Taskforce Beyond Privacy Shield

In juli 2020 verklaarde het Europese Hof het EU-VS Privacy Shield ongeldig. Dit had grote gevolgen voor het gebruik van clouddiensten door SURF en haar leden. Er ontstond meteen een complexe situatie rondom het veilig en verantwoord uitwisselen van persoonsgegevens met de VS.

Om dit binnen de onderwijs- en onderzoekssector goed op te pakken en te bepalen hoe we het beste met de situatie konden omgaan, is de Taskforce Beyond Privacy Shield (hierna 'Taskforce Privacy') in het leven geroepen.

Standard Contractual Clauses lossen de problemen niet op

Met het wegvallen van het Privacy Shield moeten organisaties terugvallen op andere instrumenten voor de doorgifte van persoonsgegevens. Denk aan de zogenaamde Standard Contractual Clauses (SCC’s). Het gebruik van SCC’s is alleen een probleem, want het Hof heeft in de uitspraak namelijk aangegeven dat SCC's alleen mogen worden ingezet als daarmee in de praktijk een ‘gelijkwaardig beschermingsniveau’ kan worden geborgd. De impact van de uitspraak beperkt zich trouwens niet tot de VS, maar raakt ook aan de gegevensuitwisseling met landen buiten de EER.

Taskforce Privacy - Periode 2020-2025

In de jaren die volgden heeft de Taskforce Privacy allerlei aanbevelingen gedaan en producten en best practices opgeleverd voor veilige, verantwoorde internationale uitwisseling van persoonsgegevens. De basis hiervoor is het vijfstappenplan van de Taskforce, gebaseerd op het stappenplan van de EDPB.

Die stappen zijn:

Stap 1 - Bepaal om welke doorgiftes het gaat
Stap 2 - Stel de juridische basis voor de doorgifte vast
Stap 3 - Bepaal of de juridische basis effectief is voor de doorgifte
Stap 4 - Bepaal of je aanvullende maatregelen kunt nemen als dat nodig is en welke dat zijn
Stap 5 - Kan het niet, stop dan de doorgifte, anders: implementeer de maatregelen
Stap 6 - Evalueer regelmatig of het beschermingsniveau nog voldoende is

Voor stappen 1 en 2 zijn het document 'Toetsing van de doorgifte van persoonsgegevens' en de handreiking 'Inventariseren datadoorgiften VS' ontwikkeld. Voor Stappen 3, 4 en 5 zijn beschikbaar:

• 13 usecases beschreven voor Transfer Impact Assessments (TIA's) waarin de ongeldigverklaring van het EU-VS Privacy Shield gevolgen heeft voor de rechtmatigheid van de doorgifte. Er zijn oorzaak-/gevolganalyses en mitigerende maatregelen opgenomen.
• informatie over het nemen van aanvullende maatregelen bij datadoorgiften naar de VS. Dit zijn maatregelen die mogelijk kunnen worden verplicht aan de data-exporteur of de -importeur.

Taskforce Privacy vanaf 2025

Vanwege de geopolitieke ontwikkelingen sinds begin 2025*, werkt een werkgroep van de Taskforce Privacy aan een document waarin de gevolgen en standpunten over veilige gegevensuitwisseling met de VS voor de onderwijs- en onderzoekssector worden vervat.

* Kort na zijn aantreden tot president heeft Trump een aantal executive orders uitgevaardigd waarmee het onafhankelijke toezicht op privacy en security bij big tech en de juridische uitwisseling van persoonsgegevens verder onder druk zijn komen te staan.

Ten slotte

Voorafgaand aan de oprichting van de Taskforce Beyond Privacy Shield, heeft SURF een adviesrapport uitgebracht. Dit rapport bevat praktische aanbevelingen voor inkoopteams van instellingen, over lopende contracten en inkooptrajecten waarbij doorgifte van persoonsgegevens aan de Verenigde Staten een rol (kan) spelen.

Na publicatie van dit advies heeft de European Data Protection Board (EDPB) aanbevelingen opgesteld voor de doorgifte van persoonsgegevens naar derde landen (landen buiten de EU). Deze zijn nog niet verwerkt in het document. De Taskforce zal een update van het document en verdere uitwerkingen maken.

Lees het adviesrapport Ongeldigverklaring EU-US Privacy Shield en gevolgen voor contracten en inkooptrajecten.