2 oktober 2020

Minister Dekker erkent zorgen data-uitwisseling buitenland, maar onderschat volle omvang probleem

AVG

Een uitspraak van het Europese Hof van Justitie heeft de uitwisseling van data met de VS en andere landen onder druk gezet. Vorige week vroegen we de Tweede Kamer om politieke aandacht voor deze situatie en waar mogelijk druk om snel tot een oplossing te komen. Die brief leidde tot vragen in de Tweede Kamer van VVD, CDA, D66 en SP, een reactie van premier Rutte en een brief van minister Dekker.

We zijn blij met de aandacht voor het probleem en met de uitvoerige reactie van minister Dekker op onze zorgen en suggesties. De minister deelt de zorgen over de gevolgen van Schrems II voor alle organisaties; klein, groot, privaat én publiek. Wat concrete oplossingen betreft: zowel minister Dekker als premier Rutte verwijzen naar de Europese Commissie en de gezamenlijke Europese toezichthouders (EDPB). De bal ligt duidelijk bij Europa. We hopen dat Nederland de vinger aan de pols blijft houden in Europa en zich proactief blijft opstellen.

Minister noemt onterecht Art. 49 Avg als oplossing

Een punt van aandacht in de reactie van minister is de verwijzing naar artikel 49 AVG als oplossingsrichting. Minister Dekker wekt mogelijk de indruk dat art. 49 AVG tijdelijk als een soort vangnet kan fungeren, maar dat is niet het geval. Artikel 49 AVG is in de praktijk geen structurele oplossing. Deze grondslag kan alleen gebruikt worden voor doorgiften die ‘incidenteel’ of ‘niet repetitief’ zijn. Het feit dat deze afwijkingen een last resort zijn (alleen te gebruiken wanneer er geen adequaatheidsbesluit of andere passende waarborgen van toepassing zijn) benadrukt het uitzonderlijke karakter van deze afwijkingen. Zie het kader hieronder voor een meer uitgebreide toelichting.

Dit wekt bij ons de indruk dat de minister zich bewust is van de problemen maar de volle omvang ervan (wellicht) nog niet volledig inziet. Bedrijven – van alle sectoren en groottes – zitten klem totdat er een politieke oplossing wordt gevonden. We roepen de minister dan ook op om op dit dossier een voortrekkersrol op zich te nemen en de Europese Commissie en de European Data Protection Board actief te vragen dit dossier met grote urgentie te behandelen.

 

Artikel 49 Avg is geen oplossing

De EDPB heeft over artikel 49 AVG het volgende vermeld. De afwijkingen moeten restrictief worden geïnterpreteerd, zodat de uitzondering niet de regel wordt. En ook bij het gebruik van artikel 49 AVG dient het door de AVG gewaarborgde beschermingsniveau voor natuurlijke personen niet te worden ondermijnd. Afwijkingen in het kader van een 'overeenkomst' of van een 'rechtsvordering' (artikel 49, lid 1, onder b), c) en e)) dienen te worden beperkt tot 'incidentele' doorgiften, en de afwijking op grond van 'dwingende gerechtvaardigde belangen' tot 'niet repetitieve' doorgiften (artikel 49, tweede alinea). Dat betekent dat maar af en toe – en alleen als wordt voldaan aan specifieke in dat artikel genoemde cumulatieve eisen - van artikel 49 AVG gebruik kan worden gemaakt.

Er is dus nog steeds geen oplossing voor de problemen waar onze leden tegenaan lopen, zoals data-uitwisseling via een software- of cloudoplossing. De EDPB heeft voorts benadrukt dat 'ook de afwijkingen die niet uitdrukkelijk beperkt zijn tot doorgiften die 'incidenteel' of 'niet repetitief' zijn, geïnterpreteerd moeten worden op een manier die niet strijdig is met het specifieke karakter van afwijkingen, zijnde uitzonderingen op de regel dat persoonsgegevens niet mogen worden doorgegeven aan een derde land, tenzij het een passend niveau van gegevensbescherming biedt of er voor passende waarborgen is gezorgd'.

Bron: richtsnoeren Art. 49 (pdf, p. 3-5).