De recente uitspraak van het Amerikaanse Hooggerechtshof heeft grote gevolgen voor het EU-US Data Privacy Framework (DPF), dat sinds 10 juli 2023 van kracht is. Privacyorganisatie noyb spreekt van het 'exploderen' van het kader en oprichter Max Schrems roept de Europese Commissie op het adequaatheidsbesluit voor de Verenigde Staten in te trekken. De uitspraak stelt dat de Federal Trade Commission (FTC) niet onafhankelijk is, terwijl de EU juist op deze instantie vertrouwt voor toezicht in de VS.

Het adequaatheidsbesluit maakt het mogelijk om persoonsgegevens naar landen buiten de Europese Unie door te geven, mits die landen een vergelijkbaar beschermingsniveau bieden als de AVG. De Europese Commissie heeft voor vijftien landen, waaronder de VS, zo’n besluit afgegeven. Een belangrijke voorwaarde is dat het toezicht wordt uitgevoerd door een onafhankelijke autoriteit. Nu de FTC volgens het Amerikaanse Hooggerechtshof niet aan deze eis voldoet, komt het fundament van het EU-US Data Privacy Framework onder druk te staan.

Dit is de derde keer dat een regeling voor trans-Atlantische gegevensuitwisseling wankelt. Eerdere overeenkomsten, Safe Harbor en Privacy Shield, werden in respectievelijk 2015 en 2020 ongeldig verklaard door het Europees Hof van Justitie. Eerder werd al gesignaleerd dat een nieuwe nietigverklaring van het DPF niet uitgesloten is, mede door Amerikaanse wetgeving zoals de CLOUD Act, zoals beschreven in een analyse van de Algemene Rekenkamer. Volgens noyb is het vertrouwen in de FTC als privacywaakhond daarmee definitief ondermijnd.

Noyb heeft de Europese Commissie formeel verzocht de overeenkomst met de VS in te trekken. Schrems benadrukt dat de uitspraak ook gevolgen heeft voor modelcontracten en bindende bedrijfsvoorschriften. Hij stelt dat het verlaten van de Amerikaanse cloud onvermijdelijk is, ook al is dat een complexe stap. De uitspraak komt op een moment dat Europa steeds meer nadruk legt op digitale autonomie en soevereiniteit, een discussie die niet alleen over data gaat maar ook over applicaties en beheer, zoals toegelicht in een recente analyse over digitale soevereiniteit. Dit maakt ook Europese data in Amerikaanse datacenters op Europese bodem juridisch discutabel. Vorig jaar gaf Microsoft al aan tegenover een Franse rechter dat het geen volledige soevereiniteit kan garanderen voor zijn klanten, wat de afhankelijkheid van Amerikaanse techspelers zonder solide juridische basis benadrukt.