Wederom heeft het Hof een uitspraak gedaan inzake de bescherming van persoonsgegevens die van belang is voor de doorgifte van persoonsgegevens vanuit de Europese Unie (EU) naar een land buiten de EU.
Op grond van de Algemene verordening gegevensbescherming (AVG) gaat het daarbij om een doorgifte van persoonsgegevens naar een “derde land”, hetgeen uitsluitend is toegestaan wanneer voldaan wordt aan de bijzondere voorwaarden die daarvoor gelden.
Deze uitspraak hangt samen met de eerder door mij in deze blog besproken Schrems II uitspraak van het Hof van 16 juli 2020.
Nog even kort waar het in de Schrems II uitspraak over ging. Met die uitspraak verklaarde het Hof het EU-US Privacy Shield ongeldig. Het EU-US Privacy Shield betrof een adequaatheidsbesluit van de Europese Commissie (EC) zoals bedoeld in artikel 45 lid 1 AVG waar organisaties een beroep op konden doen wanneer zij persoonsgegevens doorgaven vanuit de EU naar de Verenigde Staten (VS). Wanneer de ontvangende organisatie in de VS was aangesloten bij het EU-US Privacy Shield zouden de doorgegeven persoonsgegevens voldoende beschermd zijn. Het oordeel van het Hof was duidelijk: dat was niet het geval. Onder meer omdat op Amerikaanse wetgeving gebaseerde surveillanceprogramma’s – op basis waarvan Amerikaanse overheidsinstanties toegang hadden tot de persoonsgegevens die vanuit de EU naar de VS waren doorgegeven – niet tot het strikt noodzakelijke waren beperkt.
Juist dat aspect speelt in de onderhavige uitspraak van het Hof een belangrijke rol. In de onderhavige zaak gaat het namelijk over de mogelijkheden van overheidsinstanties van EU-lidstaten om – op basis van nationale wetgeving – aanbieders van elektronische communicatiediensten te verplichten communicatiegegevens en locatiegegevens door te geven aan de veiligheids- en inlichtingendiensten in het kader van de waarborging van de nationale veiligheid. De rechtspraak van het Hof op dit gebied is overigens uitgebreid (zie bijvoorbeeld de arresten Digital Rights Ireland Ltd. en Tele2/Watson). In deze blog beperk ik me tot de gevolgen voor doorgifte van persoonsgegevens aan “derde landen”.
De prejudiciële vragen die aan het Hof zijn gesteld komen voort uit een zaak in het Verenigd Koninkrijk (VK), aangespannen door Privacy International – een non-gouvernementele organisatie die wereldwijd het recht op privacy verdedigt – tegen verschillende veiligheids- en intelligentiediensten van het VK, waaronder de Security Service (“MI5”) en de Secret Intelligence Service (“MI6”). Daarmee wilde Privacy International de rechtmatigheid van de wetgeving van het VK op dit gebied – waaronder de Investigatory Powers Act – aan de kaak stellen.
Het Hof oordeelt dat EU-wetgeving – waaronder de artikelen 7, 8, 11 en 52 van het Handvest van de grondrechten van de Europese Unie – moet worden geïnterpreteerd als een beletsel voor nationale wetgeving die een overheidsinstantie in staat stelt om aanbieders van elektronische communicatiediensten te verplichten communicatiegegevens en locatiegegevens in het algemeen en zonder onderscheid door te geven aan de veiligheids- en inlichtingendiensten met het oog op de bescherming van nationale veiligheid. Op die wijze worden belangrijke beginselen en rechten opgenomen in EU-wetgeving – waaronder evenredigheid en de grondrechten op privacy, gegevensbescherming en vrijheid van meningsuiting – namelijk niet gerespecteerd.
Het Hof oordeelt kortgezegd dat de betreffende verzameling van gegevens door nationale overheidsinstanties in het kader van de bescherming van de nationale veiligheid beperkt moet blijven tot het strikt noodzakelijke. In dat kader moet de nationale wetgeving waar die bevoegdheden uit voortvloeien aangeven onder welke omstandigheden en onder welke voorwaarden een maatregel voor de verwerking van dergelijke gegevens genomen kan worden.
Mogelijke gevolgen voor een EU-VK adequaatheidsbesluit
Op 1 januari 2021 is de overgangsperiode inzake de Brexit geëindigd. Vanaf dat moment zou het VK in principe kwalificeren als “derde land” zoals bedoeld in de AVG. Op 24 december 2020 hebben de EU en het VK echter een handelsovereenkomst gesloten (de “EU-UK Trade and Cooperation Agreement”) die in werking is getreden op 1 januari 2021. Op grond van die handelsovereenkomst wordt het VK voor een periode van vier maanden – vanaf 1 januari 2021 – niet gezien als “derde land” en is doorgifte van persoonsgegevens vanuit de EU naar het VK zonder meer toegestaan totdat er een adequaatheidsbesluit is genomen door de EC of de periode van vier maanden is verstreken, indien dat eerder is. Als voorwaarde hiervoor geldt dat het VK in deze periode de regels met betrekking tot de bescherming van persoonsgegevens niet verandert.
Wanneer de EC in bovengenoemde periode een adequaatheidsbesluit neemt geldt het VK vanaf dat moment dus wel als “derde land”. Met een dergelijk adequaatheidsbesluit zou de EC immers aangeven dat het VK een passend beschermingsniveau waarborgt op basis waarvan doorgifte van persoonsgegevens vanuit de EU naar dat “derde land” is toegestaan. Indien de EC geen adequaatheidsbesluit heeft genomen voordat de periode van vier maanden is verstreken dienen er na afloop van die periode andere waarborgen te zijn op basis waarvan de persoonsgegevens die worden doorgegeven vanuit de EU naar het VK voldoende beschermd zijn. Het meest voor de hand liggende voorbeeld van dergelijke waarborgen zijn standaardbepalingen inzake gegevensbescherming (“Standard Contractual Clauses”) vastgesteld door de EC. De periode van vier maanden wordt overigens automatisch met twee maanden verlengd, tenzij hier bezwaar tegen wordt gemaakt door de EU of het VK. Naar verwachting zal dat niet gebeuren en zal het in totaal om een periode van zes maanden gaan.
Op dit moment zijn de onderhandelingen tussen de EU en het VK om tot een dergelijk adequaatheidsbesluit te komen dus nog bezig. Gelet op bovenstaande uitspraak van het Hof is het de vraag of de wetgeving in het VK – inzake de mogelijkheden van overheidsinstanties om aanbieders van elektronische communicatiediensten te verplichten communicatiegegevens en locatiegegevens door te geven aan de veiligheids- en inlichtingendiensten – een belemmering zou kunnen vormen om tot een adequaatheidsbesluit te komen. Op die wetgeving is sinds het aannemen daarvan door het parlement namelijk veel kritiek inzake de balans tussen privacy en veiligheid. De betreffende bevoegdheden van de overheidsinstanties zouden te ruim zijn en daarmee niet beperkt tot het strikt noodzakelijke. Dat volgt onder meer uit de door Privacy International aangespannen zaak. Daarnaast zal de EC – gelet op de Schrems II uitspraak – waarschijnlijk extra goed naar dergelijke wetgeving kijken, juist omdat Amerikaanse wetgeving op dat gebied (mede) heeft geleid tot de ongeldigverklaring van het EU-US Privacy Shield.
Of de uitspraak van het Hof de onderhandelingen over een EU-VK adequaatheidsbesluit daadwerkelijk zal doen stranden valt te bezien. Het zal immers niet de eerste keer zijn dat er een adequaatheidsbesluit wordt genomen door de EC dat later – bij de beoordeling daarvan door het Hof – ongeldig wordt verklaard.
Uitspraak (Grand Chamber of the Court) dd. 6 oktober 2020 en de eerdere uitspraak ten aanzien van het EU-US Privacy Shield.
Gerelateerde artikelen
Hof van Justitie van de Europese Unie verklaart het EU-US Privacy Shield ongeldig