Latombe t. Europese Commissie: het DPF, ça tombe?
Achtergrond
Latombe stelt dat het DPF de grondrechten van EU-burgers schendt, met name vanwege de Amerikaanse surveillancepraktijken. Latombe stelt onder andere dat de Verenigde Staten niet voorziet in:
- Goede waarborgen voor de bescherming van de privacy van de betrokkenen door de wijdverbreide en “bulk”-verzameling van persoonsgegevens door de Verenigde Staten;
- Een mogelijkheid tot toegang naar een onafhankelijke rechter;
- Waarborgen tegen geautomatiseerde besluitvorming.3
Deze bezwaren zien op de vermeende beperkingen van het DPF zelf en staan los van het beleid van specifieke Amerikaanse regeringen of de praktische uitwerking ervan. Latombe heeft deze zaak ingebracht ten tijde van het presidentschap van Joe Biden, terwijl het Gerecht nu uitspraak doet tijdens het bewind van Donald Trump.
De uitspraak
Het Gerecht publiceerde vanochtend een duidelijke persverklaring4: het DPF komt niet te vervallen. Organisaties die afhankelijk zijn van doorgiftes van persoonsgegevens naar de VS, bijvoorbeeld in de vorm van clouddiensten of AI-tools, kunnen dus voorlopig rustig ademhalen.
Het Gerecht verwerpt de voornaamste claims van Latombe over de onafhankelijkheid en onpartijdigheid van het zogenaamde Data Protection Review Court, de instantie die de bezwaren uit Schrems II moest wegnemen, en over de “bulk”-verzameling van data door Amerikaanse inlichtingendiensten.
Over dat eerste stelt het Gerecht dat de onafhankelijkheid en onpartijdigheid van de leden van het DPRC met voldoende waarborgen omkleed is. Zo kan alleen de Amerikaanse Advocaat-generaal rechters ontslaan en alleen met reden.5
Wat betreft de “bulk”-verzameling door Amerikaanse inlichtingendiensten geeft het Gerecht aan dat Amerikaanse inlichtingendiensten onderworpen zijn aan gerechtelijk toezicht achteraf door de DPRC. Uit de uitspraak van Scherms II blijkt niet dat het vereist is dat het toezicht vooraf moet gebeuren.
En nu?
Zoals we eerder schreven: dit is een uitspraak van het Gerecht, wat betekent dat Latombe nog in beroep kan gaan tegen de uitspraak bij het Hof van Justitie. Mocht dat gebeuren, zal een definitieve uitspraak nog tenminste 18 maanden op zich laten wachten. Ook bij een andersluidende uitspraak zouden de gevolgen voor organisaties niet onmiddellijk intreden. Toch lijkt het Gerecht Latombe weinig aanknopingspunten te geven voor een beroepsprocedure.
Veel organisaties zijn in de praktijk afhankelijk van doorgiftes naar met name de VS. Daardoor ligt het voor een derde keer ongeldig verklaren van een adequaatheidsbesluit gevoelig. Doorgiftes in de afwezigheid van een adequaatheidsbesluit blijken in de praktijk vaak lastig te regelen, zo blijkt bijvoorbeeld uit de boete die de AP onlangs oplegde aan Uber.6 Het moet blijken of het Hof van Justitie opnieuw aanleiding ziet, in tegenstelling tot de bevindingen van het Gerecht, om ook het DPF te torpederen. Misschien is het toch wachten op Schrems III.
Lees ook onze blog over het Privacy Shield.
1. Het Gerecht van de Europese Unie is een rechtbank in eerste aanleg en onderdeel van het Hof van Justitie van de Europese Unie (HvJEU). Dat betekent dat tegen deze uitspraak nog beroep mogelijk is, waarna het HvJEU definitief beslist.
2. HvJEU 6 oktober 2015, C-362/14 (Maximillian Schrems t. Data Protection Commissioner), ECLI:EU:C:2015:650; HvJEU 16 juli 2020, C-311/18 (Data Protection Commissioner t. Facebook Ireland Limited en Maximillian Schrems), ECLI:EU:C:2020:559.
3. Action brought on 6 September 2023 – Latombe v Commission (Case T-553/23). Te raadplegen via: https://curia.europa.eu/juris/document/document.jsf?docid=279601&doclang=EN. Geraadpleegd op 2 september 2025.
4. HvJEU 3 september 2025, ‘Data Protection: the General Court dismisses an action for annulment of the new framework for the transfer of personal data between the European Union and the United States,’ Persverklaring No 106/25. Te raadplegen via: https://curia.europa.eu/jcms/upload/docs/application/pdf/2025-09/cp250106en.pdf.
5. De huidige Amerikaanse regering legt het begrip ‘for cause’ wel erg liberaal uit, getuige het voorgenomen ontslag van Federal Reserve gouverneur Lisa Cook. Zie: NOS, ‘Trump ontslaat bestuurder centrale bank,’ 26 augustus 2025. Te raadplegen via: https://nos.nl/artikel/2579947-trump-ontslaat-bestuurder-centrale-bank. Geraadpleegd op 3 september 2025.
6. Autoriteit Persoonsgegevens, ‘AP legt Uber boete op van 290 miljoen euro om doorgifte data chauffeurs naar VS’, 2 augustus 2024. Te raadplegen via: https://www.autoriteitpersoonsgegevens.nl/actueel/ap-legt-uber-boete-op-van-290-miljoen-euro-om-doorgifte-data-chauffeurs-naar-vs. Geraadpleegd op 3 september 2025.
