De Europese Unie en de Verenigde Staten hebben een verdrag gesloten dat het mogelijk maakt om data van Europese consumenten in de Verenigde Staten op te slaan. Zo’n verdrag is essentieel voor techbedrijven en zo ook voor adverteerders op sociale media. Techjurist Menno Weij beantwoordt vier prangende vragen.
Wat speelt er?
‘Er is per direct een nieuw datadoorgifteverdrag gesloten tussen de Europese Unie en de Verenigde Staten. Dit verdrag heet het EU-US Data Privacy Framework en is de opvolger van Privacy Shield. Dat nieuwe verdrag is belangrijk omdat Privacy Shield in juli 2020 illegaal is verklaard door het Europees Hof van Justitie. Het eerste verdrag, Safe Harbour werd in 2015 ongeldig verklaard. Dat er per direct een nieuw verdrag geldt, is goed nieuws voor techplatformen die Europese gebruikersdata opslaan in de Verenigde Staten. Dat zijn onder meer socialmediaplatformen als Facebook (Meta) en Google Analytics. Adverteerders op die platformen mogen daarom ook blij zijn met het nieuwe verdrag.’
Op welke punten is het EU-US Data Privacy Framework anders dan voorgaande verdragen?
‘De Verenigde Staten zijn naar Europa toe bewogen voor deze derde deal. Er zijn nieuwe toezeggingen gedaan, onder andere via een executive order van president Biden. Er komt meer toezicht op Amerikaanse inlichtingendiensten en zij mogen minder gegevens verzamelen. Dat was in het vorige verdrag niet zo geregeld. Daarnaast is er nu een meer ‘onafhankelijk’ loket waar Europese gebruikers hun privacyrechten kunnen uitoefenen. Er kleven wel volgens privacyactivist Max Schrems wel maren aan die twee veranderingen. Het executive order kan morgen ingetrokken worden, hij heeft twijfels over dat toezicht op Amerikaanse inlichtingendiensten en hij vindt het klachtenloket niet onafhankelijk genoeg. Schrems heeft er persoonlijk voor gezorgd dat het Privacy Shield drie jaar geleden illegaal is verklaard. Nu handelt hij via stichting NOYB, wat staat voor None Of Your Business.’
Waarom is het nieuwe verdrag goed nieuws voor adverteerders?
‘Omdat het nieuwe verdrag tot een rechter wellicht anders besluit een formele juridische basis is om Europese gebruikersdata op te slaan in de Verenigde Staten. Met deze afspraak heb je als adverteerder rechtvaardiging onder de Algemene Verordening Gegevensbescherming, de AVG. Dat is belangrijk omdat we al jaren in een vacuüm zaten. Nadat Privacy Shield illegaal is verklaard, zijn techbedrijven en dus adverteerders overgestapt op speciale clausules, de zogeheten standard contractual clausules. Privacywaakhonden vonden die clausules tot gisteren illegaal, en deelden daarom boetes uit. Zo kreeg Meta een megaboete van 1,2 miljard euro en werden in Zweden bedrijven beboet voor het onjuist gebruiken van de oude versie van Google Analytics. Nu er een formele afspraak is, is er geen reden meer om zulke boetes uit te delen. Al zullen de uitgedeelde boetes , denk ik, wel blijven staan, want er is geen terugwerkende kracht.’
Is dit nieuwe verdrag een zorgeloos leven gegund of verwacht je juridische problemen?
‘Wellicht is driemaal scheepsrecht, want het EU-US Data Privacy Framework staat er by far het beste voor in vergelijking met de vorige twee verdragen. De EU en de Verenigde Staten hebben er bijna drie jaar over gedaan om tot dit verdrag te komen. Ze hebben oprecht hun best gedaan. Maar activist Schrems zegt dat het nieuwe verdrag nog steeds juridisch rammelt en verwacht dat zijn zaak binnen enkele maanden bij het Europese Hof komt te liggen. Het is vanuit juridisch oogpunt goed dat Schrems de zaak weer voor de rechter brengt. Ik heb de indruk dat er een betere deal ligt en dat ‘ie wellicht overeind blijft. Schrems verwacht van niet en hoopt in 2024 of 2025 een juridische uitspraak te krijgen. Tot een uitspraak kunnen adverteerders in ieder geval leunen op het verdrag.’
