Per e-mail verzonden: cie.jv@tweedekamer.nl en cie.eu@tweedekamer.nl

Betreft:

Digitale Economie

Referentie:

200922

Plaats:

Breukelen

Datum:

22 september 2020

Beste leden van de Kamercommissie voor Justitie en Veiligheid en de Kamercommissie Europese Zaken,
Nederland heeft een sterke internationale digitale economie die draait op data. Data die goed dient te worden
beschermd. Daar is iedereen het over eens. Het is dan ook terecht dat er eisen worden gesteld aan hoe
organisaties omgaan met deze data. Een belangrijk wettelijk kader is de Avg. Deze wet stelt eisen aan hoe
organisaties omgaan met persoonsgegevens van burgers.
Op 16 juli jl. heeft het Hof van Justitie van de Europese Unie in de zaak Schrems II het EU-VS Privacy Shieldverdrag ongeldig verklaard. Binnen de kaders van dit verdrag konden Europese organisaties persoonsgegevens
uitwisselen met organisaties in de VS of diensten afnemen van Amerikaanse bedrijven. Hierbij valt bijvoorbeeld te
denken aan cloudopslag of andere online diensten die essentieel zijn voor de bedrijfsvoering van bijna alle private
en publieke instellingen die voor hun bedrijfsvoering en communicatie gebruik maken van het internet.
Bedrijven en andere organisaties moeten met het wegvallen van het Privacy Shield noodgedwongen op zoek
naar een andere manier om persoonsgegevens door te geven naar de VS. De doorgifte die gebaseerd was op de
Privacy Shield is immers vanaf de dag van de Schrems II-uitspraak niet meer toegestaan op grond van de Avg.
Het is uiteraard praktisch voor bedrijven onmogelijk om van de ene op de andere dag een ander instrument
geïmplementeerd te hebben. Niet alleen voor het MKB, maar ook voor grotere bedrijven is dit schier onmogelijk.
Al helemaal in de huidige situatie waarbij het Hof van Justitie van de Europese Unie in dezelfde Schrems IIuitspraak heeft geoordeeld dat het gebruik van de door de Europese Commissie (EC) uitgegeven Standard
Contractual Clauses (SCC’s) weliswaar nog wel gebruikt kunnen worden voor doorgifte van persoonsgegevens
naar landen buiten de EU/EER (een zogenoemd ‘derde land’), maar alleen als in de praktijk een ‘gelijkwaardig
beschermingsniveau’ aan dat van de AVG kan worden gewaarborgd. Uit het evaluatierapport van de Avg,
opgesteld door de EC, blijkt dat deze SCC’s door duizenden bedrijven in Europa worden gebruikt1.
Dit betekent in praktische zin dat bedrijven zelf per geval de relevante wet- en regelgeving van het betreffende
derde land moeten beoordelen om te bepalen of het land waaraan ze doorgeven adequate bescherming biedt. Ze
moeten zich een oordeel vellen over de reikwijdte van bijvoorbeeld de surveillance-wetgeving van het land en de
mate waarin er een mogelijkheid voor betrokkenen bestaat om in het betreffende derde land op te komen voor
hun rechten. Als dit niet toereikend is, moeten bedrijven aanvullende contractuele afspraken maken met de

1 “These clauses represent by far the most widely used data transfer mechanism, with thousands of EU

companies relying on them in order to provide a wide range of services to their clients, suppliers, partners and
employees.” Bron: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A52020DC0264

1/3

organisatie in het derde land en/of additionele waarborgen treffen die er voor zorgen dat toch sprake is van een
passende bescherming.
Het zal duidelijk zijn dat aanvullende contractuele afspraken tussen organisaties niet de buitenlandse wetgeving
kunnen wijzigen. Daarnaast tast het bedrijfsleven in het duister welke additionele waarborgen ze kunnen treffen
om ‘passende’ bescherming te bieden: dit is niet verduidelijkt in de Schrems II-uitspraak. Dit probleem werd
vorige week concreet en urgent gemaakt door de Ierse privacy toezichthouder die Facebook voorlopig
sommeerde de datastromen richting de VS te schorsen omdat de Standard Contractual Clauses onvoldoende
bescherming bieden. Dit proces loopt nog en moet ook afgestemd met de andere Europese toezichthouders
verenigd in de EDPB.
Hier bovenop heeft de EC eerder ook nog aangekondigd de Standard Contractual Clauses te gaan moderniseren,
maar is niet duidelijk wanneer deze gereed zijn. Zelfs al zouden de gemoderniseerde Standard Contractual
Clauses binnen afzienbare tijd gepubliceerd worden, dan alsnog kost het implementeren daarvan veel tijd.
Hoogleraar Lokke Moerel schreef over de gevolgen van de Schrems II-uitspraak in het FD het volgende2: “Je kunt
van bedrijven niet verwachten dat ze elk voor zich een beoordeling maken of al de landen waarnaar ze data
doorgeven wel een adequaat niveau van bescherming bieden, dat is echt bizar. Het brengt bedrijven in een
onmogelijke positie, terwijl het onderliggende probleem, te vergaande toegang tot data van vreemde overheden,
niet door hen kan worden opgelost. Dit is een politiek probleem dat tussen staten moet worden opgelost.”
De Schrems II-uitspraak heeft een enorme impact op de gegevensuitwisseling met alle derde landen waarbij
organisaties voor de doorgifte naar derde landen gebruik maken van de Standard Contractual Clauses, zoals
bijvoorbeeld Rusland, Australië, Zuid-Afrika en India maar ook het post-Brexit Verenigd Koninkrijk.
Het bedrijfsleven – van alle sectoren en groottes – zit klem. De consequenties van deze uitspraak hebben in
potentie een enorm negatief effect op onze (digitale) economie en maatschappij. De politiek is daarom nu aan
zet. Snelheid is hierbij cruciaal; de ontstane rechtsonzekerheid voor bedrijven dient snel en op basis van een
gedegen juridische analyse te worden weggenomen. Hiertoe is het volgende vereist:
●

De EU dient internationaal leiderschap te tonen door duidelijk te maken hoe privacy, rechtshandhaving en
beveiliging met elkaar zouden moeten interacteren, om zo een sterke en stabiele juridische basis voor
internationale gegevensstromen tussen de EU en derde landen te waarborgen;

●

De EC en de VS moeten zo snel mogelijk onderhandelen over een mogelijke opvolger van het Privacy
Shield en duidelijkheid verschaffen over de planning hiervan;

●

De EC dient – in consulatie met stakeholders - zo snel mogelijk de gemoderniseerde Standard Contractual
Clauses gereed te maken en te publiceren;

●

De toezichthoudende autoriteiten dienen op korte termijn – in consultatie met stakeholders - op
geharmoniseerde wijze duidelijk te maken wat in praktische zin onder de te nemen ‘aanvullende
maatregelen’ moet worden verstaan en wanneer deze maatregelen ‘passend’ zijn. Het is ook van belang dat
deze maatregelen redelijk zijn. Hiertoe is een risico gebaseerde gedifferentieerde aanpak nodig op basis van
een objectieve beoordeling van de feitelijke risico’s. Deze verduidelijking moet ook worden meegenomen in

2 https://fd.nl/ondernemen/1351377/delen-persoonsdata-wereldwijd-geraakt-door-uitspraak-eu-hof

2/3

de modernisering van de Standard Contractual Clauses door de EC. De eerder gepubliceerde FAQ biedt
bedrijven geen houvast;
●

De EC en toezichthoudende autoriteiten dienen eenduidige en geharmoniseerde informatie op te stellen en
te verstrekken over het beschermingsniveau van persoonsgegevens in derde landen, zodat bedrijven en
andere organisaties niet worden opgezadeld met deze verstrekkende en voor hen praktisch onuitvoerbare
taak;

●

Er dient een grace period in te worden gesteld waarin de toezichthoudende autoriteiten niet tot handhaving
overgaan om organisaties de mogelijkheid te bieden over te schakelen op de Standard Contractual Clauses.
Hierin moet worden meegenomen dat eerst duidelijkheid moet worden verschaft over de wijze waarop deze
Standard Contractual Clauses moeten worden gehanteerd en wat de termijn is betreffende een mogelijke
opvolger van het Privacy Shield.

Daarom verzoeken we u als Commissie op dit onderwerp de minister van Rechtsbescherming met Nederland het
voortouw te laten nemen en dit expliciet op de politieke agenda te zetten, bijvoorbeeld op de agenda van het
eerstvolgende overleg van relevante ministers in Europa, tijdens de JBZ-raad van 8 oktober.
Met vriendelijke groet,

Lotte de Bruijn
Algemeen directeur NLdigital
NLdigital

3/3