In de Europese Privacyrichtlijn is opgenomen dat doorgifte van persoonsgegevens naar een land buiten de EU (een derde land) slechts is toegestaan indien dat land een passend beschermingsniveau biedt. De Europese Commissie heeft de bevoegdheid om vast te stellen of dit het geval is. Hoewel het beschermingsniveau in de VS niet passend werd geoordeeld, heeft de Europese Commissie op 26 juli 2000 besloten dat doorgifte van persoonsgegevens naar organisaties in de VS wel is toegestaan indien deze organisaties zich verbinden aan de Safe Harbour Privacy Principles. Hierbij verbinden ondernemingen zich vrijwillig aan bepaalde waarborgen ter bescherming van persoonsgegevens.
Schrems vs. Data Protection Commissioner
Social media-gebruiker en student Maximillian Schrems protesteerde op 25 juni 2013 bij de Ierse privacytoezichthouder tegen de doorgifte van zijn persoonsgegevens naar de VS. Met verwijzing naar de recente onthullingen van Edward Snowden betoogde Schrems dat er, ondanks de waarborgen van Safe Harbour, in de praktijk geen enkele waarborg bestaat tegen onbeperkt gebruik van deze gegevens door Amerikaanse overheidsinstanties zoals de NSA. De toezichthouder verwierp deze klacht.
In de procedure die volgde tussen Schrems en de toezichthouder constateerde het Ierse High Court dat aannemelijk was dat het Safe Harbour-regime het recht op eerbiediging van het privéleven onvoldoende waarborgde. De vraag was vervolgens of de toezichthouder desondanks gebonden is aan de goedkeuring van de Europese Commissie, of dat deze zelf mocht onderzoeken of een passend beschermingsniveau gewaarborgd was. Op die vraag heeft het Hof van Justitie nu geantwoord dat nationale autoriteiten moeten uitgaan van de geldigheid van een besluit van de Europese Commissie, zoals in dit geval de goedkeuring van het Safe Harbour-regime. Als deze geldigheid echter ter discussie wordt gesteld, moet de mogelijkheid bestaan om deze geldigheid aan de rechter voor te leggen. Alleen de hoogste Europese rechter, het Hof van Justitie, kan een dergelijk besluit ongeldig verklaren.
Vervolgens beoordeelt het Hof de goedkeuring van de Safe Harbour-principles. Het Hof concludeert dat uit Safe Harbour niet kan worden afgeleid dat is voorzien in een objectief criterium ter begrenzing van de toegang van de Amerikaanse autoriteiten tot de persoonsgegevens. De regeling sluit niet uit dat de Amerikaanse nationale autoriteiten in beginsel onbeperkt toegang kunnen krijgen tot de inhoud van elektronische communicatie. Dit moet volgens het Hof worden beschouwd als een aantasting van het grondrecht op eerbiediging van het privéleven zoals gewaarborgd door artikel 7 van het Handvest van de grondrechten van de Europese Unie. Evenmin blijkt dat Safe Harbour voorziet in de mogelijkheid om beroep aan te tekenen bij een Amerikaanse rechter indien iemands recht op eerbiediging van het privéleven is geschonden. Dit laatste zorgt ervoor dat Safe Harbour óók in strijd is met artikel 47 van het Handvest van de EU, te weten het recht op een fair trial.
Conclusie
Volgens het Hof van Justitie kan van een derde land, zoals de VS, niet steeds worden verlangd dat hetzelfde beschermingsniveau wordt geboden als in de EU. De grondrechten en de fundamentele vrijheden zoals neergelegd in het Handvest van de EU moeten echter in ieder geval gewaarborgd worden. Nu de Europese Commissie heeft nagelaten te constateren of de VS met de Safe Harbour Privacy Principles op dit punt voldoende waarborgen biedt en het Hof van Justitie zelf constateert dat de Amerikaanse regelgeving op bepaalde punten evident in strijd is met Europese grondrechten, stelt het Hof van Justitie vast dat de ‘Safe Harbour beslissing’ ongeldig is. Een en ander betekent dat elke doorgifte van persoonsgegevens naar de VS op grond van de ‘Safe Harbour beslissing’ op dit moment onrechtmatig is.
In een afzonderlijk artikel gaan we in op de gevolgen van het arrest voor de praktijk.