Privacywaakhond Hamburg: Zoom schendt AVG

De waarschuwing aan de Senaatskanselarij komt van de waarnemend commissaris voor databescherming en informatievrijheid in Hamburg. Gebruik van Zoom valt volgens deze privacywaakhond niet te verenigen met de GDPR in het licht van de verstrekkende Schrems II uitspraak, van juli vorig jaar. De Amerikaanse software kan namelijk persoonlijke data versturen naar de Verenigde Staten.

Aanvullingen vereist

Zoom zou voor de GDPR vertrouwen op standaard contractuele bepalingen (SCC's, standard contractual clauses in het Engels) maar die voldoen mogelijk niet, schrijft The Register. Aanvullende clausules en maatregelen zouden nodig zijn om echt te voldoen aan de EU-brede wetgeving voor privacy- en databescherming.

De vereisten daarvoor zijn vorig jaar zomer nog wat scherper komen te staan door de uitspraak van het Europees Hof van Justitie in de zaak van privacy-activist Max Scherms. Het hof heeft bepaald dat persoonsgegevens die vanuit Europa naar de Verenigde Staten worden verstuurd minder goed beschermd zijn dan in de Europese Unie. Daarmee is het Privacy Shield uit 2016 nietig verklaard, wat toen snel is opgezet als vervanging voor de ongeldig verklaarde Safe Harbor-overeenkomst.

Sinds Schrems II

Voor de Duitse stad Hamburg wordt nu gesteld dat Zoom onvoldoende bescherming biedt voor de overdracht van persoonlijke informatie. De gehanteerde SCC's zouden op zichzelf niet voldoen, of niet meer voldoen sinds Schrems II. Die gerechtelijke uitspraak van juli vorig jaar heeft veel organisaties overvallen.

Zoom laat nu aan The Register weten dat het trots is samen te werken met Hamburg en andere leidende Duitse organisaties, bedrijven en onderwijsinstellingen. Het Amerikaanse bedrijf benadrukt dat de privacy en beveiliging van zijn gebruikers topprioriteiten zijn voor Zoom, en dat het verleend vertrouwen in het bedrijf serieus neemt. "Zoom is toegewijd aan voldoen aan alle van toepassing zijnde privacywetten, -regels en richtlijnen in de rechtsgebieden waarin het opereert, inclusief de GDPR."