Privacy Shield officieel aangenomen, maar hevig afgekraakt
Privacy Shield, de wetgeving die de overdracht van Europese data naar de Verenigde Staten moet reguleren, is deze week officieel goedgekeurd. De wetgeving zag het daglicht nadat voorganger Safe Harbor eind vorig jaar ongeldig werd verklaard door het Europese hof van Justitie.
Wat is er veranderd?
Met het nieuwe akkoord wordt hetzelfde doel nagestreefd: Amerikaanse bedrijven moeten de strengere, Europese wetgeving inzake privacy respecteren wanneer ze data uit Europa importeren, ook als de data zich op Amerikaans grondgebied bevindt. Privacy Shield concentreert daarbij op vier punten. Kort uitgelegd komt het hierop neer:
1. Meer controle: Het Amerikaanse Department of Commerce zal op gezette tijden de deelnemende bedrijven evalueren, en eventuele sancties opleggen indien de wetgeving niet wordt nageleefd.
2. Beperking van toegang van de Amerikaanse overheid: Overheidsorganisaties volgen strikte richtlijnen voor het onderzoeken van data, waardoor willekeurige en ongestructureerde surveillance onmogelijk wordt.
3. Bescherming individuele rechten: Burgers krijgen “toegankelijke en betaalbare” kanalen om eventuele klachten in te dienen, indien ze vermoeden dat hun data wordt misbruikt.
4. Jaarlijkse evaluatie: De Europese Commissie zal samen met het Department of Commerce de werking van Privacy Shield jaarlijks evalueren, en de resultaten in een publiek rapport bekendmaken.
“Het zal falen”
Ondanks de aangescherpte regeling, klinkt er ook nu kritiek: Privacy Shield zou in hetzelfde bedje ziek zijn als Safe Harbor. Onder andere Max Shrems, die ook Safe Harbor deed kelderen, uitte zijn ongenoegen.
“Het is hetzelfde als Safe Harbor met een paar toevoegingen, en het zal falen zoals zijn voorganger,” vertelde de Oostenrijkse privacy-activist aan Fortune. “Het is beter dan Safe Harbor natuurlijk, maar nog lang niet waar het Europese Hof van Justitie om vroeg.”
Geen ijzer, maar klei
Het grootste pijnpunt blijft de algemene onduidelijkheid omtrent de regelgeving. Volgens Privacy International is Privacy Shield moeilijk te interpreteren, omdat het geheel bestaat uit “verbintenissen en verklarende nota’s van diverse delen van de Amerikaanse overheid”. Het is daarom haast onmogelijk om te zien hoe de bescherming van de data in praktijk zal fungeren.
Bovendien wordt er gebruikgemaakt van subjectieve verwoordingen, waardoor bepaalde regels nog steeds door de Verenigde Staten omzeild kunnen worden en het Privacy Shield volgens sommigen niet meer dan een pleister op een houten been is. “Het fundamentele probleem blijft dat de Amerikaanse kant van het schild van klei is gemaakt, en niet van ijzer,” beaamt Europese consumentenorganisatie BEUC.
De onvrede komt geenszins uit het niets. Gelijkaardige bedenkingen werden al bij de bekendmaking van Privacy Shield in februari gesignaleerd aan de Europese Commissie, waarna Privacy Shield enkele verbeteringen onderging. Ondanks de aanpassingen, blijft de kritiek zich opstapelen.
En nu?
Amerikaanse bedrijven krijgen de tijd om de nieuwe wetgeving door te lichten en kunnen vanaf augustus intekenen op Privacy Shield. Het blijft natuurlijk afwachten hoeveel er willen tekenen voor een wetgeving die mogelijk slechts maanden later opnieuw kan instorten.
