Op 13 december 2022 publiceerde de Europese Commissie een ontwerp van een nieuw adequaatheidsbesluit voor gegevensdoorgiftes tussen de EU en de VS.
Het ontwerp-adequaatheidsbesluit is een nieuwe poging om EU-VS gegevensdoorgiftes veilig te omkaderen, na de vernietiging van de vorige adequaatheidsbesluiten door het Hof van Justitie in de Schrems-zaken (respectievelijk de Safe Harbour en de Privacy Shield).
De eerste stappen naar een nieuw adequaatheidsbesluit werden gezet in maart 2022 met het principieel akkoord tussen de Europese Commissie en de Verenigde Staten. Dit akkoord werd aan de Amerikaanse kant geïmplementeerd door de executive order die op 7 oktober 2022 werd ondertekend door de Amerikaanse president, Joe Biden.
Het ontwerp van adequaatheidsbesluit in een notendop
- Introductie van een certificatiemechanisme waartoe Amerikaanse entiteiten kunnen toetreden. Voor gecertifieerde ondernemingen is de naleving van de AVG verplicht en afdwingbaar;
- Toepassing van AVG-principes op Amerikaanse ontvangers van EU-gegevens (doelbinding, integriteit, verbod op onverenigbare verdere verwerking, gegevensminimalisering, juistheid, veiligheid, transparantie, enz.);
- Verplichting voor Amerikaanse ontvangers van EU-gegevens om te voorzien in een opt-out-mechanisme voor verenigbare verdere verwerkingen;
- Bepaling van strikte voorwaarden voor verdere doorgiften;
- Toezicht en handhavingsmechanismes voor de naleving van de AVG en het adequaatheidsbesluit, waaronder compliance-monitoring door het US Department of Commerce;
- Verschillende actiemogelijkheden voor betrokkenen, waaronder de vordering bij onafhankelijke geschillenbeslechtingsinstanties zowel in de VS als in de EU, de vordering bij nationale gegevensbeschermingsautoriteiten (met verplichte medewerking door de gecertifieerde Amerikaanse entiteit), en de mogelijkheid tot bindende arbitrage bij de “EU-U.S. Data Privacy Framework Panel”; en
- Een hoofdstuk gewijd aan de toegang tot EU-gegevens voor publieke autoriteiten van de VS.
Wat nu?
Vooraleer het finaal adequaatheidsbesluit kan worden aangenomen en toegepast, moeten nog een aantal stappen worden doorlopen. Het ontwerp van adequaatheidsbesluit werd alvast voro advies voorgelegd aan het Europees Comité voor gegevensbescherming (ECGB). Vervolgens zal het ontwerp moeten worden goedgekeurd door een Comité van vertegenwoordigers van de Europese Lidstaten.
Max Schrems, de eiser in beide Schrems-zaken, reageerde alvast kort op de bal met een verklaring over het ontwerpbesluit. Zijn boodschap is duidelijk: de wijzigingen lijken volgens hem miniem en zullen naar zijn mening een beroep bij het Hof van Justitie (opnieuw) niet overleven.
