Analyse this!

De zaak in Oostenrijk is voor zover bekend de tweede uitspraak in de fundamentele kwestie van datadoorgifte buiten de Europese Unie. Recent legde ook de EU privacy-waakhond voor Europese instellingen (EDPS) het Europees Parlement een sanctie op. Uit het persbericht: "De EDPS wijst erop dat het gebruik van Google Analytics (…) in strijd was met het 'Schrems II'-arrest van het Hof van Justitie (HJEU) over de doorgifte van gegevens tussen de EU en de VS".

Ik kan u zeggen dat dit probleem vele malen groter is dan alleen Google Analytics. Het raakt namelijk élke doorgifte van persoonsgegevens vanuit de EU naar de VS.

Probleem ligt niet hier

De EU – specifiek: de Europese Commissie en de EDPB (het vehikel waarin alle nationale EU privacy-privacy waakhonden vertegenwoordigd zijn) - draait al een tijdje om de hete brij heen. Maar de goede verstaander heeft dit natuurlijk allang gelezen in de Schrems II-uitspraak van het Europees Hof. Daarin geeft het Hof een kraakhelder signaal dat de VS aan EU-burgers “geen rechten verschaft die zij voor de rechtbanken tegenover de Amerikaanse overheidsdiensten kunnen afdwingen”. Kortom: het probleem is de wetgeving in de VS.

In de zaak in Oostenrijk tussen de DSB en Google, benadrukt Google in haar verweer dat zij, conform de Schrems II-uitspraak, aanvullende technische maatregelen heeft genomen tegen toegang van de Amerikaanse overheid tot de gegevens, zoals pseudonimisering en encryptie. Maar de DSB oordeelt terecht dat deze ‘aanvullende maatregelen’ helemaal niet effectief zijn. Deze dichten het gat niet zoals door het Hof vastgesteld, namelijk de toegang- en monitoringsmogelijkheden van de Amerikaanse geheime diensten tot data.

Elke Big Tech van Amerikaanse bodem

Nu snapt u hopelijk dat het probleem niet enkel het gebruik van Google Analytics is, maar van elke Big Tech-dienst van Amerikaanse bodem. Dus zeg maar dag tegen Azure, AWS, Facebook, en noem ze allemaal maar op. Vandaar mijn punt: analyse this.

Ik zie maar twee reële oplossingen: (1) de bedrijven die 'Big Tech' zijn, borgen dat gegevens in de EU blijven, onder de hoede van hun Europese dochters, of (2) de EU borgt dat Amerika haar wetgeving aanpast. Maar voorlopig ligt het probleem, vrees ik, op het bord van Europese bedrijven. En dat is triest om aan het begin van een uitdagend jaar te moeten vaststellen.