De Europese Commissie heeft vandaag Privacy Shield aangenomen. De Europese lidstaten worden nu geïnformeerd, waardoor Privacy Shield vrijwel direct in werking zal treden. Vanaf 1 augustus kunnen Amerikaanse bedrijven zich certificeren bij Privacy Shield. Het is daarmee voor de doorgifte van persoonsgegevens aan die gecertificeerde bedrijven niet langer nodig om bijvoorbeeld de EU Model Clauses overeen te komen.
Privacy Shield is de vervanger van de Safe Harbor Principles, die door het Hof van Justitie van de Europese Unie (“Hof”) op 6 oktober 2015 ongeldig zijn verklaard in de Facebook / Schrems zaak. Het oordeel van het Hof was gebaseerd op de bevinding dat het Safe Harbor regime onvoldoende was om een passend niveau van gegevensbescherming te garanderen dat gelijkwaardig is aan het niveau van gegevensbescherming onder Europese wetgeving.
In Privacy Shield is, aldus de Europese Commissie tegemoet gekomen aan de door het Hof geconstateerde bezwaren door onder meer de volgende maatregelen op te nemen:
· Strengere verplichtingen voor bedrijven bij de verwerking van de gegevens, waaronder bij de verdere doorgifte aan derde partijen. De U.S. Department of Commerce gaat extra toezien op de naleving van deze verplichtingen;
· Beperkingen, maatregelen en transparantie verplichtingen voor de Amerikaanse overheid bij het opvragen van persoonsgegevens, met een Ombudsperson die een beroepsmogelijkheid biedt;
· Effectieve bescherming van individuele rechten door middel van verschillende toegankelijke en betaalbare geschilbeslechting mechanismen, onder andere via de nationale toezichthouder die daarbij samenwerkt met de Federal Trade Commission en via de Ombudsperson;
· Jaarlijkse evaluatie van Privacy Shield.
Of deze waarborgen uiteindelijk in de praktijk ook voldoende zullen zijn om een passend beschermingsniveau te waarborgen zal nog moeten blijken. In aanloop naar dit moment is er door verschillende partijen kritiek geuit op Privacy Shield, onder meer ten aanzien van de “bulk collection” van persoonsgegevens door de Amerikaanse overheid en over de vraag of de ingestelde Ombudsperson daadwerkelijk de mate van onafhankelijkheid zal hebben die nu door de Verenigde Staten wordt toegezegd.
Het is dus niet ondenkbaar dat we Privacy Shield over enige tijd (met de toezichthouders of met Schrems) bij het Hof van Justitie terug zien.
