig stilvalt. De Europese Commissie heeft laten weten de uitspraak van het hof grondig te bestuderen. Een woordvoerder verklaarde dat Brussel onderzoekt in hoeverre de uitspraak de geldigheid van het DPF-adequaatheidsbesluit aantast. Tot nu toe is er nog geen formeel besluit genomen om het verdrag in te trekken. Ook de Autoriteit Persoonsgegevens (AP) en andere Europese toezichthouders hebben nog geen directe handhavingsacties aangekondigd. Dit komt omdat het DPF formeel nog steeds als wet geldt totdat een rechter of de Commissie het officieel ongeldig verklaart. Wel waarschuwen juristen dat deze formele status zeer tijdelijk kan zijn en dat de druk op Brussel snel toeneemt.

Wat moeten bedrijven nu concreet doen?

Voor bedrijven die afhankelijk zijn van Amerikaanse clouddiensten breekt een onzekere tijd aan. Hoewel er geen acute paniek is, adviseren juridische experts om niet lijdzaam af te wachten. Bedrijven moeten hun data-overdrachten en de afhankelijkheid van Amerikaanse softwareleveranciers direct in kaart brengen. Het is verstandig om te kijken naar alternatieve juridische instrumenten. Bedrijven kunnen bijvoorbeeld gebruikmaken van Standard Contractual Clauses (SCC's) of Binding Corporate Rules (BCR's). Maar let op: ook deze alternatieven zijn geen automatische vrijbrief. Bedrijven moeten nog steeds een strenge risicoanalyse uitvoeren, de zogeheten Transfer Impact Assessment (TIA). Door de recente uitspraak van het Amerikaanse Hof is de effectiviteit van de rechtsbescherming in de VS immers opnieuw twijfelachtig geworden. Ook de Data Protection Review Court (DPRC) ligt onder vuur omdat dit een uitvoerend orgaan is onder het Amerikaanse Ministerie van Justitie. Bedrijven doen er goed aan om nu al te zoeken naar Europese alternatieven voor hun cloudopslag.