1.DERDE JAARLIJKSE EVALUATIE – ACHTERGROND, VOORBEREIDING EN AANPAK

Op 12 juli 2016 heeft de Commissie een besluit vastgesteld (het "adequaatheidsbesluit") waarin zij constateert dat het EU-VS-privacyschild een passend beschermingsniveau biedt voor persoonsgegevens die vanuit de EU worden doorgegeven naar in de Verenigde Staten gevestigde organisaties. Volgens het adequaatheidsbesluit moet de Commissie met name een jaarlijkse evaluatie van alle aspecten van de werking van het kader verrichten en op basis daarvan een openbaar verslag opstellen dat bij het Europees Parlement en de Raad wordt ingediend.

De eerste jaarlijkse evaluatie vond plaats in september 2017 in Washington D.C., en in oktober 2017 keurde de Commissie haar verslag aan het Europees Parlement en de Raad goed, dat vergezeld ging van een werkdocument van de diensten van de Commissie (SWD (2017) 344 final). De Commissie concludeerde dat de Verenigde Staten een passend beschermingsniveau bleven bieden voor gegevens die in het kader van het privacyschild vanuit de EU naar de VS worden doorgegeven, maar deed tien aanbevelingen om de praktische werking van het kader te verbeteren.

De tweede jaarlijkse evaluatie vond plaats in oktober 2018 in Brussel, en in december 2018 keurde de Commissie haar verslag aan het Europees Parlement en de Raad goed, dat wederom vergezeld ging van een werkdocument van de diensten van de Commissie (SWD (2018) 487 final). De in het kader van de tweede jaarlijkse evaluatie verzamelde informatie bevestigt de bevindingen van de Commissie in het adequaatheidsbesluit, wat betreft zowel de "commerciële aspecten" van het kader (d.w.z. aspecten betreffende de naleving van de vereisten van het privacyschild door gecertificeerde bedrijven en het beheer en de handhaving van en het toezicht op dergelijke vereisten door de bevoegde Amerikaanse autoriteiten) als de aspecten met betrekking tot de toegang door autoriteiten tot in het kader van het privacyschild doorgegeven persoonsgegevens.

Met name de maatregelen die zijn genomen om gevolg te geven aan de aanbevelingen van de Commissie naar aanleiding van de eerste jaarlijkse evaluatie, hebben een aantal aspecten van de werking van het kader in de praktijk verbeterd. Zo heeft het Amerikaanse ministerie van Handel nieuwe mechanismen ingevoerd om mogelijke nalevingskwesties op te sporen, heeft de Federal Trade Commission (Federale handelscommissie) een proactievere aanpak ingevoerd voor toezicht op de naleving en handhaving, en is het verslag van de Privacy and Civil Liberties Oversight Board (Raad van toezicht op de privacy en de burgerlijke vrijheden) over de uitvoering van de Presidential Policy Directive 28 (presidentiële beleidsrichtlijn 28) openbaar gemaakt. Aangezien sommige van deze maatregelen net voor de tweede jaarlijkse evaluatie waren genomen en bepaalde processen nog voortduurden, concludeerde de Commissie dat de verdere ontwikkelingen met betrekking tot deze processen en mechanismen nauwlettend moesten worden gevolgd.

Hoewel de functie van ombudsman in het kader van het privacyschild werd uitgeoefend door de waarnemend onderminister en het ombudsmanmechanisme dus volledig operationeel was, heeft de Commissie benadrukt dat het belangrijk is een vaste privacyschildombudsman aan te stellen, en daarom heeft zij er bij de Amerikaanse regering op aangedrongen vóór 28 februari 2019 een kandidaat voor deze functie aan te wijzen.

De derde jaarlijkse evaluatie vond plaats in Washington D.C. op 12 en 13 september 2019. Deze bijeenkomst werd geopend door de directeur-generaal Justitie en Consumentenzaken Tiina Astola, de Amerikaanse minister van Handel Wilbur Ross, de voorzitter van de Federal Trade Commission Joseph Simons en de vicevoorzitter van het Europees Comité voor gegevensbescherming Ventsislav Karadjov. Namens de EU waren er vertegenwoordigers van het directoraat-generaal Justitie en Consumentenzaken van de Europese Commissie. Aan deze bijeenkomst werd ook deelgenomen door acht vertegenwoordigers van het Europees Comité voor gegevensbescherming.

Van Amerikaanse zijde is aan de evaluatie deelgenomen door vertegenwoordigers van het ministerie van Handel, het ministerie van Buitenlandse Zaken, de Federal Trade Commission, het ministerie van Vervoer, het bureau van de directeur van de nationale inlichtingendienst, het ministerie van Justitie en leden van de Privacy and Civil Liberties Oversight Board, alsook door de onlangs vast benoemde ombudsman (zie hieronder) en de inspecteur-generaal van de inlichtingendiensten. Daarnaast is tijdens de evaluatiesessies informatie verstrekt door vertegenwoordigers van twee organisaties die onafhankelijke geschillenbeslechting aanbieden in het kader van het privacyschild en de American Arbitration Association, die het arbitragepanel van het privacyschild beheert. Tot slot is bij de jaarlijkse evaluatie gebruikgemaakt van presentaties van in het kader van het privacyschild gecertificeerde organisaties over de maatregelen die bedrijven nemen om aan de vereisten van het kader te voldoen.

Ter voorbereiding van de derde jaarlijkse evaluatie heeft de Commissie informatie ingewonnen bij relevante belanghebbenden (met name bij in het kader van het privacyschild gecertificeerde bedrijven, via hun respectieve handelsorganisaties, en bij niet-gouvernementele organisaties die actief zijn op het gebied van grondrechten, met name digitale rechten en privacy). De Commissie heeft niet alleen schriftelijke input verzameld, maar ook bijeenkomsten gehad met vertegenwoordigers van de industrie en het bedrijfsleven op 9 september 2019 en met niet-gouvernementele organisaties op 11 september 2019.

De bevindingen van de Commissie stoelen voorts op openbaar materiaal, zoals rechterlijke beslissingen, uitvoeringsbepalingen en procedures van de desbetreffende Amerikaanse autoriteiten, verslagen en studies van niet-gouvernementele organisaties, transparantieverslagen uitgebracht door in het kader van het privacyschild gecertificeerde bedrijven, jaarverslagen van onafhankelijke verhaalmechanismen en mediaberichten.

Met dit verslag wordt de derde jaarlijkse evaluatie van de werking van het privacyschild afgesloten. Het verslag en het begeleidende werkdocument (SWD(2019)390 final) volgen dezelfde structuur als de documenten over de twee voorgaande evaluaties. Het behandelt alle aspecten van de werking van het privacyschild, met bijzondere nadruk op de elementen met betrekking waartoe de Commissie bij de tweede jaarlijkse evaluatie had geconstateerd dat zij nauwlettend toezicht vergden.

Bij haar beoordeling heeft de Commissie ook rekening gehouden met de verdere ontwikkelingen die zich gedurende het afgelopen jaar hebben voorgedaan, zoals de aanhangige geschillen bij het Hof van Justitie van de Europese Unie. In dit verband bood de evaluatie de Commissie de gelegenheid om van de Amerikaanse autoriteiten opheldering te verkrijgen over bepaalde specifieke aspecten van het rechtskader van de VS betreffende het verzamelen van buitenlandse inlichtingen die in de zogenoemde Schrems II-zaak aan de orde kwamen. Toch moet de Commissie de situatie wellicht opnieuw bezien zodra het Hof uitspraak heeft gedaan.

2.BEVINDINGEN

In het derde jaar van zijn bestaan is het privacyschild, waaraan ten tijde van de jaarlijkse evaluatie meer dan 5 000 ondernemingen deelnamen, overgegaan van de aanloopfase naar een meer operationele fase. De derde jaarlijkse evaluatie, die betrekking had op commerciële aspecten en kwesties in verband met de toegang van de overheid tot persoonsgegevens, was gericht op de ervaring die is opgedaan met de praktische toepassing van het kader.

De gedetailleerde bevindingen over de werking van het privacyschildkader in het derde jaar van zijn bestaan worden gepresenteerd in het werkdocument van de diensten van de Commissie over de derde jaarlijkse evaluatie van de werking van het EU-VS-privacyschild (SWD(2019)390 final) bij dit verslag.

2.1.Commerciële aspecten

Gezien de bevindingen van de evaluatie van vorig jaar was de beoordeling van de commerciële aspecten door de Commissie met name gericht op de vooruitgang die het ministerie van Handel heeft geboekt inzake i) het hercertificeringsproces, ii) de doeltreffendheid van de door het ministerie van Handel ingevoerde mechanismen om de naleving door de gecertificeerde ondernemingen proactief te monitoren (steekproefsgewijze controles), iii) de instrumenten die zijn ingevoerd om valse beweringen op te sporen, iv) de voortgang en het resultaat van de handhavingsacties van de Federal Trade Commission in verband met schendingen van het privacyschild, en v) de ontwikkelingen inzake richtsnoeren voor personeelsgegevens.

Wat het hercertificeringsproces betreft, is bij de derde jaarlijkse evaluatie gebleken dat het gangbare praktijk is dat het ministerie van Handel volgens een interne procedure een bedrijf dat het hercertificeringsproces nog niet heeft afgerond, aan het einde van de (her)certificeringsperiode een aanzienlijke “respijtperiode” toekent. Gedurende deze periode (ongeveer 3,5 maand en soms zelfs langer, afhankelijk van het moment waarop het ministerie van Handel ontdekt dat het hercertificeringsproces niet is afgerond) blijft het bedrijf op de actieve lijst van het privacyschild staan. Zolang het bedrijf op de lijst van deelnemers aan het privacyschild staat, blijven de verplichtingen krachtens het kader bindend en volledig afdwingbaar. Een zo lange periode waarin de hercertificeringsdatum van een bedrijf is verstreken maar het bedrijf toch als actieve deelnemer aan het privacyschild op de lijst blijft staan, doet echter afbreuk aan de transparantie en de leesbaarheid van de lijst voor zowel bedrijven als particulieren in de EU. Ook stimuleert dit de deelnemende bedrijven niet om zich strikt te houden aan de jaarlijkse hercertificeringsvereiste.

Wat proactieve controles van de naleving van de privacyschildvereisten door bedrijven betreft, heeft het ministerie van Handel in april 2019 een systeem ingevoerd waarbij elke maand 30 bedrijven worden gecontroleerd. De Commissie juicht het toe dat het ministerie van Handel regelmatig en systematisch proactieve steekproefsgewijze nalevingscontroles verricht, wat zeer belangrijk is om de algemene naleving van het kader te verbeteren en gevallen op te sporen waarin de Federal Trade Commission handhavingsmaatregelen moet nemen. Zij merkt echter op dat deze steekproefsgewijze controles meestal beperkt blijven tot vormvereisten, zoals niet-reagerende contactpunten of het niet online toegankelijk zijn van het privacybeleid van een onderneming. Hoewel dit uiteraard relevante aspecten van de naleving van de privacyschildvereisten zijn, moeten dergelijke controles ook betrekking hebben op materiële verplichtingen zoals naleving van het beginsel van verantwoording voor de verdere doorgifte, waarbij het ministerie van Handel ten volle gebruikmaakt van de instrumenten van het kader. De vereisten voor verdere doorgifte zijn in het privacyschild aanzienlijk aangescherpt, aangezien een gebrek aan waarborgen in dergelijke situaties afbreuk zou doen aan de door het kader geboden bescherming. De steekproefsgewijze controles moeten regelmatig en systematisch blijven doorgaan, maar naleving van deze materiële vereisten is ook cruciaal voor de continuïteit van het privacyschild en moet dus onderworpen zijn aan strikte monitoring en handhaving door de Amerikaanse autoriteiten.