Privacy Shield, de vervanger van Safe Harbor, staat voor haar eerste juridische uitdaging. De Ierse privacyorganisatie Digital Rights Ireland heeft een klacht tegen Privacy Shield ingediend, omdat hiermee onvoldoende privacywaarborgen geboden zouden worden aan betrokkenen.
Privacy Shield maakt het mogelijk om rechtmatig gegevens vanuit Europa naar de VS door te geven. Voor de komst van Privacy Shield konden gegevens naar de VS rechtmatig worden doorgegeven op basis van de Safe Harbour Principles. Deze werden door het Hof van Justitie van de Europese Unie (“Hof”) op 6 oktober 2015 ongeldig verklaard in de Facebook / Schrems-zaak. Het Hof oordeelde toen dat Safe Harbor onvoldoende was om een passend niveau van gegevensbescherming te garanderen gelijkwaardig aan het Europese niveau van gegevensbescherming.
In juli 2016 is Privacy Shield aangenomen en sinds 1 augustus kunnen bedrijven zich certificeren. Op de Privacy Shield List is te zien welke bedrijven Privacy Shield gecertificeerd zijn. Tot nu toe staan meer dan 500 bedrijven op de lijst, waaronder Google, Facebook en Dropbox.
Digital Rights Ireland heeft afgelopen week een klacht ingediend bij het Gerecht, het deel van het Hof dat beroepen behandelt van onder meer particulieren en bedrijven. Volgens de privacyorganisatie biedt Privacy Shield niet voldoende waarborgen om in een veilige gegevensdoorgifte te voorzien. Digital Rights Ireland heeft zelf geen commentaar gegeven over de klacht en ook op de website van het Hof is geen verdere informatie te vinden (het zaaknummer is T-670/16).
Wel heeft een woordvoeder van de Europese Commissie tegenover Reuters bevestigd dat de klacht (application for annulment) is ingediend. Benadrukt werd daarbij dat de Europese Commissie ervan is overtuigd dat Privacy Shield voldoet aan de eisen die door het Hof zijn gesteld en die de basis zijn geweest voor de onderhandelingen:
“As we have said from the beginning, the Commission is convinced that the Privacy Shield will live up to the requirements set out by the European Court of Justice which has been the basis for the negotiations.”
Ook werd toegelicht dat het een jaar of langer kan duren voordat het Gerecht de klacht zal beoordelen en dat de klacht daarbij niet-ontvankelijk kan worden verklaard als het Gerecht van oordeel is dat Digital Rights Ireland niet direct belanghebbende is.
