Een nieuwe adequaatheidsbeslissing voor gegevensoverdrachten naar de Verenigde Staten

Op 10 juli keurde de Europese Commissie een nieuwe adequaatheidsbeslssing goed voor de Verenigde Staten, het "EU-VS Data Privacy Framework".

De AVG (Algemene Verordening Gegevensbescherming) bepaalt dat wanneer gegevens, die onderworpen zijn aan de bescherming van de AVG, buiten de Europese Unie worden doorgegeven, het door de AVG gewaarborgde beschermingsniveau voor natuurlijke personen niet in gevaar mag worden gebracht.

Een overdracht van persoonsgegevens aan een derde land of een internationale organisatie kan plaatsvinden wanneer de Europese Commissie heeft vastgesteld dat het derde land, het gebied of één of meerdere nader bepaalde sectoren in dat derde land, of de internationale organisatie in kwestie, een passend beschermingsniveau waarborgt. U vindt hier een lijst met landen waarvoor een dergelijke adequaatheidsbeslissing werd goedgekeurd.

Het nieuwe "Data Privacy Framework" dat op 10/07/2023 van kracht is geworden, maakt het mogelijk om gegevens te exporteren naar de organisaties op de "Data Privacy Framework List", zonder gebruik te hoeven maken van doorgifte-instrumenten zoals die voorzien zijn in artikel 46 van de AVG en zonder maatregelen te hoeven nemen ter aanvulling van de doorgifte-instrumenten (zie EDPB-aanbeveling 01/2020 inzake maatregelen ter aanvulling op doorgifte-instrumenten teneinde naleving van het beschermingsniveau van persoonsgegevens in de Unie te waarborgen). Verwerkingsverantwoordelijken die persoonsgegevens doorgeven aan organisaties die niet op de lijst staan, moeten, zoals dit is voorzien in de AVG, nog altijd de noodzakelijke doorgifte-instrumenten gebruiken om te garanderen dat de gegevens een passend beschermingsniveau hebben, bijvoorbeeld via modelcontractbepalingen of bindende bedrijfsvoorschriften (zie EDPB-aanbevelingen 01/2020). De lijst van organisaties die onder het Data Privacy Framework vallen, is toegankelijk via een daartoe bestemde website.

De beslissing bepaalt ook dat personen van wie gegevens worden doorgegeven aan de Verenigde Staten op basis van de adequaatheidsbeslissing, een aantal rechtsmiddelen tot hun beschikking hebben als zij van mening zijn dat de betrokken organisatie in de VS het Data Privacy Framework niet naleeft.

Deze adequaatheidsbeslissing komt nadat twee andere adequaatheidsbeslissingen (het Safe Harbor en Privacy Shield) ongeldig werden verklaard door het Hof van Justitie van de Europese Unie in de zogenaamde "Schrems I” en "Schrems II"-arresten.

Voor meer informatie over het Data Privacy Framework, zie:

• De adequaatheidsbeslissing
• De Rubriek "FAQ" van de Europese commissie
• De informatienota van de EDPB over dit onderwerp
• Het advies van de EDPB over het ontwerp van adequaatheidsbeslissing

Voor meer algemene  informatie over gegevensoverdrachten, zie ons thematisch dossier "Internationale gegevensverkeer".