EU en VS sluiten baanbrekend gegevensbeschermingsakkoord ondanks politieke onzekerheid

Nieuw transatlantisch kader standaardiseert gegevensbescherming

De Europese Unie en de Verenigde Staten hebben het Transatlantisch Kader voor Gegevensbescherming (DPF) afgerond, dat gestandaardiseerde bescherming biedt voor persoonsgegevens die tussen de twee economische blokken worden gedeeld. Deze overeenkomst vervangt het nietig verklaarde Privacy Shield en komt na jaren van juridische onzekerheid na de Schrems II-uitspraak die eerdere gegevensoverdrachtsmechanismen verwierp.

Hoe het kader werkt

Het DPF verplicht Amerikaanse bedrijven om privacybeginselen na te leven, waaronder doelbinding, dataminimalisatie en beveiligingsmaatregelen. Een belangrijke innovatie is de Data Protection Review Court (DPRC) - een onafhankelijk orgaan dat EU-burgers de mogelijkheid biedt om toegang van Amerikaanse inlichtingendiensten tot hun gegevens aan te vechten. President Biden implementeerde deze waarborgen via een uitvoeringsbevel in oktober 2022.

Toenemende politieke uitdagingen

Ondanks het adequaatheidsbesluit van de Europese Commissie in juli 2023, staat het kader nu voor grote bedreigingen:

• President Trump heeft ontslag gevraagd van Democratische leden van de Privacy and Civil Liberties Oversight Board (PCLOB), wat dit cruciale toezichtsorgaan zou kunnen verlammen
• Een uitvoeringsbevel richt zich op voorgangerbeleid dat het DPF ondersteunt voor herziening
• Privacyvoorstanders, waaronder NOYB, hebben gerechtelijke uitdagingen aangekondigd omdat Amerikaanse surveillancewetten volgens hen onverenigbaar blijven met de AVG

Bedrijfsimplicaties

Meer dan 5.000 Amerikaanse bedrijven hebben zich al bij het kader aangesloten. Als het wordt vernietigd, moeten bedrijven terugvallen op complexe alternatieven zoals Standaardcontractbepalingen (SCC's) aangevuld met overdrachtsimpactbeoordelingen. Zowel techreuzen als MKB-bedrijven riskeren potentiële compliancekosten van meer dan €10 miljard collectief mocht het kader instorten.

Volgende stappen

Anu Talus, lid van de European Data Protection Board, waarschuwt: "De politieke situatie creëert tastbare risico's. Bedrijven moeten hun gegevensstromen onmiddellijk auditen en noodplannen voorbereiden." De Europese Commissie zal het kader in juli 2025 opnieuw beoordelen, met mogelijke schorsing als de Amerikaanse toezeggingen verzwakken.