Op de valreep van het jaar blikken wij altijd graag terug op interessante jurisprudentie die we gedurende het jaar voorbij hebben zien komen. Eén van de opvallendste arresten in dat kader is het “Schrems II” arrest van het Hof van Justitie van de Europese Unie. Dit arrest gaat over de internationale doorgifte van persoonsgegevens.

Hoe zit het ook alweer? In de Algemene verordening gegevensbescherming (Avg) is bepaald dat het, onder voorwaarden, in beginsel is toegestaan om persoonsgegevens te verstrekken aan landen en organisaties buiten de Europees Economische Ruimte (EER). Zo kan een doorgifte van persoonsgegevens plaatsvinden wanneer er sprake is van een zogeheten “adequaatheidsbesluit” van de Europese Commissie, inhoudende dat sprake is van een passend beschermingsniveau in een bepaald land. Zonder een dergelijk besluit mogen doorgiften in principe alleen plaatsvinden in het geval er “passende waarborgen” zijn genomen. Die waarborgen zijn opgenomen in de Avg en bestaan, onder meer, uit: goedgekeurde bindende bedrijfsvoorschriften en modelcontractbepalingen opgesteld door de Europese Commissie. (NB. Indien ook dergelijke passende waarborgen er niet zijn, kan het zo zijn dat de doorgiften alsnog plaats mogen vinden, mits weer aan bepaalde – in de Avg genoemde – voorwaarden wort voldaan). Naast deze voorwaarden die gelden voor een internationale doorgifte, moet natuurlijk ook aan de overige vereisten van de Avg worden voldaan (wettelijke grondslag voor de verwerking, informeren van de betrokkenen, etc.).

In het Schrems II arrest van het Hof van Justitie staat de geldigheid van het Privacy Shield centraal (een door de Europese Commissie genomen adequaatheidsbesluit ten aanzien van de Verenigde Staten) en de Modelcontractbepalingen. Het Hof verklaart in het arrest het Privacy Shield ongeldig, wat betekent dat doorgiften vanuit de EER naar de VS niet langer mogen plaatsvinden op basis van het Privacy Shield. Dit o.a. vanwege het feit dat Amerikaanse inlichtingendiensten op basis van Amerikaanse wetgeving toegang hebben tot persoonsgegevens van Europese burgers. Indien toch nog gebruik gemaakt wordt van het Privacy Shield, wordt er dus in strijd gehandeld met de Avg.

De Modelcontractbepalingen daarentegen zijn wel een passende waarborg volgens het Hof. Wel moeten de gegevensexporteur en de -importeur steeds per doorgifte onderzoeken of het passende beschermingsniveau inderdaad gewaarborgd kan worden en zo niet, de ander daarvan op de hoogte stellen zodat de doorgifte kan worden opgeschort c.q. de samenwerking kan worden beëindigd. Het is belangrijk om deze beoordeling schriftelijk vast te leggen.

C-311/18C-362/14.
Artikel 45 – 49 Avg.