De aanbevelingen van de European Data Protection Board (EDPB) voor de doorgifte van persoonsgegevens naar landen buiten de EU (derde landen) zijn definitief. De aanbevelingen zijn opgesteld om het bedrijfsleven meer duidelijkheid geven, nadat het Europese Hof van Justitie het EU-VS Privacy Shield ongeldig verklaarde in de zogeheten Schrems II-uitspraak.

De aanbevelingen zijn op een aantal punten aangepast, nadat onder meer bedrijven en brancheverenigingen reageerden op het eerder opgestelde concept. Belangrijk is dat ze praktischer van aard zijn geworden. Zo raadt de EDPB bedrijven aan om naar de ervaringen te vragen van de partijen met wie zij zaken doen in het derde land. Deze ervaringen kunnen worden meegewogen in de beoordeling of doorgifte mogelijk is en onder welke voorwaarden. Heeft die partij weleens te maken gehad met bijvoorbeeld een inlichtingendienst die persoonsgegevens vorderde?
Daarnaast bevatten de aanbevelingen nu voorbeelden van maatregelen (en voorwaarden voor effectiviteit van die maatregelen) die een bedrijf kan nemen om te voorkomen dat Amerikaanse veiligheidsdiensten toegang krijgen tot persoonsgegevens van Europeanen. Volgens een Amerikaanse wet, de Foreign Intelligence Surveillance Act (FISA), hebben die diensten namelijk het recht om mensen van buiten de VS te surveilleren en hun data op te vragen.

Wegvallen Privacy Shield
In juli 2020 concludeerde de hoogste Europese rechter in de Schrems II-uitspraak dat de bescherming van persoonsgegevens in de VS ernstig tekortschiet, ondanks het Privacy Shield. Dat waren de afspraken tussen de EU en de VS op basis waarvan bedrijven persoonsgegevens vanuit de EU mochten doorgeven aan de VS.
Doorgifte van persoonsgegevens naar de VS en de meeste andere landen buiten de EU kan nog wel op basis van modelcontracten (ook wel standaardcontractbepalingen of standard contractual clauses genoemd). Begin juni heeft de Europese Commissie een nieuw modelcontract gepubliceerd.

Voldoende aanvullende maatregelen nodig
De voorwaarde voor doorgifte op basis van een modelcontract is dat een bedrijf voldoende aanvullende maatregelen neemt om de veiligheid van de doorgifte te waarborgen. Dat is de eigen verantwoordelijkheid van dat bedrijf. Is er na nader onderzoek nog steeds enige twijfel over de veiligheid van doorgifte van persoonsgegevens? Dan adviseert de AP om de doorgifte te stoppen en data in de EU te houden.
Als de VS persoonsgegevens beter gaan beschermen, kunnen er nieuwe afspraken komen tussen de EU en de VS, vergelijkbaar met het Privacy Shield. De doorgifte van persoonsgegevens naar de VS zal dan makkelijker en veiliger zijn. De Europese Commissie is dan ook in onderhandeling met de VS over nieuwe afspraken.