Details nemen vraagtekens bij Privacy Shield niet weg

In de teksten wordt veel werk gemaakt van de eisen waaraan de 'hoeders' van persoonlijke gegevens van Europeanen moeten voldoen. Die komen overeen met wat nu in Europa gebruikelijk is. De teksten verbieden gebruik van de data voor andere doeleinden dan waarvoor ze verzameld zijn of waarvoor van de persoon in kwestie toestemming is verkregen. Ze verplichten degenen die de data in eerste instantie verzamelen en in ontvangst nemen ook, om partijen die ze inschakelen op hun beurt te binden aan de regels. Max Schrems, die de voorganger van Privacy Shield onderuit haalde, is van mening dat de overeenkomst op dit punt ook nog veel te wensen over laat. Maar dat onderbouwt hij in zijn eerste reactie niet.

Sancties niet in alle gevallen duidelijk

Dat laat nog wel enkele problemen over. Zo is niet helemaal helder hoe sancties worden opgelegd aan bedrijven die in de fout gaan c.q. data laten lekken. In het kader van de Meldplicht Datalekken is dat wel een punt van aandacht. Hoewel Privacy Shield het principe introduceert dat bewerkers in de VS alleen mogen worden ingeschakeld als ze zich binden aan de termen van deze overeenkomst, is onduidelijk hoe een bedrijf dat na een datalek bij een bewerker in de VS in Europa in problemen komt met de toezichthouder, in de VS zijn schade kan claimen. Zonder aanvullende regelingen zal men daarvoor zijn beroep moeten doen op de civiele rechter, lijkt het.

Amerikaanse overheid kan ongestraft lak hebben aan privacy

Voor de bescherming van de privacy relevanter is, dat de Amerikaanse overheid zich in de nu gepresenteerde teksten nog steeds het recht voorbehoudt om in gegevensbestanden te vissen. Dat staat er niet met zoveel woorden. De tekst verwijst naar een recente directieve van president Obama. Die richtlijn PPD-28 'beperkt', zoals Schrems signaleert, het spitten in gegevensverzamelingen tot 6 'specifieke' gevallen: het detecteren en tegengaan van spionageactiviteiten van buitenlands mogendheden, het bestrijden van terrorisme, cybersecurity, het tegengaan van de verspreiding van massavernietigingswapens, het detecteren en afslaan van bedreigingen voor het Amerikaanse leger en dat van zijn bondgenoten en het bestrijden van grensoverschrijdende criminele activiteiten.

Wel arbitrage, maar voor beroep op de rechter moet je naar de VS

De documenten geven daarnaast wel een uitgebreid overzicht van de wettelijke beperkingen die de overheid zich oplegt bij het verzamelen van gegevens die niet binnen de genoemde gevallen zijn onder te brengen. Er is daarnaast ook een uitgebreid arbitragemodel opgetuigd, waar Europeanen via hun nationale toezichthouder een klacht kunnen indienen over de manier waarop in de VS met hun data is omgesprongen. Wat nog steeds wel lijkt te ontbreken is een heldere regeling, hoe Europeanen vanuit Europa een beroep kunnen doen op de Amerikaanse rechter. Weliswaar kan iedereen een beroep doen op de Amerikaanse rechter, maar dat kan in principe alleen vanaf Amerikaans grondgebied.Dat was voor het Europese Hof van Justitie één van de redenen om Max Schrems in het gelijk te stellen in zijn verzet tegen Safe Harbor, de overeenkomst die nu gerepareerd moet worden door Privacy Shield.

Beoordeling van de regeling die de documenten onderbouwen, ligt nu bij de Europese privacytoezichthouders. Als die instemmen met de regeling volgt ongetwijfeld nog een toetsing door de rechte. Max Schrems heeft dat met zoveel woorden al aangekondigd.

De documenten onder Privacy Shield zijn hier te lezen, de reactie van Max Schrems hier.