Adequaatheidsbeslissing voor gegevensoverdracht naar de Verenigde Staten
Op 10 juli 2023 keurde de Europese Commissie een nieuwe adequaatheidsbeslissing goed voor de Verenigde Staten, het "EU-VS Data Privacy Framework"(hierna “DPF”).
Het DPF maakt het mogelijk om gegevens te exporteren naar de organisaties op de "Data Privacy Framework List", zonder gebruik te hoeven maken van doorgifte-instrumenten zoals die voorzien zijn in artikel 46 van de AVG en zonder maatregelen te hoeven nemen ter aanvulling van de doorgifte-instrumenten (zie EDPB-aanbeveling 01/2020 inzake maatregelen ter aanvulling op doorgifte-instrumenten teneinde naleving van het beschermingsniveau van persoonsgegevens in de Unie te waarborgen). Verwerkingsverantwoordelijken die persoonsgegevens doorgeven aan organisaties die niet op de lijst staan, moeten, zoals dit is voorzien in de AVG, nog altijd de noodzakelijke doorgifte-instrumenten gebruiken om te garanderen dat de gegevens een passend beschermingsniveau hebben, bijvoorbeeld via modelcontractbepalingen of bindende bedrijfsvoorschriften (zie EDPB-aanbevelingen 01/2020). De lijst van organisaties die onder het Data Privacy Framework vallen, is toegankelijk via een daartoe bestemde website.
De beslissing bepaalt ook dat personen van wie gegevens worden doorgegeven aan de Verenigde Staten op basis van de adequaatheidsbeslissing, een aantal rechtsmiddelen tot hun beschikking hebben als zij van mening zijn dat de betrokken organisatie in de VS het Data Privacy Framework niet naleeft. Hoe u uw rechten kunt uitoefenen en een klacht kunt indienen, wordt uitgelegd in de tabbladen hieronder.
Deze adequaatheidsbeslissing komt nadat twee andere adequaatheidsbeslissingen (het Safe Harbor en Privacy Shield) ongeldig werden verklaard door het Hof van Justitie van de Europese Unie in de zogenaamde "Schrems I” en "Schrems II"-arresten.
Voor meer informatie over het Data Privacy Framework, zie:
- De adequaatheidsbeslissing
- De Rubriek "FAQ" van de Europese commissie
- De informatienota van de EDPB over dit onderwerp
- Het advies van de EDPB over het ontwerp van adequaatheidsbeslissing
Voor meer algemene informatie over gegevensoverdrachten, zie ons thematisch dossier "Internationale gegevensverkeer".
Hieronder vindt u de procedure voor het uitoefenen van uw rechten met betrekking tot de commerciële aspecten van het DPF.
- Neem contact op met de betreffende organisatie om te proberen uw probleem op te lossen. De lijst van organisaties die deelnemen aan het DPF is toegankelijk via deze link: Data Privacy Framework List.
- Als uw probleem na dit eerste contact niet is opgelost, of als u redenen hebt om niet rechtstreeks contact op te nemen met de organisatie, kunt u contact opnemen met de GBA. Om aan te tonen waarom u van mening bent dat een organisatie haar verplichtingen of uw rechten op grond van het DPF heeft geschonden, wordt u gevraagd de GBA een aantal inlichtingen te verstrekken die in dit formulier zijn opgenomen (originele Engelse versie / vertaalde versie). Het gebruik van het formulier is niet verplicht, maar uw klacht zal niet ontvankelijk zijn als deze niet alle vereiste elementen bevat. Uw verzoek (in voorkomend geval vergezeld van het formulier) moet naar het volgende adres worden gestuurd: contact@apd-gba.be
Zodra uw klacht is ontvangen en geaccepteerd, zijn er twee mogelijke scenario's:
- Als uw klacht betrekking heeft op de verwerking van personeelsgegevens die zijn verzameld in het kader van een arbeidsrelatie, OF als de organisatie in kwestie zich er vrijwillig toe verbonden heeft samen te werken met de gegevensbeschermingsautoriteiten, wordt een "onafhankelijk panel van autoriteiten" opgericht om de klacht te behandelen en de procedure te coördineren. Tijdens de procedure kunnen beide partijen hun argumenten naar voren brengen, waarna het panel een bindend advies voor de Amerikaanse organisaties kan uitbrengen. Meer informatie over de panelprocedure is te vinden in de "Procedurele regels"(originele Engelse versie / vertaalde versie).
- Als uw klacht geen betrekking heeft op de verwerking van personeelsgegevens die zijn verzameld in het kader van een arbeidsrelatie en als de organisatie in kwestie zich er niet toe verbonden heeft samen te werken met de gegevensbeschermingsautoriteiten, moet de GBA uw klacht in principe doorsturen naar de bevoegde Amerikaanse autoriteiten.
U kunt ook de FAQ's van de EDPB raadplegen (voor professionals / voor burgers) voor meer informatie over het DPF en de bestaande beroepsmechanismen. Deze zijn alleen beschikbaar in het Engels.
Hieronder vindt u uitleg over het verhaalmechanisme in het geval van een vermoedelijke schending van de Amerikaanse wetgeving met betrekking tot gegevens die zijn verzameld door de Amerikaanse autoriteiten die verantwoordelijk zijn voor de nationale veiligheid.
Het DPF stelt ook een nieuwe beroepsprocedure in die betrokkenen in staat stelt een klacht in te dienen in het geval van een beschuldiging van onrechtmatige verwerking van uw persoonsgegevens door de Amerikaanse inlichtingendiensten.
Dit verhaalmechanisme is van toepassing op alle soorten doorgiften van de EU naar de Verenigde Staten na 10 juli 2023. Het heeft echter alleen betrekking op de nationale veiligheid.
Om gebruik te maken van de mogelijkheid om een klacht in te dienen via de GBA, moet u gebruik maken van het klachtenformulier (originele Engelse versie / vertaalde versie) dat hiervoor bedoeld is. Eenmaal ingevuld moet het formulier naar het volgende adres worden gestuurd: contact@apd-gba.be.
Zodra uw klacht is ontvangen, stuurt de GBA deze via de EDPB door naar de bevoegde autoriteiten in de Verenigde Staten. Daar wordt de klacht onderzocht en wordt een beslissing genomen.
Voor meer informatie over deze procedure kunt u de informatienota over het verhaalmechanisme van het DPF raadplegen (originele Engelse versie / vertaalde versie).
De EDPB heeft ook procedureregels opgesteld voor de behandeling van dergelijke klachten. Het document is alleen beschikbaar in het Engels.