Op maandag 3 juli 2026 deed het Amerikaanse Hooggerechtshof uitspraak in de veelbesproken zaak Trump v. Slaughter. Deze uitspraak heeft potentieel grote gevolgen voor de internationale doorgifte van persoonsgegevens vanuit de EU naar de Verenigde Staten.
In deze zaak staat centraal het ontslag van Slaughter, één van de commissarissen van de Federal Trade Commission (hierna: “FTC”), door president Trump omdat haar visie niet strookte met die van zijn administratie. Slaughter vocht haar ontslag aan bij de rechter, die haar in het gelijk stelde, maar het Hooggerechtshof heeft onlangs geoordeeld dat dit ontslag toch rechtmatig was. Het Hooggerechtshof overweegt dat de Amerikaanse grondwet zich verzet tegen iedere vorm van ontslagbescherming voor Amerikaanse toezichthouders, en dus ook voor de FTC als de relevante toezichthouder op het gebied van privacy. De wettelijk vastgelegde ontslagbescherming (“for cause”) is hiermee komen te vervallen en daarmee is de Amerikaanse president in staat om overheidscommissarissen zonder gegronde redenen te ontslaan.
Achtergrond internationale doorgifte naar de VS
De internationale doorgifte van persoonsgegevens naar de VS kent een onstuimige geschiedenis. De vorige adequaatheidsbesluiten – Safe Harbour en het Privacy Shield – werden door het Hof van Justitie van de Europese Unie (HvJEU) ongeldig verklaard. Dit gebeurde naar aanleiding van rechtszaken die Max Schrems had aangespannen. Het HvJEU oordeelde in beide gevallen dat het niveau van bescherming van persoonsgegevens in de VS niet ‘essentially equivalent’ was aan het niveau dat binnen de EU wordt gewaarborgd, hetgeen voor internationale doorgifte op basis van een adequaatheidsbesluit wel vereist is. Op basis van deze uitspraken sloot de Europese Commissie in 2023 een nieuw adequaatheidsbesluit: het Data Privacy Framework. De VS had namelijk aanvullende waarborgen getroffen om de bezwaren tegen de eerdere besluiten weg te nemen. De onafhankelijkheid van de FTC als toezichthouder was daarbij een van de centrale pijlers.
De gevolgen
Op grond van artikel 8 lid 3 van Het Handvest van de grondrechten van de Europese Unie is vereist dat er onafhankelijk toezicht worden gehouden op de naleving van de bescherming van persoonsgegevens. De Autoriteit Persoonsgegevens geeft in Nederland uitvoering aan deze taak en in de VS vervult de FTC deze rol. Na de uitspraak in de zaak Trump v. Slaughter is de onafhankelijkheid van de FTC echter niet langer gegarandeerd. Daarmee rijst de vraag of het beschermingsniveau in de VS nog steeds als gelijkwaardig aan dat van de EU kan worden aangemerkt.
Als we Schrems mogen geloven, is dit niet meer het geval. Hij stelt dat met de beslissing van het
Hooggerechtshof de volledige fundering is ingestort waarop het adequaatheidbesluit is gebaseerd. Schrems heeft in een formele brief de Europese Commissie verzocht het adequaatheidsbesluit nietig te verklaren. Mocht de Commissie het DPF vooralsnog in stand houden, dan lijkt een Schrems III rechtszaak onvermijdelijk.
De zaak Latombe
Het Gerecht van de Europese Unie had zich al eerder uitgelaten over de houdbaarheid van het Data Privacy Framework in de zaak Latombe. Het Franse parlementslid Latombe stelde dat het DPF ongeldig verklaard diende te worden omdat het beschermingsniveau in de VS niet gelijkwaardig is aan dat van de EU. Latombe betoogde onder andere dat de rechters van het Data Protection Review Court (DPRC) onvoldoende onafhankelijk waren. Het Gerecht verwierp dit standpunt en hield het DPF in stand. Het overwoog daarbij dat er voldoende waarborgen bestonden, bijvoorbeeld dat de rechters van het DPRC alleen ontslagen mogen worden met een gegronde reden.
Dit argument lijkt na Trump v. Slaughter moeilijk houdbaar. Het Hooggerechtshof heeft immers geoordeeld dat een dergelijke ontslagbescherming ongrondwettelijk is. Daarmee is het de vraag of het argument van het Gerecht inzake Latombe overeind gehouden kan worden. Het ligt dan ook in de lijn der verwachting dat het DPF ofwel door de Commissie zelf wordt ingetrokken, ofwel (succesvol) aangevochten wordt in hoger beroep in de zaak Latombe of een nieuwe procedure van Schrems.
Alternatieven bij het wegvallen van het Data Privacy Framework
Met het eventueel wegvallen van het DPF biedt de AVG in beginsel alternatieve mogelijkheden om persoonsgegevens door te geven aan de VS. Naast het mechanisme van adequaatheidsbesluiten kent de AVG immers ook nog andere mechanismem voor internationale doorgifte, waaronder de
standaardcontractbepalingen (Standard Contractual Clauses, hierna “SCC’s”). Dit zijn contractsbepalingen opgesteld door de Europese Commissie die waarborgen bevatten die een gelijkwaardig niveau van bescherming moeten waarborgen. Het is echter maar de vraag of deze uitkomst bieden.
Voor het gebruik van SCC’s is op grond van het Schrems II-arrest namelijk het uitvoeren van een zogenaamde Transfer Impact Assessment (TIA) vereist. In het kader van deze TIA moet beoordeeld worden of het land van doorgifte een gelijkwaardig niveau van bescherming biedt. Deze beoordeling moet gemaakt worden aan de hand van de praktische en juridische risico’s die bij een doorgifte naar een derde land zonder adequaatheidsbesluit komen kijken. Nu de VS gezien de uitspraak niet meer over een onafhankelijke toezichthouder beschikt, is het de vraag of de TIA wel tot een positieve uitkomst kan leiden in die zin dat de doorgifte plaats kan vinden. Het is nu aan de Europese Commissie om te toetsen of het Data Privacy Framework nog in stand kan worden gehouden.
Wilt u weten hoe uw organisatie om moet gaan met de doorgifte van persoonsgegevens naar de VS?
Neem dan contact op met een van onze advocaten.
