Wat het Hof besliste
Op 16 juli 2020 deed het Hof van Justitie van de Europese Unie uitspraak in zaak C-311/18, Schrems II genoemd naar de Oostenrijkse privacyactivist Maximilian Schrems, die de klacht indiende. Het Hof:
- verklaarde het adequaatheidsbesluit van de Commissie over het Privacy Shield (Besluit (EU) 2016/1250) ongeldig;
- oordeelde dat modelcontractbepalingen in beginsel geldig blijven;
- maar eiste dat exporteurs per geval nagaan of het recht van het ontvangende land een beschermingsniveau biedt dat in wezen gelijkwaardig is aan dat in de EU – en anders aanvullende maatregelen nemen of de doorgifte stoppen.
Waarom het Privacy Shield sneuvelde
Het Hof stelde vast dat Amerikaanse surveillanceprogramma’s niet beperkt waren tot wat strikt noodzakelijk is en dat EU-burgers geen effectief rechtsmiddel hadden bij een onafhankelijke instantie. Het ombudsmechanisme van het Privacy Shield voldeed daar niet aan.
Het was de tweede keer dat het Hof een EU-VS-regeling ongeldig verklaarde: in 2015 had Schrems I (zaak C-362/14) het Safe Harbour-besluit ongeldig verklaard.
Wat het vandaag betekent
Sinds Schrems II documenteren organisaties doorgiftebeoordelingen (transfer impact assessments) voor doorgifte naar derde landen. Het Europees Comité voor gegevensbescherming publiceerde in 2021 aanbevelingen over aanvullende maatregelen.
Op 10 juli 2023 nam de Europese Commissie een nieuw adequaatheidsbesluit aan voor het EU-VS-kader voor gegevensbescherming. Dat geldt alleen voor Amerikaanse organisaties die daaronder gecertificeerd zijn; voor alle andere blijven modelcontractbepalingen en de toets uit Schrems II gelden.
Deze pagina is algemene informatie en geen juridisch advies.
Veelgestelde vragen
Is Schrems II na het Data Privacy Framework nog relevant?
Ja. De eisen gelden nog voor elke doorgifte die niet onder een adequaatheidsbesluit valt, bijvoorbeeld naar niet-gecertificeerde Amerikaanse ontvangers of naar andere derde landen.
Heeft Schrems II doorgifte naar de VS verboden?
Nee. Het verklaarde één doorgiftemechanisme, het Privacy Shield, ongeldig en maakte doorgifte op basis van modelcontractbepalingen afhankelijk van een beoordeling per geval.