Hof van Justitie verklaart juridische basis voor Safe Harbor ongeldig

Het Europese Hof van Justitie heeft op 6 oktober 2015 de Safe Harbor-beschikking van de Europese Commissie ongeldig verklaard. Deze beschikking erkende dat de Amerikaanse Safe Harbor-regeling een passend beschermingsniveau bood voor de doorgifte van persoonsgegevens van de EU naar de VS.

Safe Harbor is voortgekomen vanuit het EU-gegevensbeschermingsrecht, dat de doorgifte van persoonsgegevens naar landen buiten de EU verbiedt, tenzij in het betreffende land een "passend beschermingsniveau voor de bescherming van persoonsgegevens" wordt geboden. Safe Harbor was dan ook bedoeld om in een passend beschermingsniveau.

Het Hof stelt vast dat de Safe Harbor-beschikking om verschillende redenen ongeldig is. Van belang is met name dat de beschikking een aantal gronden bevatte om van het vereiste beschermingsniveau af te wijken, waaronder de nationale veiligheid van de VS. In navolging van de advocaat-generaal benadrukt het Hof dat Amerikaanse autoriteiten daarmee een algemene toegang tot de inhoud van elektronische communicatie hebben verkregen, hetgeen als een inbreuk op de persoonlijke levenssfeer moet worden beschouwd.

Het is nu aan nationale privacy-toezichthouders om vast te stellen of een concrete doorgifte van persoonsgegevens naar de Verenigde Staten nog langer in overeenstemming is met het vereiste 'passend beschermingsniveau'.

Organisaties die persoonsgegevens doorgeven aan de Verenigde Staten, bevelen wij aan om:

• te beoordelen welke maatregelen momenteel zijn geïmplementeerd om een passend beschermingsniveau te bieden, nu er behalve Safe Harbor ook andere middelen voorhanden zijn om de rechtmatigheid van rechtmatige doorgifte aan de VS te toetsen;
• voor zover Safe Harbor werd gehanteerd, te overwegen om andere waarborgen toe te passen zoals uitdrukkelijke instemming van de betrokkene of het implementeren van 'binding corporate rules' (BCR).

Ook het hanteren van EU-Modelclausules is een alternatief. Het is op dit moment echter onduidelijk hoe betrouwbaar deze clausules momenteel nog zijn, nu ook in deze clausules een aanmerkelijke beperking is opgenomen van bevoegdheden van nationale privacy-toezichthouders. Deze beperking was voor het Hof immers een belangrijke reden voor het ongeldig verklaren van de Safe Harbor-beschikking.

Law: Court of Justice of the European Union, Maximilian Schrems v Data Protection Commissioner (Case C- 362/14)