De Europese Commissie onderzoekt of het EU-US Data Privacy Framework (DPF) nog voldoet aan de Europese privacyregels. De regeling maakt het mogelijk om persoonsgegevens vanuit de Europese Unie naar gecertificeerde Amerikaanse bedrijven te sturen, zonder dat organisaties met ieder bedrijf afzonderlijke contracten hoeven af te sluiten.
Voorlopig verandert er niets. Organisaties mogen het raamwerk blijven gebruiken zolang het onderzoek loopt. De Commissie heeft nog niet bekendgemaakt wanneer de beoordeling klaar is.
Twijfels over Amerikaanse toezichthouder
De aanleiding is een uitspraak van het Amerikaanse Hooggerechtshof. Daardoor mag de Amerikaanse president naar eigen inzicht leden van de Federal Trade Commission (FTC) ontslaan en benoemen. Dat roept vragen op over de onafhankelijkheid van de toezichthouder.
Die onafhankelijkheid is een belangrijke voorwaarde binnen het privacyraamwerk. De Europese Commissie heeft eerder vastgesteld dat de Verenigde Staten persoonsgegevens voldoende beschermen volgens de Europese privacywet AVG. Daarbij speelt ook mee of Amerikaanse toezichthouders hun werk onafhankelijk kunnen doen.
Staatssecretaris Claudia van Bruggen van Rechtsbescherming en Gevangeniswezen zegt dat de uitspraak gevolgen kan hebben voor het DPF. Volgens haar moet niet alleen naar de FTC worden gekeken, maar is een bredere beoordeling van het Amerikaanse rechtssysteem nodig.
Als de Commissie concludeert dat de Verenigde Staten niet langer aan de voorwaarden voldoen, kan zij het raamwerk opschorten. Europese organisaties moeten dan andere regels uit de AVG gebruiken om persoonsgegevens met Amerikaanse bedrijven te delen.
Dat kan bijvoorbeeld via standaardcontracten tussen organisaties in de EU en de VS. Ook bindende interne bedrijfsregels zijn mogelijk. In uitzonderlijke situaties kunnen organisaties gebruikmaken van specifieke uitzonderingen die de AVG toestaat.
Het DPF geldt voor Amerikaanse bedrijven die zich voor de regeling hebben gecertificeerd. Google en Meta behoren tot de bedrijven die daarvan gebruikmaken. De afspraken zijn bedoeld om gegevensuitwisseling tussen Europese en Amerikaanse organisaties juridisch eenvoudiger te maken, terwijl de privacy van EU-inwoners wordt beschermd.
