Mag je nog persoonsgegevens doorgeven naar de VS?
In al die gevallen is sprake van een verwerking van persoonsgegevens. En niet alleen van de inhoudelijke gegevens die je er als gebruiker zelf instopt, maar ook van allerlei gegevens over het gebruik van de diensten. Zoals de account gegevens, diagnostische gegevens, gegevens over supportverzoeken en gegevens over inloggen en informatie opzoeken op een website van de leverancier. Maar kun je er als consument en werknemer op vertrouwen dat je gegevens veilig zijn in de VS, en niet gebruikt worden voor allerlei commerciële doelen of terecht komen in een sleepnet van de inlichtingendiensten?
Doorgifteregels uit de AVG
Ja, volgens de wet kun je erop vertrouwen dat je gegevens veilig zijn in de VS. Dat heeft onze staatssecretaris van Justitie en Veiligheid op 27 augustus 2026 nog eens bevestigd in antwoord op vragen van Kamerlid Barbara Kathmann. Op persoonsgegevens is namelijk de AVG van toepassing, de Algemene Verordening Gegevensbescherming (ook bekend als GDPR in het Engels). De AVG dwingt leveranciers die diensten aan Europeanen leveren (consumenten en werknemers) om zich aan de spelregels te houden, ook als die leveranciers buiten de EU zijn gevestigd. Als niet-Europese leveranciers persoonsgegevens verwerken buiten het territorium van de EU (plus de drie landen die tot de Europese Economische Ruimte behoren), is er sprake van ‘doorgifte’, en daar stelt de AVG strenge eisen aan. Dat mag alleen als een land een adequaat beschermingsniveau heeft, of als de leverancier voldoet aan andere specifieke voorwaarden uit de AVG die ervoor zorgen dat je gegevens veilig zijn bij de leverancier.
Adequaatheidsbesluit VS
Op papier hebben de Verenigde Staten een ‘adequaat’ beschermingsniveau voor persoonsgegevens van Europeanen (dat wil zeggen, de bedrijven die zich vrijwillig hebben aangesloten bij de privacy-afspraken tussen de EU en de VS). De Europese Commissie heeft een uitgebreide analyse gemaakt van alle relevante wetgeving in de VS, waaronder de US CLOUD Act die Amerikaanse opsporingsdiensten de mogelijkheid biedt om gegevens op te vragen die in Europese datacentra van Amerikaanse leveranciers worden verwerkt, en allerlei bevoegdheden van de inlichtingendiensten onder de FISA en EOP 12333. De Commissie heeft lang onderhandeld met de vorige president van de VS over extra waarborgen om de gegevens beter te beschermen. Op grond van het EU US Data Privacy Framework-verdrag heeft de Commissie een ‘adequaatheidsbesluit’ genomen voor de VS. Dat betekent dat organisaties persoonsgegevens zonder verdere beperkingen mogen doorgeven aan de aangesloten leveranciers in de VS.
Maar sinds januari 2025, het begin van de tweede termijn van president Trump, zijn er allerlei signalen dat de harde afspraken in het verdrag in de praktijk niet worden nageleefd. Dat betekent dat je je zorgen moet maken, maar dat betekent niet dat het adequaatheidsbesluit ongeldig is. Er zijn maar twee manieren om een adequaatheidsbesluit in te trekken: als de Europese Commissie besluit tot intrekking, of als het Europese Hof van Justitie het besluit ongeldig verklaart. Het Europese Hof van Justitie heeft al twee keer eerder een streep gehaald door vergelijkbare verdragen tussen de EU en de VS over doorgifte (Safe Harbour en Privacy Shield), en heeft een derde (beroeps)zaak - in behandeling, van de Franse parlementariër Philippe Latombe (zie ook de blog ‘Latombe t. Europese Commissie: het DPF, ça tombe’?).
Problemen met adequaatheid
Latombe somt in zijn beroepschrift een aantal fundamentele tekortkomingen op van het verdrag waarop het adequaatheidsbesluit berust. Heel kort samengevat: de rechters in het Data Protection Review Court zijn niet onafhankelijk. Ze worden benoemd door de Procureur Generaal (Attorney General) in samenspraak met de minister van Economische Zaken en de directeur van de nationale inlichtingendiensten. Verder biedt het verdrag volgens Latombe geen bescherming tegen disproportionele bulkopvragingen door overheidsdiensten, omdat er alleen sprake is van controle achteraf, en omdat de president geheime bevelen kan uitvaardigen om de afgesproken doelen voor bulkopvragingen aan te passen.
Er zijn nog drie nieuwe problemen bijgekomen: (i) de feitelijke opheffing van de toezichthouder PCLOB, (ii) de mogelijkheid dat Trump de afspraken met een geheim presidentieel bevel heeft ingetrokken, en (iii) de uitleg van het Supreme Court dat de president onafhankelijke toezichthouders mag ontslaan.
Toezichthouder op de Amerikaanse inlichtingendiensten
Een van de belangrijkste resultaten van de onderhandelingen tussen de EU en de VS was het aanwijzen van de Privacy and Civil Liberties Oversight Board (PCLOB) voor 3 taken: toezien op de naleving van de afspraken over proportionaliteit van bulkbevragingen door de inlichtingendiensten, publiceren van een jaarverslag (nog nooit gebeurd), en toezicht houden op de klachtbehandeling door het bovengenoemde (niet zo onafhankelijke) Data Protection Review Court. Deze toezichthouder bestaat alleen nog op papier. Trump heeft al in 2025 drie van de vijf leden ontslagen, de drie leden van Democratische Partij. Op de website van PCLOB staat nu nog maar 1 (Republikeins) lid en zij kan niet zelf besluiten nemen. De aanwezigheid van PCLOB was juist een essentiële waarborg voor proportionaliteit van gegevensverwerking door de inlichtingendiensten volgens de Europese Commissie (zie paragrafen 126 en 167 in het adequaatheidsbesluit).
Geheime presidentiële bevelen
Jurist Tal Feldman van de Yale rechtenfaculteit legt uit dat het adequaatheidsbesluit berust op een Executive Order of the President (van Joe Biden), genaamd EOP 14086. Trump kan inmiddels een geheim bevel hebben uitgevaardigd om die EOP van Biden in te trekken. Feldman vergelijkt dit met Schrödinger’s kat: dood en levend tegelijk.
Zorgen EDPB over onafhankelijkheid toezicht
In de zaak Trump v. Slaughter bepaalde het hoogste Amerikaanse gerechtshof (de Supreme Court) op 29 juni 2026 dat de president toezichthouders kan ontslaan, ook al staat in de wet dat ze onafhankelijk zijn. De zaak ging over een collegelid van de Federal Trade Commission, maar heeft betrekking op alle toezichthouders. De toezichthouders in de EU, verenigd in de EDPB, hebben hierover op 31 juli 2026 een bezorgde brief gestuurd aan de Europese Commissie, en vragen om te onderzoeken of dit gevolgen heeft voor het adequaatheidsbesluit, en om informatie te delen met de toezichthouders.
Hoe verder?
Wat moet je nou adviseren als je privacy officer bent of Functionaris Gegevensbescherming en jouw organisatie maakt gebruik van Amerikaanse clouddiensten? Formeel is het adequaatheidsbesluit gewoon van kracht. Daarom is er in DPIA's nu géén hoog risico voor doorgifte naar de VS. Maar dat voelt ongemakkelijk. De overheid heeft juist haar cloudbeleid aangescherpt. Ze waarschuwt organisaties om voor de gegevensverwerking in de kerntaken géén gebruik te maken van aanbieders die onder niet-Europese wetgeving vallen, zeker niet voor e- mail en documentbeheer. Het Europese Hof van Justitie heeft in Schrems I uitgelegd dat er maar twee manieren zijn om een adequaatheidsbesluit op te heffen: kort samengevat, als de Europese Commissie het besluit intrekt, of als het Hof zelf het besluit ongeldig verklaart.
Maar je moet als organisatie op grond van de AVG kunnen aantonen dat je de gegevens daadwerkelijk in de praktijk goed beschermt, en niet alleen vertrouwen op de formele werkelijkheid. Daarom is het niet verstandig om te wachten op beëindiging van het adequaatheidsbesluit. Je kunt na die beëindiging namelijk ook niet zomaar vertrouwen op andere manieren om de doorgifte van gegevens naar de VS te legitimeren, zoals versleuteling of gebruik van de Standard Contractual Clauses, maar daarover meer in een volgende blog.
Conclusie: maak nu een exitstrategie
Je kunt nu al zelf stappen nemen om je minder afhankelijk te maken van Amerikaanse leveranciers. Kijk eens bij de lange lijst alternatieven van de Tweakers community. Als organisatie moet je je afhankelijkheden in kaart brengen, en kijken naar (Europese) alternatieven. Privacy Company heeft inmiddels al een aantal onderzoeken gedaan naar de privacyvriendelijkheid van diensten van Europese leveranciers, van ESET, STACKIT, Nextcloud en EduGenAI, en er komen nog meer rapporten aan. Er zijn ook websites zoals ‘european-alternatives.eu’ of ‘https://eualternative.eu’ die suggesties doen.
Wil je hulp bij de inventarisatie van je doorgifterisico’s? De juridische adviseurs van Privacy Company helpen je graag. Neem hiervoor contact op met info@privacycompany.nl.
