Schrems II, het Data Privacy Framework en de onzekerheid

Module 1: Waarom een Europese cloud? · Leestijd: 12 minuten

Leerdoel: Na deze les kun je de geschiedenis van de afspraken over gegevens van de EU naar de VS navertellen, uitleggen wat Schrems II besliste, wat het EU-US Data Privacy Framework is, en waarom het huidige kader onzeker blijft.

Kernbegrippen: doorgifte, adequaatheidsbesluit, Safe Harbor, Schrems I, Privacy Shield, Schrems II, standaardcontractbepalingen (SCC), transfer impact assessment (TIA), aanvullende maatregelen, EU-US Data Privacy Framework (DPF), Executive Order 14086, Data Protection Review Court, zelfcertificering, Latombe, PCLOB

Doorgifte: de regel en de uitzondering

In les 1.2 zag je dat gegevens de Europese Economische Ruimte (EER) alleen mogen verlaten als het land van bestemming een passend beschermingsniveau biedt, of als er extra waarborgen zijn (AVG hoofdstuk V). Dat verlaten heet doorgifte. Een doorgifte is niet alleen het versturen van een bestand naar Amerika: ook als een Amerikaanse supportmedewerker op afstand in je Europese omgeving kijkt, of als je gegevens bij een Amerikaanse dienst staan, kan er sprake zijn van doorgifte.

De makkelijkste route is een adequaatheidsbesluit (art. 45): de Europese Commissie besluit dat een land een beschermingsniveau heeft dat "in wezen gelijkwaardig" is aan dat van de EU. Zulke besluiten zijn er onder meer voor Zwitserland, het Verenigd Koninkrijk, Japan en Canada (voor commerciële organisaties). Voor de VS is het verhaal ingewikkelder: daar is de Commissie twee keer teruggefloten door het Hof van Justitie.

Dit is uitleg, geen juridisch advies. De stand van zaken in deze les is van november 2026.

Brug 1: Safe Harbor en Schrems I

In 2000 sloten de EU en de VS de afspraak Safe Harbor. Amerikaanse bedrijven konden zich aanmelden en beloven dat ze Europese gegevens goed zouden beschermen. De Commissie gaf daarvoor een adequaatheidsbesluit.

In 2013 onthulde Edward Snowden hoe Amerikaanse inlichtingendiensten op grote schaal gegevens bij internetbedrijven verzamelden. De Oostenrijkse jurist Max Schrems diende een klacht in tegen Facebook in Ierland: zijn gegevens gingen naar de VS en waren daar niet beschermd. De zaak kwam bij het Hof van Justitie van de EU. Op 6 oktober 2015 verklaarde het Hof het Safe Harbor-besluit ongeldig (zaak C-362/14, "Schrems I"). Kern: de Commissie had niet onderzocht of de Amerikaanse overheid zich aan grenzen hield, en Europeanen hadden geen echte rechtsbescherming.

Brug 2: Privacy Shield en Schrems II

Al in 2016 kwam er een opvolger: het EU-US Privacy Shield, met strengere regels en een ombudsman bij het Amerikaanse ministerie van Buitenlandse Zaken. Schrems procedeerde opnieuw.

Op 16 juli 2020 deed het Hof uitspraak in zaak C-311/18, "Schrems II". Het Hof verklaarde het Privacy Shield ongeldig. De redenen:

• Amerikaanse surveillanceprogramma's, met name onder FISA Section 702 en Executive Order 12333 (les 1.3), waren niet beperkt tot wat "strikt noodzakelijk" is.
• Europeanen hadden geen effectieve toegang tot een onafhankelijke rechter; de ombudsman was niet onafhankelijk genoeg en kon geen bindende besluiten nemen.

Het Hof zei ook iets belangrijks over het alternatief, de standaardcontractbepalingen (SCC, in het Engels standard contractual clauses). Dat zijn modelcontracten van de Commissie die de verzender en de ontvanger tekenen. Die bleven geldig, maar: de partij die de gegevens doorgeeft, moet per geval nagaan of het recht van het ontvangende land die afspraken niet ondergraaft. Is dat zo, dan zijn aanvullende maatregelen nodig, bijvoorbeeld versleuteling waarbij de ontvanger de sleutel niet heeft. Lukt dat niet, dan moet de doorgifte stoppen.

Die beoordeling heet een transfer impact assessment (TIA). De Europese privacytoezichthouders (EDPB) schreven daar in 2021 aanbevelingen voor. In 2021 kwamen ook nieuwe standaardcontractbepalingen (Uitvoeringsbesluit (EU) 2021/914).

Voor een kleine organisatie was dat lastig: hoe beoordeel jij als bakkerij het Amerikaanse inlichtingenrecht? In de praktijk leunden velen op de contracten en documentatie van de grote aanbieders.

Brug 3: het EU-US Data Privacy Framework

De VS en de EU onderhandelden opnieuw. President Biden tekende op 7 oktober 2022 Executive Order 14086. Die bepaalt onder meer dat inlichtingenwerk "noodzakelijk en evenredig" moet zijn, en stelt een klachtenprocedure in met als laatste stap een Data Protection Review Court (DPRC) binnen het Amerikaanse ministerie van Justitie.

Op 10 juli 2023 nam de Commissie het adequaatheidsbesluit voor het EU-US Data Privacy Framework (DPF) aan. Hoe het werkt:

• Het geldt alleen voor Amerikaanse organisaties die zich hebben aangesloten (zelfcertificering bij het Amerikaanse ministerie van Handel). Op de website dataprivacyframework.gov staat de lijst. Staat een bedrijf er niet op, dan geldt het DPF voor dat bedrijf niet.
• De naleving wordt in de VS gecontroleerd door onder meer de Federal Trade Commission (FTC).
• Er is een periodieke evaluatie door de Commissie.

Voor gebruikers betekent het DPF: doorgifte naar een aangesloten Amerikaans bedrijf is weer toegestaan zonder TIA. Daarom zeggen veel aanbieders: "Wij voldoen aan de AVG."

Waarom het kader onzeker blijft

Het DPF staat, maar op wankele poten:

• Executive Order is geen wet. Een volgende president kan hem wijzigen of intrekken, zonder Congres.
• Het Gerecht en het hoger beroep. De Franse parlementariër Philippe Latombe vroeg het Gerecht van de EU het DPF-besluit te vernietigen. Op 3 september 2025 wees het Gerecht dat af (zaak T-553/23): de DPRC was volgens het Gerecht onafhankelijk genoeg. Latombe ging in hoger beroep bij het Hof van Justitie (zaak C-703/25 P). In november 2026 is daar nog geen uitspraak. Het Hof is in Schrems I en II strenger geweest dan het Gerecht nu.
• Toezicht in de VS onder druk. In januari 2025 werden de leden van de Privacy and Civil Liberties Oversight Board (PCLOB) die door de Democraten waren voorgedragen ontslagen; sindsdien heeft die toezichthouder geen quorum en kan hij zijn werk, waaronder controle op de klachtenprocedure, maar beperkt doen. Op 29 juni 2026 besliste het Amerikaanse Hooggerechtshof in Trump v. Slaughter dat de president leden van de FTC zonder reden mag ontslaan. Juristen wijzen erop dat dit de vraag naar onafhankelijk toezicht, waar het DPF op leunt, scherper maakt.
• Nieuwe procedures. Privacyorganisatie noyb heeft aangekondigd een eigen procedure te overwegen. Zo'n zaak duurt jaren.

Valt het DPF, dan gebeurt wat in 2015 en 2020 ook gebeurde: organisaties moeten van de ene op de andere dag terugvallen op standaardcontractbepalingen met een TIA, of stoppen met de doorgifte. Er is dan geen overgangsperiode afgesproken.

Wat betekent dit voor jou?

Voor Bakkerij De Korrel is de vraag niet "mag het nu?", want met het DPF mag het op dit moment. De vraag is: "wil ik afhankelijk zijn van een kader dat al twee keer is gesneuveld en voor de derde keer bij het Hof ligt?" Een dienst die binnen de EER is gevestigd en de gegevens binnen de EER houdt, hangt niet van het DPF af. Dat is geen juridische eis, maar wel een rustiger uitgangspunt.

In de praktijk: zo ziet het eruit bij een aanbieder

Kijk in de privacyverklaring of de verwerkersovereenkomst van je huidige aanbieder op welke grondslag hij gegevens naar de VS doorgeeft: het DPF, standaardcontractbepalingen, of allebei. Grote aanbieders noemen vaak beide, juist om een val van het DPF op te vangen. Een Europese aanbieder zonder doorgifte buiten de EER hoeft dit niet te regelen; zijn lijst met subverwerkers laat zien of dat klopt (les 9.2). Bij WebOké staat in de verwerkersovereenkomst dat doorgifte buiten de EU alleen mag met voorafgaande schriftelijke toestemming; bij andere aanbieders vind je een vergelijkbare bepaling meestal in een artikel over "doorgifte" of "internationale overdracht".

Samenvatting

• Doorgifte buiten de EER mag alleen met een adequaatheidsbesluit of met waarborgen zoals standaardcontractbepalingen.
• Het Hof verklaarde Safe Harbor (2015, Schrems I) en het Privacy Shield (2020, Schrems II) ongeldig, vooral vanwege Amerikaanse surveillance en gebrek aan rechtsbescherming.
• Sinds 10 juli 2023 geldt het EU-US Data Privacy Framework, alleen voor Amerikaanse bedrijven die zich hebben aangesloten.
• Het DPF rust op een presidentieel besluit en staat ter discussie: hoger beroep Latombe (C-703/25 P) loopt, het Amerikaanse toezicht staat onder druk.
• Een dienst die gegevens binnen de EER houdt, hangt niet af van het DPF.

Quiz

Opdracht

Opdracht E1.4: Op welke grondslag gaan jouw gegevens naar de VS? Zoek in de privacyverklaring of verwerkersovereenkomst van je huidige clouddienst op of gegevens buiten de EER worden verwerkt, en op welke grondslag (DPF, SCC, adequaatheidsbesluit voor een ander land). Controleer op dataprivacyframework.gov of het bedrijf op de lijst staat. Beschrijf wat er voor jou gebeurt als het DPF wordt vernietigd.

Verder lezen

De stappen in deze artikelen gelden voor de diensten van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• Nextcloud handleiding 15.13: Veelgestelde vragen over beveiliging en privacy
• Hof van Justitie, arrest C-362/14 (Schrems I, 6 oktober 2015) en C-311/18 (Schrems II, 16 juli 2020), op curia.europa.eu
• Uitvoeringsbesluit (EU) 2023/1795 (adequaatheidsbesluit EU-US Data Privacy Framework, 10 juli 2023), op EUR-Lex
• Uitvoeringsbesluit (EU) 2021/914 (standaardcontractbepalingen), op EUR-Lex
• Gerecht van de EU, zaak T-553/23 (Latombe, 3 september 2025); hoger beroep C-703/25 P
• Data Privacy Framework-lijst: https://www.dataprivacyframework.gov