HvJ-EU C-311/18 Schrems II: Doorgiften van Persoonsgegevens Buiten de EU

1. Context & Ongeldigverklaring van het Privacy Shield

In zijn arrest van 16 juli 2020 (C-311/18 - Schrems II, ECLI:EU:C:2020:559) heeft het Hof van Justitie van de Europese Unie het adequaatheidsbesluit inzake het EU-VS-privacyschild ongeldig verklaard vanwege Amerikaanse surveillanceprogramma's (met name Section 702 FISA en Executive Order 12333) die niet voorzien in waarborgen die wezenlijk gelijkwaardig zijn aan die van het Handvest van de grondrechten van de EU (ontbreken van een doeltreffende voorziening in rechte voor Europese betrokkenen).

2. Handhaving van SCC's & Vereiste van Aanvullende Maatregelen

Het Hof bevestigde de principiële geldigheid van de modelcontractbepalingen (SCC's), maar legde de Europese gegevensexporteur een strikte verplichting op:

• Doorgifte-effectbeoordeling (TIA / Transfer Impact Assessment): De exporteur moet per geval beoordelen of de wetgeving van het derde land de importeur in staat stelt de verplichtingen van de SCC's na te leven.
• Vereiste aanvullende maatregelen: Indien de wetgeving van het derde land onevenredige toegang door overheidsinstanties toestaat, moet de exporteur doeltreffende technische (zoals end-to-end encryptie zonder sleutel in het derde land), contractuele of organisatorische waarborgen nemen.

Huidig kader voor doorgiften naar de Verenigde Staten: Niet alle doorgiften naar de VS zijn verboden. Sinds juli 2023 vormt het EU-VS Data Privacy Framework (DPF) een geldig adequaatheidsbesluit voor deelnemende Amerikaanse organisaties onder het kader. Voor niet-deelnemende importeurs blijft het gebruik van SCC's in combinatie met een doorgifte-effectbeoordeling (TIA) verplicht.

3. Nalevingsstappen voor Gegevensexporteurs

Elk beroep op een verwerker of hostingprovider buiten de EU vereist het in kaart brengen van de doorgifteketen, het verifiëren van de DPF-deelnamestatus of het formaliseren van SCC's vergezeld van een grondige analyse van lokale wetgeving inzake overheidstoegang.

4. SCC's Zijn Niet de Enige Waarborg van Artikel 46

Hoewel SCC's een veelgebruikt mechanisme zijn, voorziet artikel 46 ook in bindende bedrijfsvoorschriften (BCR's), instrumenten tussen overheidsinstanties, gedragscodes en certificeringsmechanismen gekoppeld aan bindende en afdwingbare toezeggingen van de importeur. Sinds 6 augustus 2026 publiceert het register van het EDPB de Europrivacy v82-extensie als het eerste Europese gegevensbeschermingszegel dat kan dienen als doorgifte-instrument op grond van artikel 46, lid 2, onder f).`

Certificering is geen adequaatheidsbesluit en geen algemene doorgiftetoestemming. Raadpleeg de permanente fiche Artikel 46 — passende waarborgen om de mechanismen en voorwaarden te vergelijken.

Geverifieerde Officiële Bronnen

Zie Ook in het Juridisch Referentiekader