Wat betekent de uitspraak van het Europese Hof van Justitie over het Europees-Amerikaanse verdrag Privacy Shield II voor wetenschappelijk onderzoek?

Op 16 juli 2020 heeft het Europese Hof van Justitie (HvJ EU)  verklaard dat het EU-VS Privacy Shield II niet voldoende bescherming biedt om persoonsgegevens van Europese burgers naar de VS te geleiden (1). Voornaamste reden was dat niet hetzelfde beschermingsniveau van persoonsgegevens kan worden geboden in de VS als in de EU, omdat Amerikaanse inlichtingendiensten meer mogelijkheden hebben zich toegang tot deze gegevens te verschaffen. De uitspraak heeft voor commerciële bedrijven enorme impact, voor wetenschappelijk onderzoek geldt dit minder.

Er kan nu geen beroep op het Privacy Shield meer worden gedaan. Het Privacy Shield werd gebruikt als persoonsgegevens van de EU naar commerciële Amerikaanse organisaties werden gestuurd. Niet-commerciële Amerikaanse organisaties konden hier al geen beroep op doen. Ook standard contractual clauses (SCC) werden in de gegevensuitwisseling  met onderzoeksinstellingen in de VS nauwelijks gebruikt. In die zin is de impact van de uitspraak waarschijnlijk gering. Deze uitspraak heeft het veld echter doen opschrikken en zal desondanks een weerslag kunnen hebben op de uitwisseling van onderzoeksgegevens met de VS, welke reeds problemen kent (2, 3).

SCC, dat ook een grondslag was om persoonsgegevens naar Amerikaanse organisaties te zenden, blijven wel in beginsel geldig. Voorwaarde hierbij is dat er een assessment heeft plaatsgevonden, waarmee de verzender en ontvanger samen nagaan of persoonsgegevens voldoende beschermd zijn. Gelet op de bewoordingen van het HvJ EU inzake de bevoegdheden van Amerikaanse inlichtingendiensten, zal het ook bij SCC lastig zijn om aan die test te voldoen. De EDPB heeft aanbevelingen gedaan om de bescherming van persoonsgegevens te waarborgen, o.a. bij gebruikmaking van SCC. Deze aanbevelingen vindt u hier (4). De Autoriteit Persoonsgegevens heeft de consultatieversie van de aanbevelingen in het Nederlands samengevat, deze vindt u hier (5). De belangrijkste wijzigingen in de definitieve versie ten opzichte van de consultatieversie leest u hier (6). Uit de aanbevelingen blijkt dat het nodig kan zijn om extra maatregelen te nemen om persoonsgegevens te beschermen, zoals contractuele, organisatorische of technische maatregelen. De Europese Commissie heeft nieuwe modelcontracten voor de internationale uitwisseling van persoonsgegevens vastgesteld, deze vindt u hier (7). Ook hierin wordt beschreven welke aanvullende maatregelen nodig kunnen zijn.

DDMA, de branchevereniging voor datagedreven marketing, service en sales, heeft een handleiding opgesteld waarin zij uitleggen hoe het Europese Hof van Justitie tot deze uitspraak is gekomen, hoe de impact op een organisatie in kaart gebracht kan worden, welke stappen er gezet kunnen worden richting AVG-compliance en waarin antwoord wordt gegeven op enkele veelgestelde vragen (8).

De CCMO had een notitie opgesteld over het doorgeven van gegevens van proefpersonen naar landen buiten de Europese Economische Ruimte, waarin zij de implicaties van dit uitspraak aangeeft voor toekomstige en lopende klinische studies. Echter heeft de CCMO besloten deze notitie in te trekken. Dit omdat de aanbevelingen van de EDPB leidend zijn en de CCMO wil voorkomen dat daarover verwarring zou ontstaan (9).

Bronnen

1. Website InfoCuria Rechtspraak - Arrest van het hof 16 juli 2020 (laatst geraardpleegd op 09-09-2021)
2. Tania Rabesandratana (2019, 20 november). European data law is impeding studies on diabetes and Alzheimer’s, researchers warn (Science). Geraadpleegd van  https://www.sciencemag.org/news/2019/11/european-data-law-impeding-studies-diabetes-and-alzheimer-s-researchers-warn
3. Peloquin, D., DiMaio, M., Bierer, B., & Barnes, M. (2020). Disruptive and avoidable: GDPR challenges to secondary research uses of data. European Journal of Human Genetics, 1-9.
4. Website European Data Protection Board (EDPB) - Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data (laatst geraardpleegd op 09-09-2021)
5. Website Autoriteit Persoonsgegevens - Aanbevelingen EDPB voor doorgifte persoonsgegevens na Schrems II-uitspraak (laatst geraardpleegd op 09-09-2021)
6. Website European Data Protection Board (EDPB) - Nieuwsbericht (laatst geraardpleegd op 09-09-2021)
7. Website Europese Commissie - European Commission adopts new tools for safe exchanges of personal data (laatst geraardpleegd op 09-09-2021)
8. Data Driven Marketing Association - Handleiding ‘Explained: Data delen buiten de EU’ (laatst geraardpleegd op 09-09-2021)
9. Website CCMO - Aanbevelingen doorgifte gegevens proefpersonen naar landen buiten de EER (laatst geraardpleegd op 09-09-2021)

Voor het laatst gewijzigd op 16-07-2021