Nieuw adequaatheidsbesluit voor gegevensuitwisseling tussen Europa en de VS

De Europese Commissie heeft op 10 juli 2023 het EU-U.S. Data Privacy Framework aangenomen. Middels dit adequaatheidsbesluit is het mogelijk om veilig data te delen tussen Europa en de VS zonder dat er aanvullende beveiligingsmaatregelen noodzakelijk zijn. Dit is van belang omdat veel organisaties in Europa werken met partijen in de VS. Denk aan Google, Microsoft, Meta, Salesforce en vele anderen.

Het framework bestaat uit bindende beveiligingsmaatregelen die de issues waarop het Privacy Shield 2.0 is afgekeurd moeten ondervangen. Zo wordt in het nieuwe framework de toegang van de Amerikaanse inlichtingendiensten tot de Europese data gelimiteerd op basis van noodzakelijkheid en proportionaliteit. Een ander knelpunt was dat Europeanen niet al hun rechten met betrekking tot hun persoonsgegevens konden uitoefenen in de VS. Dit punt wordt in het nieuwe besluit aangepakt door het instellen van de Data Protection Review Court (DPRC). Wanneer er in strijd met het framework gehandeld wordt, kunnen Europeanen terecht bij deze rechtbank. Indien de DPRC concludeert dat er een overtreding is begaan, kan de rechtbank opdracht geven tot verwijdering van de data.

Door dit adequaatheidsbesluit kunnen Europese organisaties veilig data uitwisselen met Amerikaanse organisaties, mits deze zich aan het framework committeren en voldoen aan een set van verplichtingen op gebied van privacy. Denk aan het instellen van bewaartermijnen zodat data niet langer beschikbaar is dan noodzakelijk voor het gestelde doel. Ook dienen Amerikaanse organisaties te zorgen voor bescherming van persoonsgegevens bij het delen van data met derde partijen.

Dit is goed nieuws voor organisaties die samenwerken met Amerikaanse partijen. Al is het de vraag of dit framework stand houdt. Privacy waakhond Max Scherms van NOYB heeft al aangegeven de wijzigingen onvoldoende te vinden. Het is afwachten wat er gebeurt indien NOYB dit aanvecht bij het Europese Hof van Justitie. Maar hier zal tijd overheen gaan. Het adequaatheidsbesluit is per 10 juli 2023 ingegaan en voorlopig kunnen we hiermee aan de slag.

Heeft u vragen naar aanleiding van dit artikel of bent u benieuwd of u op de juiste manier gegevens deelt met andere organisaties in binnen- en buitenland? Neem dan contact met ons op.