Kabinet: datadoorgifte naar de VS mag door, met SCC's of BCR's als terugvaloptie

Datadoorgifte naar de Verenigde Staten kan voorlopig gewoon doorgaan, antwoordt staatssecretaris Van Bruggen van Justitie en Veiligheid op Kamervragen over de EU-VS datadeal: het adequaatheidsbesluit blijft tot nader order van kracht terwijl Brussel de gevolgen van een Amerikaanse hofuitspraak onderzoekt.

De lading zit in wat daarna komt. In hetzelfde antwoord staat dat de verwerkingsverantwoordelijke te allen tijde zelf verantwoordelijk blijft voor naleving van de AVG bij doorgifte aan derde landen, en dat er zonder adequaatheidsbesluit een ander instrument onder je datastromen moet liggen: modelcontractbepalingen (SCC's), bindende bedrijfsvoorschriften (BCR's) of, bij uitzondering, de derogaties uit artikel 49 AVG. Voor wie e-mail, CRM of back-ups bij AWS, Azure of Microsoft 365 heeft staan, verandert de vraag van "mag dit" naar "waarop rust dit, en wat is plan B".

Waar de Commissie staat

De aanleiding ligt in Washington. Op 29 juni schrapte het Amerikaanse Hooggerechtshof in de zaak Trump v. Slaughter de sinds 1935 beschermde onafhankelijkheid van toezichthouders als de Federal Trade Commission, en juist die FTC is de handhaver waarop het Data Privacy Framework leunt. De Europese privacytoezichthouders schreven eurocommissaris Michael McGrath op 31 juli dat onafhankelijke toezichthouders in een derde land een kernelement zijn bij de beoordeling van een adequaat beschermingsniveau onder artikel 45, lid 2, onder b van de AVG, en vroegen de Commissie te beoordelen of de uitspraak het functioneren van uitvoeringsbesluit 2023/1795 raakt.

De Commissie informeerde de lidstaten daarover op 6 juli in de raadswerkgroep gegevensbescherming. Ze onderzoekt de gevolgen van de uitspraak en ziet dat daarvoor ook een brede evaluatie van het functioneren van het Amerikaanse rechtssysteem nodig is. Zolang die er niet ligt, blijft het besluit staan. Besluit de Commissie later tot gehele of gedeeltelijke intrekking, schorsing of wijziging, dan gaat dat via een uitvoeringshandeling zonder terugwerkende kracht, besproken in het comitologiecomité op grond van artikel 93 AVG waar Nederland aan tafel zit. Doorgiften die je vandaag doet, worden dus niet achteraf onrechtmatig.

Wat overblijft als het besluit valt

Van Bruggen schetst dat scenario concreet. Amerikaanse clouddienstverleners zijn dan niet ineens verboden, maar voor diensten die gegevens in de VS opslaan of verwerken, of waarbij een Amerikaanse partij rechtstreeks toegang heeft, is hoe dan ook een passende oplossing nodig. Ze noemt drie routes: data hosten in de Europese datacenters van dezelfde aanbieder, de rechtstreekse toegang door Amerikaanse partijen beperken, of aanvullende technische maatregelen zoals sterke encryptie en autonome voorzieningen.

De eerste twee routes kennen bekende grenzen. Microsoft houdt zelf vijftien met naam genoemde diensten en scenario's bij waarin klantdata of gepseudonimiseerde persoonsgegevens bij normaal gebruik buiten de EU Data Boundary terechtkomen. En het beperken van toegang loopt vast op zeggenschap: de hoogste jurist van Microsoft France kon onder ede niet garanderen dat Franse gegevens nooit aan de Amerikaanse overheid worden overhandigd.

Volstaan aanvullende maatregelen niet, dan rest volgens de staatssecretaris uitsluitend een incidentele doorgifte op grond van artikel 49 AVG, met uitzonderingen als uitdrukkelijke geïnformeerde toestemming of noodzaak voor een overeenkomst. Die bepalingen zijn niet bedoeld voor structurele of grootschalige stromen en vragen strikte proportionaliteit, transparantie en volledige documentatie. Past er geen enkele derogatie, dan is de doorgifte niet toegestaan en moet ze worden beëindigd.

Op de scherpste vraag van Kathmann, of veel minder afhankelijk worden van Amerikaanse techbedrijven de enige zekere maatregel is, luidt het antwoord kortweg nee. Minder afhankelijkheid kan risico's verkleinen, maar SCC's en BCR's kunnen rechtmatige doorgifte ook borgen. Neemt die combinatie de risico's niet voldoende weg, dan is doorgifte niet toegestaan en moet ze stoppen.

De lat die het Rijk zichzelf oplegt

Het praktisch bruikbaarste deel van het antwoord gaat over de rijksdienst, want dat cloudbeleid werkt in de praktijk als meetlat voor iedereen die aan de overheid levert. Opslag en verwerking vinden in principe binnen de Europese Economische Ruimte en Zwitserland plaats. Daarbuiten mag het alleen met een formele uitzondering, onderbouwd met een goede reden, een risicoanalyse en zo nodig aanvullende mitigerende maatregelen. Voor bestaand cloudgebruik is een exitplan verplicht dat rekening houdt met het wegvallen van een voorziening, dus breder dan alleen dit scenario. En organisaties houden zelf een actueel overzicht bij van alle clouddiensten die ze gebruiken.

Dat laatste punt kost het minst en ontbreekt het vaakst. Zonder overzicht van welke persoonsgegevens bij welke Amerikaanse leverancier staan, valt er geen risicoanalyse te maken en geen exitplan te schrijven.

Aan het toezicht verandert intussen niets. De Autoriteit Persoonsgegevens blijft bevoegd voor verwerkingsverantwoordelijken en verwerkers, inclusief internationale doorgiften, en coördineert via de EDPB; de Commissie gaat alleen over het adequaatheidsbesluit zelf, niet over individuele handhaving. Zou het Framework sneuvelen, dan is Van Bruggen bereid de AP te vragen haar bestaande uitleg over doorgifte aan derde landen specifiek toe te spitsen op de VS.

Acht weken en een ander ministerie

De vragen gingen op 3 juli de deur uit, gericht aan de staatssecretaris van Economische Zaken en Klimaat, die de digitale portefeuille draagt. Op 24 juli volgde een uitstelbericht. Het antwoord kwam op 27 augustus, en niet van Economische Zaken maar van Justitie en Veiligheid. Waar de Kamer in juli vroeg of Nederland is voorbereid op een ongeldig Data Privacy Framework en welke toezichthouder dan overneemt, ligt er nu een antwoord dat het oordeel nadrukkelijk bij de Commissie laat: het kabinet vindt het niet verstandig daar vooruitlopend zelf een oordeel over te vormen.

Juridisch is er dus niets veranderd. Politiek is de status van je cloudgrondslag nu wel officieel opgeschreven als tijdelijk, met een houdbaarheidsdatum die in Brussel wordt bepaald en een terugvalroute die je zelf moet inrichten. Het Framework is de derde poging op rij, na Safe Harbor en Privacy Shield. Wie zijn overzicht, grondslag en exitplan op orde heeft, houdt aan een intrekking vooral administratief werk over. Wie dat niet heeft, ontdekt pas op de dag van de aankondiging welke systemen erdoor geraakt worden.