Mag je nog persoonsgegevens doorgeven op basis van SCC’s als de VS niet meer adequaat zijn?
Spelregels doorgifte persoonsgegevens
De AVG dwingt leveranciers die (direct of indirect) diensten aan Europeanen leveren om zich aan de Europese spelregels te houden, ook als die leveranciers buiten de EU zijn gevestigd. Als niet-Europese leveranciers persoonsgegevens verwerken buiten de Europese Economische Ruimte (de EU + Noorwegen, IJsland en Liechtenstein) is er sprake van ‘doorgifte’, en daar stelt de AVG strenge eisen aan. Dat mag alleen als een land een adequaat beschermingsniveau heeft (nu 16 landen), of als de leverancier voldoet aan andere specifieke voorwaarden uit de AVG die ervoor zorgen dat je gegevens veilig zijn bij de leverancier en diens onderaannemers. Eén van de opties is het aangaan van een modelcontract dat opgesteld is door de Europese Commissie, de zogenaamde Standard Contractual Clauses (SCC’s). SCC’s zijn een set afspraken waarmee de niet-Europese leverancier plechtig belooft zich aan de AVG te houden.
Dit is de tweede blog dit jaar over de spelregels van doorgifte van persoonsgegevens naar landen buiten de EU. De eerste blog beschrijft het adequaatheidsbesluit van de Europese Commissie voor leveranciers in de VS die deelnemen aan EU-US Data Privacy Framework-verdrag (hierna: EU-US DPF), maar somt verschillende redenen op om je zorgen te maken of de VS de afspraken uit het verdrag in de praktijk nog wel naleven. Het is goed mogelijk dat het Europese Hof van Justitie opnieuw (voor de derde keer na de zaken Schrems I en Schrems II) besluit om het adequaatheidsbesluit te vernietigen. Maar wat moet je dan doen als jouw organisatie nu een clouddienst gebruikt die direct of indirect in handen is van een eigenaar buiten de EU/EER?
Doorgifte naar derde landen
De meeste niet-Europese leveranciers van publieke clouddiensten vertrouwen op twee beschermingsmaatregelen bij doorgifte: aansluiting bij het EU-US DPF (regelt ook bescherming voor de verdere doorgifte naar derde landen), maar, voor het geval het adequaatheidsbesluit vervalt, ook SCC’s.
Als er géén adequaatheidsbesluit (meer) geldt, zijn de SCC’s nodig voor doorgifte naar de VS, èn voor doorgifte naar andere derde landen. De bekende grote cloud providers hebben over de hele wereld datacentra en gebruiken onderaannemers in lage lonen-landen waar veel mensen Engels spreken, zoals India, de Filippijnen, Kenia of Ghana. Het komt ook vaak voor dat cloudleveranciers gebruik maken van applicaties van partijen in de VS of derde landen, bijvoorbeeld voor het verwerken van supporttickets.
Hoewel veel niet-Europese cloudleveranciers inmiddels aanbieden dat je als klant de inhoudelijke gegevens exclusief in Europese datacentra kunt verwerken, geldt dat vaak niet voor de persoonsgegevens over het gebruik van de dienst, zoals de accountgegevens, diagnostische gegevens, gegevens over supportverzoeken en gegevens over inloggen en informatie opzoeken op een website van de leverancier. Die persoonsgegevens worden meestal automatisch in de VS verwerkt, en in derde landen.
Standard Contractual Clauses (SCC’s)
In 2021 heeft de Europese Commissie nieuwe SCC’s opgesteld (modelcontracten) in vier modules. Zie de overzichtspagina van de Europese Commissie voor alle details.
Maar er is iets vreemds aan de hand met die nieuwe SCC’s. Als een Amerikaanse cloudleverancier namelijk een vestiging heeft in de EU (in de praktijk doorgaans in Ierland), dan mag je geen SCC’s afsluiten als de AVG al van toepassing is op het Amerikaanse moederbedrijf. En volgens artikel 3(1) ìs de AVG van toepassing als je als Amerikaans bedrijf een Europese dochteronderneming optuigt als ‘Europese vestiging’. Op grond van die uitleg van de Commissie had Uber Nederland géén SCC’s gesloten met haar Amerikaanse moeder, maar daar was de Autoriteit Persoonsgegegens het niet mee eens. De AP legde in 2024 een boete op van 290 miljoen (!) euro voor het ontbreken van de vereiste waarborgen voor de doorgifte van de gegevens van de chauffeurs naar de VS.
De Europese Commissie beloofde al in 2021 om snel met nieuwe SCC’s te komen voor de doorgifte vanuit de EU naar partijen/moederbedrijven in derde landen waarop de AVG al van toepassing is, maar het laatste nieuws is dat die pas in het eerste kwartaal van 2027 in consultatie gaan. Daar kun je dus als klant van een cloudleverancier niet op wachten. Daarom bieden de meeste Amerikaanse cloudleveranciers sinds 2022 SCC’s aan volgens de derde module: tussen hun Ierse vestiging als jouw verwerker (exporteur genaamd in de SCC’s) en het hoofdkantoor in de VS als subverwerker (importeur genaamd in de SCC’s). Dat is een overeenkomst waarin de moeder de dochter belooft zich aan de Europese privacyregels te houden, belooft dat ze geen reden heeft om aan te nemen dat wetgeving in de VS of in derde landen waar de gegevens toegankelijk zijn in de weg staat aan het hoge Europese beschermingsniveau, en onmiddellijk zal waarschuwen als er iets verandert aan het beschermingsniveau.
SCC’s in plaats van adequaatheidsbesluit
Helpen de SCC’s om de persoonsgegevens te beschermen op een manier die vergelijkbaar is met de bescherming in ons eigen land?
Ik vrees eigenlijk van niet. Sowieso gelden de SCC’s die cloudproviders aanbieden als onderdeel van de (standaard) verwerkersovereenkomst alleen voor die gegevens waarvoor de leverancier zich als verwerker beschouwt, dus doorgaans alleen voor de inhoudelijke gegevens. Maar niet voor de andere hierboven genoemde vier categorieëen persoonsgegevens (de accountgegevens, diagnostische gegevens, gegevens over supportverzoeken en gegevens over inloggen en informatie opzoeken op een website van de leverancier). Daarvoor beschouwt de leverancier zich doorgaans als zelfstandige verantwoordelijke, en dan kun je lang zoeken in de algemene privacyverklaring naar informatie over doorgifte naar derde landen.
Mijn belangrijkste bezwaar tegen de SCC’s is het gebrek aan verplichte transparantie van de importeur naar de klant. De SCC’s verplichten de verwerker (exporteur) weliswaar om een analyse te doen van de toepasselijke wetgeving in alle relevante landen (via een Data Transfer Impact Assessment (DTIA), maar verplichten niet om die analyse te delen met haar klanten. Alleen met de toezichthouder, als die daarom zou vragen. Hoewel verwerkers hun verantwoordelijke klanten wel moeten helpen bewijzen dat die zich aan de wet houden op grond van de algemene verwerkersverplichtingen uit de AVG, beroepen grote leveranciers zich doorgaans op vertrouwelijkheid van juridisch advies, en stellen ze dat de klant maar als feit moet aannemen dat de DTIA is uitgevoerd en dat er geen doorgifterisico’s zijn.
We hebben bij Privacy Company ook nog nooit een waarschuwing gezien van (de Ierse vestiging van) een cloudleverancier aan klanten over gewijzigde wetgeving of bevelen die dwingen tot disproportionele verstrekking aan autoriteiten. Terwijl het toch voor de hand ligt dat juristen bij de Amerikaanse moederbedrijven dezelfde problematische ontwikkelingen hebben gezien in het toezicht op het EU-US DPF als de privacytoezichthouders. En dat de verwerker (of het nu het Amerikaanse bedrijf rechtstreeks is, of via de Ierse ‘exporteur’) haar klanten daarvan op de hoogte had moeten stellen. Dat zou ook een vorm van commerciële zelfmoord zijn.
In Schrems II (met name r.o. 146) verklaarde het Europese Hof van Justitie dat de toezichthouder doorgiftes op basis van SCC’s moest opschorten als wetten in het land van de importeur ervoor zorgen dat de doorgegeven gegevens niet adequaat kunnen worden beschermd, bijvoorbeeld als het gaat om verstrekkingen aan overheidsdiensten. Als het EU-US Data Privacy Framework onderuitgaat, staat dus wel vast dat het recht in de VS geen adequaat beschermingsniveau biedt voor (onversleutelde) persoonsgegevens. Dan moet je als verantwoordelijke stoppen met de doorgifte (geen handhavingsvakantie), of ervoor zorgen dat de gegevens zodanig versleuteld zijn dat je ze alleen zelf kunt ontsleutelen.
Hoe dan wel?
Er zijn ruwweg vier strategieën om te voorkomen dat de persoonsgegevens in leesbare vorm in handen komen van autoriteiten in derde landen, in volgorde van hoog naar lager beschermingsniveau:
- Stap over op een Europese leverancier in 100% Europees eigendom met het voor jouw gegevens vereiste datasoevereiniteitsniveau, zoals SEAL-3. Zie het Sovereign Cloud Framework van de Europese Commissie
- .Kies voor een Europese levancier die de gewenste clouddienst levert op basis van technologie van een Europese of een Amerikaanse leverancier (zoals Franse en Duitse providers gebruik maken van Google technologie, of zoals KPN hosting gaat aanbieden op technologie van het Duitse Stackit).
- Kies voor een soevereine cloud van een Amerikaanse leverancier. Dat wil zeggen dat de leverancier allerlei maatregelen heeft genomen om te voorkomen dat de gegevens kunnen worden opgevraagd door Amerikaanse autoriteiten. Dat helpt, maar betekent niet dat de Amerikaanse overheid niet meer bij de gegevens over het gebruik van de dienst kan. Zie het onderzoeksrapport van advocatenkantoor Greenberg Traurig over de soevereine cloud van AWS.
- Pas versleuteling toe op de inhoudelijke gegevens met de sleutel in eigen beheer als je gegevens blijft verwerken op Amerikaanse cloudplatforms. Dat is noodzakelijk als je bijzondere persoonsgegevens over mensen verwerkt in de publieke cloud, zoals gegevens over gezondheid of seksuele oriëntatie, of hele gevoelige gegevens, bijvoorbeeld surfgedrag van kinderen, of andere gegevens die onderdeel vormen van de kerntaken van de Rijksoverheid. Maar als je een eigen Key Management Server inricht, loop je het risico om toegang kwijt te raken tot al je persoonsgegevens als er iets misgaat met die server. Bovendien is deze vorm van versleuteling alleen mogelijk op de (opgeslagen) inhoudelijke gegevens, niet op de andere vier categorieën persoonsgegevens.
Advies: eis exclusief Europese verwerking van je leveranciers
Alle vier deze strategieën vergen tijd en geld. Maar je kunt heel eenvoudig beginnen om je datasoevereiniteit te vergroten. Loop je verwerkersovereenkomsten na, en ga het gesprek aan met je cloudleveranciers over exitscenario’s. Je kunt je zorgen kenbaar maken over de toereikendheid van de SCC’s en je leveranciers vragen om in de overeenkomst op te nemen dat ze overstappen naar een exclusief Europese leverancier als het adequaatheidsbesluit ongeldig wordt verklaard, en dus niet langer vertrouwen op de SCC’s. Stop niet met nadenken als de leverancier zegt: ‘Ja, we verwerken de inhoudelijke gegevens exclusief in de EU’. Investeer in de kennis en omscholing van je systeembeheerders. Er zijn inmiddels heel veel Europese alternatieven voor de bekende Amerikaanse leveranciers.
Wil je hulp bij de inventarisatie van je doorgifterisico’s en advies over Europese leveranciers? De juridische adviseurs van Privacy Company helpen je graag. Neem hiervoor contact op met info@privacycompany.nl.
