Na 3 jaar onzekerheid rondom de gegevensoverdracht naar de Verenigde Staten, heeft de Europese Commissie op 10 juli 2023 het nieuwe EU-US Data Privacy Framework (DPF) aangenomen. Dankzij het DPF is het een stuk makkelijker geworden voor Europese bedrijven en organisaties om persoonsgegevens van Europese burgers door te geven aan Amerikaanse bedrijven.

Wat is er ook al weer gebeurd?

Een korte opfrisser. Vanaf de jaren ‘90 konden persoonsgegevens doorgegeven worden naar de VS op basis van het Safe Harbor akkoord. In 2015 werd hier een streep door gezet door het Europese Hof van Justitie, omdat dit akkoord de privacy van Europeanen onvoldoende beschermde (Schrems I). Daaruit volgde na vele onderhandelingen een nieuwe juridische basis: het Privacy Shield. In de zomer van 2020 haalde het Europese Hof ook deze regeling onderuit, omdat het onvoldoende garanties voor gegevensbescherming bood (Schrems II). Sindsdien kon de doorgifte van persoonsgegevens naar de VS eigenlijk alleen via ‘Standard Contractual Clauses’ (SCC’s), samen met een zogeheten ‘Data Transfer Impact Assessment’ (DTIA). Hierbij moest je als organisatie ook aanvullende maatregelen treffen om het beschermingsniveau te waarborgen. Maar welke aanvullende maatregelen voldoende waren, was niet altijd even duidelijk. Er werd dus reikhalzend uitgekeken naar een nieuw adequaatheidsbesluit.

Het Data Privacy Framework

Begin 2022  sloten de EU en de VS al een politiek akkoord om een nieuw adequaatheidsbesluit op te zetten. Vervolgens werden via een ‘Executive Order’ aanpassingen doorgevoerd in het rechtsstelsel van de VS. Daarin zitten aanvullende waarborgen voor veilige datadoorgifte naar de VS. Deze aanpassingen hebben ervoor gezorgd dat de Amerikaanse inlichtingendiensten alleen toegang tot gegevens mogen hebben indien dit ‘noodzakelijk en proportioneel’ is voor de nationale veiligheid, en er een onafhankelijk en onpartijdig verhaalmechanisme is ingesteld voor klachten van Europese burgers. Betrokkenen kunnen hun klachten indienen bij hun nationale toezichthouder. Via de European Data Protection Board gaan de klachten naar de VS. Daar onderzoekt een ‘Civil Liberties Protection Officer’ de klachten. Is de betrokkene het niet eens met de uitkomst hiervan, dan kan er beroep aangetekend worden bij het ‘Data Protection Review Court’.

De Europese Commissie heeft volgend op deze aanpassingen het Data Privacy Framework aangenomen. Met dit nieuwe adequaatheidsbesluit geeft de Europese Commissie aan dat het beschermingsniveau van persoonsgegevens in de VS gelijkwaardig is aan dat van Europa. Het adequaatheidsbesluit is met de goedkeuring ervan op 10 juli gelijk in werking getreden. Het adequaatheidsbesluit wordt om de vier jaar door de Europese Commissie getoetst. De eerste evaluatie staat gepland voor volgend jaar.

Wat betekent het Data Privacy Framework voor Amerikaanse organisaties?

Gegevens kunnen pas met Amerikaanse bedrijven gedeeld worden, als die bedrijven zich bij het DPF hebben aangesloten en in het DPF-register staan. Amerikaanse organisaties kunnen dit doen via zelf-certificering. Let op: dat is dus anders dan bij andere adequaatheidsbesluiten, waar deze actieve deelname van organisaties niet vereist is. Amerikaanse organisaties moeten onder andere hun privacybeleid laten aansluiten bij het DPF, deze wijzigingen doorvoeren in hun privacyverklaring en dit publiekelijk bekend maken. Ook dienen zij een onafhankelijk verhaalmechanisme in te stellen. Vervolgens kunnen zij de aanvraag tot opname in het register indienen bij de ‘International Trade Administration’ (ITA) van de US Department of Commerce. De ITA controleert de naleving van het DPF, en neemt na akkoord de organisatie op in het register.

Amerikaanse bedrijven die zijn gecertificeerd onder het Privacy Shield worden automatisch overgezet naar het DPF-register, en moeten binnen drie maanden hun privacybeleid bijwerken en aansluiten bij het DPF. Anders vervalt hun inschrijving.

Meer informatie hierover is te vinden op de website van de ITA.

Hoe zit het met de andere doorgiftemechanismen?

Naast een adequaatheidsbesluit heb je ook nog onder andere de SCC’s en de BCR’s (voor gegevensverkeer tussen verschillende vestigingen binnen de eigen internationale organisatie). Wanneer een Amerikaanse organisatie aangesloten is bij het DPF, hoef je geen SCC’s of BCR’s meer overeen te komen. Je hoeft dus ook geen DTIA meer uit te voeren.

Is een Amerikaanse organisatie niet aangesloten bij het DPF, dan moet je gebruik maken van een ander doorgiftemechanisme, zoals de SCC’s. In dat geval moet je ook een DTIA uitvoeren. De waarborgen die de VS heeft doorgevoerd in hun rechtsstelsel gelden niet alleen voor het DPF: de waarborgen gelden voor alle gegevensdoorgiften naar de VS, onder welk doorgiftemechanisme dan ook. Dat betekent dat die waarborgen het uitvoeren van een DTIA zullen vergemakkelijken – en ook kan het daardoor zijn dat het niet meer vereist is om aanvullende maatregelen op de SCC’s in te voeren.

Wat betekent het Data Privacy Framework voor jou als organisatie?

Als je persoonsgegevens aan een Amerikaanse partij wil doorgeven, doorloop dan de volgende stappen.

• Controleer of de Amerikaanse partij in het DPF-register staat;
• Zo ja: dan kan je persoonsgegevens doorgeven naar deze partij zonder verdere voorwaarden (natuurlijk gelden de overige Avg-verplichtingen nog wel);
• Staat de organisatie niet in het register, maak dan gebruik van een ander doorgiftemechanisme, zoals de SCC’s. Voer in dat geval ook een DTIA uit (en verwijs hierbij naar het besluit van de Europese Commissie dat het beschermingsniveau van persoonsgegevens in de VS gelijkwaardig is aan dat van Europa).

Tot slot

Het Europese Hof van Justitie heeft al twee keer eerder een soortgelijke constructie ongeldig verklaard. Er is ook ditmaal weer kritiek op het DPF. Onder andere vanuit het Europees Parlement en de European Data Protection Board. De kans is dus groot dat het Europese Hof in de toekomst moet beslissen over het DPF (met mogelijk een Schrems III tot gevolg). Een dergelijke uitspraak laat echter doorgaans enige jaren op zich wachten. Tot die tijd kunnen Europese organisaties zonder verdere voorwaarden persoonsgegevens blijven doorgeven aan Amerikaanse organisaties onder het DPF.

Heel vervelend, je hebt een datalek en nu? Onze juridisch adviseur Henk Bethlehem vertelt je welke acties je moet nemen in het geval van een datalek en hoe je het kunt voorkomen. We hebben veelgestelde vragen en antwoorden over datalekken voor je op een rij gezet:

Publicatiedatum: 8 maart 2022

Wat is een datalek?

Bij een datalek gaat het om de ongeoorloofde of onbedoelde toegang tot persoonsgegevens. En ook om het ongewenst vernietigen, verliezen, wijzigen en verstrekken van persoonsgegevens. De term komt niet voor in de Avg. Daar gaat het over een ‘inbreuk in verband met persoonsgegevens’.

Wat zijn voorbeelden van datalekken?

Voorbeeld van datalekken zijn:

• Je bent een USB-stick verloren met daarop niet-versleutelde gegevens.
• Een ransomware-aanval kan ook een datalek zijn als je niet meer bij de gegevens kunt, of als een ander ze heeft buitgemaakt.
• Je laptop is gestolen met daarop niet versleutelde gegevens.

Welke acties kan ik nemen in het geval van een datalek?

Is er sprake van een datalek, zorg dan allereerst voor overzicht. Analyseer de situatie en kijk wat je kunt doen om verdere schade te voorkomen. Kijk bijvoorbeeld wie toegang tot de informatie heeft gehad. En of je gegevens op afstand kunt wissen. Ga vervolgens na of je het datalek bij de Autoriteit Persoonsgegevens (AP) en eventueel de betrokkene moet melden. Dat kun je doen met behulp van deze Guidelines en/of de informatie op de website van de AP.

Moet ik elk datalek melden? En hoeveel tijd heb ik om dat te doen?

Je hoeft niet elk datalek te melden bij de AP. Alleen als het datalek leidt tot een risico voor rechten en vrijheden van betrokkenen. Je hebt daar 72 uur voor. Als verwerker hoef je trouwens nooit de melding aan de AP te doen. Dat is aan je klant (de verwerkingsverantwoordelijke). Is het niet helemaal duidelijk of je verwerker of verwerkingsverantwoordelijke bent? Ga dit na in onze quickscan. Ben je verwerker en heb je een datalek? Dan is het wel belangrijk dat je je klant op de hoogte stelt van dit lek. Partijen zijn verplicht om hierover afspraken te maken in een verwerkersovereenkomst, dus kijk dat goed na. Heb je nog geen verwerkersovereenkomst? Lees er hier meer over en/of bestel of download onze voorbeeld verwerkersovereenkomst.

Hoe kan ik de risico’s van een datalek bepalen?

Bepaal het risico door de volgende zaken na te gaan:

• de aard van de inbreuk
• de aard, gevoeligheid en omvang van de persoonsgegevens
• de ernst van de gevolgen voor personen
• het aantal getroffen personen

Wie meldt een datalek bij de AP (en eventueel de betrokkene)?

Dat doet de verwerkingsverantwoordelijke zelf. Waarbij de verwerker ondersteuning kan bieden door informatie aan te leveren, als die bekend is. Vandaar ook de 24-uurs of 48-uurs termijn die partijen in een verwerkersovereenkomst afspreken.

Hoe kan ik een datalek voorkomen?

Een datalek is niet altijd te voorkomen. Maar wat je wel in de hand hebt, is dat je zorgt voor een goede informatiebeveiliging, met toegangscontrole en encryptie. Ook kun je door middel van dataminimalisatie een datalek voorkomen. Wat je niet hebt verzameld, kun je immers ook niet onbedoeld vrijgeven. En dat geldt ook voor het opschonen van je systemen. Wat je niet meer nodig hebt, kun je verwijderen. Het opleiden van medewerkers is ook van belang. Als men herkent dat ze niet op bepaalde e-mails moeten klikken of reageren, kun je soms een datalek voorkomen. En tot slot kun je er ook voor zorgen dat je voorbereid bent. Bijvoorbeeld door iemand op afstand beschikbaar te hebben die een wachtwoord of apparaat kan resetten.

Moet ik datalekken ook bijhouden in een register?

Jazeker. Zowel datalekken die je meldt, als die je niet meldt, moet je bijhouden in een register voor datalekken. Daarin neem je op wat er is gebeurd, wanneer dat is gebeurd, op welke datum en hoe laat je dat hebt ontdekt, om wat voor datalek het gaat, hoeveel personen het betreft, wat het geschatte gevolg is voor de betrokkene, of je het datalek binnen 72 uur hebt gemeld bij de AP en de betrokkene, en zo niet, waarom niet. Tot slot moet je nog noemen welke maatregelen je hebt genomen om datalekken te voorkomen.

Moet ik een protocol hebben voor het melden van datalekken?

Jazeker. Dat is van belang om te hebben, zodat je personeel weet wat ze moeten doen in het geval dat er zich een incident voordoet.

Heeft NLdigital ook een datalekprotocol voor mij?

We helpen onze leden met handige documenten, zoals een voorbeeld datalekkenprotocol. Je vindt dit protocol in het ledenportal.