Verklaring over het besluit van de Europese Commissie inzake adequaatheid van de VS
Vandaag heeft de Europese Commissie een nieuw adequaatheidsbesluit uitgevaardigd ter vervanging van het "Privacy Shield"-besluit, dat eerder door het Hof van Justitie van de EU (HJEU) ongeldig was verklaard in verband met toezicht door de VS. Het HvJEU eiste (1) dat het toezicht door de VS evenredig is in de zin van artikel 52 van het Handvest van de grondrechten (CFR) en (2) dat er toegang is tot rechtsmiddelen, zoals vereist krachtens artikel 47 CFR. De bijgewerkte Amerikaanse wetgeving (Executive Order 14086) lijkt niet aan beide eisen te voldoen, aangezien zij de situatie niet wijzigt ten opzichte van de voorheen geldende PPD-28. Er is voortdurend "bulk surveillance" en een "rechtbank" die geen echte rechtbank is. Daarom zal een "adequaatheidsbesluit" van de EU dat gebaseerd is op Uitvoeringsbevel 14086, het HvJEU waarschijnlijk niet bevredigen.
Zoals benadrukt in de eerdere verklaring vannoyb over de US Executive Order 14086, lijken de wijzigingen in de Amerikaanse wetgeving nogal minimaal. Sommige wijzigingen, zoals de invoering van het evenredigheidsbeginsel of de oprichting van een Hof, klinken veelbelovend - maar bij nadere beschouwing wordt duidelijk dat de Executive Order te veel verkoopt en te weinig presteert als het gaat om de bescherming van niet-Amerikaanse personen. Het lijkt duidelijk dat elk "besluit van gepastheid" van de EU dat gebaseerd is op Uitvoeringsbevel 14086 het HvJEU waarschijnlijk niet tevreden zal stellen. Dit zou betekenen dat de derde overeenkomst tussen de Amerikaanse regering en de Europese Commissie kan mislukken.
Max Schrems:"We zullen het ontwerpbesluit de komende dagen in detail analyseren. Aangezien het ontwerpbesluit gebaseerd is op de bekende Executive Order, zie ik niet in hoe dit een beroep bij het Hof van Justitie zou overleven. Het lijkt erop dat de Europese Commissie keer op keer soortgelijke besluiten neemt - in flagrante strijd met onze grondrechten."
Het ontwerpbesluit zal nu worden beoordeeld door het Europees Comité voor gegevensbescherming (EDPB) en de Europese lidstaten. Zelfs negatieve verklaringen van de EDPB en de lidstaten zijn echter niet bindend voor de Commissie. Zodra het besluit is gepubliceerd, kunnen Europese bedrijven erop vertrouwen wanneer zij gegevens naar de VS sturen. Het definitieve besluit wordt niet voor het voorjaar van 2023 verwacht. Gebruikers kunnen het besluit dan aanvechten via nationale en Europese rechtbanken.
